結論から言います
AIツールへの情報漏洩リスクを防ぐには、今日すぐ着手できる手順があります。まず学習設定をオフにして、次に入力してはいけない情報を文書化する。この2つだけでリスクの大半は抑えられます。
専任のIT担当がいなくても、この記事で紹介する5つのアクションはすべて、経営者または総務担当が自分で対処できる内容です。順番に進めてください。
なぜAI業務利用で情報漏洩が起きるのか
ChatGPTをはじめとする生成AIツール（文章や回答を自動で作るAIサービス）に入力した内容が、開発元の学習データに使われるケースがあります。これが漏洩リスクの中心です。
もう少し具体的に言うと、社員が「この取引先への提案書を直して」とAIに貼り付けた文章の中に、取引先名・担当者名・商談内容が含まれていた、といった場面です。設定を変えずに使っていると、その内容がサービス側の学習に使われる可能性があります。
従業員30人規模の会社でも、AIツールを自由に使わせていれば、毎日何十件もこうした入力が積み重なります。問題が表面化してから対処しようとすると、どの情報が入力されたか追跡できない状態になります。
だからこそ、使わせる前に手を打つことが重要です。
5つのアクション、この順番でやる
アクション1：学習設定をオフにする（所要時間：15分）
用意するもの：使っているAIサービスのアカウント（管理者権限）
ChatGPTの場合、個人アカウントとビジネスアカウントで設定が異なります。
個人アカウント（無料・Plus）を社員が使っている場合：
各自のアカウントで「設定」→「データコントロール」→「すべての人のためにモデルを改善する」をオフにします。これをオンのまま使うと、会話内容が学習に使われる場合があります。
ChatGPT Team・Enterpriseプランの場合：
デフォルトで学習への使用が除外されています。ただし設定画面で確認してから使わせてください。
ChatGPT以外のAIツールも同様に「データの学習への使用」「データ保持」に関する設定を確認します。設定画面が見つからなければ、サービスのプライバシーポリシーに「training」「opt-out」で検索してください。
ここで確認できない場合は、そのサービスの業務利用をいったん止めるのが安全です。
アクション2：入力禁止情報を文書化する（所要時間：30分）
AIに入力してはいけない情報を、社内ルールとして1枚の文書にまとめます。難しく考える必要はありません。以下が基本の禁止リストです。
- 取引先・顧客の社名、担当者名、連絡先
- 見積書・契約書・請求書の内容
- 社員の個人情報（氏名、給与、評価など）
- 未公開の新製品・新サービスの情報
- ID・パスワード・認証情報
「社外秘」「部外秘」と表示されている資料の内容は原則として貼り付け禁止、と一文加えておくと判断が楽になります。
この文書は後でメール一本で全社員に送ります。A4一枚で十分です。
アクション3：社員への周知（所要時間：1時間）
ルールを作っても伝わらなければ意味がありません。以下の方法で周知します。
メールで送る場合：「AIツールの業務利用について、社内ルールを定めました。添付を確認してください」という短い文で構いません。ルール文書を添付します。
口頭で伝える場合：「外部サービスに社外秘の情報を貼り付けないこと」を具体例つきで話します。「取引先名が入った文章をそのままAIに貼らないように」といった言い方が伝わりやすいです。
周知の際に「何かあればすぐ相談してほしい」と一言添えてください。社員が「これを入力したかもしれない」と気づいたとき、報告しやすい空気をつくることが大切です。
この社内ルール整備と周知をどう進めるか判断しづらい場合は、AI導入を支援しているコンサルタントや、生成AI活用の社内研修を手掛けている会社に相談する方法もあります。費用や助成金の活用については生成AI研修の費用と助成金：中小企業が今年度使える制度と相場を整理にまとめています。
アクション4：利用ログを残せる環境にする（所要時間：設定次第）
「誰が何をAIに入力したか」を後から確認できる状態にしておくと、問題が起きたときの対処が早くなります。
最も手軽な方法は、業務用のAIアカウントを個人ではなく会社として管理することです。ChatGPTであればTeamプラン以上に管理者コンソールがあり、利用状況をある程度把握できます。
専任IT担当がいない会社では、完全なログ管理は難しい場合があります。その場合の現実的な対応は、「業務でAIを使ったらSlackやチャットで簡単に報告する」というルールを追加することです。完璧ではありませんが、何も記録がない状態よりずっとましです。
アクション5：契約条件を確認する（所要時間：30〜60分）
AIサービスの利用規約とプライバシーポリシーで、次の3点を確認します。
- 入力データを学習に使うか、使わないか
- データをどの国のサーバーに保存するか
- データの保持期間はどれくらいか
無料プランは学習に使われる可能性が高く、有料のビジネス・エンタープライズプランは使われないと明記しているサービスが多い傾向があります。ただしサービスごとに異なるため、必ず確認してください。
規約の英語が読みにくければ、確認したい文章をAIに貼り付けて「日本語で要約して」と聞くことも一つの手です。
うまくいかないパターンと注意点
設定をオフにしても完全ではないケースがある：学習設定をオフにしても、サポート対応のためにやり取りが一時保存されるサービスがあります。機密性の高い情報は、設定に関わらず入力しないことを原則にしてください。
個人アカウントを業務に使っている社員がいる：会社が契約しているアカウントとは別に、社員が自分の個人アカウントで業務情報を入力しているケースは珍しくありません。周知のタイミングで「個人アカウントでの業務利用は禁止」と明示する必要があります。
「便利だから使っていい」という曖昧な運用：「とりあえず自由に使っていい」という状態が最もリスクが高くなります。ルールを決める前にAI利用を推奨するのは避けてください。
判断に迷ったら
5つのアクションを自社でどこまで進められるか判断しにくい場合、AI導入支援や社内研修を手掛けている専門家に相談することで、自社の規模・業種に合った優先順位を整理できます。当メディアでも相談を受け付けていますので、まずは気軽にお問い合わせください。
