株式会社MintSparkの堤です。
「議事録を整えるつもりで、顧客一覧も入ったExcelを生成AIに添付した」。気付いたときは、誰に何を伝えるか迷いますよね。こうした場面で最初に必要なのは、送った情報、使ったアカウント、共有の範囲をそろえて、社内の責任者へつなぐことです。ChatGPTなどの生成AIは、契約や機能によってデータの扱いが変わります。担当者が画面で確認する項目と、会社・サービス提供元に確認する項目を整理します。
10月23日の公表事例から、確認の順番を考える
パナソニック オペレーショナルエクセレンスが2026年10月23日に公表した事案では、人事情報システム導入プロジェクトのメンバーが、利用を禁止されていた外部生成AIサービスに個人情報をアップロードしました。同社は、アップロード時に学習機能が無効だったことと、削除後のデータ保持について、サービス提供元へ確認しています。
ここで分けて確認したいのが、「学習に使われるか」「どこに保存されるか」「誰が見られるか」「会社として取り扱ってよいか」の4点です。学習設定の確認と、保存データや共有先の確認をそれぞれ進めます。この事案で説明された削除後30日の保持は、当該サービス提供元への照会結果です。自社で使ったサービスについても、該当する契約・機能の保持条件を確かめます。
最初にそろえる5項目
気付いた人が短いメモを作り、上司、個人情報の管理責任者、IT担当へ連絡します。外部へ共有が続いている場合は、責任者への連絡と、共有リンクの停止など拡大を止める操作を並行して進めます。調査に必要な記録は、閲覧者を絞った場所で管理します。
| 項目 | 残す内容 | 確認する人 |
|---|---|---|
| いつ、どこへ | 送信日時、サービス名、会社用／個人用アカウント、契約プラン、該当チャットの識別情報 | 入力した本人・IT担当 |
| 何を送ったか | ファイルの版、含まれる項目、人数、対象期間。Excelの別シートやコメントも確認 | 本人・データの管理部署 |
| 誰が見られるか | チャットの共有リンク、プロジェクトの参加者、公開設定、接続先アプリ | 本人・サービス管理者 |
| どう処理されるか | 入力当時の学習設定、保存先、保持期間、削除方法、提供元への確認結果 | IT担当・契約窓口 |
| 誰が対応を決めるか | 社内責任者、委託元・取引先への連絡担当、報告や本人通知の判断担当 | 経営者・管理責任者 |
連絡用のチャットには「顧客連絡先を含むファイル、対象約40人」のように概要を書きます。元の名簿や個人情報の映った画面は、権限を限定した確認先に集約すると、調査中の情報の広がりを抑えられます。
架空の20人企業なら、こう動く
以下は、営業担当が40人分の架空の顧客連絡先を含むExcelを、個人アカウントの生成AIへ添付したと気付いた例です。時刻は、社内で初動の役割を決めるための例として置いています。
AIへ送った情報を、チームで追える状態へ
本人が時刻・送信先・対象ファイルを整理し、社内責任者へ連絡
共有の拡大を止める
保存・学習設定を確認
必要な記録を限定保管
情報の種類と影響を評価し、報告・本人通知・削除対応の担当と期限を決定
本人：操作の事実 ／ IT：サービスと設定 ／ 責任者：対外対応と完了条件
社内への最初の連絡は、次のように短くまとめると伝えやすくなりますよ。
本日10:10ごろ、個人アカウントの生成AIに、顧客連絡先約40人分を含むExcelを添付しました。10:15に気付きました。対象ファイルと操作時刻を特定しています。共有設定と保存状況を、IT担当と確認したいです。
その後の記録には「確認済み」「確認中」「回答待ち」を付け、誰が次に動くかを決めます。提供元への照会では、対象のアカウント・チャットを安全な窓口で特定し、入力当時の設定、削除対象、削除後の保持と完了の確認方法を尋ねます。
チャット、添付ファイル、共有先をそれぞれ確認する
チャット画面、ファイルの保存場所、共有先を別々に見ていくと、対応の抜けを拾えます。たとえばOpenAIのChatGPT Work向け公式資料では、Libraryに保存したファイルは会話を削除しても残り、プロジェクト内のファイルにも別の保持ルールがあると説明されています。該当する機能を使っていたら、ファイルの保存先とプロジェクト側も確認対象に加えます。
チャットの共有リンク、共同作業者、接続先に作られたコピーも確認します。削除や共有解除を行った日時、対象、担当者を記録し、提供元の保持期間を含めて完了の条件をそろえます。契約プランと管理者の設定は、入力した当時の状態を確認することがポイントです。
報告・本人通知は、責任者が情報の種類と影響から判断する
個人情報保護委員会の生成AIに関する注意喚起は、利用目的の範囲と、提供事業者による学習利用などの確認を求めています。誤投入が起きた際は、送信した情報の種類、件数、提供先での取扱い、アクセス状況をそろえ、社内の管理責任者へ判断をつなぎます。
個人情報保護委員会への報告と本人通知の要否は、同委員会の漏えい等対応の案内に沿って確認します。民間事業者については、要配慮個人情報、財産的被害のおそれ、不正目的の行為が疑われる場合、1,000人を超える場合などが報告対象の判断に関わります。少人数でも情報の内容や経緯によって対応が変わるため、人数と情報の種類を一緒に確認します。報告期限を含む進め方は、個人情報漏えい時の報告・本人通知を整理した記事も参考になります。
再発防止は、使う資料とアカウントを仕事の手順に組み込む
私たちが提案したいのは、「使ってよいAI」を決める作業と、「そこへ渡す資料」を整える作業をセットにすることです。顧客一覧から作業に必要な列だけを書き出す、実名を案件番号に置き換える、会社指定のアカウントへ切り替えてから作業する。この手順をテンプレートや画面の案内に組み込んでおくと、現場でも続けやすくなりますよ。
社内FAQにNotebookを使う場合も、部署ごとに閲覧してよい資料をまとめ、元資料の所有者、更新日、共有先をそろえると運用しやすくなります。Notebookを使った社内FAQの記事では、資料の分け方と回答の確認方法を紹介しています。会社全体の基準を作る際は、生成AIの社内ルールを作る手順へつなげて整理できます。
自社のAI利用、誰がどこまで確認する？
MintSparkでは、使っているサービス、扱う資料、管理する担当者を整理し、現場で回るAI利用の手順づくりを支援しています。30分のオンライン相談では、現在の運用と課題を伺い、次に確認する契約・設定・社内の役割を一緒に整理します。進行中の事案は社内責任者と契約先の対応窓口へ連絡し、その対応と並行して運用の見直しを進められます。
一次情報・サービス仕様の確認日：2026年11月2日