デジタル労務ラボ/lab
·34 分で読了

生成AI利用ルールの就業規則への入れ方｜入力禁止情報・出力の確認・懲戒との連結を文例つきで解説

社員が業務でChatGPT等を使い始めた会社向けに、生成AIの利用ルールを就業規則・服務規律にどう入れるかを社労士が解説します。入力してはならない情報、出力の確認、漏えい時の報告、懲戒事由との連結までの条文の文例と、意見聴取・届出・周知の手順をまとめました。

#生成AI#就業規則#服務規律#情報漏えい#労務管理

はじめに｜ルールがないまま、社員のAI利用は始まっています

「うちはまだAIを導入していない」という会社でも、社員の手元では始まっている場合があります。議事録の要約、メールの下書き、Excelの関数の質問。個人のスマートフォンの無料チャットAIに、取引先の社名や顧客の氏名を含んだ文章をそのまま貼り付けている例もあります。

会社が決めていないのは「使ってよいか」ではなく、どのサービスに、何を入れてよくて、出てきたものをどう扱うかです。ここが決まっていないと、情報が外に出たときに何が違反だったのかを示しにくく、指導や処分の判断が難しくなります。

本記事では、従業員5〜50人規模の会社を想定して、生成AIの利用ルールを就業規則・服務規律にどう入れるかを、条文の文例と手続の順番で整理します。文例は当事務所の案で、自社の業務と使っているサービスに合わせて削ったり足したりする前提です。

何が問題か｜ルールがない会社で起きる3つのこと

1. 入力した情報が、会社の管理の外に出る

個人情報保護委員会は2023年6月2日、生成AIサービスの利用について注意喚起を出しています。個人情報取扱事業者向けの注意点は2つで、①個人情報を含む指示文（プロンプト）の入力は、特定した利用目的の達成に必要な範囲内であることを十分に確認すること、②本人の同意なく個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合は個人情報保護法に違反する可能性があるため、提供事業者がそのデータを機械学習に利用しないこと等を十分に確認すること、です。

サービスやプランによっては、入力内容が学習に使われる設定になっていることがあります。「利用目的の範囲内か」「学習に使われない設定か」を会社が確認しないまま、社員が顧客の個人データを入力している状態は、会社として個人情報保護法上の問題を抱えている可能性があります。社員個人の判断に委ねてよいことではありません。

2. 出力の誤りが、確認されないまま外に出る

AIの回答は、間違っていても文章として整っています。就業規則の条文、助成金の要件、取引条件の数字をAIの出力のまま社外に出せば、内容によっては会社が契約上の責任等を問われる可能性があります。出力は下書きとして扱い、人が確認してから使う手順を会社のルールにしておきます。

3. 事故が起きたとき、指導・処分の判断がしにくい

社員が社外秘の資料をAIに入力して外部に出てしまったとき、AI専用の規程がなくても、既存の秘密保持義務や懲戒規定が適用される場合があります。ただ、「AIに入力すること」が「漏らす」に当たるのかは、社員から見ると明らかではありません。本人は仕事を早く終わらせるために使っただけ、という認識だからです。禁止される入力や利用方法が不明確だと、指導や懲戒の判断が難しくなります。

懲戒処分には就業規則上の根拠が要ります。労働基準法89条9号は、制裁（懲戒）の定めをする場合はその種類と程度を就業規則に記載することを求め、労働契約法15条は、懲戒が客観的に合理的な理由を欠き社会通念上相当でない場合は無効と定めています。最高裁も、使用者が労働者を懲戒するにはあらかじめ就業規則において懲戒の種別及び事由を定めておくことを要し、その就業規則は適用を受ける事業場の労働者に周知させる手続が採られていることを要する、と判断しています（フジ興産事件・最高裁第二小法廷判決 2003年（平成15年）10月10日）。入力してはならない情報を具体的に書き、違反が懲戒事由に当たると明示しておくことが、処分の根拠と予防の両方になります。

入れる条項と文例｜就業規則本体に入れるか、別規程にするか

入れ方は2通り

  • A. 就業規則本体に入れる：服務規律の章に「生成AIの利用」の条を1本追加し、懲戒事由にも1号足す。社員数が少なく、使うサービスも限られる会社向き
  • B. 別規程（生成AI利用規程）に委任する：服務規律に「生成AIの利用は別に定める生成AI利用規程による」と書き、詳細は別規程に置く。サービスや用途が変わっていく会社向き。別規程も就業規則の一部として扱われるため、作成・変更の手続は就業規則と同じです

別規程が就業規則の一部として整備・周知され、懲戒との適用関係が明確であれば、本体に専用の号がないこと自体で根拠が不十分になるわけではありません。本記事では、適用関係を分かりやすくするため、本体の懲戒事由にも別規程への参照を置く方式を紹介します。

文例（当事務所の案・別規程方式）

以下は、別規程方式を前提にした当事務所の文例です。社名・部署名・サービス名は自社のものに置き換えてください。

第1条（目的・適用範囲）

  1. この規程は、会社の業務における生成AIサービス（文章・画像・プログラム等を生成する人工知能を利用したサービスをいう。以下「生成AI」という）の利用について、情報の保護と業務品質の確保のために必要な事項を定める。
  2. この規程は、会社に雇用されるすべての従業員に適用する。従業員が会社の業務を遂行するために生成AIを利用する場合は、会社が貸与する機器か私物の機器か、会社のアカウントか個人のアカウントかを問わない。

第2条（利用できる生成AIと用途）

  1. 業務に利用できる生成AIは、会社が指定したもの（サービス名・契約プラン・アカウントの種類を「指定サービス一覧」に記載し、従業員に周知する）に限る。
  2. 会社は、生成AIを指定するにあたり、会社が定める担当者に、入力した内容が学習に利用されない設定または契約であること、および契約書・公式資料等でデータの保存場所・保存期間その他必要な取扱条件を確認できることを確認させる。
  3. 個人で契約した生成AIを業務に利用する場合は、前項の確認を経たうえで所属長の承認を得て、指定サービス一覧に記載する。

第3条（入力してはならない情報） 従業員は、次の情報を生成AIに入力してはならない。ただし、第1号の情報（マイナンバーを除く）、第2号および第3号の情報のうち、会社が第2条第2項の確認に加えて個人情報保護法その他の法令・契約上の要件を確認し、入力を認める範囲と利用できるサービスを書面で指定したものはこの限りでない。 (1) 顧客・取引先・従業員の個人情報（氏名、住所、生年月日、マイナンバー、病歴その他の要配慮個人情報を含む） (2) 顧客・取引先から秘密として受領した情報、および契約により第三者への提供が制限される情報 (3) 公表前の経営情報、製品・技術情報、取引条件、価格その他会社が秘密として管理する情報 (4) ID・パスワード等の認証情報 (5) 前各号に準ずる情報で、情報保護のために入力を禁止する必要があり、会社がその対象範囲を具体的に定め、事前に従業員に周知したもの

第4条（出力の確認）

  1. 生成AIの出力は下書きとして扱い、利用した従業員が内容を確認したうえで業務に使用する。
  2. 業務上の判断または社外への提供に用いる法令・契約・数値に関する出力は、一次資料（法令、公的機関の公表資料、契約書、元データ等）との照合または再計算により確認してから使用する。
  3. 生成AIの出力を社外に提出する文書・成果物に用いる場合、所属長その他の承認者は、提出前に必要な確認が行われていることを確認し、提出の可否を判断する。

第5条（事故時の報告と対応）

  1. 従業員は、第3条に違反する入力を行った場合もしくはそのおそれがある場合、または生成AIの業務利用に関して情報の漏えい、不正アクセスその他の情報セキュリティ上の事故が発生したこともしくはそのおそれを知った場合は、速やかに所属長（所属長に報告しがたい場合は会社が定める窓口）に報告する。報告を行ったこと自体を理由として不利益な取扱いは行わない。
  2. 会社は、報告を受けたときは、入力内容・日時・サービス・設定等の必要な記録を保全したうえで、利用停止、提供事業者への削除依頼等の被害拡大防止の措置を講じ、個人データの漏えい等に当たり得る場合は、個人情報保護法および関係ガイドラインに従い、個人情報保護委員会への報告および本人への通知の要否を速やかに判断する。

第6条（教育・見直し）

  1. 会社は、従業員に対し、この規程の内容と生成AIの利用に伴うリスクについて、入社時および年1回以上説明する機会を設ける。
  2. 会社は、利用する生成AIの変更、関係法令・ガイドラインの改定に応じて、この規程と指定サービス一覧を見直す。

