文書番号 〔例：ISMS-R-021〕　／　制定日 〔　　年　　月　　日〕　／　所管 〔情報システム部〕

第1章　総則

第1条（目的）
本規程は、〔会社名〕（以下「当社」という）の役職員等が業務において生成AIサービスを利用するにあたり遵守すべき事項を定め、次の各号を実現することを目的とする。

1. 当社および取引先の機密情報、個人情報ならびに営業秘密の保護
2. 法令、契約上の義務および社会的規範の遵守
3. 生成AIの積極的な活用による生産性の向上

第2条（適用範囲）
本規程は、当社の役員、正社員、契約社員、嘱託社員、パートタイマー、アルバイトおよび派遣受入者（以下「役職員等」という）に適用する。当社の業務に関して生成AIサービスを利用するすべての場合に適用し、利用端末が会社貸与端末か私物端末かを問わない。委託先・協力会社には、契約により同等の措置を求める。

第3条（定義）
本規程における用語の意義は次のとおりとする。

• 生成AIサービス：入力に応じて文章・画像・音声・動画・プログラムコード等を生成するAIを利用したサービスの総称。対話型サービス、API、業務アプリに組み込まれた機能を含む。
• 法人向けサービス：当社が法人契約を締結し、当社が管理者権限を有する生成AIサービス。
• 個人向けサービス：個人単位で契約または登録して利用する生成AIサービス（無料プランを含む）。
• AIエージェント：生成AIが自律的に判断し、外部システムの操作、データの取得・更新、メッセージの送信等を実行する仕組み。
• シャドーAI：第5条の承認を得ずに業務で利用される生成AIサービス。

第2章　管理体制

第4条（AI利用管理責任者）
当社は、生成AIの利用を統括するAI利用管理責任者を置き、〔情報システム部長〕をもって充てる。AI利用管理責任者は次の業務を行う。

1. 生成AIサービスの利用申請の審査および承認
2. 利用中のサービスを記録した管理台帳の整備および年1回以上の見直し
3. 本規程の遵守状況の確認、および教育の企画・実施
4. インシデント発生時の初動指揮
5. 本規程の見直しの発議

第3章　利用できる生成AIサービス

第5条（利用の承認）

1. 役職員等は、AI利用管理責任者が承認し、別表2「承認済み生成AIサービス一覧」に掲載されたサービスのみを業務に利用することができる。
2. 掲載のないサービスを業務に利用しようとする者は、事前に利用申請を行い、承認を得なければならない。
3. 役職員等は、業務において個人向けサービスを利用してはならない。私物アカウントによる業務利用も、これに含まれるものとして禁止する。

第6条（サービス選定基準）
AI利用管理責任者は、承認にあたり少なくとも次を確認しなければならない。

1. 入力情報がモデルの学習に利用されない設定であること、またはその旨が契約上担保されていること
2. データの保存場所および適用される法域が特定でき、当社の情報管理方針上許容できること
3. 監査ログの取得、シングルサインオン連携、利用者管理の各機能が備わっていること
4. 提供事業者の情報セキュリティ体制が第三者認証等により客観的に確認できること
5. 契約上、当社が求める水準の秘密保持義務が課されていること

第4章　入力してはならない情報

第7条（入力情報の区分）
役職員等は、別表1「情報区分と入力可否」に従わなければならない。判断に迷う場合は入力せず、AI利用管理責任者に照会しなければならない。

第8条（入力を禁止する情報）
役職員等は、次の情報を生成AIサービスに入力してはならない。ただし、AI利用管理責任者が個別に承認した場合を除く。

1. 個人情報および個人データ（顧客、取引先、従業員、採用応募者に関するものを含む）
2. 要配慮個人情報（健康、病歴、犯罪歴、信条等に関する情報）
3. 当社の営業秘密（技術情報、ソースコード、設計情報、原価、顧客名簿、事業計画等）
4. 第三者から秘密保持義務を負って開示を受けた情報
5. 未公表の財務情報、人事情報、組織再編に関する情報その他のインサイダー情報
6. 認証情報（ID、パスワード、APIキー、秘密鍵、アクセストークン等）
7. 当社のシステム構成、ネットワーク構成、脆弱性に関する情報
8. 法令または契約により国外移転が制限されている情報

第9条（匿名化・加工による入力）
前条の情報であっても、個人および組織が特定できないよう十分に加工したうえでの入力は妨げない。加工にあたっては氏名の削除のみでは足りず、他の情報と照合することにより特定が可能となる記述等の削除を含むものとする。加工の十分性に迷う場合は入力してはならない。

第5章　出力情報の取扱い

第10条（検証義務）

1. 役職員等は、生成AIの出力をそのまま業務上の成果物として用いてはならず、内容の正確性を自ら検証する責任を負う。
2. 次の場合は、根拠を一次情報により確認しなければならない。
   ・数値、統計、金額、日付を含む場合／・法令、規格、判例、技術仕様に言及する場合／・社外に提出・公開する文書に用いる場合／・意思決定の根拠として用いる場合
3. 出力に起因して生じた誤りの責任は、当該出力を利用した役職員等および所属部門が負う。

