AIに入力するデータと個人情報の扱い｜社内ルールと安全な使い方

Data & Privacy

AI活用で一番先に決めるのは、どの情報を入れてよいか

AIは便利ですが、入力した文章、ファイル、画像に、顧客情報、従業員情報、契約条件、未公開資料、パスワードなどが含まれることがあります。ビジネス利用では、AIの性能より先に入力データのルールを決めます。

個人向けプラン、業務向けプラン、API、企業向けサービスでは、データの扱い、保存期間、管理者機能が異なります。使う前に、自社の情報を入れてよいサービスかを確認しましょう。

ユウ

契約書をAIに読ませれば、要点をまとめてくれて最高ですよね。

ミナミ

便利ですが、その契約書に相手先名、金額、秘密情報が入っているなら慎重に。まず入れてよいサービスか確認します。

ユウ

AIに相談する前に、会社の秘密をうっかり相談していないか見るんですね。

ミナミ

はい。AIに詳しくなる前に、まず守る情報を決めましょう。

信号機で分けると判断しやすい

最初から完璧な社内規程を作るのは大変です。まずは、AIに入力する情報を「緑・黄・赤」の3段階に分けると、現場で判断しやすくなります。

区分	入力してよい目安	例	運用
緑	公開されても困らない情報。	公開済みの会社概要、サービス説明、一般的な文章の下書き。	社外公開前に事実確認する。
黄	社内情報だが、個人名や取引先名を伏せれば使える可能性がある情報。	業務手順、FAQ案、匿名化した問い合わせ内容、一般化した議事録。	匿名化し、業務向けプランや会社承認済みサービスで扱う。
赤	そのまま入力してはいけない情報。	顧客名簿、履歴書、契約書全文、未公開売上、パスワード、APIキー、秘密保持対象の資料。	入力禁止。必要なら責任者と専門家に確認する。

迷ったら黄色ではなく赤として扱います。AIは便利ですが、あとから「やっぱり入れないほうがよかった」と戻すのは難しいためです。

入力前に分ける情報

AIに入力してよいか迷ったら、まず「公開されても困らない情報か」「相手から預かった情報か」「会社の競争力に関わる情報か」で分けます。AIの種類やプラン以前に、この仕分けができていないと、便利さの前にリスクが大きくなります。

情報の種類	例	扱い
公開情報	自社サイトに掲載済みのサービス説明、公開済みの料金表。	比較的使いやすいが、誤った解釈がないか確認する。
社内情報	社内マニュアル、議事録、売上傾向、業務手順。	個人名や機密部分を伏せる。業務向けプランを検討する。
個人情報	氏名、住所、電話番号、メール、履歴書、顧客リスト。	原則として安易に入れない。利用目的、同意、管理ルールを確認する。
機密情報	契約条件、未公開商品、仕入価格、パスワード、APIキー。	入力禁止にする。必要なら社内承認済みの安全な環境を使う。
第三者の著作物	他社資料、書籍、記事、画像、音楽、動画。	権利と利用条件を確認する。丸ごと投入・再利用は避ける。

無料・個人向けと業務向けを同じにしない

同じAIサービスでも、無料プラン、個人向け有料プラン、チーム向け、企業向け、APIでは、データの扱い、管理者機能、保存期間、外部連携の権限が違うことがあります。

たとえばOpenAIは、企業向けのプライバシー説明で、ビジネスデータを既定でモデル学習に使わないことや、組織管理の機能を案内しています。Google Workspaceも、組織で使うデータ保護やアクセス管理を重視しています。つまり、仕事で使うなら「有名なAIだから大丈夫」ではなく、「どのプランで、どの設定で、誰が管理するか」を確認します。

利用形態	向く使い方	注意点
個人アカウント	公開情報の下書き、一般的なアイデア出し。	会社の重要情報や顧客情報は入れない。退職時の管理も難しい。
会社管理のチーム向けプラン	社員利用、共有、履歴管理、一定の業務データ利用。	管理者、利用範囲、入力禁止情報、退職時停止を決める。
企業向けプラン	複数部署、厳しい情報管理、権限管理が必要な会社。	契約条件、データ保持、監査ログ、SSO、管理機能を確認する。
API・自社システム連携	問い合わせ分類、社内検索、業務フローへの組み込み。	ログ保存、外部送信、個人情報、アクセス権限、開発会社との契約を見る。

