生成AIに入力してはいけない情報とは？仕事で守る機密・個人情報対策

生成AIを仕事で使ううえで、多くの人が不安に感じるのが「この情報を入力しても大丈夫なのか」という判断です。便利だからとつい入力してしまい、後から機密情報や個人情報が含まれていたことに気づくケースも少なくありません。この記事では、生成AIに入力してはいけない情報の考え方、具体的な機密情報・個人情報の種類、社内データを入力する前の判断基準、そして誤って入力してしまったときの対応までを解説します。

判断に迷ったときの基準を持っておくことで、生成AIを不安なく仕事に取り入れられるようになります。

生成AIに入力してはいけない情報の考え方

個別の情報を一つずつ覚えるよりも、まず入力可否を判断するための基本的な考え方を押さえておくと、初めて扱う情報にも応用できます。

入力内容が外部サービスへ送信されることを前提に考える

生成AIに情報を入力するということは、その内容が社外のサーバーへ送信されることを意味します。社内で完結する作業のつもりで入力しても、実際には外部のサービスに情報を渡している点を忘れてはいけません。この前提を常に意識しておくと、「社内向けの資料だから大丈夫」といった誤った判断を防ぎやすくなります。

公開されて困る情報かどうかで一次判断する

入力してよいかどうか迷ったときは、「この情報が外部に公開されたら困るか」を基準に一次判断します。公開されても問題ない一般的な情報であれば入力の対象になりますが、少しでも公開されて困る要素が含まれる場合は、入力を避けるか、該当部分を削除・置き換えてから使うようにします。

仕事で入力を避けるべき機密情報

機密情報は種類によって扱い方が異なります。代表的な情報を具体的に確認しておきましょう。

未公開の経営・営業・技術情報

決算前の業績数値、新規事業の計画、開発中の技術情報など、社外に公表されていない経営・営業・技術情報は、入力を避けるべき代表的な情報です。これらの情報が外部に漏れると、競合への情報流出や、株価・取引への影響につながる可能性があります。

顧客や取引先から預かった非公開情報

顧客や取引先から契約や業務の過程で預かった非公開の情報も、入力を避けるべき対象です。相手企業の内部資料や、公表前の提携情報などは、自社の情報ではないため、自己判断で生成AIに入力してよいものではありません。

ID・パスワード・認証情報

システムのID、パスワード、APIキーなどの認証情報は、生成AIに入力してはいけない情報の中でも特に注意が必要です。認証情報が外部サービスに渡ることで、不正アクセスにつながるリスクが直接的に高まります。

生成AIで扱う個人情報の注意点

個人情報は、機密情報とは異なる視点での配慮が必要です。

氏名や連絡先など個人を特定できる情報

氏名、住所、電話番号、メールアドレスなど、個人を特定できる情報は、原則として入力を避けます。業務メールの下書きを作成する際なども、相手の氏名や連絡先はそのまま入力せず、仮の名称に置き換えてから依頼する方法が安全です。

人事評価や健康情報など慎重な扱いが必要な情報

人事評価、給与、健康診断結果といった、特に慎重な扱いが求められる情報も、入力対象から外します。これらの情報は漏えいした際の影響が大きく、法令上の取り扱いにも注意が必要な分野です。

匿名化しても個人を推測できる情報

氏名を伏せていても、部署名や役職、特徴的な経歴などの組み合わせによって、個人を推測できてしまう場合があります。単に名前を削除するだけでなく、組み合わせによって個人が特定されないかまで確認したうえで入力するかどうかを判断します。

社内データを生成AIへ入力する前の判断基準

機密情報や個人情報に明確に該当しない社内データでも、入力前に確認しておきたい判断基準があります。

社内規程で利用可否を確認する

まず、対象の情報について社内規程で利用可否が定められていないかを確認します。会社によっては、特定の種類のデータについて外部サービスへの入力を明確に禁止している場合があります。規程が整備されていない場合は、判断を自己流で済ませず、担当部署に確認することが安全です。

