2026.09.18 ブログ
A. 業務時間中・業務目的での生成AIの利用は、会社が服務規律として制限できます。ただし、制限の根拠となるルールを就業規則（または就業規則の一部となる規程）に定め、従業員に周知していなければ、違反を理由に懲戒処分を行うことはできません。実務上は、全面禁止よりも「利用できるツールを限定し、入力してはいけない情報を明示する」許可制の設計が現実的です。無断利用が発覚した段階では、まず入力された情報の特定と影響評価を行い、ルール整備と周知を先に済ませることをおすすめします。
無断利用が会社にもたらす3つのリスク
① 営業秘密としての保護を失う
不正競争防止法第2条第6項は、営業秘密を「秘密として管理されている」情報と定義しています。
従業員が何のルールもなく社外の生成AIサービスに情報を入力できる状態は、この「秘密管理性」を否定される方向に働きます。
秘密管理性が認められなければ、情報が外部に流出しても差止請求や損害賠償請求ができなくなります。
② 個人データの第三者提供・越境提供にあたるおそれ
個人情報保護委員会は、令和5年6月2日付「生成AIサービスの利用に関する注意喚起等について」で、次の点を指摘しています。
個人情報取扱事業者が、あらかじめ本人の同意を得ずに個人データを生成AIサービスに入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合には、個人情報保護法違反となる可能性があります。
海外事業者のサービスを利用する場合は、外国にある第三者への提供の制限（同法第28条）にも留意が必要です。
③ 出力物の誤りと権利侵害
生成AIの出力には事実誤認が含まれます。
そのまま顧客向け文書や社内規程に転用すると、会社が責任を負う場面が生じます。
会社はどこまで制限できるのか
会社は労働契約に基づく指揮命令権を持つため、業務時間中および業務遂行に関する生成AIの利用については、使用の可否・条件を定めることができます。
会社が貸与した端末やアカウントの利用範囲を限定することも同様です。
一方で、従業員が私物の端末を使い、私生活の範囲で生成AIを利用することまでは、原則として制限が及びません。
私物端末を業務に使う運用（BYOD）を認めている場合は、その端末上での業務利用に限ってルールの対象になることを、規程上で明確にしておきましょう。
ルールがなければ懲戒はできない
ここが最も見落とされやすい点です。
最高裁は、使用者が労働者を懲戒するには、あらかじめ就業規則において懲戒の種別および事由を定めておくことを要すると判示しています（フジ興産事件・最高裁第二小法廷 平成15年10月10日判決）。
同判決は、就業規則が法的規範として拘束力を生じるためには、適用を受ける事業場の労働者に周知させる手続がとられていることを要するとも述べています。
この考え方は労働契約法第7条に条文化されており、懲戒処分そのものの相当性は同法第15条で判断されます。
したがって、ルールを定める前に行われた無断利用を、後から作った規程を根拠に懲戒することはできません。
生成AI利用規程を別規程として作る場合も、常時10人以上の労働者を使用する使用者は、就業規則の一部として労働者代表からの意見聴取と労働基準監督署への届出（労働基準法第89条第10号、第90条）が必要です。また労働者に周知（同法第106条）しなければなりません。
生成AIルールに最低限盛り込む項目
規程に盛り込む項目は、次の6つが最低限です。
- 利用できるツールの限定：会社が承認したサービスのみを使わせます。契約上の守秘義務と、入力内容を学習に使わない設定になっているかを会社が確認できる状態にするためです
- 入力してはいけない情報の明示：個人データ、顧客情報、営業秘密、未公表の財務・人事情報、他社から秘密保持義務を負って受領した情報を列挙します
- 出力物の取扱い：必ず人が事実確認を行い、権利侵害がないかを確認したうえで使用させます
- 申請と記録：利用開始時の申請と利用目的の記録を求めます。会社が秘密管理の意思を示していた証拠になります
- 違反時の取扱い：規程違反が懲戒事由に該当することを明記します
- 教育・周知：年1回以上の研修と、規程の周知方法を定めます（個人情報保護法第24条の従業者の監督にあたります）
なお、生成AIの利用にあたっての考え方は、総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（令和8年3月31日）が整理しています。
法的拘束力はありませんが、社内規程を作る際の枠組みとして参照できます。
すでに無断利用が発覚したときの対応手順
- 利用していたサービス名、利用期間、業務での用途を本人から聴取して記録する
- 入力された情報に、個人データ・営業秘密・顧客情報が含まれていたかを特定する
- 個人データが含まれていた場合は、漏えい等の報告・本人通知の要否を検討する（個人情報保護法第26条）
- 当該サービスの利用規約と学習利用設定を確認し、必要に応じて履歴の削除を申し入れる
- 生成AI利用規程を整備し、意見聴取・届出・周知まで完了させる
- 以後の違反については懲戒の対象となることを、周知の際に明示する
聴取の記録を残すことが重要です。
後日、取引先への説明や監督官庁への報告が必要になった際、会社が調査を尽くしたことを示す資料になります。
放置した場合に会社が負うリスク
ルールを整備しないまま無断利用を黙認すると、会社は次の負担を負う可能性があります。
- 営業秘密の秘密管理性を否定され、流出時に法的救済を受けられない
- 個人データの漏えい等について、個人情報保護委員会への報告と本人への通知の義務が生じる（個人情報保護法第26条）
- 取引先との秘密保持契約違反となり、契約解除や損害賠償を求められる
- 安全管理措置（同法第23条）および従業者の監督（同法第24条）の不備を指摘される
「禁止していないから責任がない」とはなりません。
会社には従業者を監督する義務があり、ルールの不在そのものが会社側の落ち度と評価されます。
生成AIルールの整備についてのまとめ
業務での生成AI利用は会社が制限できますが、その前提として、就業規則または規程への定めと周知が必要です。
規程がない状態での懲戒はできないため、まずはルール整備と周知を優先しましょう。
内容は全面禁止ではなく、承認ツールの限定と入力禁止情報の明示を軸にすると、現場が運用できる形になります。
今回取り上げたのは、就業規則の整備状況や個別事情によって判断が分かれるテーマです。
「自社の場合はどうか」とご不安な際は、社会保険労務士法人飯田橋事務所にお気軽にご相談ください。