「顧客名簿の整理を AI に頼んだら、どこに残るの？」
「うっかり機密情報を入れたら、もう取り返せないの？」
そんな疑問を持つ、業務で生成AIを使い始めたあなたへ。
結論から言えば、
生成AIに機密情報を入れる前に「学習データ化」「クラウド保存」「アカウント侵害」という3つの漏洩経路
を押さえておくと、入力 OK / NG の判断が一気にしやすくなります。
「AIと機密情報」とは、業務で生成AIに入力したデータがどこに残り、誰に見られうるかという情報管理の論点群です。本記事では3つの漏洩経路と、業務でやりがちな NG シーン、入力前の判断軸まで、生成AIを使い始めたあなた向けにやさしく整理します。
1. 生成AIと機密情報の関係
あなたが業務で ChatGPT などの生成AIを使うとき、最初に押さえたいのは「入力データがどこへ行くのか」という前提です。生成AIの多くは、入力された文章をサービス提供会社のクラウド側で処理し、履歴として保存する仕組みを取っているとされています。社内ネットワーク内のツールと同じ感覚で使うと、想定外の経路に情報が残る可能性があります。
もう1つ知っておきたいのは、生成AIサービスの挙動はプランによって扱いが分かれるという点です。無料版・個人プラン・法人プランで、入力データの取り扱いやログ保存ポリシーが異なる場合があるとされています。
2. 漏洩リスクの3つの経路
では具体的に、生成AIに入力した機密情報はどの経路で外に漏れる可能性があるのでしょうか。あなたが押さえたい経路は、大きく3つに整理できます。
2. クラウド保存 — 入力履歴がサービス側のサーバーに残り、運営側の関係者がアクセスしうる
3. アカウント侵害 — パスワード使い回しや端末紛失で、履歴ごと第三者の手に渡る
1つ目の学習データ化は、入力テキストが将来のモデル改善のデータに使われるかという論点です。OpenAI 公式の説明によれば、無料版や個人向けプランの入力は、設定によって将来のモデル改善に利用される場合があるとされており、ユーザー側で学習利用をオフにできるオプションが用意されている場合もあります。
2つ目のクラウド保存は、学習に使わない設定でも、入力履歴自体はサービス側サーバーに一定期間残るのが一般的とされています。不正利用の調査目的で運営側スタッフが履歴を確認する可能性があるとポリシーに記載されたケースもあります。
3つ目のアカウント侵害は、生成AI固有のリスクではなく一般的なクラウドサービスと同じです。ただし業務の機密情報を AI チャット履歴に残していると、乗っ取り時にまとめて流出する可能性があります。
仕組みの前提は LLMとは も合わせて読むと、入力データの処理イメージがつかみやすくなります。
3. 実際に起きうるシーン
3つの経路を踏まえて、業務でやりがちな「NG になりうるシーン」を3つ見ていきます。あなた自身が普段の作業で似たことをしていないか、思い浮かべながら読むと役立ちます。
2. 顧客名簿（個人情報を含む CSV）の整形依頼
3. 自社プロダクトのソースコードを貼ってリファクタリング依頼
1つ目は、社外秘の議事録をそのまま貼り付けて要約依頼するシーンです。議事録には未公開の経営情報や取引先名が含まれることが多く、外部サービスに送ると機密情報が履歴に残る経路が生じます。
2つ目は、顧客名簿の CSV を整形依頼するシーンです。氏名・連絡先・購買履歴などの個人情報は個人情報保護法の対象で、外部サービスへの入力自体が社内ガイドライン違反になる可能性があります。
3つ目は、自社プロダクトのソースコードを貼ってリファクタリング依頼するシーンです。コードには認証キー・社内 API のエンドポイント・独自アルゴリズムなど、外部に出すと不利益が生じる情報が含まれがちです。著作権の論点も絡むので AIと著作権 も参考になります。
これら3シーンに共通するのは「便利だから、つい貼り付けてしまう」構図です。たとえるなら公衆 Wi-Fi のカフェで機密書類を広げて読む行為に近いと捉えると、リスクの感覚をつかみやすくなります。
4. 業務で安全に使うための判断軸
業務で生成AIを安全に使うために、あなたが入力前に持っておきたい判断軸を整理します。まずは入力前に「3点だけ」確認する習慣から始めるのが現実的です。
2. 社外秘情報が含まれていないか（未公開の経営情報・議事録 等）
3. 取引先情報が含まれていないか（取引先名・契約条件・見積金額 等）
この3点のうち1つでも該当する場合は、入力前に立ち止まる合図です。社内に生成AIの利用ガイドラインがあれば、まずそちらを確認すると安心です。
業務利用では機密情報リスクと並んで「出力結果の正しさ」も意識したい論点です。詳しくは ハルシネーションとは で整理しています。
個別のデータで「これは入れていい？」と判断に迷ったときは、社内ガイドラインを確認した上で、情シス・法務などに相談しておくと安心です。本記事は概要レベルの整理であり、個別判断には社内の担当部署や専門家の意見が役立ちます。
まとめ: 今日からできる、最初の一歩
最後に、この記事のポイントを3つだけ振り返ります。
- 生成AIと機密情報の漏洩経路は「学習データ化 / クラウド保存 / アカウント侵害」の3つに整理できる
- 業務での NG シーンは「議事録の貼り付け / 顧客名簿の整形 / ソースコードの貼り付け」が典型
- 入力前は「個人情報 / 社外秘 / 取引先情報」の3点チェックと、迷ったら情シス・法務に相談
この概念は、生成AIパスポート 領域3「生成AIのリスク」の中核テーマとして出題されます。試験対策としても、ここを押さえておくと土台が固まります。
今日からできる、最初の一歩はとてもシンプルです。
2. 自社に生成AIの利用ガイドラインがあるか1分で確認する（1分）
3. 入力前3点チェック（個人情報・社外秘・取引先情報）を1行メモにする（3分）
たった5分で、あなたの生成AI業務利用の安心感はぐっと上がります。
完璧にゼロリスクにする必要はなく、「3経路と3点チェックを意識する」とだけ覚えておけば最初は十分です。あなたのペースで、ゆっくり広げていきましょう。
次のステップ
- 同領域3 別テーマ: AIと著作権
- 同領域3 別テーマ: ハルシネーションとは
- 同領域3 別テーマ: プロンプトインジェクションとは（公開予定）
- 試験全体: 生成AIパスポート 試験全体概要
