社員が生成AIに会社の情報を入力していたら？中小企業が決めておきたいAI利用ルール
ChatGPTやMicrosoft Copilot、GoogleのGeminiなど、生成AIを仕事に利用する機会が増えています。
メールの文章を考えてもらう。
Excelの関数を教えてもらう。
資料の内容を要約してもらう。
企画書のアイデアを出してもらう。
これまで時間のかかっていた仕事を、短時間で進められる便利なツールです。
一方で、少し気になることがあります。
「社員が、会社やお客様の情報をそのまま生成AIへ入力していたら？」
便利だからといって、何でも入力してよいわけではありません。
しかし、危険だからと生成AIを全面禁止してしまうのも、少し違うと思います。
今回は、中小企業が生成AIを安全に利用するために、最低限決めておきたいルールを整理します。
生成AIへ入力した情報は、どこへ送られる？
まず理解しておきたいのは、生成AIの仕組みです。
ChatGPTなどのクラウド型生成AIでは、入力した文章や添付したファイルが、サービス提供事業者のシステムへ送信され、処理されます。
つまり、社内PCで作業しているからといって、すべての情報が社内だけで処理されているわけではありません。
例えば、
「この会議議事録を要約してください」
と依頼して、実際の議事録を添付した場合、その内容は利用しているサービスの仕組みに従って処理されます。
ただし、入力した情報が、そのままインターネット上に公開されたり、他の利用者へ見えるようになったりするわけではありません。
実際の取り扱いは、サービスの種類や契約、利用設定によって異なります。
大切なのは、
「何を入力したか」だけでなく、「どのサービスに、どのような契約・設定で入力したか」まで考えること
です。
生成AIへ入力してはいけない情報とは？
会社で利用する場合、情報を大きく3つに分けて考えると分かりやすくなります。
1．原則として入力を避けたい情報
例えば、次のような情報です。
個人情報
お客様の氏名、住所、電話番号、メールアドレス、社員情報、患者情報など。
会社の機密情報
未公開の決算情報、契約内容、取引価格、経営計画、開発資料など。
認証に関する情報
パスワード、APIキー、秘密鍵、認証コードなど。
これらは、社員が個人の判断で生成AIへ入力するべきではありません。
会社が承認した環境で業務上必要な処理を行う場合でも、取り扱う情報や契約条件を確認する必要があります。
2．会社のルールに従って利用したい情報
社内会議の議事録、業務マニュアル、顧客向け提案資料などです。
これらは業務上、生成AIとの相性がよい情報でもあります。
ただし、個人情報や機密情報が含まれていないか、外部サービスで処理してよいものなのかを確認する必要があります。
3．比較的利用しやすい情報
一般的なビジネスメールの文例、公開済みの製品情報、架空のサンプルデータなどです。
例えば、
「取引先へ納期変更をお願いする、丁寧なメールの文例を作ってください」
という依頼であれば、実際の取引先名や契約内容を入力しなくても文章を作成できます。
必要な情報だけを渡して、目的を達成できないか。
この考え方が重要です。
名前を消せば安全、というわけでもない
生成AIを使う際に、
「会社名と個人名を消せば大丈夫」
と考えることがあるかもしれません。
しかし、それだけでは十分とは限りません。
例えば、ある会社の売上データから会社名を削除しても、取引時期、地域、商品名、金額などの組み合わせから取引先を推測できる可能性があります。
また、WordやExcel、PDFなどのファイルには、本文以外にも作成者情報やコメント、非表示のシートなどが残っていることがあります。
そのため、資料をそのまま添付する前に、不要な情報が含まれていないか確認する必要があります。
匿名化したつもりでも、情報の組み合わせによって特定できる場合がある。
ここは注意しておきたいところです。
無料版と法人向けでは情報の扱いが違う
ここは特に重要なポイントです。
生成AIは、同じサービス名でも、個人向けと法人向けでデータ保護の条件が異なる場合があります。
例えばChatGPTでは、個人向けサービスの会話がモデルの改善に利用される場合がありますが、設定から学習への利用をオフにすることができます。
一方、ChatGPT BusinessやEnterpriseでは、原則として企業の入力・出力データをモデルの学習に使用しない仕組みになっています。
Microsoft 365の法人向けCopilotや、対象となるGoogle WorkspaceのGeminiにも、企業データを保護するための仕組みがあります。
ただし、注意したいことがあります。
「AIの学習に使われない」ことと、「会社の情報を何でも入力してよい」ことは別です。
学習に使われなくても、サービス上でのデータ処理や保存、外部連携などについては確認が必要です。
また、法人向けサービスを利用していても、外部アプリとの連携によって別の事業者へ情報が渡る場合があります。
