生成AIの情報漏えいは、ツールの脆弱性よりも「入力してよい情報の線引きが決まっていない」ことで起きます。 高機能なツールを選んでも、誰が何を入力してよいか決まっていなければ意味がありません。この記事では、社内で決めておくべき7項目を実務の順に整理します。
決めるべき7項目
| # | 決めること | 決めないと起きること |
|---|---|---|
| 1 | 使ってよいツール | 個人アカウントの野良利用が広がる |
| 2 | 入力してよい情報の線引き | 判断が人によって変わる |
| 3 | 学習利用の設定 | 入力内容が外部で再利用される |
| 4 | アカウントの管理方法 | 退職者のアカウントが残る |
| 5 | 出力物の確認責任 | 誤情報がそのまま社外へ出る |
| 6 | 記録の残し方 | 事故時に何が起きたか追えない |
| 7 | 相談窓口 | 判断に迷った人が黙って使う |
7番目が最も抜けやすい項目です。 迷ったときに聞ける相手がいないと、人は「たぶん大丈夫」で進めます。
1. 使ってよいツールを決める
まず「これを使ってください」を1〜2つ決めます。選択肢を広げすぎると、ルールの説明が煩雑になり守られません。
決めた後に必要なのは、指定外のツールを使いたい場合の申請ルートです。禁止だけを置くと、申請できないので黙って使う人が出ます。
2. 入力してよい情報の線引き
最も判断に迷う項目です。実務で使いやすいのは、次の3段階に分ける方法です。
| 区分 | 例 | 扱い |
|---|---|---|
| そのまま入力可 | 公開済みの自社情報・一般的な業務相談 | 制限なし |
| 加工して入力可 | 顧客とのやり取り・社内資料 | 個人名・社名を記号に置換 |
| 入力不可 | 個人情報・未公開の財務情報・他社の機密 | ツールを使わない |
「加工して入力可」の置換ルールを短く決めておくのが定着のコツです。 「顧客名はA社・B社に置き換える」程度の単純さで十分機能します。手順が長いと守られません。
3. 学習利用の設定を確認する
入力した内容がモデルの改善に使われるかどうかは、提供元・プラン・契約形態によって異なります。プラン名だけで判断せず、利用時点の利用規約とデータの取り扱いに関する記載を確認してください。
確認するポイントは次の3つです。
- 入力内容が学習に使われるか、オプトアウトできるか
- 入力データがどこに保存され、どれくらいの期間残るか
- 管理者側で設定を一括変更できるか
この確認は導入時に一度で終わりにせず、契約更新のたびに行うのが安全です。 提供条件は変わることがあります。
4. アカウントの管理方法
個人アカウントの業務利用は、退職時に履歴ごと持ち出される状態になります。法人契約で管理者が一覧を持てる形にしておくのが基本です。
決めておくのは次の2点です。
- 入社・異動時に誰がアカウントを発行するか
- 退職時に誰が停止するか
この2点を人事の手続きに組み込んでおかないと、停止漏れのアカウントが残りやすくなります。 既存の入退社チェックリストに1行足すのが手堅い方法です。
5. 出力物の確認責任
生成AIの出力には、事実と異なる内容が混ざることがあります。ここで決めるのは「AIを信用するかどうか」ではなく、誰が最終確認するかです。
実務では次のように分けると運用しやすくなります。
- 社内で完結する文書（議事録の下書き・要約）— 作成者本人が確認
- 社外に出る文書（提案書・メール・公開記事）— 作成者＋もう1名が確認
- 数値・法令・契約に関わる記述 — 必ず一次情報にあたる
6. 記録の残し方
事故が起きたとき、何が入力されたかを追えないと対応できません。法人向けプランには管理者向けの利用状況確認機能が用意されていることがあります。導入時に「何がどこまで見えるか」を確認しておいてください。
すべてを監視する必要はありません。「見えている」と全員が知っていること自体が抑止になります。
7. 相談窓口を1つ置く
判断に迷ったときに聞ける相手を決めます。専任である必要はなく、既存の情報システム担当や総務が兼務で構いません。
窓口を置くだけで、黙って使うケースが減ります。 加えて、寄せられた質問がそのままルールの改訂材料になります。
規程に落とし込むときの分量
A4で2〜3枚を目安にしてください。長い規程は読まれません。詳細な手順書は別ファイルに分け、規程本体は判断基準だけにします。
規程の作り方は生成AIの入力ガイドライン策定手順、社内ルールの整備は社内プロンプトガイドラインの作り方で扱っています。
研修で扱うときの構成
ルールを配るだけでは運用に乗らないため、研修では次の順で扱います。
- なぜ線引きが必要か（実際に起きうる事故の形）
- 自社の3区分（入力可・加工して可・不可）
- 手元の業務でやってみる（自分の資料で置換を試す）
- 迷ったときの窓口
3番目の演習を入れるかどうかで定着が変わります。 自分の業務ファイルで一度やってみないと、翌日には忘れます。
なお助成金の活用を検討している場合、人材開発支援助成金はOFF-JTで合計10時間以上が要件で、合計10時間に満たない研修は対象外です。時間は要件の一つで、内容の要件もあります。令和8年8月3日の改正（経過措置あり）で、事業展開等リスキリング支援コースでは、職業人に共通する内容や、特定の業務に適用しない汎用的な内容（汎用的なプロンプトの作り方など）の訓練が対象外になりました。全社員に入力禁止の情報やルールを共有するだけのセキュリティ研修は、これに当たり得ます。申請を前提とするなら時間と内容の要件を先に確認してください。最終判断は労働局への事前相談をおすすめします。制度の詳細はAI研修 助成金の申請スケジュールにまとめています。
当社の研修プラン
| プラン | 料金 | 初期費用・契約条件 | 含まれるもの |
|---|---|---|---|
| ライト（半日） | ¥150,000/ 人（税抜・5名様〜） | 5名で受講した場合 ¥750,000 | ChatGPT・Claude基礎／プロンプト設計術／業務活用デモ |
| スタンダード（1日）おすすめ | ¥300,000/ 人（税抜・5名様〜） | 5名で受講した場合 ¥1,500,000 | ライトの全内容／業種別ワークショップ／自社業務への適用演習／AIリスク管理講習 |
| 伴走（個人） | ¥100,000/ 月・1名（税抜） | — | 月2回オンライン研修／チャットサポート／個別のAI活用フォロー／AI活用レポート |
| 伴走定着（組織） | ¥500,000/ 月（税抜） | — | 組織へのAI定着を伴走／AI推進体制・運用ルールの設計／部門横断の活用支援／月次レポート |
セキュリティのルール整備まで含めるなら、スタンダード以上をご提案しています。ルールを作って終わりではなく、運用に乗るまで見るなら伴走定着が向きます。
初回30分の相談は無料・オンライン対応・秘密厳守です。
まとめ
- 漏えいの原因はツールの性能ではなく線引きが決まっていないこと
- 入力情報は、「そのまま可・加工して可・不可」の3区分が扱いやすい
- 学習利用の設定はプラン名で判断せず、利用時点の規約を確認する
- アカウントの発行・停止は人事の手続きに組み込む
- 規程はA4で2〜3枚。長いものは読まれない
- 相談窓口を1つ置くだけで、黙って使うケースが減る
関連記事: