「この文章、AIで整えておきました」
仕事が早くなるのは助かる。でも、その文章にはお客様の名前や、まだ公表していない数字が入っていなかったか。そう聞かれると、少し気になるのではないでしょうか。
ChatGPTなどの生成AIを、社員が個人のアカウントで使い始めている。会社として契約したものではなく、利用ルールもまだ決まっていない。便利さが先に広がると、管理する側が後から追いかけることになります。
この段階で確かめたいのは、誰が、どのサービスに、どんな情報を入れているかです。使い方が分かれば、続けてよい仕事と、扱いを見直したい仕事を分けられます。
はじめまして、株式会社MintSparkの堤卓也です。情報処理安全確保支援士の立場から、専任のIT担当者がいない会社でも取り組みやすい、生成AIの情報漏洩対策と社内ルールの決め方を説明します。
この記事で言いたいこと
- 入力する情報と、利用サービスの契約・設定を合わせて確認する。
- 社員が迷いやすい仕事を例に、使ってよい範囲を決める。
- 判断に迷ったときの相談先まで決めて、日常業務で使えるルールにする。
見積書・議事録・顧客情報は、AIに入れてよい？
「個人情報に気をつけて」と伝えるだけでは、仕事中の判断は難しいものです。
たとえば、名前を消した見積書にも取引先独自の価格が残ることがあります。会議の議事録なら、参加者名よりも、未発表の事業計画のほうが気になる場合もあるでしょう。
当社では、まず次のように用途を分けて考えることをお勧めします。自社で使っている書類を思い浮かべながら、近いものを見てみてください。
| 使いたい仕事 | 入力前に見るところ | 社内ルールの例 |
|---|---|---|
| 公開済みの会社紹介文を整える | 本当に公開済みの内容だけか | 公開情報の文章整理は、会社が認めたAIで利用する |
| お客様へのメールを下書きする | 氏名・連絡先・個別の相談内容が含まれていないか | 架空の宛名と一般的な状況で下書きを作り、担当者が仕上げる |
| 見積書や提案書を読み込ませる | 取引条件・原価・取引先から預かった情報がないか | 実物を使う前に、契約条件と入力範囲を担当者に確認する |
| 会議の録音を文字起こしする | 個人情報・社外秘の話題、保存先や共有範囲 | 利用を認める会議とサービスを決め、参加者にも扱いを伝える |
| 顧客名簿・人事資料を分析する | 個人データの利用目的、サービス側の取扱い、閲覧権限 | 一般的な文章作成とは分け、責任者が利用条件を確認してから進める |
これは社内ルールを考えるための例です。扱う情報や、お客様との契約によって必要な確認は変わります。名前を消す際も、ほかの情報との組み合わせで相手が分かる内容が残っていないか、ひと呼吸置いて見直しましょう。
有料プランにすれば、会社の情報を入れても安心？
有料にすれば業務の情報を入れてよいのか。プラン選びで迷うところですよね。先に確かめたいのは、自社が必要とする情報の扱いと管理の機能です。
- 学習への利用：入力した文章やファイルを、提供事業者がどのような目的で利用するか。
- 保存と共有：会話やファイルの保存期間、共有リンクや連携機能を通じて見られる範囲。
- 会社での管理：利用者や権限を把握し、異動・退職時にアカウントを管理できるか。
同じサービスでも、契約するプランや設定によって扱いが変わります。料金やサービス名だけで判断せず、実際に使う条件を確認すると、選ぶ理由がはっきりします。
個人情報保護委員会は、個人情報を入力する場合に、特定された利用目的の達成に必要な範囲であることを確認するよう求めています。また、本人の同意なく個人データを入力し、応答結果の出力以外の目的で扱われる場合には法令に違反する可能性があるとして、学習に利用されないこと等の確認を促しています。個人情報保護委員会の注意喚起（2023年6月2日・別添1）
「学習に使われない」という条件に加え、入力する目的や情報の範囲も確認する。ここを、会社としての判断に含めてください。保存や共有、アカウント管理は、その判断を日々の業務で守るために当社がお勧めする確認事項です。
メールを読んで返信案を作る、社内資料を探して回答する。AIにこうした仕事を任せたいときは、使う情報に加えて、送信やファイル操作をどこまで許すかも決めておきたいところです。AIエージェントのセキュリティ対策では、問い合わせ対応を例に、人が承認する場面を説明しています。
社内ルールは、社員が判断に迷う仕事から決める
規程のひな形を探す前に、「見積書を読み込ませたい」「議事録を要約したい」といった、実際に使いたい仕事を出してもらいましょう。その用途に答える形なら、社員にも伝わりやすくなります。
- 利用するサービス：会社が認めるサービスとプラン、アカウントの取得方法、管理担当を決める。
- 入力する情報：公開情報で行う仕事、加工して使う仕事、責任者の確認を経て扱う仕事を、具体例で示す。パスワードやAPIキーなどの秘密の認証情報は入力対象から外す。
- 出力の確認担当：お客様に送るメールや提案書は、担当者が事実・数字・表現を確認する。
- 迷ったときの相談先：入力前の質問や、誤って入力したときの報告先を明記する。
最初はA4一枚程度の案内にまとめ、詳しい手順や既存の情報管理規程につなげる方法もあります。配って終わりにせず、現場から出た質問を使って見直していくと、自社の仕事に合うルールに育ちますよ。
個人アカウントで使っている社員にも、使い方を聞くところから始めてください。既に役立っている用途が分かれば、会社で用意する環境や、優先して整える管理の方法も選びやすくなります。アカウントの引き継ぎは、退職者のアカウント管理の記事でも説明しています。
生成AIの社内利用でよくある質問
社員が個人アカウントを使っています。すぐに会社のアカウントへ変えるべきですか？
まずは利用しているサービス、仕事の内容、入力情報、契約・設定を把握します。そのうえで、会社として管理が必要な利用は、承認した環境へ移す順番を決めると進めやすくなります。既存の会話やファイルの扱いも含めて確認してください。
業務の情報を既に入力していた場合は、どう動けばよいですか？
何を、いつ、どのサービス・アカウントへ入力したか、共有リンクや外部連携を使ったかを記録し、社内の責任者へ相談してください。利用履歴は消す前に必要な記録を残し、共有設定や提供事業者への確認を進めます。入力した情報と、その後の扱いを順に確かめることが、対応範囲の整理につながります。
顧客情報などを含む場合は、個人情報の漏えい等が疑われるときの報告・対応も確認してください。
社員に「使っていい？」と聞かれて、判断に迷っている方へ
「議事録の要約は認めたい。でも、お客様の情報が混ざることがある」
そんな具体的な仕事を一つ、相談のきっかけにしていただければ大丈夫です。社内ルールがまだなくても、使っているAIをすべて把握できていなくても構いません。
初回30分の無料相談では、現在の使い方を伺い、先に確認したい契約・設定と、社内で決めておきたいことを一緒に整理します。
当社はセキュリティ対策とIT・DXの両面から、情報の扱いと、現場で続けられる運用を考えます。便利に使えている仕事も含めて、お聞かせください。
初回30分無料・オンライン。お申し込み後、2営業日以内にご連絡し、メールで日程を調整します。
社内ITの管理体制から整えたい方は、中小企業のIT・DXガイドや、情シス代行の費用・対応範囲も参考にしてください。
参考・出典
個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日）
同・別添1「生成AIサービスの利用に関する注意喚起等」
確認日：2026年10月15日。仕事ごとの表と社内ルールの例は、注意喚起を踏まえた当社の運用提案です。