第1条（目的）

本ガイドラインは、業務における生成AIおよびAIエージェント（以下「生成AI等」という）の適切な利用に関する基準を定め、情報漏えい、知的財産権の侵害、誤情報の拡散、不適切な自動処理等のリスクを防止するとともに、業務効率化および生産性の向上を図ることを目的とする。

第2条（基本原則）

従業者は、生成AI等を業務で利用するにあたり、以下の基本原則を遵守しなければならない。

• 情報の保護：機密情報、個人情報、認証情報等を許可なく生成AI等に入力・提示しないこと。
• 回答の検証：AIの回答を無条件に信頼せず、必要に応じて原典、公的資料、公式情報等に基づき正確性を確認すること。
• 人間による確認と責任ある運用：生成AI等は業務を補助する手段として利用し、その出力をそのまま採用せず、内容の正確性や妥当性を確認すること。業務上の最終判断や社外への情報発信は、担当者または責任者が内容を確認したうえで行うこと。
• 権限の適正管理：AIエージェントに対しては、業務上必要な範囲に限定した権限のみを付与すること。
• 法令・社内規程の遵守：個人情報保護法、著作権法その他の関係法令および社内規程を遵守すること。

第3条（利用可能なサービス）

生成AI等は、会社が指定または承認したサービスを利用することを原則とする。

ただし、一般的な情報収集、文章の作成・校正、公開情報を用いた資料作成など、利用目的と入力情報を限定した利用については、無料版の生成AIサービスも利用することができる。

無料版・有料版を問わず、会社の機密情報、個人情報、顧客情報、認証情報その他の非公開情報を、会社の承認なく入力してはならない。

個人が契約したサービスや個人アカウントを業務に利用する場合も、本ガイドラインを遵守しなければならない。会社が認めていないサービスについて、業務上の非公開情報を取り扱ってはならない。

会社は、業務上必要と判断した場合、利用するサービスを指定し、または利用を制限することができる。

会社がサービスを指定・承認する際は、可能な範囲で以下の事項を確認するものとする。

• 入力データの保存期間および削除条件
• AIモデルの学習への利用条件
• データの処理場所および外部事業者への提供条件
• アカウント管理およびアクセス制御の機能
• 利用履歴や操作ログの管理機能

入力データがAIモデルの学習に利用されない設定が可能な場合は、原則として当該設定を有効にするものとする。

利用者は、各サービスの利用条件および会社が定める利用制限を遵守しなければならない。

第4条（入力・提示データの分類と制限）

生成AI等に入力・アップロードできる情報は、以下の区分に従うものとする。

機密情報、個人情報および認証情報は、会社が別途定めた安全な利用環境と明示的な承認がある場合を除き、入力してはならない。

公開情報であっても、第三者の著作権、利用規約その他の権利を侵害するおそれがある場合は、入力してはならない。

複数の情報を組み合わせることで、個人や組織の非公開情報が推測できる場合も、機密情報等と同様に取り扱う。

判断に迷う情報については、入力を行う前に上長またはシステム管理部に確認しなければならない。

無料版・有料版を問わず、サービスの安全性やデータの取り扱いが確認できない場合は、業務上の非公開情報を入力してはならない。

第5条（AIの回答に対する検証義務）

生成AI等の回答には、誤情報、古い情報、存在しない情報、事実と異なる説明が含まれる可能性があることを認識しなければならない。

法律、税務、会計、医療、労務、情報セキュリティ等、誤った判断が重大な影響を及ぼす分野では、AIの回答をそのまま採用してはならない。

業務成果物にAIの生成内容を組み込む場合は、必要に応じて公的機関の一次資料、根拠法令、公式発表、学術論文等の信頼できる情報源を用いて正確性を確認しなければならない。

AIが提示したURL、引用文献、統計情報等についても、実在性および内容の正確性を確認するものとする。

第6条（知的財産権および権利侵害の防止）

他者の著作物、画像、プログラム、商標、意匠等を、権利者の許諾または適法な利用根拠なく生成AI等に入力・アップロードしてはならない。

生成AI等が出力した文章、画像、音声、動画、プログラムコード等を業務で利用する場合は、既存の著作物や商標等との類似性、権利侵害の可能性について確認するものとする。

AIが生成した成果物であっても、第三者の権利を侵害する可能性があることを認識しなければならない。

外部公開や商用利用を行う場合は、利用するAIサービスの契約条件および権利関係を確認するものとする。

第7条（最終決定および判断の人間による確認）

以下の重要業務・判断を生成AI等に全面的に委ねてはならない。最終判断は、人間が内容を確認したうえで行わなければならない。

1. 採用・不採用および人事評価の決定
2. 契約締結、発注、金銭支払い等の決済判断
3. 顧客への重要な回答、謝罪、トラブル対応方針の決定
4. 与信判断および重要なリスク評価
5. その他、会社または第三者に重大な影響を及ぼす判断