そのため、会社で導入する際は、単純に「無料だから危険」「有料だから安全」と判断するのではなく、契約内容や管理機能まで確認することをおすすめします。
生成AIの回答を、そのまま信用してはいけない
生成AIのリスクは、情報を入力するときだけではありません。
生成された回答そのものにも注意が必要です。
生成AIは、ときとして事実と異なる内容を、もっともらしい文章で回答することがあります。
例えば、
存在しない法律や制度を紹介する。
古い情報を最新のものとして説明する。
誤った計算結果を出す。
実在しない参考資料を挙げる。
といったことです。
特に、契約書、法令、会計、医療、セキュリティなど、正確性が求められる業務では慎重な確認が必要です。
生成AIに資料の下書きを依頼すること自体は問題ありません。
しかし、完成した文章をそのままお客様へ送信したり、経営判断に利用したりすることは避けたいところです。
AIに作業を手伝ってもらっても、最終的な確認と判断は人間が行う。
このルールは必ず決めておきたいと思います。
中小企業が決めておきたい6つのAI利用ルール
大企業のように、最初から何十ページものAI利用規程を作る必要はありません。
まずは、社員全員が理解できる簡単なルールから始めてもよいと思います。
例えば、次の6つです。
- 会社が認めた生成AIサービスを利用する
業務利用を許可するサービスとアカウントを決め、無断で別のサービスを利用しない。 - 個人情報・機密情報を勝手に入力しない
顧客情報や社内の重要資料などは、会社が認めた利用方法でのみ取り扱う。 - 必要以上の情報を入力しない
会社名や個人名を伏せ、必要に応じて架空のデータへ置き換える。 - 生成された内容を必ず確認する
数値、事実関係、法令、引用元などは人間が確認してから利用する。 - ファイル共有や外部サービス連携を勝手に行わない
Google Driveなどの接続、外部アプリへのデータ連携、チャットの共有は会社のルールに従う。 - 誤って情報を入力した場合は速やかに報告する
自分だけで判断して放置せず、社内の管理担当者へ連絡する。
これだけでも、社員が迷ったときの判断基準になります。
実際には、どう使えばよい？
例えば、お客様へ納期変更の連絡をしたい場合です。
避けたい使い方
実際のお客様の氏名、会社名、契約内容、見積金額などをすべて貼り付けて、メールの作成を依頼する。
おすすめしたい使い方
「取引先へ納期を1週間延長してもらうための、丁寧で誠実なビジネスメールを作成してください」
と、必要な条件だけを伝える。
これなら実際のお客様の情報を入力しなくても、十分に文章を作成できます。
作成された文章を確認し、社内のメールソフトで実際の会社名や担当者名を追加すればよいのです。
資料作成や業務改善でも、同じ考え方が使えます。
生成AIへ渡す情報を減らす工夫は、業務効率を大きく損なわずに実践できるセキュリティ対策です。
誤って会社の情報を入力してしまったら？
どれだけ注意していても、操作ミスが発生する可能性はあります。
その場合に重要なのは、問題を隠さないことです。
入力した内容、利用したサービス、日時、共有や外部連携の有無などを確認し、会社の管理担当者へ速やかに報告します。
入力履歴を削除できるサービスもありますが、履歴を削除したからといって、サービス側で処理された情報が直ちにすべて消去されるとは限りません。
必要に応じてサービス提供事業者への確認や、情報漏洩に該当するかどうかの調査を行うことになります。
大切なのは、ミスを責めることよりも、早く気付いて適切に対応できる環境を作ることです。
生成AIを禁止するのではなく、安全に使える環境を作る
生成AIは、仕事の進め方を大きく変える可能性を持っています。
文章作成や情報整理だけでなく、アイデアの検討、業務改善、プログラム開発など、さまざまな場面で活用できます。
だからこそ、
「危険だから会社では使わせない」
と全面禁止するだけでは、現実的な解決にならない場合があります。
禁止されていることを知らずに使ってしまったり、便利だからと個人のアカウントで利用を続けたりすれば、会社として管理できなくなる可能性もあります。
TrusKiteでは、生成AIを導入する際も、最初から高価なサービスを契約することが正解だとは考えていません。
まずは、
何の仕事に使いたいのか。
どのような情報を扱うのか。
誰が利用し、誰が管理するのか。
を整理することが大切です。
小規模な会社であれば、最初は一般的な文章作成やアイデア出しに利用範囲を限定する方法もあります。
その後、必要に応じて法人向けサービスや管理機能の導入を検討すればよいと思います。
TrusKiteでは、現在のIT環境や利用サービスを確認しながら、生成AIの利用方法や社内ルールの整理についても一緒に考えることができます。
生成AIを使わないことが安全なのではなく、何をしてよいかを理解したうえで、安全に使える状態を作ること。
これからの企業に必要なのは、そのような考え方ではないでしょうか。