生成AI社内ルールの作り方 製造業版テンプレートと定着設計
製造業の生成AI社内ルールは、まず「顧客から預かった図面・仕様書は、原則どのAIにも入力しない」を明文化することから始める。
製造業で特に判断を誤りやすいのは「顧客から預かった図面・仕様書をそのままAIに貼り付けること」だ。中堅・中小製造業のDX推進担当者と情報システム部門に向けて、この記事では、製造業固有の機密情報（顧客図面・仕様書・品質記録・顧客部品情報）の入力可否を明示したひな形と、現場に定着させるための設計手順を示す。
製造業の生成AI社内ルールは「情報の分類基準」から設計する
生成AI社内ルールが製造業で特に難しい理由
汎用向けのガイドライン・テンプレートは、入力してよい情報を段階に分けて示す。たとえばUravationのテンプレートは、公開可から極秘までの4段階に分けている。この枠組み自体は正しいが、製造業ではこれだけでは判断できないケースが多い。
たとえば「顧客から預かった図面・仕様書」はどこに分類されるか。社員の感覚では「仕事の資料」だが、顧客との間の機密保持契約（NDA）の条項によっては、入力禁止の対象になる。クラウド型のAIでは、サービスの設定や契約によって、入力した内容が学習に使われる場合がある。特に無料版や個人アカウントは、その可能性が高い（出典：resus.jp）。
ルールを作る前に確認すべきことは一つだ。「社員が何を社外秘と判断できるか」。この判断基準が揃っていなければ、どれだけ丁寧にルールを文書化しても機能しない。
筆者は、勤め先で生成AIの業務利用を止められた経験がある。止まった理由は技術的な問題ではなかった。AIの機能追加が速すぎて、セキュリティの確認と社内の理解が追いつかなかったためだ。筆者はこれを「仕方ない」と受け止めている。
筆者の考えでは、入力してはいけない情報の基準を作っても、入力できてしまう以上、悪用する人は出る。情報システム部門は、入力基準だけでは対応できない。AIに機能が追加されるたびに、新しい懸念も生まれる。
それでも、判断の基準がなければ、悪意のない社員まで迷って誤った入力をする。だから基準は最初に渡す。そのうえで、使えるツールを限定し、出力を後から追跡できる記録を残す。ルールはこの3つを組み合わせて設計する。
製造業向け生成AI利用ルール ひな形（機密分類ラベル付き）
以下は、製造業固有の情報分類を軸に設計したひな形だ。情報を5段階のラベル（L1〜L5）に分類し、「何を誰がどの条件で入力してよいか」を明示することで、現場担当者が自己判断できる基準を提供する。
情報分類と生成AIへの入力可否
| 分類ラベル | 主な情報の例 | 生成AIへの入力 | 使用条件 |
|---|---|---|---|
| L1：公開可 | 製品カタログ、プレスリリース、JIS規格文書、一般公開資料 | 可 | — |
| L2：社内限定 | 社内議事録、会議資料、受注・在庫データ、社内連絡文書 | 条件付き可 | エンタープライズプランまたは社内AIのみ。クラウド型は要上長承認 |
| L3：社外秘 | 自社の設計図・仕様書、品質記録、原価情報、未公開社内データ | 原則禁止 | プライベートAI環境（社内設置または自社専用クラウド）のみ可。別途規程が必要 |
| L4：顧客情報・機密 | 顧客から預かった図面・仕様書、顧客の部品情報、顧客の品質規格書 | 原則禁止 | 顧客の書面による同意がある場合のみ例外 |
| L5：極秘 | 未公開特許・開発中設計、M&A関連情報、内部告発情報 | 全面禁止 | — |
判断に迷ったときの原則：「これはどの分類か分からない」と感じた場合は、一段階上の分類（より制限が厳しいほう）として扱い、上長に確認してから使う。
社内ルール本体の最低限の項目
1. 目的と適用範囲 本規程は、生成AIツールの業務利用における情報セキュリティリスクを管理し、全社員が安全に活用できる環境を整備することを目的とする。適用範囲は全社員（契約社員・派遣社員・業務委託先を含む）。
2. 使用を認める生成AIツール （情報システム部門が承認したツールの一覧を記載。未掲載ツールの業務利用は要事前申請）
3. 入力してよい情報の範囲 上記の情報分類（L1〜L5）の基準に従う。不明な場合は上長に確認してから入力する。
4. 禁止事項
- L4（顧客の書面による同意がある場合を除く）・L5の情報を生成AIに入力しない
- 業務データを個人アカウントのツールに入力しない（L2以上の情報）
- AI出力物を事実確認なしに社外に提出・送付しない
5. 出力物の取り扱い AI出力物を社外提出・決裁資料に使う場合は、根拠の確認と記録を行う。確認できない情報は使用しない。