よくある入力場面ごとの注意点

中小企業や個人事業主がAIを使い始めると、最初に迷うのは「これを貼り付けてよいのか」です。代表的な場面ごとに、避けたい入力と安全に近づける工夫を整理します。

場面	避けたい入力	安全に近づける工夫
問い合わせ返信	顧客の氏名、住所、電話番号、メールアドレス、注文番号をそのまま入れる。	「40代の個人顧客」「納期についての問い合わせ」のように置き換え、返信文の型だけ作る。
契約書レビュー	取引先名、契約金額、秘密保持条項、未公開の条件を含む契約書をそのまま入れる。	条項名や論点だけを抜き出し、最終確認は弁護士や責任者に回す。
議事録要約	参加者名、顧客名、未発表商品、売上目標、採用候補者情報を含む音声やメモ。	業務向けの議事録サービスを使い、共有範囲、保存期間、削除ルールを決める。
売上分析	顧客別売上、単価、仕入価格、個別取引先名を含む表。	個社名を外し、月別合計やカテゴリ別の架空サンプルで分析観点を作る。
採用文作成	応募者の履歴書、職務経歴、評価コメントをそのまま入れる。	求人票の下書きや面接質問の一般案に限定し、応募者情報は入れない。
画像生成	顧客や従業員の顔写真、無断利用の写真、他社ロゴを素材にする。	利用許可のある素材、オリジナル素材、生成物の商用利用条件を確認して使う。

議事録AI・音声AIは「録音」と「共有範囲」も決める

NottaのようなAI議事録サービスや、AIボイスレコーダーは、会話を文字起こしして要約できるため便利です。一方で、会議音声には個人名、取引先名、価格、未公開情報、採用候補者情報が含まれやすくなります。

録音前の同意会議や商談では、録音・文字起こしすることを相手に伝えます。

保存場所文字起こしデータ、要約、音声ファイルをどこに保存するか決めます。

共有範囲会議参加者、上長、外注先、顧客へどこまで共有するか分けます。

削除ルール不要になった音声、試し録り、個人情報を含むメモをいつ削除するか決めます。

AI議事録の運用手順はAI議事録・音声記録の導入ガイド、音声デバイスの選び方はAIボイスレコーダー比較やNottaの解説でも整理しています。

匿名化は「名前を消すだけ」では足りない

匿名化とは、誰の情報かわからないようにすることです。ただし、氏名だけ消しても、会社名、住所、案件名、特殊な金額、日付、役職、地域などを組み合わせると、相手が特定できることがあります。

直接わかる情報氏名、会社名、住所、電話番号、メールアドレス、顧客ID。

組み合わせでわかる情報地域、業種、役職、日付、金額、珍しい商品名、取引履歴。

置き換えるA社、担当者、地方の小売店、月額サービス、概算費用のようにぼかす。

目的を絞る全文を入れず、知りたい論点や文章の型だけ相談する。

社内ルールの例

個人情報、パスワード、APIキー、未公開契約書は入力しない
顧客名や取引先名は、A社、B社のように置き換えてから相談する
AIの回答は、社外送信前に担当者が確認する
重要な判断はAIだけで決めず、責任者または専門家が確認する
利用するAIサービス、プラン、アカウント管理者を会社で決める
退職者のAIアカウント、連携アプリ、共有済みファイルを確認する

社員の“こっそりAI利用”を責める前に、使える道を用意する

AIを全面禁止にすると、社員が個人アカウントでこっそり使うことがあります。これを放置すると、会社が把握しないまま顧客情報や社内資料が外部サービスに入力されるリスクが出ます。

大切なのは、禁止だけで終わらせず、安全に使える範囲を示すことです。使ってよいAI、入れてよい情報、確認者、困ったときの相談先を決めておくと、現場はAIを使いやすくなり、会社もリスクを管理しやすくなります。

