生成AIを会社で使うときの情報漏洩対策チェックリスト｜個人情報保護委員会・IPAの注意点をもとに解説

生成AIによる情報漏洩の多くは、悪意ある攻撃ではなく「便利だから」とそのまま機密情報や個人情報を入力してしまうことから起こります。個人情報保護委員会とIPA（独立行政法人情報処理推進機構）は、それぞれ生成AI利用時の注意点を公式に公表しています。この記事では、その要点をもとに、業務で今日から使えるチェックリストを紹介します。

なぜ生成AIで情報漏洩のリスクが生じるのか

生成AIサービスに入力した内容は、サービスによっては応答の生成以外の目的（AIの学習改善など）にも利用される場合があります。個人情報保護委員会は、事業者・利用者双方に向けて次のような点を注意喚起しています。

個人情報を入力する場合は、その利用目的の範囲内かどうかを十分に確認すること
本人の同意なく個人データを入力し、サービス提供事業者が学習など別の目的で処理する場合、個人情報保護法上のリスクがあること
入力した情報が機械学習に利用され、他の情報と結び付けられたり、不正確な形で出力されたりする可能性があること

また、IPAは「クラウドAIに営業秘密は教えない」という原則を明示し、社内用と社外用でAIブラウザ（利用環境）を分けること、複数の情報源を扱うRAG（検索拡張生成）利用時に情報が混在しないよう注意することなどを、AIに詳しくない利用者にも分かりやすい形で呼びかけています。

今日から使える情報漏洩対策チェックリスト

入力前に確認すること

□ 入力しようとしている内容に、顧客名・取引金額・未公開の商品情報などの機密情報が含まれていないか
□ 個人情報が含まれる場合、その情報をAIに入力する目的が本来の利用目的の範囲内か
□ 使っているサービスが、入力内容をAIの学習に利用しない設定になっているか（法人向けプランなどで確認できる場合がある）
□ 会社として利用してよい生成AIサービスが決まっている場合、それに沿っているか

入力するときの工夫

□ 顧客名や社名を仮名・記号（「A社」「顧客X」など）に置き換えられないか検討したか
□ 数字（金額・日付など）のうち、公開しても問題ない範囲に絞れないか検討したか
□ 社内用の利用環境と、社外の一般公開サービスを混同していないか

出力を使うときに確認すること

□ AIが出力した内容に、事実と異なる情報（誤った人名・数字など）が含まれていないか確認したか
□ 外部に送る文章の場合、機密情報が意図せず含まれていないか、送信前に見直したか
□ 重要な判断（契約、送金、人事など）をAIの出力だけで行っていないか

具体例：NGな使い方とOKな使い方

場面	NGな使い方の例	より安全な使い方の例
顧客対応メールの下書き	顧客の実名・連絡先・契約金額をそのまま入力する	「A社の担当者」「金額は非公開」のように仮名・記号に置き換えて入力し、送信前に実際の情報を手動で戻す
社内資料の要約	社外秘の資料をそのまま外部の無料AIサービスに貼り付ける	会社で利用が許可されている法人向けプランを使う、または要約前に社外秘部分を伏せる
契約書のチェック	契約書全文をAIに読み込ませて「問題ないか判断して」と丸投げする	AIには一般的な観点の確認を依頼し、最終的な法的判断は自分や専門家が行う

社内ルールを整備する場合の進め方

会社としての利用ルールがまだない場合、いきなり細かい規程を作ろうとすると時間がかかり、現場での運用が追いつかないことがあります。まずは次のような小さなステップから始めると取り組みやすくなります。

現状、社内でどの生成AIサービスがどのように使われているかを簡単にヒアリングする
この記事のチェックリストのような「入力してはいけない情報」の最低限のルールを1枚にまとめて共有する
法人向け・有料プランへの切り替えなど、利用環境自体を見直す必要があるかを検討する
定期的に（半年に一度など）ルールを見直し、生成AIサービス側の仕様変更にも対応する

いきなり完璧なルールを目指すのではなく、まずは最低限の注意点を全員で共有することが、情報漏洩対策の第一歩になります。

注意点：法律・制度についての位置づけ

個人情報保護委員会の注意喚起は2023年6月2日に公表されたもので、2026年9月時点でも同委員会の公式サイトで公開されている内容です。生成AIサービス自体は日々更新されていますが、「個人情報の利用目的の範囲を超えないようにする」という基本的な考え方は現在も変わっていません。ただし、個別の業務でどこまでの情報入力が許容されるかは、業種や取り扱う情報の性質によって異なります。判断に迷う場合は、社内の情報セキュリティ担当者や専門家に確認することをおすすめします。

よくある質問

Q. すでに何年も前から生成AIを使っています。今さら見直す必要はありますか。

A. 生成AIサービスの機能や利用規約は頻繁に更新されるため、以前は問題なかった使い方が現在の規約に合わなくなっている可能性があります。定期的に公式情報を確認し、社内のルールも合わせて見直すことをおすすめします。

Q. 生成AIに会社の情報を入力すること自体が禁止されているのですか。

A. 個人情報保護委員会やIPAの資料は「入力を一律禁止する」ものではなく、入力する情報の範囲や目的を十分に確認したうえで利用することを求めています。会社としての利用ルールがある場合は、それに従ってください。

Q. 無料版と有料版で情報の扱いは違いますか。

A. サービスによっては、法人向け・有料プランで入力内容を学習に利用しない設定が用意されている場合があります。ただし取り扱いはサービスごとに異なるため、利用しているサービスの公式ヘルプやプライバシーポリシーで確認することをおすすめします。

Q. 個人情報を入力してしまった場合、すぐに違法になりますか。

A. 個別の事案が法律上どう扱われるかは状況によって異なるため、この記事だけで判断はできません。心配な場合は、社内の担当部署や専門家に相談することをおすすめします。

まとめ

生成AIによる情報漏洩の多くは、悪意ではなく「便利だから」という理由で機密情報や個人情報をそのまま入力してしまうことから起こります。個人情報保護委員会やIPAが示す「入力目的の範囲を確認する」「営業秘密をクラウドAIに教えない」といった基本原則を踏まえ、この記事のチェックリストを使って、入力前に一度立ち止まる習慣をつけることが大切です。

次に取るべき行動

このチェックリストを、自分のチームや部署で共有し、生成AIを使う際に「入力前チェック」として使ってもらいましょう。会社としての利用ルールがまだない場合は、情報システム部門への相談をおすすめします。