お客様への返信を考える。会議の議事録をまとめる。見積書の文章を整える。ホームページに掲載する文章を作る。
生成AIを仕事に使う場面が増え、作業を進めやすくなったと感じる方も多いのではないでしょうか。
その一方で、メールや資料をそのまま貼り付ける前に、確認したいことがあります。
その情報は、外部のサービスへ送ってよい情報でしょうか。
お客様の氏名や連絡先、未公開の見積もり、社内の会議内容などは、手元で読むことと、外部サービスへ送ることでは扱いが変わります。
「有料のAIだから大丈夫」「学習されない設定にしたから何でも入れてよい」とは限りません。
この記事では、生成AIを便利に使い続けるために知っておきたい、個人情報・機密情報の扱い方を整理します。
AIへの入力は、外部に情報を送る行為になることがあります
インターネット上の生成AIサービスに文章やファイルを送る場合、その情報は通常、サービス提供者のシステムで処理されます。
自分のPCの画面で操作していても、そのPCの中だけで処理が完結しているとは限りません。デスクトップアプリとしてインストールして使う場合も同様です。
端末内だけで処理する仕組みもありますが、外部通信や連携機能の有無は製品・設定によって異なります。
まずは、どのサービスに、どのアカウントで、何を送っているのかを把握しましょう。
なお、外部サービスへ送ること自体が、直ちに情報漏洩や違法行為になるわけではありません。情報の種類、利用目的、契約、設定、社内ルールなどに照らして、その利用が認められるかを確認する必要があります。
そのメールや資料には、どんな情報が含まれていますか？
「文章を直してもらうだけ」と思っていても、入力する文章には、作業に不要な情報まで含まれていることがあります。
| 入力しようとしているもの | 含まれている可能性がある情報 |
|---|---|
| お客様からのメール | 氏名、メールアドレス、電話番号、住所、過去のやり取り |
| 見積書・請求書 | 取引先名、担当者名、個別の価格、取引条件、振込先 |
| 議事録・録音 | 参加者の情報、未公開の計画、人事、社内の判断 |
| お問い合わせ内容 | 注文番号、購入履歴、相談内容、生活や健康に関する情報 |
| 管理画面の画像 | 顧客情報、アカウント名、非公開URL、認証情報 |
| エラーログやコード | APIキー、接続情報、内部構成、利用者のデータ |
自分の名前や連絡先なら、本人として判断できる部分もあります。しかし、仕事で預かっているお客様や従業員の情報は、自分だけの判断で自由に扱えるものではありません。
個人情報でなくても、外へ出せない情報はあります
未公開の商品企画、仕入れ価格、独自の制作方法、契約条件などは、個人を特定する情報でなくても、会社や取引先にとって重要な情報です。
「名前が入っていないから問題ない」と判断せず、契約上の秘密保持義務や社内の情報管理ルールも確認しましょう。
経済産業省の資料でも、生成AIへの入力を通じた意図しない情報漏洩に注意し、利用するサービスの情報管理状況を踏まえて利用の可否を判断することが示されています。
参考：経済産業省「生成AIへの入力を通じた意図しない情報漏えいへの留意点」を含む資料
「学習されない」「保存されない」「共有されない」は別です
生成AIを仕事で使うとき、特に混同しやすいのが、この3つです。
| 確認すること | 意味 |
|---|---|
| 学習への利用 | 入力や出力が、モデルの改善・訓練に使われるか |
| 保存 | 会話、ファイル、ログなどが、どこに、いつまで残るか |
| 共有・アクセス | 提供者、組織内の利用者、連携先などが、どの条件で扱えるか |
モデルの学習に使わない契約や設定であっても、サービスの提供や安全対策のためにデータが保存される場合があります。
また、自分で会話の共有リンクを作成したり、外部アプリと連携したりすれば、別の確認が必要になります。
学習への利用を止める設定は重要ですが、それだけで、情報の扱いに関するすべての問題が解決するわけではありません。
履歴に表示されないことと、即座に削除されることも違います
例えば、GoogleのGeminiアプリの公式説明では、一時チャットはモデルの学習には使われませんが、サービスの提供や安全確保などのために72時間保持されるとされています。
