【2026年】AI規程に例外を置く判断項目｜禁止を形だけにしない

「規程で禁止したはずのことが、現場では使われていると分かりました」「例外を認めてしまったら、規程そのものが形だけになりませんか」——AIの利用規程を作り終えた後の相談で、必ず並んで出てくる2つです。ここで起きているのは、規程が甘いことでも、現場の意識が低いことでもありません。本当は、必要に迫られた人の逃げ道が、規程の外にしか無いことが原因です。例外を置かないから守られるのではなく、例外の置き場所が無いから黙って使われます。この記事では、例外を置ける禁止と置けない禁止の分け方から、認める条件の項目、期限の切り方、決める人、記録の形までを順に整理します。

「例外を認めると規程が緩む」は、順序が逆になっている

例外を置かない規程は、厳しい規程ではありません。例外を置かない規程は、守れない人が黙って外へ出る規程です。禁止の線を引いた瞬間に、その線の向こう側で仕事をしなければならない人が必ず何人か生まれます。その人たちに用意された道が無ければ、道は自分で作られます。

行政の文書では、この形が最初から織り込まれています。デジタル庁が2025年5月27日に決定した、行政機関が生成AIを調達・利用するときのガイドラインには、規約への同意だけで使えるクラウドの生成AIを業務で使う場合は原則として要機密情報を取り扱わないこと、と書かれ、その直後に、例外として要機密情報を取り扱う場合は情報セキュリティ責任者の許可が必要、と続きます。禁止と、例外と、許可する人が、同じ1文の中に書かれています。

同じ文書の脚注には、例外措置の適用の申請を審査し、許可する者、という役割の定義まで置かれています。例外を認めることと、規程を緩めることは別の作業です。前者は誰がどこまで認めたかが残り、後者は何も残りません。残るか残らないかが、この2つの決定的な違いです。

2026年の前提：規程はできた。決まっていないのは例外の置き場所

エルテスが2026年1月13日に、29歳から69歳の会社員と公務員300名に対して行ったインターネット調査では、業務で生成AIを利用している人は34.3%でした。一方、生成AIの利用に関する社内のルールについては、ルールがある、または策定中が28.4%、ルールは無いが45%、わからないが26.7%です。4人に1人以上が、自社にルールがあるかどうかも分かっていません。

同じ調査では、生成AIを利用している人のおよそ5人に1人が、企業が許可していないツールを使っていました。情報をアップロードすることに抵抗感があると答えた人が75.8%いる一方で、個人情報をアップロードしたことがある人も6.8%います。抵抗感があるのに使われているということは、必要が抵抗感を上回っている場面があるということです。

企業の側の数字も揃っています。帝国データバンクが2026年3月17日から31日にかけて全国23,349社に行い、10,312社から回答を得た調査では、生成AIの活用にあたっての懸念として、活用すべき業務の範囲が40.0%、トラブル時の責任所在などのルール整備が25.5%挙がりました。総務省と経済産業省がまとめたAI事業者ガイドラインも、2026年3月31日に第1.2版へ改定されています。規程を作る材料は揃い、残っているのは規程の中に例外の場所を作る作業です。

立ち位置もはっきりしてきました。このガイドラインは、AIに関わる事業者をAI開発者、AI提供者、AI利用者の3つに分けています。社内の利用規程を作る多くの会社は、このうちAI利用者にあたります。使う側として何を決めればよいかの輪郭がはっきりしているぶん、例外の設計も、外部の誰かを待たずに自社で完結できます。

例外の置き場所が無い規程で、実際に起きること

置き場所を作らないまま禁止だけを増やすと、次の形で表に出ます。どれも、規程を作った直後ではなく、半年から1年たってから分かります。

• 業務で必要になった担当者が、個人で契約した道具を私物の端末で使っていた。会社の記録にはその作業自体が残らず、何を入力したのかを後から誰も確認できなかった
• 口頭で上長が認めた例外が、期限も範囲も書かれないまま2年続き、担当者が交代したときに、誰がなぜ認めたのかを説明できる人がいなくなっていた
• 禁止の対象に例外を置かなかったため、部署ごとに独自の運用が生まれ、同じ会社の中で扱ってよい情報の範囲が3通りに分かれていた