就業規則本体への追加（服務規律と懲戒事由）

服務規律の章に、次の1条を追加します。

第○条（生成AIの利用） 従業員は、業務において生成AIサービスを利用する場合は、別に定める生成AI利用規程に従わなければならない。

懲戒事由（けん責・減給・出勤停止等の事由）に、次の1号を追加します。

(○) 生成AI利用規程第3条に違反し、同条に定める情報を生成AIサービスに入力したとき

この号が直接カバーするのは入力禁止違反です。未承認のサービスの利用、出力の確認を怠ったこと、報告義務違反を懲戒の対象にするなら、既存の「服務規律に違反したとき」の号で扱えるかを確認し、不足があれば明示します。なお、違反があれば自動的に懲戒できるわけではなく、処分の可否と重さは労働契約法15条の判断が別途必要です。既存の懲戒解雇事由が適用されるかも条文と具体的な事情によるもので、入力禁止違反だけで懲戒解雇が認められるものではありません。個別の処分の判断は、弁護士への相談につなげてください。

文例を自社用に直すときの3つの判断

  1. 指定サービス一覧をどう持つか：サービス名・プラン・学習利用の設定・確認日を一覧にし、「会社が指定した」ことを示す文書として扱います。ただし、一覧の変更が利用制限や懲戒対象の実質的な変更になる場合（使えるサービスを大きく狭める、禁止情報を広げる等）は、就業規則の変更としての手続や不利益変更の検討が必要かを確認します。一覧が就業規則の一部に当たるかは名称ではなく内容で決まります
  2. 第3条の例外をどこまで認めるか：顧客の個人データの入力を認める場合、学習利用をオフにしただけでは足りません。利用目的の範囲内か、提供先との契約を委託として整理できるか、本人の同意が要るかは個別の判断になるので、認める前に専門家に確認することをおすすめします。マイナンバーは番号法上の制限があるため、例外の対象から外しています
  3. 私物の機器・個人アカウントをどう扱うか：全面禁止にも合理的な場面があります。禁止する場合は、業務上の必要性、代替手段、周知・教育、違反への一貫した対応を確認します。承認制とする場合は、会社が利用状況と設定を管理できることが前提です。第1条第2項で「私物でも業務利用なら対象」と宣言し、第2条第3項で承認制にする形は、その前提が満たせる会社向けです

手順｜意見聴取・届出・周知まで

  1. 現状を把握する：誰が、どのサービスを、何に使っているかを聞き取ります。「使っていない」前提で作ると実態と合わない規程になります
  2. 条文と指定サービス一覧の案を作る：文例をもとに自社の業務に合わせて削ります。使うサービスの学習利用の設定・データの取扱条件は、この段階で会社が公式情報を確認し、一覧に確認日とともに書きます
  3. 意見を聴き、届け出る（常時10人以上の事業場。会社全体でなく事業場単位で数え、パート・アルバイトも含みます）：就業規則の作成・変更には、事業場の過半数労働組合、それがない場合は労働者の過半数代表者の意見を聴き、意見書を添えて労働基準監督署に届け出ます（労働基準法89条・90条）。別規程方式でも同じです。過半数代表者は労働基準法上の管理監督者でない者から、会社が指名せず、選出の目的を明らかにして投票・挙手等で選びます
  4. 周知し、説明する：掲示・備え付け・書面交付・社内システムでの閲覧など、労働者が見られる方法で周知します（労働基準法106条）。周知は、就業規則が労働契約の内容になるための条件でもあります（労働契約法7条）。10人未満の事業場に作成・届出の義務はありませんが、規則を労働契約の内容や懲戒の根拠にするには、内容を合理的なものにし、周知することが重要です。規程には適用開始日を置き、新設した懲戒事由を施行前の行為に適用しないようにします。あわせて短い説明会で「何を入れてはいけないか」を具体例で伝えると、規程が動き始めます

不利益変更の検討と、残す記録

服務規律の追加でも、懲戒対象の拡大や従業員の負担増を伴う場合は、不利益変更の検討が必要です。合意なく就業規則の変更で労働条件を不利益に変更する場合は、労働契約法9条・10条を踏まえ、不利益の程度、変更の必要性、内容の相当性、労働組合等との交渉状況などから合理性を検討し、変更後の規則を周知します。意見聴取と届出を済ませただけで合理性が確保されるわけではないので、変更の必要性（情報保護・品質確保）と内容の相当性（業務に必要な利用は認め、会社が使えるサービスを用意する）を説明できるようにしておきます。

