就業規則へのAIツール禁止規定の追加方法と対応手順

「うちの社員、ChatGPTに顧客リストを貼り付けていたみたいで……」——そう気づいたとき、就業規則にAIツールに関する規定が一切ないことを知り、どこから手をつければよいかわからず途方に暮れた経営者・人事担当者の方は少なくありません。規定がなかったことで会社の責任が問われるのか、今すぐ何をすべきなのか、就業規則はどこをどう直せばよいのか。この記事では、専任人事がいない中小企業でも実行できる就業規則の対応の順番と、AIツール禁止規定の具体的な追加方法を解説します。

規定がなかった場合、会社はどこまで責任を負うのか

就業規則にAIツールの利用禁止規定がない状態でも、会社は一定のリスクを負います。問題は「規定がなかった」ことそのものが、法的・行政的な責任追及の根拠になりうる点です。

懲戒処分の根拠が弱くなる

労働契約法第15条は、懲戒処分が有効であるためには「就業規則に根拠規定があること」「処分の重大性が行為に見合っていること」を求めています。既存の服務規律に「会社の情報を無断で外部に開示してはならない」という条文があったとしても、AIツールへの入力という行為がその射程に含まれるかどうかは解釈次第です。争われた場合、会社側が敗訴するリスクが残ります。「怒るに怒れない」という状態は、組織の緊張感を損なうだけでなく、法的にも不安定な立場を生み出します。

個人情報保護法上の責任が生じうる

顧客の氏名・連絡先・取引履歴などをAIツールに入力した場合、個人情報保護法第27条が定める「第三者提供の制限」に抵触するリスクがあります。さらに、多くのAIサービスは日本国外のサーバを利用しており、その場合は同法第28条「外国にある第三者への提供」の問題も浮上します。会社が個人情報の取扱いルールを整備していなかった場合、個人情報保護委員会による行政指導の対象となりえます。

営業秘密の保護要件を満たせなくなる

不正競争防止法における「営業秘密」は、秘密管理性・有用性・非公知性の3要件を満たす必要があります。このうち「秘密管理性」とは、会社が情報を秘密として管理するための措置を講じていることを指します。AIツール利用に関するルールが何もなければ、「会社は秘密として管理していなかった」と判断される可能性があり、情報が流出しても法的保護を受けられないケースが生じます。

発覚直後にやるべき初期対応

AIツール利用のAIツール禁止規定がなく、無断利用が発覚した瞬間にまず動かすべきは「利用の停止」と「事実の記録」です。順番を間違えると、後の対応が複雑になります。

利用実態の把握から始める

最初に確認すべきことは、誰が・いつから・何のツールを・どのような情報を入力していたか、という4点です。対象社員への事情聴取は口頭だけで終わらせず、必ず書面に残します。記録がなければ、後から事実確認の段階に戻れなくなります。また、使用していたアカウントが個人アカウントか法人契約かによって、データの取り扱いや削除の可否が異なります。

サービスのプライバシーポリシーを確認する

個人情報や機密情報の入力があった場合は、当該AIサービスの利用規約・プライバシーポリシーを確認し、データ削除・オプトアウトの手続きが取れるかどうかを調べます。たとえばOpenAIのChatGPTでは、APIプランや法人契約（ChatGPT Team/Enterprise）では学習への利用を無効化できますが、個人アカウントではデフォルトで学習利用が可能になっている場合があります。利用規約の確認は専門家（情報セキュリティの知見がある社労士やITコンサルタント）に依頼することも選択肢の一つです。

「違反」の扱いをいったん保留する

現時点で就業規則に規定がない以上、社員を即座に懲戒処分にすることは法的リスクを伴います。事情聴取の結果を踏まえて「今後は禁止する」旨を文書で周知し、既存の秘密保持・情報管理規定に照らして改めて指導する、という対応が現実的です。段階的な対応をとることで、後のルール整備への社員の理解も得やすくなります。