3つに共通しているのは、規程が破られたことではありません。破られたかどうかを会社が知らないまま時間が過ぎていることです。禁止だけを増やすと、違反の件数はかえって見えなくなります。見えないものは直せません。

だから、例外を置く目的を最初にはっきりさせておきます。例外は、使いたい人のための緩和ではありません。会社が、何がどこで起きているかを知り続けるための仕組みです。この目的から見ると、後の章で扱う期限や記録が、なぜ省けないのかが分かります。なお、既に起きている無断の利用をどう見つけて仕分けるかは別の記事の領分なので、ここでは扱いません。

例外を置ける禁止と、置けない禁止を先に分ける

すべての禁止に例外を置けるわけではありません。分ける基準は1つで、その線を引いたのが自社かどうかです。自社が自分の判断で引いた線には例外を置けます。社外の誰かが引いた線には置けません。

禁止の出どころ	例外を置けるか	置けない場合に取れる道	判断する人
法令で決まっている	置けない	その業務のやり方自体を変えるか、取り扱う情報の種類を変える	法務。担当部署だけでは決められない
取引先との契約や取り決めで決まっている	置けない	相手に確認して、書面で合意を取り直す	契約を結んだ部署と法務
業界の決まりや、親会社の方針で決まっている	原則として置けない	上位の組織へ確認し、回答を記録に残す	所管する部署。回答が来るまで認めない
自社が、自社の判断で引いた	置ける	条件を付けて期限付きで認める	申請者の上長と、第三者を1人

表の使い方を1つ決めます。申請が来たら、まず出どころの列を埋めます。ここが埋まらないうちは、内容の審査に入りません。出どころを確かめずに条件の話を始めると、置けない禁止に条件を付けてしまいます。これは最も重い事故で、後から取り消すこともできません。

なお、この表は申請を断るための基準ではありません。断る基準は別の話で、ここで決めているのは、そもそも例外という形を取れるかどうかだけです。置けない禁止に当たった場合も、3列目にある別の道が残ります。

置けない禁止の見分け方は、線を引いた人が社外にいるかどうか

実務では、規程に書かれた禁止の出どころが分からなくなっていることがよくあります。作った人が異動していて、なぜその線を引いたのかを誰も説明できない、という状態です。この状態の禁止は、置けないほうに仮置きします。

仮置きしたうえで、出どころを1件ずつ確かめます。確かめ方は、その禁止の文言が、外部の資料の言い回しをそのまま使っているかどうかです。法令や契約から写した文は、たいてい言い回しが自社の文書と違います。文体が急に硬くなる箇所は、社外から来た線であることが多くあります。

確かめても出どころが分からない禁止は、その場で例外を認めず、規程の見直しの議題に回します。分からない禁止に例外を置くと、例外のほうだけが記録に残り、元の線を引いた理由は永久に失われます。回した議題は、次の見直しで出どころを調べ直すか、線そのものを引き直すかのどちらかで閉じます。

置ける禁止は、自社が自分で引いた線だけ。だから理由も自社が持っている

自社が引いた線には、必ず理由があります。情報が外に出ると困る、出力の正しさを確かめる人がいない、費用の管理ができない、といった理由です。例外を認めてよいかどうかは、その理由が今回の申請で消えているかで決まります。

たとえば、外に出ると困るという理由で禁止していた場合、入力する情報から該当部分を外せるなら理由は消えます。確かめる人がいないという理由なら、確かめる人を付ければ消えます。理由が消える道が1つも無いなら、それは例外ではなく、業務のやり方のほうを変える話です。

総務省と経済産業省のAI事業者ガイドラインは、対策の程度をリスクの大きさ、つまり危害の大きさとその起こりやすさに対応させるという考え方を示しています。一律の禁止は、リスクが小さい場面にも最大の対策を当てている状態です。例外を置く作業は、この対応関係を場面ごとに取り戻す作業でもあります。行政向けのガイドラインにも、試行の段階で対応事項を全て実施すると対策が過剰になる可能性がある、という記述があります。

