生成AIの相談で、いちばん多く聞く言葉があります。「便利そうだとは思うんですが、情報が漏れるのが怖くて」
この不安は、まったく正当です。生成AIに文章を入力するのは「自社の外にあるコンピューターに、その情報を渡す」こと。扱われ方を把握しないまま顧客情報を打ち込むのは、たしかにやってはいけません。
ただ、そこから先の対応が二つに分かれます。「入れてよい情報と、いけない情報の線を引く」のか、「よくわからないから全面禁止にする」のか。まじめな会社ほど後者を選び、何も始まらないまま一年が過ぎます。
グローカルワークスは創業から20年、100社を超える企業の業務改善に伴走し、AI導入支援に限っても20社を超えます。自社の業務にも生成AIを日常的に使っています。この記事は「最初に決めておけば止まらずに済んだのに」と何度も感じた一点——情報の線引き——に絞ります。
先に結論です。生成AIの情報リスクは「AIが怖い」という話ではなく、どこまで情報を一般化すれば外に出せるかという、昔からある判断の話です。そしてこの線引きはA4一枚で足ります。分厚い規程を半年かけて作るより、粗い一枚を全員が読める状態にするほうが効きます。
「全面禁止」がいちばん損をする
なぜ全面禁止を勧めないのか。安全に見えて、三つの不利益を同時に抱えるからです。一つめの「業務が軽くならない」は当たり前として、見過ごされがちなのは残りの二つです。
二つめは、禁止が守られないこと。会社が「使うな」と言っても、仕事を早く終わらせたい人は個人アカウントで使います。会社が把握できない場所で、会社の情報が扱われる。ルールを決めて社内の環境で使ってもらうより明らかに危うい状態です。禁止はリスクを消すのではなく、見えなくします。
三つめは、判断力が育たないこと。線引きを考えないまま数年が過ぎると、いざ使う必要が出たときに「この情報は渡していいのか」を判断できる人が社内にいません。線引きは、使いながら身につく感覚です。
この「線引きを決めずに止まる」パターンは、AI導入が失敗する5つの落とし穴の一つでもあります。裏を返せば、線を引くだけで抜け出せます。
入れてはいけない情報 — 4つのカテゴリ
では、何を避けるべきか。細かく列挙しても覚えられません。次の4つに束ねておけば、まず判断を誤りません。
4つに共通するのは、「万一外に出たときに、自社ではなく他人が損害を受ける」情報だということ。他人に迷惑がかかるものを先に守る——この優先順位で覚えておくと、リストを見なくても判断がつきます。
入れていい情報は、思っているより広い
禁止のリストだけ見ると「何も入れられない」ように感じます。ところが実務では逆で、日々の作業の多くはNGの部分を抜いてもそのまま成立します。たとえば——
- すでに公開している自社サイトの文章やパンフレットの原稿を、読みやすく書き直してもらう
- 社内向けの手順書を、箇条書きのメモから文章に整えてもらう
- 「値上げのお知らせ」など定型文の下書きを、宛名も社名も入れずに作ってもらう
- 長い会議のメモを、固有名詞を「A社」「担当者B」に置き換えたうえで論点別に整理してもらう
効いているのが「一般化」という一手です。顧客名を「A社」に、金額を「X円」に置き換える。それだけで同じ作業のほとんどを任せられます。返ってきた文章の「A社」を、人が最後に本当の社名へ差し替える。手間は数秒です。
公開している事例でも、毎日180分かかっていた受発注メールの仕分けが30分になったケース（CASE01）があります。AIに担わせているのは仕分けと下書きまでで、判断と発信は人が行う設計です。生成AIとの距離感を整理した記事の「下書きまで任せて、判断は人」という原則は、セキュリティ面でもそのまま効きます。
「うちの業務なら、どこまで一般化すれば渡せるのか」。その線は業種と扱う情報によって変わります。自社の現在地を知りたい方は、60秒のAI成熟度診断をどうぞ。設問6つに答えるだけで、初手の方向が見えてきます。
設定で変わること、変わらないこと
もう一つ確認したいのがサービス側の設定です。入力内容が学習に使われるのか、使われないようにできるのか。ここは規約とプランと設定画面によって扱いが異なり、しかも改定されます。「このサービスなら安全」と断定はできないので、確認すべき点だけ挙げます。
- 入力内容が学習に使われるか。オプトアウト設定や法人向けプランが用意されていないか
- データがどこの国に保存され、どのくらいの期間保持されるか
- 社内の他メンバーと会話履歴が共有される設定になっていないか
- 無料プランと有料・法人プランで、扱いに違いがないか
大事なのは、これを導入時に一度確認して終わりにしないことです。規約も設定項目も変わります。見直す担当と時期を決めておきましょう。
そして設定をどう固めても入力した情報が自社の管理外に出ていることは変わりません。設定の確認は、NGカテゴリを入れてよい理由にはなりません。線を引いたうえで、設定でもう一枚守る。この順番です。
A4一枚のルールに落とす
ここまでを運用できる形にします。必要なのは規程ではなく一枚の紙で、次の4項目が書いてあれば足ります。
この一枚は、最初から完璧でなくてかまいません。使いながら追記するほうが実態に合います。業務の棚卸しから入る進め方はDX診断・9つの観点の記事も参考に。なお医療・金融・士業のように業界固有の規制がある場合は、専門家への確認もおすすめします。
危ないのは「事故」より「なんとなく」
情報漏洩というと大きな事故を想像しがちですが、現実に危ういのはもっと地味な場面です。急いでいたので届いたメールを本文ごと貼り付けて「要約して」と打った。エラーを調べたくて設定ファイルをまるごと貼った。会社が禁止しているのでスマートフォンでこっそり使った。——どれも悪意はなく、仕事を前に進めようとした結果です。
だから対策は「気をつける」ではなく迷わない状態を作ることです。入れない情報がはっきりし、使ってよいサービスが決まり、迷ったら聞ける相手がいる。この三つが揃えば、多くの「なんとなく」は起こりません。
グローカルワークスでは、いまある業務のどこにAIを一手だけ入れると軽くなるか、そのとき何を守るべきかを一緒に決めるところから始めます。「まず線引きだけ相談したい」でも構いません。福岡・九州はもちろん、オンラインでも対応します。
よくある質問
生成AIに顧客情報を入力すると、情報漏洩になりますか？
入力した時点で自社の管理外にデータを渡したことになるため、顧客情報や個人情報の入力は避けるのが原則です。ただし固有名詞を記号に置き換えるなど内容を一般化すれば、同じ作業をAIに任せられる場面は多くあります。禁止か許可かではなく、どこまで一般化すれば渡せるかで考えるのが実務的です。
小さな会社でも生成AIの社内ルールは必要ですか？
必要ですが、分厚い規程は要りません。入れてはいけない情報、使ってよいサービスとアカウント、人が最終確認する範囲、迷ったときの相談先。この4点がA4一枚に書いてあれば足ります。ルールがないと、まじめな人ほど安全側に倒れて業務が止まります。
入力した内容がAIの学習に使われないようにできますか？
サービスやプラン、設定によって扱いが異なります。法人向けプランや学習利用のオプトアウト設定が用意されている場合があるため、自社が使うサービスの最新の利用規約と設定画面を必ず確認してください。規約も設定項目も変更されるので、見直す担当と時期を決めておくと安全です。
線が引ければ、止まらずに進める。
どこまでAIに任せてよいか、何を守るべきか。まずは自社の現在地を60秒で確かめてみませんか。