ChatGPT・Claude情報漏えい対策｜社内ルールの作り方

【画像：①】

「なんとなく使っている」その使い方、情報漏えいのリスクがあるかもしれません

ChatGPTやClaudeを日々の業務で使っているものの、「会社としてのルールが特にない」「個人の判断で何となく使っている」という方は多いのではないでしょうか。便利さを実感する一方で、「取引先の情報を入力してしまったけど大丈夫だったかな」「これって入力していい内容だったのかな」と、後から不安になった経験がある方もいるはずです。

生成AI（文章や画像などを自動で作り出すAIのことです）は、使い方次第で業務効率を大きく高めてくれる便利なツールです。しかしルールを決めないまま使い続けると、意図せず社外秘の情報を漏らしてしまうリスクが常について回ります。今回は、個人の注意力に頼るのではなく「社内ルール（AI利用ガイドライン）」という仕組みで情報漏えいを防ぐ方法を、具体的な手順とともに解説します。

なぜ「なんとなく使う」がリスクになるのか

まず押さえておきたいのが、無料プランや個人契約のプランでは、入力した内容がAIの学習（AIが回答の精度を上げるために事例として取り込むこと）に使われる場合があるという点です。法人向けの有料プランでは学習に使わない設定になっていることが一般的ですが、契約内容やプランによって扱いが異なるため、自社が使っているツールがどちらに該当するかを確認しておく必要があります。

特に現場で起こりやすいのが、「入力してはいけない情報だと気づかずに入力してしまう」というケースです。例えば以下のような情報は、うっかり入力しやすい代表例といえます。

• 顧客名・取引先名と紐づいた個人情報や契約条件
• 未公表の売上数値や人事情報
• 社内限定の企画書・議事録の原文そのもの

これらを防ぐには、「入力する人が毎回気をつける」ことに頼るのではなく、会社として「何を入力してよく、何を入力してはいけないか」を明文化しておくことが有効です。

【画像：②】

社内ルール（AI利用ガイドライン）の作り方 5ステップ

難しく考える必要はありません。以下の5つのステップで、A4用紙1枚程度のシンプルなガイドラインから始めてみましょう。

ステップ1：現状を把握する

まずは社内で「誰が」「どのツールを」「どんな用途で」使っているかを簡単にヒアリングします。すでに使われている実態を無視してルールを作っても、現場に定着しません。

ステップ2：利用してよいツール・プランを決める

会社として契約する有料プランを明確にし、「業務利用は会社が契約したツールのみ」というルールを決めます。個人アカウントの無料プランでの業務利用は原則禁止とする、といった線引きが一般的です。

ステップ3：入力禁止情報のリストを作る

先ほど挙げたような「顧客情報」「未公表の数値」「社内限定文書」など、入力してはいけない情報の具体例をリスト化します。抽象的な表現より、具体的な例を挙げたほうが現場で判断しやすくなります。

ステップ4：出力結果の確認ルールを決める

AIが出した回答は、事実と異なる内容を含む場合があります。「AIの出力はそのまま使わず、必ず人が内容を確認してから使用する」というルールも合わせて決めておきましょう。

ステップ5：周知して定着させる

ルールを作るだけでなく、社内で共有し、定期的に振り返る機会を設けることが大切です。新しいツールを導入したタイミングなどで、内容を見直すとよいでしょう。

プロンプト例：ガイドラインのたたき台を作ってもらう

ゼロから文章を考えるのが大変な場合は、AI自身にたたき台を作ってもらうことも可能です。以下はそのためのプロンプト例です。

あなたは企業の情報セキュリティ担当者です。
以下の条件で、生成AI利用に関する社内ガイドラインのたたき台を作成してください。

【会社の状況】
・従業員数:50名程度の企業
・利用予定ツール:ChatGPT(有料プラン)、Claude(有料プラン)
・現状:社内ルールが未整備で、各自が個人の判断で使っている

【ガイドラインに含めてほしい項目】
1. 利用してよいツールとプランの範囲
2. 入力してはいけない情報の具体例
3. 出力結果を利用する際の確認ルール
4. ルール違反が起きた場合の対応

上記の内容を、社内配布用にA4用紙1枚程度の分量でまとめてください。

このプロンプトで出てきた内容はあくまで「たたき台」です。自社の業種や取り扱う情報の種類に合わせて、内容を必ず調整・確認してから使用してください。

ステップ3の補足：部署ごとに例を出し合うと精度が上がる

入力禁止情報のリストは、情報システム部門だけで作ると現場の実態と合わないことがあります。営業・人事・経理など、部署ごとに「これは入力していいのか迷った経験」を出し合ってもらうと、より実態に即したリストになります。特に営業部門では取引先とのやり取りの中身、人事部門では評価情報や個人情報など、部署特有の悩みが出てくることが多いため、一律のルールだけでなく部署別の補足があると運用しやすくなります。

ガイドラインを作るときの注意点

ガイドラインを整備する際は、以下の点にも気をつけましょう。

• プランごとの学習利用の扱いを必ず確認する：同じツールでもプランによって、入力内容が学習に使われるかどうかの扱いが異なる場合があります。契約前・導入前に必ず提供元の説明を確認しましょう。
• ガイドラインは一度作って終わりにしない：AIツールのアップデートは頻繁に行われます。半年に一度など、見直しのタイミングをあらかじめ決めておくと形骸化を防げます。
• 禁止するだけでなく「安全な使い方」も示す：入力禁止の情報を示すだけでは、現場は「怖いから使わない」という方向に振れがちです。安全に使える範囲を具体的に示すことで、活用と安全性の両立がしやすくなります。

まとめ

ChatGPTやClaudeを安心して業務に取り入れるためには、個人の注意力だけに頼らず、会社としての「使い方のルール」を用意しておくことが近道です。今回紹介した5つのステップは、どれも今日から始められる小さな一歩ばかりです。まずは自社の利用実態を把握するところから、始めてみてはいかがでしょうか。

このブログ「AIビジネスナビ」では、生成AIをビジネスで活用するための情報を発信しています。他の関連記事もあわせて読んでみてください。それでは、また次回の更新でお会いしましょう。