あなたも、AIに何かを入力するとき、「これって大丈夫かな…」と指を止めたことがあるのではないでしょうか。
実は、その悩み方自体が、少しズレているかもしれません。
「入れていいか、ダメか」の二択で止まっている限り、AIはいつまでも中途半端にしか使えないからです。出ました、厳しい言葉。でも思い当たりませんか？（笑）
AIを仕事に使う場面が、どんどん増えていることから来る不安
メールの文面を整える。議事録を要約する。契約書のたたき台を確認する。見積書の文章をわかりやすくする。社内マニュアルを作る。
こうした作業にAIを使うと、確かに便利です。これまで30分かかっていた作業が、数分で終わることもあります。
しかし、便利になればなるほど、なぜか不安も一緒についてきます。
「この情報をAIに入れても大丈夫なのか？」
特に会社でAIを使う場合、この問題は避けて通れません。仕事で扱う情報の多くは、単なる文章ではなく、会社にとって大切な情報だからです。
顧客名、住所、電話番号、見積金額、契約内容、仕入価格、社内の判断基準、社員の評価、取引先とのやり取り。これらは、外に出てしまうと困る情報、つまり機密情報です。
では、AIに機密情報を入れてもいいのでしょうか。
結論から言えば、「何でも入れてよい」わけではありません。しかし、「AIには一切入れてはいけない」と決めつけるのも、実は現実的ではないのです。
大切なのは、AIを使うか使わないかの二択ではありません。どのAIに、どの情報を、どの形で入れるか。ここを決めることだけが、本当に意味のある選択なのです。
便利さの裏側で、情報はどこへ行くのか
AIに文章を入力すると、その文章は自分のパソコンの中だけで処理されているわけではありません。
多くの場合、入力した内容はAIサービスを提供している会社のサーバーに送られ、そこで処理されます。つまり、AIに入力するということは、外部のサービスに情報を渡すということでもあるのです。
ここを曖昧にしたまま使ってしまうと、危険です。
たとえば、ある社員が、使い慣れた個人のAIチャットアプリを開き、会社の見積書をそのままコピー＆ペーストしたとします。「この文章、もう少し分かりやすくして」と頼むだけの、ほんの数十秒の作業です。
別の社員は、取引先との契約書を丸ごと貼り付けて、「この内容を要約して」と頼むかもしれません。また別の社員は、社員の評価シートを入力して、「問題点を整理して」と聞いているかもしれません。
本人に悪気はないでしょう。むしろ、仕事を早く終わらせたい一心なだけかもしれません。そりゃそうですよね。誰だって、目の前の仕事はさっさと片付けたいものです。
しかし会社として見れば、管理していない外部サービスに機密情報を渡している状態です。AIが危ないというより、実は「会社側が情報の出し先を把握できていないこと」こそが問題なのです。
「AIに聞く」ことと「外部サービスに渡す」ことは、どう関連しているのか
多くの人は、AIを「賢い相談相手」のように感じています。
画面に向かって質問をすると、自然な文章で返事が返ってくる。そのため、つい社内の人に相談するような感覚で、いろいろな情報を入力してしまいます。
しかし、AIへの入力は、社内の同僚に話すのとは違います。会社の外にあるサービスに情報を送る行為です。この認識を持つだけでも、使い方は大きく変わります。
社内の会議室で上司に相談するなら、顧客名や金額をそのまま出しても問題ないかもしれません。しかし、外部のサービスにそのまま入力するとなると話は別です。
AIに聞いているつもりでも、実際には外部サービスを利用している。ここを混同してはいけません。
個人情報保護委員会も、生成AIサービスに個人情報を含むプロンプトを入力する場合には、利用目的の範囲内であることなどを確認するよう注意喚起しています。
もちろん、これは個人情報に関する注意です。しかし会社の実務では、個人情報だけを見ていればよいわけではないのです。
個人情報よりさらに考えるべき「機密情報」の問題
AI利用の注意点というと、多くの人はまず「個人情報」を思い浮かべます。氏名、住所、電話番号、メールアドレス、生年月日。確かに、こうした情報の取り扱いには注意が必要です。
しかし意外なことに、会社でAIを使う場合、本当に気をつけるべきなのは個人情報だけではありません。実務では、機密情報のほうがずっと広い問題になります。
- 顧客ごとの値引き率
- 仕入先との価格交渉の内容
- 契約書の条件
- クレーム対応の履歴
- 営業先のリスト
- 社員の給与や評価
- 社内だけで使っている業務マニュアル
- まだ公開していない新サービスの企画