筆者がAIを用いた役員向け決算書解析の仕組みを作ったとき、一番大変だったのは、間違った情報を出さないための「根拠管理ルール」を決めることだった。ルールの中身は、AIの出力を誰が何の資料で確認したかを記録に残すことだ。役員には、AIが間違えたときに記録から後追いできる、と説明している。ハルシネーション（AIがもっともらしい誤りを出すこと）が起きる前提で、確認と記録の手順を規程に含めることを勧める。
6. 申請・承認体制 新規ツールの業務利用は情報システム部門への事前申請を必要とする。承認までの目安日数は自社で決める（例：5営業日以内）。
7. 記録・報告 情報漏洩が疑われる場合は直ちに情報システム部門に報告する。
8. 教育と定期見直し 年1回以上、社員向け研修を実施する（出典：resus.jp）。本規程は、法令改正やAIサービスの更新に合わせ、半年に1回を目安に見直す（出典：AI Brain Partners）。
機密分類ラベル（L1〜L5）と生成AIへの入力可否
ルールを現場に定着させる3段階の設計
ルールの文書化は出発点に過ぎない。製造業の現場に定着させるには、以下の3段階を踏む。
ステップ1：情報の分類基準を「1枚」で渡す（策定から1週間以内）
上記のL1〜L5の分類基準をA4用紙1枚のシートにまとめ、現場のラインリーダーや班長に手渡しする。「迷ったら一段階上の分類として扱い、上長に確認する」という運用ルールを口頭でも伝える。規程書をそのまま渡すだけでは、現場では読まれにくい。
ステップ2：「使えない代表的な場面」を具体例で示す（策定から2週間以内）
承認されたツール一覧と、「使えない代表的な場面」を具体例で明示する。
- 「顧客の同意なく、顧客の図面をAIに入力しない」
- 「取引先から届いた品質規格書をChatGPTに貼り付けない」
- 「見積もり原価のExcelをAIに読み込ませない」
禁止の理由も一言添える（「NDA違反になる可能性がある」「取引先との契約に抵触する」）。なぜ禁止かが分かると、現場担当者は応用が利く。
ステップ3：疑問を規程に育てる仕組みを作る（1か月後〜）
現場から「このケースはどう扱うか」という疑問が出たとき、上長・情報システム部門が確認できる体制を作る。疑問事例は、規程の見直し（半年に1回）に合わせてまとめて反映する。生成AIのサービス更新は速い。ルールは「静的な文書」ではなく「定期的に更新する運用物」として設計する。
策定でつまずきやすい点と各部門の確認事項
「禁止の羅列」にしない
ルールが禁止事項だけになると、現場は生成AIを使わなくなる。禁止と同時に「どう使えるか」を示す。L1の情報は積極的に活用してよい、と明記する。「社内議事録の要約はL2として上長承認のもと可能」など、使えるケースを具体的に書いておくことで、現場の萎縮を防ぐ。
経営層が確認すること
- 現在使用している生成AIツールがエンタープライズ契約か個人アカウントか（個人アカウントは業務利用を止める）
- AI事業者との契約でデータ学習へのオプトアウト（入力内容をAIの学習に使わせない設定）が設定されているか
- 情報漏洩が疑われる場合の報告体制と責任者の指名
情報システム部門が確認すること
- 承認されていないツールの業務利用の実態調査
- 使用を認めるツールのセキュリティポリシー・データ保管国の確認
- プライベートAI環境の整備可否（L3情報を業務で扱う場合）
現場担当者が確認すること
- 手元の資料の情報分類（特に顧客から受け取った図面・仕様書・品質規格書）
- 現在使用しているAIツールのアカウント種別（個人か会社契約か）
まとめ
製造業の生成AI社内ルールは、汎用テンプレートに「L4：顧客から預かった図面・仕様書・部品情報は原則入力禁止」の1行を追加することから始める。
文書の完成を待つ必要はない。まず機密分類ラベル（L1〜L5）を1枚のシートにまとめて現場に配ることが最初の一手だ。顧客の図面をAIに入力してよいか分からない、という迷いは、これでまず減らせる。ルールは現場の疑問が蓄積するにつれて育てていけばいい。
「これ、AIでできない？」
業務の流れに落とし込みます。
相談内容をもとに、
AIで支援できそうな工程と、
人が確認すべきポイントを整理します。
まずは、分かる範囲で構いません。
参考・出典
- 【2026年最新】社内生成AIガイドラインの作り方｜雛形付き - Uravation — 確認日：2026-10-11
- 生成AI社内ルール（ガイドライン）の作り方｜テンプレート付き策定手順【2026年版】 - AI Brain Partners — 確認日：2026-10-11
- 中小企業のAI社内ルール（2026年度版）｜安全な利用・懲戒・情報管理の実務ガイド - resus.jp — 確認日：2026-10-11