業務中の生成AI利用で機密情報が漏洩するリスクと社内対策
執筆者プロフィール
シエンプレ株式会社 チーフリスクコンサルタント
デジタルリスク対策の最前線で、企業の炎上・風評被害・内部不正に関する数百件の案件の沈静化と体制構築を指揮。発生直後の緊急対応から中長期的なレピュテーション回復まで、実務に基づいた実践的なコンサルティングを提供しています。近年は、生成AIの普及に伴うレピュテーション管理の支援にも取り組んでいます。
業務の効率化を目的として、ChatGPTやGeminiなどの生成AIを使う従業員が増えています。議事録の要約、メールの下書き、資料の骨子作成など、生成AIは急速に業務へ組み込まれています。多くの企業で、社内ルールよりも利用が先行しているのが現状です。
しかし近年、業務上の機密情報を生成AIに入力したことが原因で、情報漏洩のリスクが生じるケースが確認されています。SNSへの不注意な投稿とは異なり、生成AIへの入力による漏洩は、発覚が遅れやすいという特徴があります。
なぜ生成AIへの入力が漏洩につながるのか
生成AIへの入力が情報漏洩のリスクになる経路は、主に以下があります。
- 学習データへの取り込み：サービスの設定や利用規約によっては、入力内容がAIの学習データとして利用される場合があります。機密情報が学習データに含まれると、他のユーザーへの回答の中で関連情報が出力される可能性が生じます。
- アカウント管理・共有設定の不備：共有環境の利用やアカウント管理の不備により、第三者が過去の入力履歴にアクセスできるケースがあります。会話の共有機能を不用意に使い、社外から閲覧できる状態にしてしまうことも考えられます。
入力した内容が「どこに残るのか」「誰がアクセスできるのか」を把握しないまま業務利用が広がることは危険です。情報の取り扱いルールが形骸化するリスクが高まります。
特に注意が必要な情報の種類
業務上の利用が多い一方で、生成AIへの入力に慎重になるべき情報には、以下のようなものが挙げられます。
| 情報の種類 | リスクの内容 |
| 個人情報・健康情報 | 氏名・診断名・連絡先等を含む文書をそのまま入力するケース |
| 取引先・顧客に関する情報 | 商談内容・契約条件・売上データ等を要約依頼のために貼り付けるケース |
| 人事・採用に関する情報 | 候補者の評価コメント・給与情報等を下書きのために入力するケース |
| 未発表の経営情報 | M&A・新事業・IR情報等を資料作成のために入力するケース |
これらは、業務上は日常的に扱う情報です。そのため、「ちょっと要約してもらおう」ということで入力されやすい種類のものです。
企業として整えておくべき体制
業務での生成AI利用を完全に禁止することは現実的ではありません。リスクを抑えながら業務効率化のメリットを活かすためには、以下のような体制を整えることが求められます。
- 利用ルールの明文化：どの情報を生成AIに入力してよいか・いけないかを、具体例とともに明文化する。「機密情報・個人情報・未発表の経営情報は入力禁止」という形で明確にする。
- 利用ツールの管理：企業として認める生成AIサービスを指定し、個人アカウントでの業務利用を制限する。エンタープライズ向けの設定（学習データへの取り込みオフ等）を確認した上で導入する。
- 定期的な研修と事例共有：ルールを周知するだけでなく、入力してしまいやすい具体的なケースを研修で取り上げる。「やってしまいがちなパターン」を共有することが、当事者意識につながる。
なお、SNS投稿による情報漏洩については、既存記事『「BeReal」起点の“新・バイトテロ”緊急対策！貴社の対策は万全か？今すぐ見直すべきSNSリスク管理体制』もあわせてご参照ください。生成AIへの入力と併せて、従業員のデジタル利用全体を見直すことをおすすめします。また、生成AIが自社について誤った情報を語ってしまう別のリスクについては、『生成AI検索に自社の誤情報が出たときの初動対応』で解説しています。
よくある質問（FAQ）
Q. 従業員が生成AIへ機密情報を入力していた場合は、どうすればよいですか？
A. まず、利用しているサービスの利用規約・設定を確認し、入力データが学習に使われているかどうかを把握することが先決です。その後、社内での利用実態を確認し、ルールの周知と徹底を行うことが基本的な対応です。入力に個人情報が含まれる場合は、法務部門や弁護士と対応を確認してください。
Q. 個人が無料プランで利用している場合と、企業契約の場合でリスクは異なりますか？
A. サービスや契約条件によって、データの取り扱い方針が異なります。企業での業務利用では、エンタープライズ向けの契約内容やデータ保護の設定を確認した上で利用することを推奨します。
業務での生成AI利用は避けられない流れです。情報の取り扱いルールが整備されないまま普及が進むと、意図しない漏洩リスクが高まります。「使う前にルールを作る」という順序が、重大なインシデントを防ぐ第一歩です。シエンプレでは、生成AIの業務利用を含むソーシャルメディアリスク研修を提供しております。自社のリテラシー教育を見直したい方は、まずはご相談ください。