AIの出力を参考情報として利用する場合であっても、判断の根拠を確認し、必要に応じて上長等の確認や承認を受けなければならない。

業務上の責任は、担当者、確認者、承認者および会社が、それぞれの役割や権限に応じて負うものとする。AIが判断したことを理由に、必要な確認や承認を省略してはならない。

第8条（AIエージェントおよび外部連携機能の利用と権限管理）

外部システムとの連携、ファイル操作、メール送信、データ登録等の実行権限を持つAIエージェントを利用する場合は、事前に上長またはシステム管理部の確認を受けなければならない。

AIエージェントに付与する権限は、業務上必要最小限にとどめるものとする。

AIエージェントに対して、通常の業務アカウントと同等の広範な権限を安易に付与してはならない。

外部への情報送信、ファイルの削除・変更、契約・発注・決済等の重要な操作については、原則として人間による事前確認および承認を必要とする。

外部から取得したファイル、メール、Webサイト上の文章等に含まれる不正な指示（間接的プロンプトインジェクション等）により、意図しない操作や情報送信が発生する可能性を認識しなければならない。

AIエージェントの閲覧権限と実行権限を適切に分離し、必要に応じて操作履歴を記録・確認できる仕組みを設けるものとする。

第9条（利用プロセスの記録と管理）

重要資料の作成、重要な業務判断、外部システムとの連携およびAIエージェントによる操作において生成AI等を利用した場合は、必要に応じて以下の情報を記録・保管するものとする。

1. 使用したAIサービス名および利用日時
2. 利用目的および入力した指示の概要
3. 人間による確認、修正、追記の内容
4. 確認者または承認者
5. AIエージェントによる実行操作の内容および結果

記録は、社内監査およびトラブル発生時の追跡可能性を確保するため、必要な期間保存するものとする。具体的な保存期間は、業務の重要性や社内の文書管理ルール等を踏まえて定める。

記録の保存にあたっては、機密情報や個人情報が不必要に含まれないよう配慮し、アクセス権限を適切に管理する。

日常的な文章校正や一般的な情報整理等、重要性の低い利用については、個別の記録を省略できるものとする。

第10条（社外公開および外部送付時の手続）

生成AI等を用いて作成した文章、画像、広報資料、プログラム等を顧客・取引先へ送付、またはWebサイト・SNS等に公開する場合は、発信前に内容を確認しなければならない。

確認にあたっては、以下の事項に留意する。

• 事実関係および情報の正確性
• 不適切な表現や誤解を招く内容の有無
• 個人情報および機密情報の混入
• 著作権、商標権等の権利侵害の可能性
• 会社として公表・送付することの適切性

重要な対外文書や公式発表については、上長または指定された確認者の承認を受けなければならない。

通常の広報・文書公開については、既存の社内承認手続に従うものとする。

第11条（自己研鑽および過度な依存の防止）

従業者は、生成AI等の回答に過度に依存せず、自らの専門知識および判断能力の維持・向上に努めなければならない。

AIの回答を検証する能力、情報の正確性を判断する能力および批判的思考を維持するものとする。

AIを利用することによって、必要な業務知識の習得や確認作業を省略してはならない。

第12条（違反時の措置および事故発生時の報告）

本ガイドラインに違反し、情報漏えいや第三者への損害等を発生させた場合は、就業規則その他の社内規程に基づき、必要な措置を講じるものとする。

生成AI等の利用に伴い、情報漏えい、不正アクセス、不適切な自動操作、著作権トラブル等の疑いが生じた場合は、直ちに利用を停止し、速やかに上長およびシステム管理部へ報告しなければならない。

事故発生時は、被害の拡大防止、アクセス権限の停止、関係データの保全等、会社の指示に従って必要な対応を行うものとする。

事故の疑いがある場合も、自己判断で事実を隠したり、関連する記録やデータを削除したりしてはならない。

第13条（教育および周知）

会社は、従業者に対し、生成AI等の適切な利用方法、情報漏えいリスク、知的財産権の保護、誤情報への対応等について、必要な教育および周知を行うものとする。

従業者は、会社が実施する研修や注意喚起に従い、本ガイドラインの内容を理解した上で利用しなければならない。

生成AI等の機能やリスクに大きな変更が生じた場合は、必要に応じて追加の教育や周知を行うものとする。

第14条（管理および見直し）

本ガイドラインの運用および管理は、システム管理部または情報セキュリティ委員会が行うものとする。

会社は、許可サービスの利用状況やセキュリティーリスクを必要に応じて確認するものとする。

技術の進展、法令の改正、サービスの利用条件の変更等に応じて、本ガイドラインを適宜見直すものとする。

附則

本ガイドラインは、2026年〇月〇日より施行する。