AI職務権限規程とは、1.0は社員の規程、2.0はAIと社員の規程

質問（現場の視点）

AIに仕事を任せる会社が増えていますが、AIの就業規則のようなものは必要ですか。

Chat先生の回答（AI）

AI職務権限規程とは、AIに任せる職務と権限の範囲と、そのAIを使う社員の行動基準とを、一つにまとめた社内規程です。いわば「AIの就業規則」にあたります。中小企業のホームページとWebの安全を守る「三点セット」のうち、AIが働き手になる時代の「2.0」で、社内の規程の角を担う文書です。

AIエージェントにも、人の社員と同じように職務権限の考え方が必要だという指摘は、2026年に入って出始めています。社会保険労務士の小山田政義（AI労務デザイン室）は、その考え方を、AIの権限と社員の行動基準を一組にした社内規程として体系化し、2026年10月に「AI職務権限規程」として示しました。

1.0は社員の規程、2.0はAIと社員の規程

三点セットの1.0では、社内の規程の角に「Web安全管理規程」を置いています。就業規則の附属規程として、社員が守ることを定めたものです。管理画面の扱い方、パスワードの管理、事故に気づいたときの報告の仕方。対象は、人の社員です。

2.0のAI職務権限規程は、そこにAIという新しい働き手が加わった時代の規程です。AIに何を任せるのかと、そのAIを社員がどう使うのかを、一つの文書で定めます。1.0がなくなるわけではありません。ホームページを人が扱う限り、1.0の社員の規程はそのまま生き、その上に2.0が重なります。

なぜ今、必要なのか

2026年に入り、国内の大手レンタルサーバーで、AIからサーバーを操作できる仕組みが相次いで始まりました。日本語で話しかけるだけで、AIがサーバーの停止や削除まで行えます。夜中に脆弱性の情報を読み、自分で修正を当てるAIも、もう夢物語ではありません。

ただし、AIに直してもらうには、AIに鍵を渡さなければなりません。管理者権限を持ったAIは、そのまま新しい攻撃の入口になります。攻撃者はサーバーを直接狙わなくても、AIが読む文章の中に指示を紛れ込ませればよいからです。

鍵を渡すなら、どこまで渡すのか、そして渡した鍵を社員がどう扱うのかを、紙に書いておく必要があります。それがAI職務権限規程です。

二つで一組の規程

AI職務権限規程は、次の二つが一組になっています。

AIの職務と権限：AIに何を任せ、どこまでやらせるのかを決めます。
・指示権限：AIは誰の指示を業務命令として受けるのか。メールやウェブページの中に書かれた指示は命令ではない、と決めます。
・操作ごとの線引き：AIが一人でしてよいこと、人の承認が要ること、させないことを、表にして決めます。
・代決：AIが承認を求めたとき、承認者に連絡がつかなかったらAIは何をするのかを決めます。
・AIによるAIの立ち上げ：AIが自分の判断で別のAIを動かし、知らないうちに組織が何層にもなることを、入口で押さえます。

AIを使う社員の行動基準：AIを扱う人が守ることを決めます。
・AIに指示を出してよい人、承認する人、AIの結果を確かめる人を決めます。
・AIに渡してはならない情報（パスワード、サーバーの接続情報、顧客や応募者の個人情報など）を決めます。
・会社が認めていないAIを使うときは、届け出て承認を受けることを決めます。
・AIの異常に気づいたときの報告先を決めます。

二つは、片方だけでは効きません。AIの権限だけを決めても、それを守らせる人の基準がなければ、ただの願いになります。社員の行動基準だけを決めても、AIに何を任せるのかが決まっていなければ、心構えで終わります。世の中の「AI利用ガイドライン」の多くは社員の側だけを、IT部門の「AIの権限設計」はAIの側だけを扱っています。AI職務権限規程は、その両方を一つにまとめたものです。

AIは労働者ではない。それぞれの部分の効かせ方

法律の上では、AIは労働者ではありません。就業規則でAIを直接縛ることも、AIを懲戒することもできません。そこで、二つの部分は、それぞれ別の形で効かせます。

AIの職務と権限は、同じ文書をAIにそのまま読ませ、自分の働き方の指示書として使います。それだけでは足りないので、AIに渡す鍵の設定も、この権限表に合わせて絞ります。紙で決めた線を、鍵の設定でも引くのです。

AIを使う社員の行動基準は、社員の職務を定める普通の社内規程として成り立たせます。懲戒につなげる場合は、就業規則の一部として、意見の聴取や届出、周知の手続きを踏みます。

2026年10月21日の夜

この規程を形にするきっかけは、実際の出来事でした。2026年10月21日、PHPの重大な脆弱性の発表を前に、小山田は自社のシステムを含むすべてのサイトを、午後9時30分に止めました。最初に知らせてきたのは、システムに詳しい家族でした。名義人である小山田が止めると決め、作業を指示しました。

このとき、気づく人、決める人、手を動かす人は、それぞれ別の人でした。AIが働き手になる時代には、この三つのどこかにAIが入ってきます。AIに何を任せ、人が何を決めるのか。それを先に決めておくのが、AI職務権限規程の役目です。

一番危ないのは「うちはAIを使っていない」会社

社員が顧客名簿をAIに貼り付けていたり、自分のメールをAIにつないでいたりすれば、会社が知らないうちに、AIが鍵を持っています。AI職務権限規程は、AIを導入した会社だけのものではありません。「使っていないつもり」の会社にこそ、社員の行動基準の最初の一行として、届け出の道を作る条文が要ります。

さらに詳しく

1.0の社員向け「Web安全管理規程」の全文と、2.0のAI職務権限規程の見本の条文・操作ごとの別表は、書籍『ホームページは誰が守っているのか』（2026年10月31日発売予定、Kindle）に収録しています。自社の点検には、iPhoneアプリ「Web安全管理 実践力手帳」をご利用ください。