認める条件に必ず入れる6項目

例外を認めるときに書く項目は、6つに固定します。増やすと書かれなくなり、減らすと後から確かめられなくなります。

• 期間。開始と終了の日付を入れる。終了の日付が空欄の申請は受け付けない
• 対象者。部署名ではなく、個人の名前で書く。人数が増えるときは申請し直す
• 対象の業務。どの業務のどの工程かまで書く。業務の名前だけでは範囲が動く
• 扱ってよい情報の範囲。持ち込んでよい情報と、持ち込んではいけない情報を両方書く
• 代わりに行う確認。禁止を外す代わりに、誰が何をどこまで確かめるかを書く
• 止める合図。何が起きたら期限前でも止めるかを、事実の形で書く

6項目のうち、実務で最も抜けるのは6つ目です。止める合図が書かれていない例外は、問題が起きても誰も止められません。止める権限が誰にあるかが決まっていないからです。合図は、心配になったら、ではなく、入力した情報が外部に保存される設定であることが分かったら、のように事実で書きます。

行政向けのガイドラインでも、利用者へ周知する項目として、利用目的と利用範囲、利用可能な環境と扱えるデータの種別、利用条件と手続き、推奨事項と禁止事項が並んでいます。認める側が書く項目と、使う側へ伝える項目は、ほぼ同じ内容になります。同じなら、認めた文書をそのまま本人へ渡す形にしておけば、伝達の手間が1回減ります。

期間：無期限の例外は、規程を書き換えたのと同じ

期限を切らない例外は、例外ではありません。無期限で認めた時点で、その禁止は実質的に解除されています。しかも、規程の本文は禁止のままなので、外から見ると規程が守られている形に見えます。この食い違いが、いちばん厄介です。

期間の目安を先に決めておきます。試しに使ってみる段階なら3か月、業務に組み込むことが決まっているなら6か月、という2択で足ります。1年を超える期間を書きたくなったときは、例外ではなく規程の改定として扱います。1年を超える例外の申請が来たら、それは規程の側を直す合図です。

期限が来たときの既定も決めておきます。既定は、自動で切れる、です。延長したい場合は申請し直します。既定を自動更新にすると、誰も見直さないまま何年も続きます。行政向けのガイドラインでも、企画の段階だけでなく、構築時、運用開始後も含めて、事情の変化でリスクの大きさが変わった場合には報告することとされています。一度決めたら終わり、という形にはなっていません。

扱ってよい情報の範囲は、道具の名前ではなく情報の側で書く

申請書によく書かれるのは、どの道具を使うか、です。しかし道具の名前で範囲を決めると、道具が入れ替わった瞬間に範囲が消えます。更新で機能が変わることもあります。範囲は、持ち込んでよい情報の側で書きます。

書き方は2段です。持ち込んでよい情報を列挙し、次に持ち込んではいけない情報を列挙します。両方を書く理由は、片方だけだと境目の情報の扱いが決まらないからです。たとえば、社内向けの手順書は持ち込んでよいが、そこに載っている取引先の名前は外す、といった粒度まで書きます。

行政向けのガイドラインが、規約への同意だけで使えるクラウドの生成AIについて、原則として要機密情報を取り扱わないことと定め、例外的に取り扱う場合だけ責任者の許可を要求しているのも、この形です。禁止しているのは道具ではなく、その道具に持ち込む情報の種類です。道具ではなく情報で書いておけば、道具が変わっても条件はそのまま使えます。

境目になりやすい情報を先に決めておくと、申請のやり取りが1往復減ります。実務で毎回もめるのは、社外の名前が載った資料、まだ公表していない数字、本人の氏名が入った記録の3つです。この3つについて、そのまま持ち込めるのか、伏せれば持ち込めるのか、持ち込めないのかを、申請を待たずに規程の側へ書いておきます。

代わりに行う確認と、止める合図を、認めるときに同時に決める

例外は、禁止を外す代わりに別の確認を足す取引です。外すだけにすると、その禁止が守っていたものが誰にも守られなくなります。足す確認は、外した禁止が守っていたものと同じものを守るように選びます。

選び方は、禁止の理由から逆算します。情報が外に出ると困るという理由なら、入力する前に情報を確かめる人を置きます。出力の正しさを確かめる人がいないという理由なら、出力を使う前に人が確かめる範囲を決めます。ここで大事なのは範囲の決め方です。全件を人が確かめる、と書くと数週間で守られなくなります。外に出す文書と金額に関わるものだけ、のように先に絞ります。