よくない状態	改善の方向
社員ごとに別々の個人AIアカウントを使う。	会社で利用サービスとアカウント方針を決める。
何を入れてよいか誰もわからない。	入力禁止リストと匿名化例を配る。
AI回答をそのまま顧客へ送る。	社外送信前の確認者を決める。
便利な連携アプリを各自が追加する。	外部連携は管理者承認制にする。

小さな会社でも作っておきたいAI利用ルール

AIの利用ルールは、最初から分厚い規程にする必要はありません。まずは1枚の簡単なルールで、使ってよい用途、入れてはいけない情報、確認者、利用サービスを決めます。

項目	決めること	例
使ってよい用途	下書き、要約、アイデア出し、チェックリスト作成など。	問い合わせ返信の下書き、FAQ案、SNS投稿案は利用可。
入力禁止情報	個人情報、契約書、パスワード、未公開数字など。	顧客名簿、履歴書、契約書全文、APIキーは入力禁止。
確認フロー	誰が確認してから社外に出すか。	AIの文章は担当者が事実確認し、重要文書は責任者が見る。
利用サービス	個人アカウントでよいか、会社アカウントにするか。	業務利用は会社が認めたサービスとアカウントに限定する。
退職・担当変更	アカウント、連携アプリ、共有データの停止。	退職時にAIサービス、Google Drive、Slack連携を確認する。

業務向けプランで確認すること

業務向けプランでは、入力データを学習に使わない設定、管理者機能、監査ログ、保存期間、SSO、アクセス制御などが用意されることがあります。ただしサービスやプランによって違うため、契約前に確認します。

確認項目	見る理由
入力データが学習に使われるか	業務データや顧客情報を扱う場合の重要項目です。
保存期間	会話履歴やファイルがどれくらい残るかを把握します。
管理者機能	社員の利用、退職時の停止、共有範囲を管理します。
外部連携	Google Drive、Slack、メール、社内DBへ接続する場合、権限を確認します。

AIの回答そのものも機密情報になることがある

入力情報だけでなく、AIが出した回答にも注意が必要です。たとえば、社内の売上データをもとに分析させた結果、顧客名を伏せていても、特定の取引先や戦略が推測できることがあります。

AIの出力を社外に出すときは、事実確認、権利確認、個人情報確認、機密情報確認をします。特に、提案書、見積書、求人票、プレスリリース、商品ページ、契約書の下書きは、AIが作った文章でも会社の発信として責任を持つ必要があります。

事実確認存在しない制度、古い料金、間違った仕様が混ざっていないか。

権利確認他社の文章や画像に似すぎていないか。

個人情報確認個人名、会社名、メール、電話番号が残っていないか。

機密情報確認未公開の価格、仕入、戦略、取引条件が出ていないか。

外部連携は便利だが、権限を広げすぎない

AIサービスの中には、Google Drive、Gmail、Slack、Notion、CRM、会計ソフトなどと連携できるものがあります。便利ですが、連携先の情報までAIが参照できる場合があります。

連携するときは、必要なフォルダだけにする、管理者が承認する、退職者の権限を止める、共有リンクを放置しない、ログを確認する、といった運用が大切です。クラウドストレージや文書管理のルールもあわせて整えます。

文書の置き場所や共有ルールは、文書管理とクラウドストレージでも詳しく整理しています。

もし誤って入力してしまったら

個人情報や機密情報を誤って入力した場合は、放置せず、どのサービスに、誰が、いつ、何を入れたかを確認します。会話履歴やファイルの削除、共有停止、社内報告、取引先への説明が必要になることもあります。

入力内容を確認する。個人情報、契約情報、パスワード、社外秘資料が含まれていたかを確認します。
履歴やファイルを削除する。サービス上で削除できるものは削除し、共有リンクや連携も止めます。
社内で報告する。責任者、情報管理担当、必要に応じて専門家へ相談します。
再発防止を決める。入力禁止情報、匿名化、利用サービス、確認フローを見直します。

参考にした公式情報

ユウ

便利だから、つい何でも貼り付けたくなります。議事録とか見積書とか。

ミナミ

その前に、公開情報、社内情報、個人情報、機密情報に分けます。AI活用は入力前の仕分けが本番です。

ユウ

AIに入れる前に、人間の情報整理力が試される。

AIに入力するデータと個人情報の扱い