これは、履歴に残らない使い方でも、一定期間の保持があり得る例です。職場・学校のアカウントなどでは適用条件が異なるため、自分が利用する環境の説明を確認してください。
参考：Google「Geminiアプリのプライバシー ハブ」
Claudeの個人向けサービスでも、会話を削除すると履歴からは直ちに消える一方、保存システムからの削除には期間があり、法令対応などの例外も説明されています。
参考：Anthropic「How long do you store my data?」
サービスの条件は変更されます。以前確認した内容や、別のプランの説明を、そのまま現在の利用に当てはめないことが大切です。
有料プランなら、仕事の情報を入れてよいのでしょうか？
有料プランでも、個人向けと法人向けで契約や管理機能が異なる場合があります。
料金を払っていることだけでは、会社が認めた環境か、取引先から預かった情報を扱える契約かまでは判断できません。
例えば、会社が業務用の環境を用意しているのに、使いやすいからと個人アカウントへ資料を送れば、会社の管理から外れてしまう可能性があります。
利用前には、次の点を確認しましょう。
- 会社が認めたサービス・アカウントか
- 入力できる情報の範囲が決まっているか
- 学習への利用と、保存・削除の条件はどうなっているか
- 誰が会話やファイルにアクセスできるか
- 外部アプリや別のサービスへの送信があるか
- 契約終了や退職時に、データと権限を整理できるか
法人向けの契約も、確認なしに何でも入力してよいという意味ではありません。契約と設定に合った使い方が必要です。
名前を消せば、そのまま入力しても大丈夫？
氏名を「Aさん」に変えることは、情報を減らす工夫の一つです。ただし、それだけで個人を特定できなくなるとは限りません。
勤務先、役職、地域、詳しい日付、相談内容などが組み合わさると、誰のことか分かる場合があります。
また、名前を消しても、未公開の取引条件や社内事情が残っていれば、機密情報の問題は残ります。
単なる伏せ字を、法律上の「匿名加工情報」と同じものとして扱うこともできません。
まず「その情報が本当に必要か」を考えます
例えば、お客様への返信の言い回しを相談したいだけなら、氏名、住所、注文番号、過去の購入履歴まで送る必要はないかもしれません。
次は、実際のお客様の情報を使わない、入力方法の想定例です。
商品の配送が遅れているという問い合わせへの返信案を作成してください。
お詫びと、配送状況を確認して改めて連絡することを伝えたいです。
到着日や補償内容は未確認なので、約束する表現を入れないでください。
宛名と注文番号は、こちらで後から入力します。
相談したい内容だけを伝えれば、元のメールを丸ごと貼らずに進められる作業もあります。
必要な箇所を取り出す、仮の情報に置き換える、一般的な質問にする。まずは、入力する情報を減らせないか考えましょう。
ただし、加工しただけで利用が許可されるとは限りません。社内ルールや契約の確認は別に必要です。
添付ファイル・スクリーンショットにも注意しましょう
画面上で見えている本文以外にも、情報が含まれることがあります。
- メールの署名や引用された過去のやり取り
- 文書のコメント、変更履歴、作成者情報
- 表計算ファイルの別シートや非表示の行・列
- 画像に写り込んだ通知、タブ名、アカウント情報
- ログやURLに含まれる認証情報
「この部分だけ読んで」と指示しても、ファイル自体を送れば、不要な情報を含むファイルを渡したことになります。
必要な部分だけを新しいファイルに移し、不要な情報が残っていないか確認する方法もあります。
PDFなどを黒い図形で覆っただけでは、元の文字情報が残る場合があります。見た目だけで判断せず、情報を実際に除去できる方法を使ってください。
パスワード、APIキー、認証コードなどは、通常の相談やエラー確認のために、そのまま入力する必要はありません。
「この情報を匿名にして」と、元データを先に送らない
気をつけたいのが、個人情報を消してもらうために、元の顧客名簿やメールを、利用が認められていないAIへ送ってしまうことです。
その時点で、元の情報を外部へ渡しています。
