会社でAIを使うときのセキュリティ｜入力してはいけない情報5つ
こんにちは！！営業の笹本です！！
みなさん、AIに何かを頼むとき「あれ、これって入れてもええんかな…？」と手が止まったこと、ありませんか？お客さんの名前が入ったメモ、取引先からもらった資料、社内の数字…。便利なのは分かっていても、どこまで入れていいのか、意外とはっきりしないんですよね。
先に結論を言うと、迷ったときの合言葉は「入れない・伏せる・聞く」の3つです。個人情報や預かった情報はそもそも入れない。どうしても使いたいときは名前や数字を伏せる。それでも判断がつかないときは、一人で決めずに聞く。これだけで、うっかり事故のかなりの部分は防げます。
今回は、会社でAIを使うときに「入力してはいけない情報」を5つに整理して、伏せ方のコツと、会社として最低限決めておきたいことまでまとめてみました。
なぜ「AIに入れる情報」がセキュリティの話になるのか
ChatGPTやGemini、Copilotなどの生成AIに文章を入力すると、その内容はAIを提供する会社のサーバーに送られます。社内のパソコンの中だけで完結しているわけではない、というのがポイントです。サービスや契約の種類によっては、入力した内容が保存されたり、AIの学習(性能を上げるための材料)に使われたりする可能性もあります。
この「AIの使い方」をめぐるリスクは、いまや無視できないものになっています。IPA(情報処理推進機構)が毎年発表している「情報セキュリティ10大脅威 2026」の組織編では、「AIの利用をめぐるサイバーリスク」が初めて選ばれ、いきなり3位に入りました(出典：IPA「情報セキュリティ10大脅威 2026」)。1位のランサムウェア、2位のサプライチェーン攻撃に続く位置です。
現場の実態を見ても、ちょっとドキッとする数字があります。株式会社サイバーセキュリティクラウドが2026年4月に会社員300名に行った調査では、生成AIを業務で使っている人は67%。そのうち約15%は「会社のルールが明確でないまま」または「ルールで認められていないツールで」使っている、いわゆるシャドーAI(会社が把握していないAI利用)の状態でした。さらに、利用者の約16%が顧客名・取引先情報を、10%が個人情報(氏名・連絡先)を入力したことがあると答えています(出典：サイバーセキュリティクラウド「生成AI利用者の35%がヒヤリハットを経験」2026年5月13日)。
悪気がある人はほとんどいないと思うんです。「早く終わらせたい」「ちょっと整えてほしい」くらいの気持ちで、つい貼り付けてしまう。だからこそ、事前に線を引いておくのが大事なんやろな、と思います。
AIに入力してはいけない情報5つ
✅ 1. 個人情報(お客さん・社員・応募者)
氏名・電話番号・メールアドレス・住所はもちろん、社員の人事評価や健康のこと、応募者の履歴書なども含みます。「お客さんへのお詫びメールを作りたいから、問い合わせ履歴をそのまま貼る」は、いちばん起きやすいパターンです。
個人情報保護委員会も、生成AIサービスの利用について注意喚起を出しています。【要確認】会社が個人データをプロンプト(AIへの指示文)に入れる場合は、その情報を集めたときの利用目的の範囲内かを十分に確認すること、また入力した個人データがAIの学習などに使われる場合は法律違反になる可能性があること、が示されています【要確認】(出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」)。細かい判断は難しいので、現場としては「個人が特定できる情報は入れない」を基本にしておくのが安全です。
✅ 2. 取引先から預かった情報
お客さんからもらった図面、仕様書、見積依頼、社内資料などです。これらは「自社の情報」ではなく「預かっている情報」。秘密保持契約(NDA)を結んでいる場合、契約の内容によっては、外部のサービスに渡すこと自体が約束違反になりかねません。自社の判断だけで扱えない情報だ、という意識を持っておきたいところです。
✅ 3. パスワード・ログイン情報
「このエラーの原因を教えて」と設定ファイルや画面をまるごと貼ったら、そこにパスワードやアクセス用のキーが含まれていた…というのは意外とあるあるです。ログイン情報はどんな理由があっても入れない、と決めてしまうのがいちばんです。
✅ 4. まだ公表していない社内の重要情報
