情報漏洩のリスクと対策

次の5つの情報を「入れてよい」「入れる前に要検討」「原則として入れない」に分け、理由を1行ずつ添えてください。

1. 会社の公開Webサイトに載っている製品説明
2. 会社名をA社、担当者をBさん、金額を架空の数字に置き換えた売上表
3. 社内だけで使っている承認フロー
4. 顧客の氏名とメールアドレスが入った一覧
5. 署名前の契約書の原文

判断に迷う項目は、送信前に何を確認するかも書いてください。

ざっくり言うと

イメージ

正確には

個人情報保護委員会は2023年6月、生成AIサービスへ個人情報を含む指示文を入力するときの注意点を公表しました。 事業者に求めているのは、その入力が利用目的の範囲に収まっているかを確かめることです。 本人の同意なく個人データを入力する場合は、提供している事業者がそのデータを機械学習に使わないことなどを、十分に確認するよう求めています。

独立行政法人情報処理推進機構（IPA）も、同じ危険に注意を促しています。 その『情報セキュリティ10大脅威 2026』では、「AIの利用をめぐるサイバーリスク」が組織向け脅威の第3位に初めて選ばれました。 IPAが2026年4月に公開した『AI利用者のためのセキュリティ豆知識』も、クラウドAIへ営業秘密を入力しないことを、利用者向けの基本の対策として挙げています。

情報が外に出る3つの経路

AIに入れた情報が外に出るとしたら、道筋はおおむね次の3つです。

3つ目があるからこそ、機密の情報は最初から入れないのが基本です。

OpenAIとAnthropicのプライバシーポリシーにも、入力データの扱い、保存する期間、学習に使うかどうかが書かれています。 ただ、中身は会社ごとに違います。 使うサービスのポリシーは、その都度自分で確かめてください。

入れてよい情報と、入れない情報

仕事で迷ったら、この表で判定してください。

もっと短い目安もあります。 「これ、X（旧Twitter）に書いたら困る？」と自分に聞いてみてください。 困りそうなら、AIにも入れません。 この線引きだけでも、かなりの事故を避けられます。

それでも判断に迷うときは、情報をそのまま渡さず、書き換えてから渡してください。

書き換えたあとに「これで意味が通じるか」を確かめてから送れば、仕事の精度も保てます。

注意点

送信ボタンは、押したら取り消せない

送信ボタンを押した瞬間に、書いた内容のコピーが相手のサーバーへ届きます。 あとから履歴やアカウントを消せるサービスもあります。 ただし、削除までの保持期間、法令や安全上の例外、すでに始まった学習への影響は、各社で違うのが実情です。

今日からできる5つの対策

今日から手をつけられる、現実的な5つです。

5番目の「送信前3秒」は、設定を整えたあとに残る最後の守りです。手間はほとんどかからないのに、よく効きます。

やってみよう

この2つを済ませておけば、クラウド型AIへの入力は外部への送信だという前提が身につき、うっかりの貼り付けもぐんと減らせます。

会社として複数人で使うなら、「社内の生成AI利用ガイドライン」を1枚作っておくとトラブルを減らせます。 これは別の記事で扱います。