これらは、必ずしもすべてが個人情報とは限りません。しかし、会社にとっては外に出ると困る情報です。「個人情報かどうか」だけで判断すると、実は不十分なのです。
AIに入力してよいかを考えるときは、まずこう考えるべきです。
「これは外部の人に見られても困らない情報か」
この問いに少しでも迷うなら、そのまま入力してはいけません。
個人用ChatGPTにも「学習に使わせない設定」はある
ここで、あなたに一つ聞いてみたいことがあります。
「ChatGPTに入力した内容は、すべてAIの学習に使われるのではないか」
そう思ったことはありませんか？ 一方で、ある程度AIに詳しい方なら、こう思うかもしれません。
「いや、個人用ChatGPTにも、学習に使わせない設定があるはずだ」
実は、その通りです。
個人用のChatGPTでも、設定画面のデータコントロールから「すべての人のためにモデルを改善する」をオフにすると、新しい会話はChatGPTの学習には使われない、とOpenAIは説明しています。実際の設定画面では、該当項目の横にあるトグルをオフにする形になっています。
これですね。
※画面は執筆時点のものです。設定項目の名称や表示位置は、今後変更される可能性があります。
ここで大切なのは、「個人用ChatGPTに入力した内容は必ず学習に使われる」と言い切るのは正確ではない、ということです。
しかし、さらに大切なのはその先です。実は、学習に使われない設定があることと、会社の機密情報を個人用ChatGPTに入れてよいことは、まったく別の話なのです。
問題は、学習に使われるかどうかだけではありません。
- そのアカウントを会社が管理できるのか
- 退職者のアクセスを止められるのか
- 誰がどの範囲で使っているのか把握できるのか
- 社内ルールに沿った使い方になっているのか
- 取引先との契約上、その情報を外部サービスに入力してよいのか
こうした点まで含めて考える必要があります。
個人用ChatGPTの設定をオフにしているから大丈夫。そう考えて、会社の見積書や契約書、顧客情報をそのまま入力してしまうのは危険です。「学習に使われない」ことは重要です。しかし、それは機密情報管理の一部であって、すべてではありません。ここを混同したまま突き進むと、思わぬところでつまずくことになります。
法人向けChatGPTを選ぶ、本当の意味
会社でChatGPTを使うなら、何を基準に考えればよいのでしょうか。
ここで重要になるのが、個人向けの利用と、法人向けの利用を分けて考えることです。
ChatGPTには、個人で使うプランのほかに、ChatGPT Business、ChatGPT Enterprise、ChatGPT Edu など、組織で使うことを前提にしたプランがあります。
法人向けプランについては、OpenAI公式の料金ページで確認できます。
OpenAI公式：ChatGPT 法人向けプラン・料金ページ
https://openai.com/ja-JP/business/chatgpt-pricing/
また、業務データや機密情報の取り扱いについては、OpenAIの次のページでも説明されています。
OpenAI公式：Business data privacy, security, and compliance
https://openai.com/business-data/
このページでは、ChatGPT Business、Enterprise、Eduなどの組織データについて、入力や出力をデフォルトではモデルの学習や改善に使わないこと、データが保存時・通信時に暗号化されることなどが説明されています。
法人向けプランの意味は、実は「学習に使われない」という点だけではありません。
法人向けプランを選ぶというのは、会社として利用者を管理できる環境を選ぶということでもあります。
- 会社として、利用者を管理できる
- 退職者のアクセスを止められる
- 組織として契約内容を確認できる
- 業務利用のルールを作りやすい
- 個人アカウント任せになりにくい
こうした点にこそ、法人向けプランの意味があります。
もちろん、法人向けChatGPTなら何を入れてもよい、というわけではありません。パスワード、APIキー、認証情報、社員の評価、未公開の経営情報、秘密保持契約に関わる情報などは、法人向けプランであっても慎重に扱う必要があります。
むしろ、「法人向けだから、もう何を入れても安心」と思い込んでしまう会社ほど、実は危ういのです。プランを変えることは、情報管理の入り口に立っただけであって、ゴールではありません。
ただ、少なくとも会社としてAIを使うなら、個人がそれぞれ自分の判断で使う状態より、法人向けの環境を用意し、社内ルールと合わせて運用するほうが安全です。