決算前の数字、新製品・新サービスの計画、人事異動、値上げの予定など、社外に出る前の情報です。漏れたときの影響が大きいわりに、「資料を整えて」「要約して」とAIに頼みたくなる場面が多いのがやっかいなところです。
✅ 5. 社外秘の技術情報やノウハウ
自社のソースコード、製造条件、独自の手順書など、会社の強みそのものになっている情報です。法人向けの契約で学習に使われない設定になっていても、社外のサーバーに送ることに変わりはありません。どこまで扱ってよいかは、会社として決めておきたい領域です。
「伏せれば使える」ことも多い｜置き換えのコツ
ここまで読むと「じゃあ何も入れられへんやん」と思うかもしれませんが、そんなことはありません。AIに必要なのは、多くの場合「具体的な名前」ではなく「状況」です。
- 会社名・人名 →「A社」「Bさん」「取引先の部長」に置き換える
- 金額・数量 →「約100万円」「数百個」のようにざっくりにする
- 日付・場所 →「来週」「県内の工場」など、ぼかしても意味が通る形にする
たとえば「A社の部長に、納期が1週間遅れることをお詫びするメールを書いて」でも、十分に使える下書きが返ってきます。固有名詞は、AIの出力を受け取ってから自分で書き戻せばOKです。
ただし注意点もあります。名前を消しても、内容の組み合わせで誰のことか分かってしまう場合(「県内で唯一の〇〇工場の工場長」など)は、伏せたことになりません。「知っている人が読んだら分かるか？」を一度考えてみるのがおすすめです。
会社として最低限決めておきたい3つのこと
一人ひとりの注意だけに頼ると、どうしてもムラが出ます。立派なガイドラインでなくてもいいので、次の3つだけでも決めておくと、現場はかなり迷わなくなります。
✅ 使っていいAIツールを決める
「会社で契約しているこのツールを使う」と決めるだけで、個人アカウントへの持ち出しが減ります。先ほどの調査でも、会社のAI利用ルールが「ない」「わからない」と答えた人が約45%いました。ルールが見えないと、人は自己判断で動くしかありません。
✅ 学習に使われない設定・契約になっているか確認する
多くのAIサービスは、法人向けプランでは入力内容を初期設定で学習に使わない方針をとっています。たとえばOpenAIは、ChatGPTのBusiness・Enterpriseプランなどのデータを、初期設定ではモデルの学習に使わないと公表しています(出典：OpenAI「Business data privacy, security, and compliance」)。一方で、個人向けの無料・有料プランは設定を自分で変えないと学習に使われる場合があります。プランや設定は変わることがあるので、使っているサービスの公式ページで一度確認しておくと安心です。
そして大事なのは、「学習に使われない＝何を入れても大丈夫」ではないということ。社外のサーバーに送ることは変わらないので、ここまでの5つの線引きは法人プランでも基本は同じです。
✅ 迷ったときの相談先を決める
「これ入れていいですか？」と気軽に聞ける人を一人決めておくだけで、事故はぐっと減ります。情シス担当がいない会社なら、総務の方や、AIに詳しい社員でも構いません。聞いた人が責められない雰囲気づくりもセットで大切です。
まとめ｜「入れない・伏せる・聞く」で十分スタートできる
会社でAIを使うときのセキュリティは、難しい技術の話というより「何を入れるか」の線引きの話です。
- ✅ 個人情報・預かった情報・パスワード・未公表情報・社外秘の技術は入れない
- ✅ 使いたいときは、名前や数字を伏せて「状況」だけ渡す
- ✅ 使うツール・設定・相談先を会社として決めておく
AIを怖がって使わないのは、正直もったいないです。線さえ引いておけば、安心して便利なところを使い倒せます😄 参考になれば嬉しいです！
あわせて読みたい
👉 生成AIの共有リンクが検索に公開？中小企業のセキュリティ対策を解説
👉 中小企業のセキュリティ対策｜情シスがいない会社の最低限7項目
👉 中小企業のAI導入、最初の一歩は何から？失敗しない始め方
最後まで読んでいただき、ありがとうございます！
Auto-IDフロンティアは、業務システム開発からAI活用支援まで、「現場が楽になるIT」をお手伝いする滋賀の会社です。
「ちょっと聞いてみたいだけ」くらいの気軽なご相談も歓迎です。
👉 お問い合わせはこちら
