1. 「AI規程を新設する」の前に決めること

AI・データ利活用の社内規程とは、どのデータをどのAIや外部サービスに渡してよいか、その出力を誰の責任で使うかを社内で一義的に定めた文書群を指します。単一の文書ではなく、既存の規程体系に位置づけられる「群」である点が要点です。

AI活用が広がると、多くの企業がまず生成AI利用ガイドラインを1枚作ります。ところがその1枚には、機密情報の取扱い、個人データの第三者提供、委託先の管理といった既存の規程がすでに扱っている論点が混ざり込みます。同じ論点が三か所に書かれて書きぶりが違い、「どれに従えばよいのか」と問われた管理部門が即答できず、監査で指摘されて初めて矛盾に気づく、という展開になりがちです。

本質的な課題は、改定の速度が異なる内容を同じ文書に同居させてしまう点にあります。改定手続を要する文書と、新サービスのたびに書き換えたい文書は分けるべきです。

2. どの文書に何を書くか

まず自問すべきは「この内容は、来年も同じ文言のままか」です。答えが「否」なら、規程本体ではなく下位文書に置きます。

ポイントは、具体的なサービス名や設定値を規程本体に書かないことです。ただし「別途ガイドラインに定める」と参照を1行置くだけでは足りません。規程側には①ガイドラインの制定を委任する、②役職員に遵守を義務づける、③制定・改廃の権限者を特定するの3要素を書きます。これがないと違反時の措置の根拠がなく、内部監査でも下位文書の位置づけが不明と指摘されます。また懲戒は就業規則の懲戒事由に根拠が要るため、受け皿条項との接続も確認してください。

4文書を同時に整備できる企業は多くありません。当面は情報セキュリティ規程に上記の条項を追加し、手順をガイドラインへ集約する形でも機能します。ただし個人データの取扱い基準は個人情報保護規程側に残すのが安全です。下位文書でも承認者・版数・改定履歴の管理は省略できません。

3. 令和8年改正個人情報保護法が迫る三つの見直し

「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）は2026年7月17日に公布されました（個人情報保護委員会「令和8年 改正個人情報保護法について」）。施行は原則、公布から2年以内に政令が定める日（遅くとも2028年7月）ですが、罰則関係の一部は2027年1月17日に先行施行されます（のぞみ総合法律事務所による解説）。影響が大きいのは次の三つです。

(1) 課徴金制度の導入（改正法第148条の3〜第148条の17）

同法として初めて課徴金が導入されます。制裁の重みが変わるため、安全管理措置や違反時の報告ルートを規程上でどこまで特定するかの見直しが必要です。

(2) 特定生体個人情報の新設（改正法第16条第5項、第21条の2）

顔特徴データ等が「特定生体個人情報」と定義され、取り扱う事業者は利用目的等をあらかじめ本人に通知するか、本人が容易に知り得る状態に置かなければなりません。入退室の顔認証、店舗カメラの解析、勤怠の生体認証がある企業は、自社が該当するかの確認を先に済ませておくことをおすすめします。

(3) 委託先への直接規律（改正法第30条の3）

委託先は、受託業務の遂行に必要な範囲を超えて委託された個人情報を取り扱ってはならないと定められます。委託する側でも受託する側でも、委託契約書のひな形と外部委託管理の手順の見直しが必要です。なお統計作成等の特例（第2条第13項、第30条の2）も新設されますが、対象範囲は今後の委員会規則で定まるため、いま条文化すると書き直しになります。

4. AIエージェントという新しい統制対象

総務省・経済産業省が2026年3月31日に公表した「AI事業者ガイドライン（第1.2版）」では（経済産業省 AI事業者ガイドライン）、AIエージェントが「特定の目標を達成するために、環境を感知し自律的に行動するAIシステム」と定義され、連携先ツールの制限、権限の適切な設定、人間の判断の介在、定期的な操作履歴の確認が留意点に加わりました。

「機密情報を入力してはならない」という条項は、人が都度プロンプトを打つ前提の文言であり、自律的に外部システムへアクセスし書き込みまで行うAIエージェントには統制が届きにくくなります。とはいえ権限の付与と棚卸しはID管理の仕組み側で担保し、規程には操作履歴を誰がどの頻度で確認するかを書く、という分担が現実的です。AIエージェントを「権限を持つアカウント」として扱えば、既存の枠組みに載せられます。

5. 改定に着手する順序

総務省「令和8年版情報通信白書」によれば、日本企業のリスク対策で最も多い回答は「全社的な指針やガイドラインを整備している」で41.1%でした。一方、米国・ドイツ・中国では「企画・導入段階で専門的な審査体制がある」「導入後に定期的な評価・検証が行われている」の割合が高い傾向にあります（総務省「令和8年版情報通信白書」リスク対策のための取組状況）。文書はあっても審査と事後評価のプロセスが伴っていない可能性がある、と読める数字です。

• 〜1か月目：規程管理台帳から関連規程を特定する。既存規程に「AI」の語は出てこないため、外部送信・第三者提供・委託・機密区分・権限管理の観点で条項を拾う
• 1〜2か月目：主要部門へのヒアリングに加え、SSOやプロキシのログと経費精算データを突合する（ヒアリングだけでは個人アカウント利用は出てきません）
• 2〜3か月目：現行規程の範囲内で運用できる部分をガイドラインとして先行公開
• 3〜6か月目：規程本体の改定を付議。公開時期は決議機関の開催サイクルと周知期間に律速されます
• 以降：申請・承認を運用し、四半期ごとに申請内容とログを突合する（実施前にモニタリングの根拠条項の整備と周知を済ませること）

関連論点はコネクトデータのコラムでも扱っています。

6. まとめ

AI・データ利活用の社内規程は、新しい文書を1枚足す作業ではなく、既存の規程体系のどこに、どの粒度で書くかを決め直す作業です。今日からの一歩は、規程管理台帳を開き、外部送信・第三者提供・委託・権限管理に触れる条項に付箋を貼ること。重複や矛盾の所在が見えれば、優先すべき文書が定まります。

7. よくある質問

Q. AI専用の規程を新設すべきでしょうか、既存規程の改定で足りますか。

A. 規程本体に委任・遵守義務・改廃権限の3要素を定めた条項を置き、実体を下位のガイドラインに委ねる形が現実的です。経営会議の決議など改定手続を要する規程に具体的なサービス名や設定値を書き込むと、ツールが増えるたびに手続が必要になり運用が止まります。

Q. 令和8年改正個人情報保護法の施行を待ってから着手すべきでしょうか。

A. 待つ必要はありません。罰則関係の一部は2027年1月17日に先行施行され、委託契約のひな形見直しや顔特徴データの該当性確認など時間を要する作業も含みます。ただし統計作成等の特例の適用範囲など委員会規則の確定を待つべき論点もあるため、棚卸しを先行し条文化は後回しにするのが効率的です。

Q. 規程とガイドラインは、どう使い分ければよいですか。

A. 判断の原則と責任の所在は規程に、具体的な運用手順と個別の可否判断はガイドラインに置くのが基本です。来年も同じ文言のままでいられる内容は規程へ振り分けてください。なお認めるサービスの一覧は、本体ではなく別紙にすると更新が軽くなります。