連載の現在地:Phase 3「安全」(4 / 4本目) — 悪用や情報漏えいのリスクを潰す
1. 公開 → 2. 費用と安定 → 3. 安全 → 4. 品質 → 5. 自動化
こんな悩みの人へ
顧客とのメールをAIに要約させたいが、個人情報を入れてよいのか分からない。社員が個人のアカウントで、業務の資料をAIに貼っていないかも心配だ。禁止すれば誰も使わなくなり、許可すれば何が起きるか分からない。そんな方に向けた記事です。
結論
この悩みの対策に、Cloudflareの導入は必須ではありません。 まず必要なのは、社内ルールと、それを実行できる契約・権限・データ管理です。
ルールづくりの流れは、シンプルです。扱う情報を3段階ほどに区分し、区分ごとに「使ってよいサービスと設定」を決めます。そして、迷ったときの相談先を決めて、社内に伝えます。
ルールがないと、現場は「使わない」か「黙って使う」のどちらかに分かれます。どちらも、会社にとっては損です。
なぜ判断が難しいのか
判断が難しいのは、サービスごとにデータの扱いが違うからです。入力した内容がAIの学習に使われるか、どのくらいの期間保存されるかは、サービスと契約プランによって異なります。同じサービスでも、無料プランや個人向けプランと、法人向けプランとでは、データの扱いの条件が違うことがあります。
そのうえ、現場では判断ができません。1件ごとに「この情報は入れてよいか」を社員が考えるのは無理があります。会社として、線を引く必要があります。
解決策の比較
方法 | 費用 | 手間 | 向いている状況 |
|---|---|---|---|
社内ルール(情報区分と利用可否表) | 無料 | 中くらい | すべての会社で最初に行う |
法人向けプランへの切り替え | サービスの料金 | 少ない | 業務で継続して使う |
送る前に個人情報を伏せる | 開発または運用の手間 | 中くらい | 個人情報そのものはAIに不要な作業 |
社内に閉じた環境のモデルを使う | 高い | 多い | 規制が厳しく、外部に出せない情報を扱う |
どれを選ぶか
まだルールがないなら、社内ルールづくりから始めます。業務でAIを毎日使っている場合は、ルールに加えて、学習利用・保存期間・管理権限などの要件を満たす法人向けプラン等を検討します。ただし、プラン名だけで、入力してよいかどうかは決まりません。要約や分類のように、名前や連絡先が不要な作業なら、伏せてから送る運用にします。
手順
以下は社内ルールを作るための例で、法令上の一律の許可・禁止を示す表ではありません。個人情報保護委員会は、利用目的の範囲と、入力した個人データが機械学習に使われないこと等の確認を求めています。
1. 扱う情報を3段階に区分する
区分 | 例 | AIへの入力 |
|---|---|---|
公開情報 | 自社サイトの内容、公開済みの資料 | 会社が承認したサービスで、権利・利用目的を確認して可 |
社内情報 | 社内の手順書、会議のメモ、売上の集計 | 会社が認めたサービス・設定でのみ可 |
機密・個人情報 | 顧客の氏名・連絡先、契約内容、人事情報 | 原則不可。例外は個別に承認 |
細かく分けすぎると、守られなくなります。最初は3段階で十分です。
2. 使っているAIサービスの条件を確認する
社内で使われているAIサービスを洗い出し、それぞれについて確認します。入力した内容がAIの学習に使われるか(使わない設定ができるか)、入力内容がどこに、どのくらいの期間保存されるか、そして法人向けの契約や、データの扱いに関する条項があるかです。
3. 区分ごとの利用可否表を作る
サービス・プラン | 公開情報 | 社内情報 | 機密・個人情報 |
|---|---|---|---|
会社が条件を確認した法人向けプラン | 社内承認の範囲で可 | 契約・権限設定の範囲で可 | 目的・契約・法令等を確認して個別判断 |
個人アカウントの無料プラン | 会社が承認した範囲のみ可 | この社内ルール例では不可 | この社内ルール例では不可 |
4. 社員に伝え、相談先を決める
ルールは1枚にまとめ、「迷ったら入れない、相談する」と明記します。相談先として、担当者やチャットのチャンネルも決めておきます。半年に一度は、使っているサービスとルールを見直しましょう。
以下は、社内チャットやWikiにそのまま貼って使えるルール文面の例です。〇〇の部分と、使ってよいツールは、手順2・3で確認した内容に合わせて書き換えます。
【社内ルール】生成AIに業務データを入れるときの基準(2026年版)