AI活用は、ツールの選び方だけでは決まりません。契約、設定、社内ルール、教育。これらを合わせて考える必要があります。
他のAIでも、実は考え方は大きく変わらない
ここまでChatGPTを例に説明してきましたが、この考え方は他のAIでも大きくは変わりません。
Claude、Gemini、Microsoft Copilotなどでも、個人向けの設定や、法人・組織向けのプランが用意されています。それぞれ名称や細かい条件は違いますが、個人利用と法人利用では、データの扱い、管理機能、契約条件が異なる場合があります。
Claudeの商用製品では、入力や出力をデフォルトではモデル学習に使わないと説明されています。Google Workspaceで提供されるGeminiについても、組織の契約に基づくデータ保護や、生成AIモデルの学習に関する説明があります。Microsoft 365 Copilotでも、プロンプトや応答、Microsoft Graphを通じて参照されたデータを基盤モデルの学習に使わないと説明されています。
つまり、ChatGPTだけが特別というより、主要なAIサービスでは、個人向けと法人向けでデータの扱いを分ける流れが広がっているのです。
ただし、ここでも注意が必要です。
「他のAIにも似た設定があるから大丈夫」と考えるのではなく、使うサービスごとに公式ページを確認することが大切です。設定名、保存期間、学習への利用、管理者機能、外部連携、第三者サービスとの関係は、サービスによって違います。
AIを業務で使う場合は、どのサービスを使うかだけでなく、そのサービスのどのプランを使うのか、会社としてどう管理するのかまで確認する必要があります。
AIに入れてよい情報・入れてはいけない情報の境界線
AIに入れてよい情報と、入れてはいけない情報は、どう分ければよいのでしょうか。
会社では、大きく三つに分けるとよいでしょう。
・そのまま入れてもよい情報
一般的な文章のたたき台、公開済みの会社案内、すでにホームページに載っている情報、一般的な業務の説明などです。外に出ても問題がない情報であれば、AIに入力するリスクは比較的小さいと言えます。
・加工すれば使える情報
顧客対応の文章、見積書の説明文、議事録、業務マニュアル、社内向けの案内文などです。これらはそのまま入れるのではなく、会社名、個人名、金額、住所、取引条件などを削除または置き換えて使います。
・原則として入れてはいけない情報
未公開の経営計画、取引先との秘密保持契約に関わる内容、社員の評価や給与、顧客の詳細な個人情報、パスワード、APIキー、認証情報などです。
特に、パスワードやAPIキーのような認証情報は絶対に入力してはいけません。これは個人情報かどうか以前に、会社のシステムに入るための鍵そのものだからです。
また、取引先から預かっている情報にも注意が必要です。自社の判断だけで「これは入れてもいいだろう」と考えるのではなく、契約上、外部サービスへの入力が許されるのかも確認しなければなりません。
AIに関するルールにまで手が回っていない会社が危ない
AI利用で一番危ないのは、社員がAIを使うことそのものではありません。
ルールがないまま、それぞれが自己判断で使っている状態です。
ある社員は個人用ChatGPTに顧客情報を貼り付ける。別の社員は契約書を丸ごと要約させる。また別の社員は、社内資料を個人アカウントに保存して使う。
こうなると、会社は情報がどこに出ているのか把握できません。
だからこそ、AI利用のルールは必要です。ただし、最初から細かい規程を作りすぎる必要はありません。まずは、最低限の線引きで十分です。
- 顧客名、住所、電話番号はそのまま入力しない
- 見積書や契約書は丸ごと貼り付けない
- パスワードやAPIキーは絶対に入力しない
- 社外秘資料は、会社が認めたAIサービスでのみ扱う
- 迷った場合は、上司や管理者に確認する
この程度でも、何もない状態とは大きく違います。AIを禁止するのではなく、使ってよい範囲を決める。これが現実的な対応です。
終わりに
AIに機密情報を入れていいのか。その答えは、「そのまま入れてよい」でも「絶対に入れてはいけない」でもありません。会社として管理できるAIに、必要な範囲だけ、適切に加工して入れる。ただそれだけのことです。
「入れる・入れない」の二択で悩んでいたあなたも、ここまで読めば、本当に決めるべきことが見えてきたのではないでしょうか。
完璧なルールを最初から作る必要はありません。まずは境界線を引くこと。それだけで、AI活用の安全性はきっと大きく変わることでしょう。
関連コラム