規定なしの状態では懲戒も難しく、トラブルが複雑化します。まずは初期対応を整理し、その後速やかに就業規則の見直しを進めることが重要です。

🔗 適切な初期対応と規定整備の進め方については、業種・規模に応じた柔軟なアプローチが必要です。 →

就業規則への追加条文の具体的な作り方

就業規則の全面改訂は不要です。服務規律に一文追加し、詳細は「AIツール利用規程」として別規程に切り出すのが、中小企業に最も現実的な就業規則の対応方法です。

服務規律への追記はシンプルな一文でよい

既存の服務規律条項（例：「情報の取り扱いに関する事項」）に、次のような文言を追加します。

• 「AIツールその他の生成AIサービスの業務上の利用については、会社が別途定めるAIツール利用規程に従わなければならない。」
• 「前項の規程に違反した場合は、服務規律違反として懲戒の対象とする。」

この方法であれば、就業規則本体の変更箇所は最小限にとどまり、利用規程側で詳細な禁止事項・手続きを柔軟に定めることができます。

AIツール利用規程に盛り込む最低限の内容

別規程として作成するAIツール利用規程には、少なくとも以下の項目を明記します。

社労士への依頼が必要な範囲を把握しておく

就業規則の変更（追記）は、労働基準法第89条・第90条により、従業員代表者の意見聴取と労働基準監督署への届出が必要です。この手続きは社労士に依頼することが一般的ですが、追加する条文自体は社内でたたき台を作ってから依頼すれば、コストを抑えられます。一方、AIツール利用規程はいわゆる「付属規程」であり、届出義務の対象外のため、社内で作成・運用することが可能です。

社員への周知と納得を得るためのポイント

規程を整備しても、社員への説明が不十分では実効性が生まれません。特に「なぜ急に制限するのか」という疑問に、論理的かつ前向きに答えられる準備が必要です。

リスクの「見える化」から始める

「禁止します」という通達だけでは反発を招きます。まず社員に向けて、AIツールに入力した情報がどのように扱われるか（外部サーバへの送信・学習利用の可能性など）を平易な言葉で説明します。「個人アカウントで使った場合、入力内容がサービス改善のために利用される可能性がある」「顧客情報の漏洩は会社だけでなく社員個人も責任を問われうる」という事実を伝えることで、ルールの必要性を自分事として受け取ってもらいやすくなります。

「禁止」ではなく「安全に使うためのルール」として伝える

すでにAIを活用して業務効率を上げている社員にとって、一方的な禁止は大きなストレスになります。「会社として安全な使い方のルールを整えた」というメッセージにすることで、前向きな受け取り方を促せます。法人契約ツールの導入や申請制による利用許可など、代替手段をセットで提示できると、理解を得やすくなります。

周知の方法と記録の残し方

周知は口頭のみでは不十分です。就業規則の変更内容と利用規程を書面またはデジタル文書で配布し、受領確認のサインまたは電子承認を取ることが望ましいです。労働契約法第7条は「合理的な内容で周知されていれば労働契約の内容になる」と定めており、周知の記録は万が一のトラブル時に会社を守る証拠になります。

自社の状況に応じた対応レベルの選び方

すべての企業が同じ対応をとる必要はありません。従業員規模・業種・扱う情報の機密性によって、優先すべき対応は異なります。

個人情報・機密情報を多く扱う業種は早期整備が必須

医療・介護・士業・不動産・金融など、顧客の個人情報や機密性の高い情報を日常的に扱う業種は、AIツール利用規程の整備を最優先事項として位置づけてください。情報漏洩が発覚した場合の信用損失は、他業種と比較して格段に大きく、個人情報保護委員会への報告義務（個人情報保護法第26条）が生じる可能性もあります。

従業員数による対応の目安

従業員数が20名未満の場合は、AIツール利用規程を単独の文書として整備し、全員への説明会を実施するだけでも大きな効果があります。20〜50名規模では、就業規則本体への追記と利用規程の整備を並行して進め、部門ごとの説明機会を設けることが現実的です。専任人事がいない場合は、経営者または総務担当者が社労士と連携して進めると、対応漏れを防げます。

既存規程の流用可能性を確認する

情報セキュリティポリシーやBYOD（個人端末の業務利用）ポリシーをすでに持っている企業では、それらにAIツールに関する記載を追加する方法も有効です。ゼロから作る必要はなく、既存規程の適用範囲を「AIサービスへの入力行為を含む」と明示するだけで対応できる場合もあります。

よくある質問