使ってよいツール: 会社が配布した〇〇のアカウントのみ(個人の無料アカウントは業務で使わない)
入れてよい情報: 公開情報、社内の手順書・議事録まで
入れてはいけない情報: 顧客の氏名・連絡先、未公開の契約・財務情報、人事評価・給与
※ 要約などで使う場合は、顧客名を「A社」などに置き換え、個人の特定につながる文脈(役職・住所・特徴的な経緯など)も消してから入力してください。
※ 画面のスクリーンショットを貼るときも、同じ基準です。迷ったら入力せず、
#〇〇チャンネルで相談してください。
(担当:〇〇/次回の見直し:〇〇年〇月)
5. 個人情報を伏せる運用を用意する
要約や文章の整理など、名前や連絡先がなくても済む作業では、送る前に名前・連絡先など不要な項目を削除または置き換えます。名前を「顧客A」に変えただけでは、職歴・住所・文脈などから本人を特定できる場合があり、それだけで匿名化や法令上の匿名加工情報になるわけではありません。
更新日:2026-11-03
つまずきやすい点
無料プランと有料プランでは、条件が違います。「このサービスは大丈夫」ではなく、「このサービスの、このプランの、この設定なら大丈夫」という形で決めます。
画面共有やスクリーンショットも、経路になります。画像を読めるAIに、顧客情報が写った画面を貼ってしまうケースもあります。
ルールが厳しすぎると、守られません。全面禁止にすると、個人のスマートフォンで使う人が出てきます。使ってよい範囲をはっきり示すほうが、結果として安全です。
なお、法令の判断は専門家に任せます。個人情報保護法などの解釈が必要な場合は、弁護士に相談するか、個人情報保護委員会の公表資料を確認してください。
次に出やすい悩み
ルールができると、次は「このルールに沿って、社内文書にAIで答えさせたい」という声が出てきます。そうなったら、Phase 4の「社内文書にAIで答えさせたい」に進んでください。取引先から届く文書やメールをAIに読ませる場合は「プロンプトインジェクションへの備えが分からない」を、法人向けプランのAPIキーを社内でどう管理するか決める場合は「APIキーの漏えいが怖い」を参考にしてください。
Phase 3「安全」は、この記事で一区切りです。次のPhase 4では、AIの答えを業務で使える精度に育てます。
「まだ何も決まっていないが、社員がすでに使い始めている」という状況でも、そこからご相談いただけます。AI活用の社内ルールづくりはIT顧問をご覧ください。
よくある質問
Q. 法人向けの有料プランなら、個人情報を入力してもよいですか？
プラン名だけでは判断できません。利用目的、学習利用の条件、保存期間、契約、管理権限を確認し、社内で利用可否を決めます。個人情報保護委員会の留意点も確認してください。個別の法令判断が必要な場合は、弁護士などの専門家へ相談します。
Q. 氏名を「顧客A」に置き換えれば、匿名化したことになりますか？
職歴、住所、役職、特徴的な経緯などから本人を特定できる場合があり、名前の置き換えだけで法令上の匿名加工情報になるわけではありません。要約や分類に不要な情報を削り、文脈に残る特定の手掛かりも確認します。迷う情報は、入力する前に社内の担当者へ相談してください。
Q. 画面のスクリーンショットや添付資料も、社内ルールの対象ですか？
文章と同じ基準で扱います。画面や画像に顧客名、連絡先、契約内容などが写っていれば、AIへの入力経路になります。必要な範囲だけを使い、不要な情報を含めないように確認します。画像へ書き込まれた情報も、見落とさずに対象としてください。
Q. 社内ルールがない会社は、何から決めればよいですか？
扱う情報を区分し、会社が認めるサービス・プラン・設定と、区分ごとの入力可否を表にします。例外を承認する人、迷ったときの相談先、次に見直す時期も決めます。本文の表はルールを作るための例なので、自社の業務や契約を確認してから使ってください。
執筆者情報
IT顧問、AI・業務アプリ開発、SESを通じて、企業のIT活用を支援しています。代表の藤澤 昌隆は、2007年からシステム開発・運用に携わり、アクセンチュアでの業務ITコンサルティングを経て、2019年にパブロフ株式会社を設立しました。
AI活用の支援事例として、営業工程を支える7つの業務別AIアプリの構築を公開しています。アプリの開発に加え、入力・出力の形式、評価基準、テストケースの整備にも取り組んでいます。
記事の内容に関するご質問や誤りのご指摘は、お問い合わせ窓口へお寄せください。