会社の情報を生成AIに入力していい？小さな会社の社内ルールの作り方

01

まず、使うサービスと責任者を決める

会社のルールに「機密情報を入れない」とだけ書いても、社員ごとに判断が分かれます。利用可能なサービス、会社管理のアカウント、利用する業務、確認担当、相談窓口を具体的に決めます。個人が契約したサービスを業務に使う場合も、同じ確認が必要です。

確認するのは、モデルの学習への利用だけではありません。入力と出力の保存期間、サービス提供者のアクセス、外部連携先、共有設定、削除方法、契約終了時の扱いも対象です。条件はサービスや契約・設定で異なり、変更されることがあります。

02

情報を3段階で分ける、社内ルールの例

これは一律の法的分類ではなく、社内ルールを作るための例です。顧客との守秘義務、契約、自社の業種や保有情報に合わせて調整します。公開情報でも、転載・利用できる範囲の確認は必要です。

03

入力してよいか、順番に確認する

情報分類の表を作ったら、社員が迷った場面で使える判断手順にします。次の順番で確認し、途中で答えが分からなくなったら追加入力を止めて窓口へ相談します。

1. その作業のために、その情報が本当に必要か。架空の材料や公開情報だけで目的を達成できないか。
2. 会社が認めたサービスとアカウントか。個人契約の環境や新しい外部連携へ変わっていないか。
3. 情報の持ち主、社内規程、取引先との契約上、その用途と入力先が認められているか。
4. 学習利用、保存、アクセス、外部への共有など、契約と設定の確認が済んでいるか。
5. 出力を見る人と保存先が、元の情報を扱える範囲に収まっているか。

たとえば社内マニュアルの整理を許可していても、同じフォルダー内の人事評価表まで一括で読み込ませる許可にはなりません。対象をフォルダー単位で決める場合は、含まれる情報と後から追加される資料を誰が管理するかも決めます。

04

利用の申請と判断を残す、管理台帳の例

責任者が口頭で「使ってよい」と答えるだけでは、どの範囲の許可だったか分からなくなります。小さな会社でも、次の項目をひとつの表に残しておくと、設定や担当者が変わった際に見直しやすくなります。

架空の記入例：目的「公開商品説明の文章整理」、入力範囲「公開資料のみ」、出力先「社内確認用」、確認者「責任者A」。対象外の顧客履歴も書いて、許可の範囲を明確にします。

利用目的・対象業務：
利用するサービス・契約・アカウント：
入力する情報の種類と持ち主：
入力しない情報：
確認した契約・設定の資料と確認日：
出力の利用先・保存場所・閲覧者：
申請者／確認責任者／判断日：
許可した範囲と条件：
再確認が必要になる変更：
問い合わせ・誤入力時の窓口：

これは運用例で、法的な許可を代替する書式ではありません。利用目的、データの種類、契約条件によっては、本人同意や第三者提供・委託などの個別整理が必要です。判断できない点は、必要な資料を揃えて専門家へ確認します。

05

名前を伏せても、情報が残ることがある

氏名の置換だけを入力許可の根拠にせず、残っている項目と利用目的を責任者に示して確認します。法的な区分の判断が必要な場合は、個別の情報と扱い方を整理して専門家へ相談してください。

06

個人情報を扱う場合に確認すること

個人情報保護委員会の注意喚起（2023年6月）は、個人情報を含む入力は、特定した利用目的の達成に必要な範囲内か確認するよう求めています。また、本人の同意なく個人データを入力し、応答出力以外の目的で扱われる場合は、個人情報保護法違反の可能性があるため、機械学習等に利用されないことなどを十分確認するよう注意しています。

したがって、「学習に利用しない」という条件を確認しただけで、すべての個人情報を入力できるとはいえません。入力の必要性、利用目的、提供や委託の関係、契約条件などを整理し、判断できない場合は社内責任者や専門家に確認します。本記事だけで個別の入力可否は確定できません。

07

社員に渡す、短い利用ルール

長い規程とは別に、日々見る1枚の手順を用意します。次のひな形の空欄は、会社の責任者が決めてください。

架空の記入例：「会社指定の環境で公開商品資料だけを利用。顧客履歴は入力しない。送信前は営業責任者Aが確認」。社員がその場で判断できる具体例を入れます。

利用できるサービス・アカウント：［会社が指定］
利用する業務：［承認済みの対象］
通常入力できる情報：［具体例］
事前確認が必要な情報：［具体例］
入力してはいけない情報：［具体例］
送信・共有前の確認担当：［担当・役割］
迷ったとき／誤入力したときの連絡先：［窓口］
ルールの確認日・次回の見直し：［日付］

出力の保存先と共有範囲も決めます。入力側の制限を守っていても、生成した要約を広い共有フォルダーへ置けば、別の情報管理の問題が起こります。

08

迷ったとき・誤って入力したとき

入力前に迷ったら、追加の情報を渡さず確認します。誤って入力した場合は、入力を止め、何を・いつ・どのサービスへ入力したかを窓口へ連絡してください。自分の判断で履歴だけを消して完了にせず、責任者がログの保全、共有の停止、削除依頼、必要な対応を確認します。

IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版には、規程のサンプルと情報事故への対応の手引きがあります。AI専用のルールを孤立させず、既存の情報管理・事故対応の手順につなげて整えます。

• 使うサービス・契約・設定を会社で確認した。
• 入力する目的に不要な情報を除いた。
• 個人情報・取引先情報の扱いを自己判断していない。
• 出力の確認者と、保存・共有先が決まっている。
• 誤入力したとき、すぐ相談できる窓口がある。
• 契約や機能が変わったときに、ルールを見直せる。

誤入力を知らせる最初のメモ

IPAのインシデント対応の手引き「情報漏えいの場合」では、情報の種類や件数、状況の把握、原因・影響の調査などを示しています。次はその考え方を参考にしたAI利用時の社内報告案で、公式のAI専用書式ではありません。

記入時は、気づいた日時、利用先、情報の種類、分かっている範囲を先に伝えます。確認中の項目があっても報告を待たず、窓口の指示を受けて追記します。

気づいた日時／入力した日時：
利用したサービス・会社アカウント：
入力した情報の種類・おおよその件数：
外部共有・連携の有無（不明なら不明）：
確認できる履歴・画面の場所：
すでに行った対応：
報告者と折り返し先：

分からない項目を埋めるために報告を遅らせず、分かる範囲から連絡します。報告先の権限を確かめ、機密情報そのものを広いチャットへ再掲しないようにします。責任者は被害拡大を抑える措置と調査に必要な記録の確保を進め、サービス提供者への確認、削除依頼、関係者への連絡等を状況に応じて判断します。