中小企業のAI導入 実践ガイド / 03
社内情報を生成AIに入力する前に
中小企業のための確認ルール
「この情報は入力して大丈夫？」を、担当者一人の勘に任せない。
目的、情報の種類、使う環境を順番に確認しましょう。
生成AIへ情報を入力する前に、①利用目的、②情報の種類、③サービスの契約・設定、④社内の承認者を確認します。迷う情報、顧客の個人情報、取引先から預かった情報、未公開の機密情報は、自己判断で入力せず、社内窓口に確認してください。最初の検証には、公開情報や架空データを使う方法があります。
この記事は、連載第1回「AI導入で最初の1業務を選ぶ」で扱った業務選びを踏まえ、社内情報を使う前の確認手順を掘り下げます。
生成AIは文章の要約や下書きなどを手伝えます。一方、入力した情報の保存や利用の条件は、サービスや契約、設定によって異なります。「便利そうだから貼り付ける」のではなく、仕事で扱う情報に合った使い方を決めておくことが大切です。
この記事は一般的な社内運用の考え方を整理するものです。個別の契約・法令への適合を判断する法律相談ではありません。社内規程や専門家の助言とあわせてご利用ください。
最初に、目的と必要な情報を決める
「AIを使う」だけでは、何の情報が必要か判断できません。「公開済みの製品説明をもとに、社内FAQの下書きを作る」のように、何をさせるか、誰が結果を使うかまで決めます。
目的が定まったら、作業に必要な情報だけを選びます。氏名、連絡先、顧客番号など、回答に不要な情報は外すか、架空の値に置き換えます。匿名化やマスキングをしても、他の情報と照らして個人や会社が分かる場合があるため、入力先のルールに従ってください。
情報を3つに分けて考える
まず、会社で使っている情報分類と照らし合わせます。次の区分は確認を始めるための例であり、社内ルールがある場合はそちらを優先してください。
| 区分の例 | 例 | 確認の目安 |
|---|---|---|
| 公開情報 | 公開済みのWebページ、公開資料 | 著作権、利用条件、入力の必要性を確認する |
| 社内情報 | 社内手順、未公開の会議メモ | 社内規程とサービスの保存・閲覧条件を確認する |
| 個人情報・機密情報 | 顧客・従業員情報、未公開計画、技術情報 | 入力を止め、必要性・権限・契約・承認を担当窓口に確認する |
情報の区分は、見た目だけでは決められません。個人情報に当たるか、営業秘密として管理されているか、取引先との契約で外部サービスへの入力が制限されているかなど、背景のルールも関係します。
入力する資料や文章に、第三者の著作物・商標などの権利が含まれていないか、また取引先との契約や秘密保持義務に反しないかも事前に確認してください。権利や契約上の制約を判断できない場合は入力を止め、権利者や社内の法務・情報管理担当者に確認します。
利用するサービスと契約を確かめる
同じサービスでも、個人向け・法人向けの契約や設定でデータの扱いが違う場合があります。契約名だけで判断せず、管理者や情報管理担当者と最新の規約・データ管理資料を確認します。
- 入力内容や生成結果が、学習・サービス改善に使われるか。
- 会話やファイルが保存される期間、削除方法、保管場所はどうなっているか。
- サービス提供者や組織内の誰が情報を閲覧できるか。
- 会社が承認したアカウント・契約・設定を使っているか。
- 外部サービスへの委託、再委託、データ移転について契約上の制限がないか。
学習に使われない設定であっても、保存、アクセス権、外部委託、誤回答などの確認は残ります。特定ベンダーの機能名や画面操作は変更されるため、利用時点の公式資料で確認してください。
個人情報・営業秘密は一律に決めつけない
個人情報保護委員会は、生成AIサービスの利用に関する注意喚起で、個人データを入力する場合の利用目的や、提供事業者が応答以外の目的（機械学習等）に利用するかの確認を促しています。適用関係は情報の内容、目的、契約やサービスの実態などで変わるため、「入力しただけで直ちに違法」と一律に判断できるものではありません。
経済産業省の営業秘密管理指針（PDF）では、営業秘密の保護に関わる秘密管理性などの要件や、企業内外で情報を共有する場合の考え方が示されています。生成AIへの入力だけで保護の有無を一律に結論づけるのではなく、誰がアクセスできるか、どのような管理措置があるかなど、具体的な状況を踏まえて確認します。情報が社外に広がり得る環境への入力は慎重に扱ってください。
