生成AIに、お客様の情報や、会社の資料を入れてもいいのだろうか。前回の記事（福島県内で生成AIを使う企業は約3割）の最後に、この疑問を残しました。
この記事は、公的機関の資料をもとに、答えを探します。難しい言葉はできるだけ使わず、図で説明します。
まず知っておきたいこと：入れた文章は、外へ送られる
AIに文章を入力すると、その文章は、自社のパソコンの中だけにとどまりません。インターネットを通じて、サービスを出している会社に送られます。
- 1自社のパソコンで入力文章や資料を、AIに入力する
- 2サービス会社へ送られるインターネットを通じて、提供会社のコンピューターに届く
- 3設定によっては…AIの学習に使われることがある
だから、入れる前に確かめたいのは「学習に使われない設定にできるか」です。
情報処理推進機構（IPA）の資料にも、クラウド型のチャットAIに入力した情報は運営会社に渡り、AIの改良（学習）に使われることもある、と書かれています。
公的機関は、何と言っているか
大切な点だけを、四つにまとめます。
- 個人情報保護委員会（2023年6月）：お客様の個人情報をAIに入れるときは、その情報を集めたときに伝えた使い道の範囲内かを確かめる。本人の同意なく入れた情報が、答えを出す以外の目的で使われると、法律に違反するおそれがある。そのため、サービス会社がAIの学習に使わないかを確かめる。
- IPA（2026年3月）：「営業秘密は、クラウドのAIに教えない」。規約を読み、設定で、入力した内容の保存や学習への利用を外せるかを確かめる。
- IPAの手引書（2026年7月）：会社として、入れてよい情報と入れてはいけない情報の分け方を決めておく。迷ったときに相談する人も決める。使っているのが、会社の契約か、個人の契約か、無料版かも区別する。なお、この手引書は、IPAの人材育成プログラムで、受講生が講師の助言を受けてまとめたものです。IPAの公式な基準ではなく、中小企業向けとも書かれていません。
- 国のAI事業者ガイドライン（2026年3月、第1.2版）：AIを使う会社に対して、個人情報や機密情報を、不適切に入力しないよう注意することと、サービスを出している会社が決めた規約を守ることを求めている。
情報は、三つに分けて考える
入れてよいかどうかは、情報の種類で変わります。分かりやすいように、三つに分けてみます。
入れてよい
外に出ても困らない情報
- 自社のホームページに載せた内容
- 一般的な知識への質問
- 名前や数字を、架空のものに置き換えた文章
確かめてから
社内だけの情報
- 社内の手順や、会議のメモ
- 売上や費用の、おおまかな傾向
- → 会社で契約したサービスで、学習に使われない設定を確かめてから
入れない
外に出してはいけない情報
- お客様の名前・連絡先
- 取引先との契約書・見積書
- 決算書、社外に出せない会社の秘密
公的資料の分類を参考に、筆者が分かりやすく言い換えた例です。何がどこに入るかは、会社や契約によって変わります。
「確かめてから」の情報は、特に注意が必要です。会社で契約したサービスで、学習に使われない設定になっているかを確かめてから使います。IPAの手引書には、契約で「学習に使わない」と決めても、設定が合っていなければ効果がない、と書かれています。
名前を伏せたつもりでも、安心とは限りません。文章の流れから、何の話か分かってしまうことがあるからです。IPAの手引書も、「ある会社を買収する件の文案を書いて」のように、文章の中に秘密が含まれている場合は、見つけるのが難しいと指摘しています。
入れる前の、四つの質問
実際に入力する前に、次の四つを思い出してください。
- 1会社として契約したサービスですか？個人の無料版ではないはい
- 2「学習に使われない」ことを、規約や設定で確かめましたか？はい
- 3お客様の名前や、取引先の秘密を、取り除いてありますか？名前を伏せても、話の流れで分かることがあるはい
- 4出てきた答えを、人が確かめてから使いますか？AIの答えには、誤りが混じることがあるはい
四つとも「はい」なら、入力してみる
一つでも「いいえ」「わからない」なら、入れずに、詳しい人に聞く
「わからない」は、「いいえ」と同じ扱いです。迷ったときは、入れないほうが安全です。
筆者の見方：まず、AIに入力してはいけない情報を決める
ここからは、資料の要約ではなく、筆者の見方です。
中小企業には、長い社内ルールを作る余裕が、あまりないこともあると思います。IPAの手引書も、最初から完全なものを作ろうとせず、最低限の内容から始めて、見直しながら育てる進め方を示しています。また、ルールが厳しすぎると、守られなくなって、かえって危険になるとも書いています。まずは、入れてはいけない情報だけを、紙に三行で書いてみてはどうでしょうか。例えば、次のようなものです（想定例です）。
- お客様の名前と連絡先は、AIに入れない。
- 契約書、見積書、決算書は、AIに入れない。
- 迷ったら入れずに、社長に聞く。
前回の記事の、お知らせ文の下書きや会議メモの整理も、名前や数字を架空のものに置き換えれば、この三行の範囲で試せます。「使わない」ではなく、「入れない情報を決めて使う」。それが、最初の一歩になると考えています。
サービスの規約や設定は、よく変わります。IPAの手引書は、年1回ほどの見直しと、関連する法令や公的な指針が変わったときの見直しを勧めています。この三行も、使うサービスが変わったときや、新しい決まりが出たときに、見直してください。
法律の面では、個人情報保護法の改正法が、2026年7月に公布されました。施行は、公布から2年以内とされていて、細かい決まりは、これから整えられる段階です。確認できた資料の範囲では、会社が仕事で生成AIに個人情報を入れるときの注意点を、直接変える内容は、見つけられませんでした。ただ、今後の動きには、気をつけておきたいところです。
参考資料
- 個人情報保護委員会：生成AIサービスの利用に関する注意喚起等について（別添1：生成AIサービスの利用に関する注意喚起等、令和5年6月2日）
- 情報処理推進機構（IPA）：AI利用者のためのセキュリティ豆知識（公開版2025年12月版、2026年3月発行）
- 情報処理推進機構（IPA）：生成AIおよびAIエージェントを安全に活用するための手引書（2026年7月、産業サイバーセキュリティセンター。中核人材育成プログラム受講生のプロジェクト成果物。第1版）
- 総務省・経済産業省：AI事業者ガイドライン（第1.2版）（令和8年3月31日）。第5部「AI利用者に関する事項」を参照。
- 個人情報保護委員会：令和8年 改正個人情報保護法について（令和8年7月公布）
資料確認日：2026年11月1日。個人情報保護委員会の注意喚起（2023年）は、同委員会の「注意情報」のページで、その後に更新された記載を確認できませんでした。IPAの手引書（全99ページ）は、目次と、入力する情報・学習への利用・シャドーAI・入力の管理に関する章を確認しました。AI事業者ガイドラインは、第5部の本文を確認しました。個人情報保護法の改正は、公表されている概要の範囲で確認しています。図の「三つに分ける例」と「四つの質問」は、公的資料を参考にした筆者の整理で、法律上の助言ではありません。個別の判断が必要な場合は、専門家に相談してください。