第11条（権利侵害の防止）
役職員等は、出力が第三者の著作権、商標権、意匠権その他の権利を侵害していないことを確認しなければならない。特定の作家・デザイナー・企業のスタイルを模倣することを目的としたプロンプトを用いてはならない。既存の著作物と類似する表現が含まれる可能性がある場合は〔法務部門〕に相談する。

第12条（プログラムコードの取扱い）
生成AIが出力したコードを本番環境で用いる場合は、他の外部コードと同様にレビューおよびセキュリティ検査を経なければならない。ライセンス上の制約についても確認する。当社のソースコードを入力する場合は、第5条により承認された法人向けサービスに限る。

第6章　社内データ連携およびAIエージェント

第13条（社内データ連携）

1. 生成AIサービスを当社の社内システム、ファイルサーバー、メール、チャット等に連携させる場合は、AI利用管理責任者の承認を要する。
2. 連携にあたっては、利用者本人がアクセス権限を有する範囲を超えて情報が参照されないよう設定しなければならない。
3. 連携の実施前に、対象データ領域の共有範囲を棚卸しし、過剰な共有設定を是正しなければならない。

第14条（プロンプトインジェクション対策）
外部から受領した文書、メール、Webページ等を生成AIに処理させる場合、当該コンテンツにAIに対する不正な指示が埋め込まれている可能性を前提として運用しなければならない。外部コンテンツを自動的に処理する仕組みを構築する場合は、事前に承認を得るとともに、出力先および外部通信の制限を実装しなければならない。

第15条（AIエージェントの権限）

1. AIエージェントを業務に導入する場合は、事前にAI利用管理責任者の承認を得る。
2. 付与する権限は、業務遂行に必要な最小限とする。
3. 次の行為を実行させる場合は、実行前に人による承認を要する仕組みを設けなければならない。
   ・社外への情報の送信（メール送信、投稿、ファイル共有を含む）／・データの削除または不可逆な変更／・金銭の支払いまたは契約の締結／・本番環境の設定変更
4. 実行履歴は記録し、追跡可能な状態で保管する。
5. AIエージェントに用いる認証情報およびAPIキーは〔シークレット管理の仕組み〕により管理し、平文でファイルまたはリポジトリに保存してはならない。

第7章　教育

第16条（教育）
AI利用管理責任者は、役職員等に対し年1回以上、生成AIの利用に関する教育を実施する。教育には少なくとも、本規程の内容（特に第8条）、出力の検証の必要性、プロンプトインジェクションの仕組み、過去のインシデント事例を含める。新たに採用された者には、業務での利用開始前に実施する。

第8章　監査およびモニタリング

第17条（利用状況の把握）
当社は、情報漏えいの防止を目的として、会社貸与端末およびネットワークにおける通信ログの取得、法人向けサービスの管理者機能による利用ログの確認、データ損失防止（DLP）の仕組みによる送信内容の検査を行うことがある。実施にあたっては、あらかじめ役職員等に対しその旨を周知する。取得した情報は当該目的の範囲内でのみ利用する。

第9章　インシデント対応

第18条（報告義務）
役職員等は、次のいずれかを認識した場合、直ちにAI利用管理責任者に報告しなければならない。

1. 第8条の情報を入力した、または入力したおそれがある場合
2. 承認外の生成AIサービスを業務に利用した場合
3. 出力に、当社が入力していないはずの他社・他者の機密情報が含まれていた場合
4. 生成AIまたはAIエージェントが意図しない動作をした場合
5. 提供事業者からセキュリティに関する通知を受けた場合

第19条（報告者の取扱い）
前条の報告を行った者に対し、報告したことを理由として不利益な取扱いをしてはならない。速やかな報告は被害の拡大防止に不可欠であり、当社はこれを積極的に評価する。

第20条（対応手順）
AI利用管理責任者は、報告を受けた場合、次の手順により対応する。

1. 事実確認および影響範囲の特定（入力内容、入力先サービス、契約上の学習・保存条件）
2. 当該サービスにおける会話履歴の削除およびデータ削除請求の要否判断
3. 個人データが含まれる場合、個人情報保護委員会への報告および本人通知の要否判断
4. 第三者の情報が含まれる場合、当該第三者への通知の要否判断
5. 再発防止策の策定

第10章　雑則

第21条（違反時の措置）
本規程に違反した役職員等に対しては、就業規則に基づき懲戒処分を行うことがある。ただし、第18条による自主的な報告があった場合は、その事情を考慮する。

第22条（改廃）
本規程の改廃は〔承認機関〕の承認を経て行う。AI利用管理責任者は、関係法令・ガイドラインの改正があった場合、新たな類型のAIサービスを導入する場合、重大なインシデントが発生した場合、または前回の見直しから1年を経過した場合に、見直しを発議する。

附則
本規程は〔　　年　　月　　日〕から施行する。