情報を除く作業は、手元で行うか、そのデータを扱うことが認められた環境で行いましょう。
また、AIが「安全です」「入力して問題ありません」と回答しても、その返答は会社の承認や契約上の許可にはなりません。
入力の可否は、サービスの公式条件と、社内の管理担当者などに確認する必要があります。
仕事で使うなら、小さくても利用ルールを作りましょう
「各自で気をつけてください」だけでは、判断が人によって変わってしまいます。
小規模な会社や個人事業でも、少なくとも次の項目を決めておくと、使う人が迷いにくくなります。
| 決めておくこと | ルールの例 |
|---|---|
| 利用する環境 | 指定したサービスと業務用アカウントを使う |
| 入力してよい情報 | 公開済みの文章、仮のデータなどから始める |
| 確認が必要な情報 | 顧客情報、契約書、社内資料は担当者に確認する |
| 入力しない情報 | パスワード、秘密鍵などの認証情報 |
| 共有・連携 | 共有リンクの公開範囲や外部連携を確認する |
| 出力の確認 | 送信・公開前に担当者が内容を確認する |
| 誤入力した場合 | 利用状況を記録し、決めた窓口へ速やかに報告する |
これはルールを考えるための例です。実際には、扱う情報や契約に合わせて決めてください。
個人情報保護委員会は、個人情報を入力する際に利用目的の達成に必要な範囲かを確認することや、一定の場合に機械学習への利用などを十分に確認することを注意喚起しています。
「AIへの入力はすべて禁止」「学習されなければ必ず適法」という単純な話ではありません。利用目的や提供先での扱いなどを踏まえた判断が必要です。
参考：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」
出力された文章も、そのまま送らないようにしましょう
入力する情報を整理しても、出力内容の確認は必要です。
AIが、伝えていない納期や補償条件を補ったり、金額や事実関係を誤ったりする可能性があります。入力した情報が、回答の中に再び含まれることもあります。
お客様への返信やWebサイトへの掲載前に、次の点を確認しましょう。
- 事実、数字、日付が正しいか
- 約束していない対応や条件が追加されていないか
- 公開してはいけない情報が含まれていないか
- 相手や目的に合う表現になっているか
生成AIを使っても、最終的に送信・公開する内容の確認は、業務の一部として残ります。
誤って入力してしまった場合は、早めに相談しましょう
入力した直後に気づいても、慌てて「履歴を消したから大丈夫」と判断しないでください。
まず、どのサービスの、どのアカウントで、いつ、何を送ったかを整理し、会社の管理担当者などへ速やかに報告します。内容の確認に必要な記録は、情報をむやみに複製せず、指定された場所で扱いましょう。
そのうえで、状況に応じて次の対応を進めます。
- 追加の入力や共有を止める
- 共有リンクや連携先など、アクセスできる範囲を確認する
- 提供元の削除手順や問い合わせ窓口を確認する
- 認証情報を送った場合は、無効化・再発行などを行う
- 対象の情報と契約に応じて、必要な報告や連絡を判断する
履歴の削除だけで、すでに行われた処理や、別の場所へ共有された情報まで取り消せるとは限りません。
一方で、誤入力がすべて同じ被害や法的義務につながるわけでもありません。送った情報と利用条件を確認して判断する必要があります。
「怒られそうだから黙っておく」ことで対応が遅れないよう、報告しやすいルールも大切です。
便利に使うために、渡す情報を自分で選びましょう
生成AIは、文章の下書き、構成の整理、一般的な質問、公開済みの情報を使った作業などに活用できます。
業務での利用をすべて避けるのではなく、使う環境と情報の扱いを確認し、必要な範囲で使うことが大切です。
何を入力するのか。どこへ送るのか。どのように保存・利用・共有されるのか。
この確認を、普段の作業の一部にしましょう。
Webサイトのお問い合わせ対応や記事制作などで、生成AIをどう取り入れればよいか迷っている方は、気軽にご相談ください。扱う情報や運用方法を整理しながら、一緒に考えます。
ご相談は無料です。 調査・設定・制作などの作業が必要な場合は、対応内容と費用をご案内します。