AIの判断をそのまま採らない、という条件も1行入れておきます。総務省と経済産業省のAI事業者ガイドラインは、共通の指針の中に人間の判断の介在を挙げています。例外を認めた業務ほど、出力の根拠を書かせて人が読む工程を残します。どの資料のどこを見て出した答えなのかを添えさせておけば、確かめる側は元の資料を全部読み直さずに済みます。

誰が決めるか。申請者の上長だけでは通らない

例外の可否を、申請者の上長だけで決める形にすると、通る割合が部署ごとに大きくばらつきます。上長は業務の必要性をよく知っている一方で、禁止が守っていたものの側は見えていないからです。決める側に、業務の外にいる人を1人入れます。

入れる人は、情報を扱う責任を持つ部署の担当者が適しています。行政向けのガイドラインでも、統括する責任者が企画する側と連携してリスクの大きさを判断し、情報セキュリティが関わる場合は最高情報セキュリティ責任者と協議したうえで判断する、という形が取られています。2人の役割は違います。上長は必要性を、第三者は外した禁止の代わりを見ます。

2人にする実益は、断る場面ではなく認める場面に出ます。1人で認めた例外は、後から問題が起きたときにその1人の判断として扱われます。2人で認めた例外は、会社の判断として扱われます。認める側の負担が下がるので、必要な例外が通りやすくなります。

申請から許可までを5工程に固定する

工程を固定しておかないと、急ぎの案件のときだけ順番が飛ばされます。飛ばされるのは、たいてい記録と期限です。5工程で、全体で1週間を見ておけば足ります。

5工程のうち、飛ばしてよいものはありません。とくに1工程目を飛ばすと、置けない禁止に例外を付けてしまいます。1日かけて出どころを確かめるほうが、後から取り消す作業よりはるかに軽く済みます。

急ぎの案件のための短い道も、先に作っておきます。2週間だけの仮の許可を、第三者1人の判断で出せる形にしておきます。仮の許可は延長できない決まりにして、その2週間の間に通常の5工程を回します。抜け道を先に作っておくと、規程の外へ出る人が減ります。

回す速さも記録に残します。申請から結論までにかかった日数を1列だけ足しておくと、仕組みが使われなくなる前に気づけます。日数が2週間を超えはじめた時期と、無断で使われていたことが後から分かる時期は、たいてい重なります。速さは、便利さではなく、守らせるための条件です。

記録の形。新しい台帳は作らず、既にある決裁へ欄を足す

例外の管理のために新しい台帳を作ると、半年で更新が止まります。理由は単純で、その台帳を見る用事が日常の業務の中に無いからです。既にある決裁や申請の記録に、欄を足す形にします。

足す欄は4つです。6項目のうち、対象者と対象の業務は元の申請書に既にあることが多いので、重複して持たせません。記録の項目を増やすほど、書かれない項目が増えます。

• 禁止の出どころ。法令、契約、上位組織の方針、自社の判断の4つから1つ選ぶ
• 認めた期間。開始と終了の日付を書く。終了の日付が空欄のまま残っている行は、月に1度まとめて確かめる
• 代わりに行う確認。誰が、何を、どこまで確かめるかを1行で書く
• 止める合図。期限前でも止める条件を、心配の度合いではなく事実の形で1行だけ書く

保存する場所も、既にある決裁の置き場をそのまま使います。例外の記録だけを別の場所に置くと、担当が交代したときに引き継がれません。なお、記録を何年残すか、誰が見られるようにするかといった保存の設計は、監査の話として別に扱われている領域なので、ここでは触れません。ここで決めるのは、既にある流れのどこに欄を足すか、という一点です。

例外が増えたときの読み方。3件で規程の側を直す

例外は、溜まると規程の設計図になります。読み方を先に決めておきます。同じ内容の例外が3件出たら、それは個別に認め続ける話ではなく、規程の側を直す合図です。3件という数に強い根拠はありませんが、2件では偶然と区別が付かず、5件では手遅れになります。

同じ内容かどうかは、申請の文言ではなく、禁止していた理由が消える道で判定します。理由の消し方が同じ申請は、同じ内容として数えます。文言で数えると、言い換えただけの申請が別件として積み上がります。数えるのは四半期ごとで足ります。

直し方は2通りです。禁止の線を引き直して、その範囲を最初から認める形にするか、代わりに行う確認のほうを標準の手順に組み込んで、禁止自体を外すか。どちらを選んだかと、選んだ理由を規程の改定の記録に残します。総務省と経済産業省のAI事業者ガイドラインも、更新を重ねる文書として位置づけられ、2024年4月の初版から2026年3月31日の第1.2版まで2度の改定を経ています。規程を直すことは、規程が失敗した証拠ではありません。

AIに任せてよい作業と、人が決める範囲

この工程でAIが効くのは、整理と突き合わせです。申請の文章から6項目に当たる記述を抜き出して並べる、過去に認めた例外の中から理由の消し方が近いものを拾う、期限が近い例外の一覧を作る。どれも人がその場で確かめられる作業です。

任せてはいけないのは、認めるかどうかの結論です。AIに例外の可否を判断させないと決めたうえで、出させた整理には根拠を書かせます。申請のどの文からその項目を抜き出したのか、過去のどの例外と近いと判定したのかを添えさせると、抜き出しの誤りがその場で分かります。根拠のない一覧は、確かめるために申請書を全部読み直すことになります。

人が確認する範囲も先に決めます。6項目の抜き出しは全件を人が読む、過去の例外との突き合わせは上位5件だけを人が照合する、という線です。範囲を決めずに始めると、確認は全件になるか、ゼロになるかのどちらかに振れます。あわせて、この作業を任せた分だけ、抜き出しの確認という新しい仕事が増えることも見ておきます。

よくある質問

例外を認めたことを、社内に公開したほうがよいですか

誰に何を認めたかまで全社へ公開する必要はありませんが、どういう場合に例外を申請できるかは公開します。申請できること自体が知られていなければ、例外の仕組みは無いのと同じです。公開するのは、申請の窓口、判断に使う4つの出どころ、そして認められた場合に付く6項目の説明までで足ります。

期限が切れた後、同じ内容で何度も申請が来るのは問題ですか

2回目までは通常の手続きで構いません。3回目が来たら、それは規程の側を直す合図として読みます。毎回同じ理由で認めているなら、その業務についてはもう線が動いているということです。更新の手間を毎回かけるより、規程の改定として1度で処理するほうが軽く済みます。

小さい会社で、業務の外にいる第三者を用意できません

第三者に必要なのは役職ではなく、その業務の成果に責任を持っていないことです。他部署の担当者でも、管理部門の1人でも構いません。それも難しい場合は、認める人を1人にする代わりに、期間を短くして記録を必ず残します。人数を減らすなら、期間か範囲のどちらかを狭めて釣り合いを取ります。

法令で決まっている禁止に、どうしても例外が必要な場合はどうしますか

例外という形は取れません。取れるのは、その業務のやり方を変えるか、扱う情報の種類を変えるかのどちらかです。判断は担当部署では行わず、法務へ回します。この場合に急いで判断すると、後から取り消せない事故になります。時間がかかっても、回す先を間違えないことが先にきます。

例外を認めた業務で問題が起きたら、誰の責任になりますか

責任の所在の決め方は会社ごとに違うので一般化できませんが、記録の形が結論を大きく左右します。誰が、いつ、どの条件で認めたかが書かれていれば、会社の判断として扱えます。書かれていなければ、使った本人の判断として扱われやすくなります。止める合図を書いておく意味も同じで、合図が出た後に止めなかったのか、合図そのものが無かったのかで話が変わります。

まとめ

AIの規程が守られないとき、原因は規程の甘さでも現場の意識でもなく、例外の置き場所が規程の中に無いことでした。まず、その禁止を引いたのが自社かどうかで分けます。法令と契約と上位組織の方針で決まった禁止に例外は置けず、取れるのは業務のやり方を変える道だけです。自社が引いた線には、6項目を付けて期限付きで認めます。期間、対象者、対象の業務、扱ってよい情報の範囲、代わりに行う確認、止める合図。決めるのは上長と、業務の外にいる人の2人です。期限は自動で切れる形にし、記録は新しい台帳ではなく既にある決裁へ欄を足して残します。そして同じ内容の例外が3件出たら、認め続けるのではなく規程の側を直します。まずは、いま規程に並んでいる禁止を、出どころの4つに仕分けるところから始められます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。