会議の議事録を要約してもらおうとして、生成AIの入力欄に貼り付ける。その直前で、手が止まる。
「参加者の名前を消せば大丈夫か」「社内の話だから入れてはいけないのか」「法人プランなら問題ないのか」。こうした迷いを現場の判断だけに任せると、使う人と使わない人に分かれます。
この問題は、入力禁止の情報を一覧にするだけでは解決しません。決めるべきなのは情報の名前ではなく、どの情報を、どの環境で、誰の確認を通して扱うかという境界線です。
この記事では、社内で生成AIを使い始める前に決めたい3つの境界線を、実務で使える形に整理します。
「機密情報は禁止」だけでは、現場は判断できない
最初に避けたいのは、「機密情報や個人情報を入力しない」とだけ書いたルールです。
たとえば、公開済みの会社案内はそのまま使えるかもしれません。一方、顧客名を消した商談メモでも、業種、地域、時期、案件の特徴を組み合わせれば相手を推測できる場合があります。
同じ資料でも、個人向けの無料サービスに入れるのか、会社が契約・管理する環境で扱うのかによって条件は変わります。「有料だから安全」「APIだから保存されない」とも言い切れません。学習利用、保存期間、外部連携などの扱いは、製品、契約、設定、機能ごとに異なるためです。
つまり、ファイル名や情報の種類だけで可否を決めると、判断が粗くなります。必要なのは、情報と利用経路を一緒に見ることです。
境界線1：迷わず止める情報を決める
まず、承認されていないサービスには入力しない情報を決めます。最小限、次を対象にします。
- パスワード、APIキー、秘密鍵、セッショントークンなどの認証情報
- 氏名、連絡先、相談履歴、要配慮個人情報などの個人・顧客情報
- 未公開の事業計画、財務情報、価格表、営業秘密
- 秘密保持契約の対象資料や、取引先から預かったデータ
- 本番環境の設定、脆弱性情報、内部構成が分かるログやコード
とくに認証情報は、利用環境にかかわらず入力しません。コードやログを相談するときは、キーや個人情報を除き、再現に必要な部分だけへ小さくします。
ただし、個人情報や機密情報が法律上一律に入力禁止という意味ではありません。利用目的、本人同意、契約、保存期間、アクセス制御などで判断は変わります。業務上どうしても扱う場合は、現場の自己判断ではなく、承認された環境と手順に限定します。
境界線2：情報ではなく「通る経路」まで指定する
次に、情報を次の3段階へ分けます。
- 原則入力禁止：認証情報、営業秘密、顧客から預かった未公開情報など
- 承認された環境だけで利用：社内限定情報、個人情報を含む資料、未公開の成果物など
- 通常利用可能：公開済み情報、公開を許可した文章、再識別できない例文など
ここで重要なのは、二つ目を単に「承認が必要」で終わらせないことです。会社が許可したサービス、会社管理のアカウント、使ってよい機能まで具体化します。
確認するのは、学習利用の有無だけではありません。保存期間と削除方法、管理者権限、ファイル保存、検索、外部連携、フィードバック時の例外も対象です。設定や機能が変わる可能性があるため、導入時だけでなく定期的に見直します。
境界線3：誤入力が起きた後の動きを決める
ルールを作っても、誤入力を完全にはなくせません。大切なのは、「起こさない」だけで終わらず、起きた後に迷わないことです。
最低限、次の流れを一枚にします。
- 入力や処理を止める
- 管理者へ、入力した情報・サービス・時刻を報告する
- 会話やファイルを削除し、必要なら提供者へ照会する
- 認証情報なら失効・再発行する
- 原因と判断に迷った点を、次のルール改定へ反映する
生成AIの出力も、そのまま外部へ送りません。事実、個人情報、著作権、契約上の問題がないかを担当者が確認します。入力と出力の両側に人の確認を置くことで、禁止だけに頼らない運用になります。
明日から使える「入力前の5問」
長い規程より先に、入力欄の近くへ次の5問を置くと運用しやすくなります。
- 公開されても問題のない情報か
- 本人や取引先から、利用の許可を得ているか
- 会社が承認したサービス・アカウント・機能か
- 固有名詞や数値を削り、必要最小限にできないか
- 判断に迷ったときと誤入力時の連絡先が分かるか
一つでも判断できなければ、その場では入力しません。「分からないときは止めて、ここへ聞く」まで決めて初めて、現場で使えるルールになります。
まとめ：禁止するより、境界線を見えるようにする
生成AIの社内ルールで必要なのは、禁止事項を増やすことではありません。
- 迷わず止める情報
- 条件付きで通せる利用経路
- 誤入力後の報告と対応
この3本の境界線を見えるようにすることです。
最初は、公開情報の要約や個人情報を含まない文章のたたき台から始めます。実際に出た迷いを記録し、境界線を少しずつ具体化する方が、長い規程を一度で作るより現場に残ります。
参考資料
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」
- 経済産業省「AI事業者ガイドライン 第1.2版」
- IPA「AI利用者のためのセキュリティ豆知識」
- OpenAI「Business data privacy, security, and compliance」
- Anthropic（個人向け製品）「Is my data used for model training?」
- Anthropic（法人・API向け製品）「Is my data used for model training?」
- Google Workspace「Generative AI privacy hub」
本記事は一般的な情報整理を目的としています。個別の法的判断は、社内の法務担当者や専門家へご確認ください。
無料相談（30分）受付中
「自社ではどこに境界線を引くべきか」「現在の契約・設定では何を確認すべきか」といった整理からご相談いただけます。業務と情報の流れを確認し、無理のない範囲から運用ルールを整えます。
無理な営業はいたしません。貴社のペースに合わせて、小さな業務から段階的に進めます。