まな先生解説
こころ質問
すい要点整理
結論：まず何をすべきか（最初の30分でやること）
- 法人向けプランか、学習に使わない設定かを確認する：ChatGPTなら「設定→データコントロール→モデルの改善に使用」をオフ、Enterprise/Teamプランは既定で学習に使われません。GeminiやCopilotも法人契約は入力データを学習に使わない扱いが基本です。
- 入力してよい情報の3分類を決める：後述する「白（貼ってOK）・黄（要マスキング）・赤（貼るの禁止）」を紙1枚にまとめます。
- 試すデータは架空・匿名化したものにする：本番の顧客名や金額ではなく、ダミーで動作確認します。
- 上司または情シスに「使う旨」を一言共有する：無断利用が後々のトラブルの火種になります。
注意
無料の一般向けプランは、設定によっては入力内容がモデル改善（学習）に使われる場合があります。「無料だから」と本番データを貼るのが最も多い事故パターンです。まず設定画面を開くことから始めてください。
主な原因を深掘り：なぜ生成AIで情報漏洩が起きるのか
| 漏洩の経路 | 何が起きるか | 起きやすい場面 |
|---|---|---|
| 入力（プロンプト）経由 | 貼り付けた社外秘・個人情報が外部サーバーに送信される | 議事録・顧客リスト・ソースコードをそのまま貼る |
| 学習経由 | 入力内容がモデル改善に使われ、間接的に外部へ影響 | 無料プランで学習オプトアウトをしていない |
| アカウント・連携経由 | 認証情報の使い回しや外部連携でデータが流出 | 個人アカウント利用、怪しいプラグイン連携 |
| 出力の取り扱い経由 | 生成物に他社の権利物や誤情報が混入する | 出典未確認のまま公開・提出 |
補足
「AIが勝手に情報を覚えて他人に漏らす」というイメージが先行しがちですが、現実の漏洩の大半は“人が機密を貼る”という単純な操作ミスです。技術より運用の問題として捉えると対策が具体的になります。
原因別の見分け方：あなたの使い方は「白・黄・赤」どれか
| 色 | 判定基準 | 具体例 | 対応 |
|---|---|---|---|
| 白（そのまま貼ってOK） | 公開情報・架空データ・一般知識 | プレスリリース済みの内容、公開仕様、ダミーデータ | 通常利用OK |
| 黄（マスキングすれば可） | 個人・社名を消せば問題ない情報 | 議事録の骨子、メール文面の下書き | 固有名詞を伏字にして入力 |
| 赤（入力禁止） | 機密・個人情報・契約で守秘義務のあるもの | 顧客名簿、未公開財務、ソースコード、NDA対象資料、マイナンバー | 入力しない／許可された社内AIのみ |
- 「これが外部に出たら困るか」を一言で自問する：困るなら黄か赤です。
- 固有名詞・数値・識別子が含まれるかを確認する：氏名、住所、口座、社外秘の金額があれば黄以上。
- 契約や規程で守秘義務があるかを確認する：NDAや個人情報保護の対象なら赤。
- マスキングで白に変換できるかを検討する：「株式会社A」「担当者B」に置き換えれば黄→実質白として扱えます。
注意
YMYL（お金・健康・法律）に関わる情報は特に慎重に。顧客の病歴、口座情報、係争中の案件などは、匿名化しても“組み合わせで個人が特定される”リスクがあります。原則として赤に分類してください。
具体的な解決方法：安全に使うための設定とテンプレート
- ChatGPT：設定→データコントロール→「すべての人のためにモデルを改善する」をオフ。可能ならTeam/Enterpriseプランを契約（既定で学習不使用・管理機能あり）。
- Gemini（Google Workspace）／Copilot（Microsoft 365）：法人契約は入力データを学習に使わない扱いが基本。組織の管理者設定で利用範囲を制御。
- ログ・履歴：不要なら履歴保存をオフにできるツールもあります。ただしオフにすると自分の作業履歴も消える点は理解して選択します。
ケース別の対処：部署・立場ごとの安全な使い方
| 立場 | 主な赤情報 | 安全な使い方の例 |
|---|---|---|
| 営業・CS | 顧客名・金額・連絡先 | 返信文の型作り（固有名詞はダミー） |
| エンジニア | ソースコード・認証情報 | 最小ダミーコードで相談／社内AI利用 |
| 経理・人事 | マイナンバー・給与・口座 | 制度説明・ひな形作成に限定 |
| 経営・個人事業主 | 事業計画・NDA資料 | 契約確認後、公開範囲の情報のみ入力 |
補足
受託・下請けの立場では「自社は良くても相手が禁止」というケースが起こります。判断に迷ったら、まず相手（発注元）の情報取り扱いルールに合わせるのが安全側の選択です。
予防・再発防止のコツ：事故を繰り返さない仕組み
- 利用ツールを会社として指定する（シャドーAI対策）：従業員が勝手に無料ツールを使う「シャドーAI」が最大の盲点です。承認済みツールを明示し、それ以外は使わないルールにします。
- 法人プラン・管理コンソールを使う：管理者が利用状況を把握し、学習オフや外部連携の可否を一括制御できます。個人アカウント運用より格段に安全です。
- 入力前のワンクッションを習慣化する：貼り付け前に「白黄赤どれ？」と1秒考える。ブラウザに合言葉付箋を貼るだけでも効果があります。
- ヒヤリハットを責めずに記録する：「赤を貼りかけた」を共有できる空気を作ると、ルールの穴が見えます。犯人探しは報告を止めてしまい逆効果です。
- 定期的に教育・棚卸しする：AIの機能や規約は頻繁に変わります。四半期に一度、設定と分類を見直します。
専門家・公的情報の見解：ガイドラインは何を求めているか
個人情報取扱事業者が生成AIサービスに個人情報を入力する場合、あらかじめ特定した利用目的の達成に必要な範囲内であることを十分に確認する必要がある。（個人情報保護委員会の注意喚起の趣旨より）
やってはいけないNG対応：これをやると事故る
- 本番の顧客情報・機密をそのまま貼る：最も多い事故。「一度くらい」が命取りです。必ずダミー化します。
- 無料プランで学習オフを確認せずに使う：入力が学習に使われ得ます。設定確認は必須です。
- 個人アカウントで業務データを扱う：管理外の環境は把握も制御もできません。会社指定の環境を使います。
- 出力を裏取りせず提出・公開する：ハルシネーションや他社権利物の混入リスク。必ず一次情報で確認します。
- 他社の有償資料・著作物を丸ごと貼って要約させる：情報漏洩と権利侵害の二重リスクです。
- 社内ルールを無視して勝手なツールを導入する（シャドーAI）：組織の防御網に穴を開けます。
- 事故を隠す：発覚が遅れるほど被害は拡大します。速やかな報告が被害を最小化します。
注意
「会社に知られたくないから個人アカウントでこっそり使う」は最悪の選択です。管理外での漏洩は発覚も対処も遅れ、結果的に自分と会社の双方に大きな損害を与えます。使うなら“オープンに、承認された環境で”が鉄則です。