契約や守秘義務の対象か確認する

取引先との契約書やNDA(秘密保持契約)の中に、情報の外部提供を制限する条項が含まれていないかを確認します。契約上の守秘義務がある情報を無断で生成AIに入力すると、契約違反にあたる可能性があります。

匿名化・要約で目的を達成できるか検討する

情報をそのまま入力しなくても、匿名化や要約によって目的を達成できないかを検討します。固有名詞や具体的な数値を一般化した表現に置き換えるだけでも、多くの業務では十分に対応できる場合があります。

情報漏えいを防ぐための運用ルール

個人の判断だけに頼らず、組織としての運用ルールを整えておくことで、情報漏えいのリスクを抑えられます。

入力禁止情報を具体的に定義する

「機密情報は入力しない」という抽象的なルールだけでなく、どのような情報が該当するのかを具体的に定義しておきます。対象の情報を一覧化しておくことで、現場での判断のばらつきを減らせます。

利用を認める生成AIサービスとアカウントを限定する

会社として利用を認める生成AIサービスと、使用するアカウントを限定します。個人が自由に様々なサービスを使う状態では、入力データの管理が行き届かなくなります。利用を許可するサービスを絞ることで、管理の負担も抑えられます。

入力前チェックと承認の流れを決める

機密性の高い情報を扱う業務については、入力前にチェックや承認を行う流れを決めておきます。担当者一人の判断に任せず、複数人で確認する仕組みを作ることで、うっかりミスによる情報漏えいを防ぎやすくなります。

従業員が迷ったときの相談先を決める

入力してよいか判断に迷う場面は必ず出てきます。そのようなときに相談できる担当者や部署をあらかじめ決めておくことで、従業員が自己判断で無理に入力してしまう事態を避けられます。

誤って情報を入力したときに取るべき対応

どれだけ注意していても、誤って情報を入力してしまう可能性はあります。万一の場合に備えて、対応の流れを整理しておきます。

入力した内容と利用サービスを記録する

誤って入力したことに気づいたら、まず入力した内容と、利用していたサービス名を記録します。何を、どのサービスへ、いつ入力したのかを正確に把握することが、その後の対応の起点になります。

社内の情報管理担当者へ速やかに報告する

記録ができたら、自己判断で済ませず、社内の情報管理担当者へ速やかに報告します。報告が遅れるほど対応の選択肢が狭まるため、気づいた時点ですぐに共有することが重要です。

サービス側で削除できるデータや履歴を確認する

利用している生成AIサービスによっては、入力履歴やチャット内容を削除できる機能が用意されている場合があります。サービスの設定画面やサポート窓口で、削除できるデータの範囲と手順を確認し、必要な対応を行います。

まとめ

生成AIに入力してはいけない情報を見分けるには、「外部サービスへ送信される」という前提と、「公開されて困るか」という基準を持つことが出発点になります。未公開の経営情報や個人情報、認証情報は特に注意が必要で、社内規程や契約内容も確認したうえで入力可否を判断します。組織としては、入力禁止情報の定義や利用サービスの限定、相談先の整備といった運用ルールを整えることで、個人の判断に頼らない仕組みを作れます。万一誤って入力してしまった場合は、内容の記録と速やかな報告を徹底し、被害を最小限に抑えましょう。

よくある質問

Q. 社名を伏せれば機密情報を入力しても問題ないですか。

社名を伏せるだけでは不十分な場合があります。数値や事業内容の組み合わせから情報が特定されることもあるため、社内規程を確認したうえで判断してください。

Q. 個人情報を扱う業務では生成AIを使えませんか。

個人情報そのものを入力せず、仮の名称に置き換えるなどの方法で対応できる場合があります。業務内容に応じて、匿名化や要約で目的を達成できないか検討してみてください。