手続の記録は、①意見書と届出の控え、②周知の方法と日付、③指定サービス一覧の確認記録（サービス名・設定の確認日・確認者）を残します。③は、事故のときに会社がどのサービスをどう確認して指定していたかを示す資料になります。

よくある質問

Q. 社員が10人未満の会社でも、就業規則に入れる必要がありますか？

就業規則の作成・届出の義務は常時10人以上の事業場にあります（労働基準法89条）。ただ、懲戒処分の根拠にするには、人数にかかわらず懲戒の種類と事由を就業規則に定めて周知していることが必要です。社内通知だけで新たな懲戒事由を設けられるとは限りません。既存の就業規則に根拠があるかを確認し、根拠が不明確な場合は指導と規程の整備を先行させます。

Q. 無料のチャットAIを全面的に禁止すればよいのでは？

全面禁止が合理的な会社もあります。その場合は、業務上の必要性と代替手段を示し、周知・教育を行い、違反への対応を一貫させることが前提です。一方で、会社が業務に使えるサービスを用意してそこに誘導するほうが、情報保護と業務効率の両方で現実的な会社も多いと考えています。

Q. 社員が顧客の個人情報をAIに入力してしまいました。個人情報保護委員会への報告は必要ですか？

個人情報保護法26条と同法施行規則7条は、①要配慮個人情報を含む個人データ、②不正に利用されることにより財産的被害が生じるおそれがある個人データ、③不正の目的をもって行われたおそれがある行為による個人データ（取得済みまたは取得しようとしている個人情報で、個人データとして取り扱う予定のものを含みます）、④本人の数が1,000人を超える個人データについて、漏えい等が発生し、または発生したおそれがある事態を、個人情報保護委員会への報告と本人への通知の対象にしています（高度な暗号化等の措置を講じたものは除きます）。報告は、事態を知った後速やかに行う速報（規則上の日数はなく、ガイドラインでは概ね3〜5日以内が目安）と、知った日から30日以内（③の場合は60日以内）の確報の2段階です（同規則8条）。本人への通知は、事態の状況に応じて速やかに行います（同規則10条。通知が困難で、本人の権利利益を保護するために必要な代替措置をとる場合は例外があります）。該当するかは入力した情報の内容とサービスの設定で変わるので、全容の整理を待たず、把握できた事実をもとに速やかに専門家に相談してください。社内の報告ルート（第5条）を先に作っておくのはこのためです。

Q. 社員からAIの回答を根拠に「この規程はおかしい」と言われたら？

AIの回答を根拠にした指摘でも、指摘の内容を法令や規程に照らして確認します。そのうえで、規程の各条がどの法令・どの考え方に基づいているかを、会社が説明できることが大切です。本記事の文例は各条の背景を本文で説明していますので、説明の材料にしてください。説明できない条文があれば見直しの候補です。総務省・経済産業省の「AI事業者ガイドライン」（第1.2版・2026年3月31日公表）にはAIを業務で利用する事業者向けの記載もあり、法令上の義務ではありませんが社内ルールの参考になります。

まとめ

  • 決めるのは「使ってよいか」ではなく、どのサービスに、何を入れてよくて、出力をどう扱うかです
  • 個人データを含む入力は、利用目的の範囲内か、学習に利用されない設定かの確認（個人情報保護委員会の注意喚起・2023年6月2日）に加え、委託・第三者提供の整理や外国にある第三者への提供の規律など、サービスの契約と実際の取扱いに応じた確認が必要です。確認は会社の仕事で、社員個人に委ねません
  • 違反を懲戒の対象にするには、就業規則に懲戒の種類と事由を定めて周知していることが前提です（労働基準法89条9号、労働契約法15条）。処分の可否と重さは、違反があっても別途判断が要ります
  • 手続は、現状把握→案文→意見聴取・届出（10人以上）→周知・説明の順で、不利益変更の検討と記録を残しながら進めます
  • 社員の側もAIで勤務実態を整理してくる時代です。正当な権利行使を妨げない配慮と、外部AIへの個人情報・秘密情報の入力の取扱いは分けて考えます。会社は健康確保のため、客観的な方法等で労働時間の状況を把握する必要があり（労働安全衛生法66条の8の3・同規則52条の7の3）、賃金計算のための労働時間管理とあわせて別の記事で扱います

生成AI利用規程の作成や、既存の就業規則への組み込み、指定サービス一覧の整備と社員向けの説明会のご相談は、お問い合わせからお気軽にどうぞ。

出典