個人情報や営業秘密に該当する可能性のある情報は、担当者自身で法的判断をせず、法務・情報管理・セキュリティ担当者へ相談します。個人情報保護委員会の注意喚起は公式ページで確認できます。営業秘密の要件と管理方法は、経済産業省の「営業秘密管理指針」PDFを参照してください。
迷ったら入力前に承認を得る
他社との共同プロジェクト、顧客から預かった資料、発表前の製品情報などは、入力可否が担当者だけでは判断しにくい例です。会社で決めた窓口がない場合は、上長や情報管理の責任者に相談し、誰がどの条件で判断するか決めてから利用を始めます。
- 目的と入力予定の情報を短く書き出す。
- 情報の持ち主、社内分類、第三者との契約を確認する。
- 承認済みサービスと契約・設定を管理者に確認する。
- 入力を減らす、架空データに置き換えるなどの代替策を検討する。
- 判断者、許可された範囲、確認日を記録し、条件が変わったら再確認する。
入力前セルフチェック
社内の手順に合わせて調整し、承認記録とともにご利用ください。
- 今回の目的と、AIに依頼する作業が決まっている。
- 入力する情報は目的に必要な最小限である。
- 個人情報、顧客情報、取引先から預かった情報を含むか確認した。
- 未公開の事業計画、財務・技術情報など社内機密を含むか確認した。
- 第三者の著作物や秘密保持契約など、権利・契約上の制約を確認した。
- 承認されたサービス、アカウント、契約、設定を使う。
- 保存・学習利用・アクセス権・削除の条件を確認した。
- 判断に迷う場合は入力を止め、上長や情報管理担当者の承認を得た。
- 生成された内容を確認する担当者と、外部共有前の確認方法が決まっている。
誤って入力した場合の初動
入力すべきでない情報を送ってしまったと気づいたら、社内のインシデント対応ルールに従い、速やかに上長・情報管理窓口へ報告します。チャットやファイルの削除が可能な場合も、記録を残すため先に組織の手順を確認してください。
- 報告する。発生時刻、利用サービス、入力した情報の種類、操作を分かる範囲で記録し、担当窓口へ伝えます。
- 追加利用を止める。担当者の指示に従い、関連する共有や処理を停止します。削除や問い合わせを行った場合は、その結果も記録します。
- 影響範囲を確認する。アクセス可能な人、保存・共有状況、契約上の連絡先などを担当部署と調べ、必要な対応を決めます。
本人や取引先への連絡、当局への報告などが必要かどうかは、状況と適用ルールを踏まえて組織の責任者が判断します。あらかじめ連絡先と判断者を決めておくと、初動を進めやすくなります。
よくある疑問
入力データが学習に使われなければ安全ですか？
それだけでは判断できません。保存期間、閲覧できる人、削除、外部委託、契約上の制約なども確認し、社内で承認された利用環境か確かめます。
会社の法人アカウントなら、顧客情報を入力できますか？
法人向け契約であっても、入力できる情報や用途が自動的に決まるわけではありません。利用目的、本人への説明や社内権限、顧客との契約、サービス条件を担当窓口と確認してください。
個人名を置き換えれば匿名化できますか？
名前を削除しても、部署、日時、事例などの組み合わせで個人が分かる場合があります。匿名化の判断に迷う情報は入力せず、承認を得るか、十分に架空化したデータで検証します。
DIGITALCRAFT
AI活用の前に、業務と情報の流れを整理しませんか。
合同会社DigitalCraft（デジタルクラフト）は、AIを使う業務の整理、業務設計、システム構築、既存ツールとの連携、運用改善を支援しています。
AI導入について相談する参考資料と情報の確認日
情報確認日：2026年9月30日。法令、ガイドライン、各サービスの契約・機能は変更される場合があります。利用時点の公式情報と社内規程を確認してください。
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日）— 個人情報を含む入力とサービス提供者による利用に関する注意事項。
- 経済産業省「営業秘密管理指針」PDF（2025年3月31日改訂）— 営業秘密の要件と管理措置に関する指針。
- 総務省・経済産業省「AI事業者ガイドライン」PDF（第1.2版、2026年3月31日）— AI利用者を含む各主体のガバナンスの指針。