ChatGPTを会社で使うときに注意したい情報漏えいとセキュリティ
「社員がChatGPTを使い始めているが、会社の情報が漏れないか不安」と感じていませんか？
結論からお伝えすると、ChatGPTは設定とルールを決めれば会社でも使えます。危険なのはChatGPTそのものより、ルールがないまま各自の判断で使われている状態です。
本記事では、情報漏えいが心配される仕組みを分かりやすく説明したうえで、会社として決めるべきルールと、プランの選び方を解説します。
結論:危険なのは「使うこと」ではなく「黙認」
ChatGPTの情報漏えいリスクは、正体を知れば対処できるものがほとんどです。
- 入力した内容がAIの学習に使われる可能性は、設定やプランの選択で止められます
- 入力してはいけない情報は、ルールとして線引きすれば防げます
一方で、会社が何も決めないままだと、社員は個人アカウントで、個人の判断で使い続けます。何をどこまで入力しているか、会社からはまったく見えません。
つまり、リスクを下げる第一歩は禁止でも放置でもなく、会社として使い方を決めることです。
なぜ情報漏えいが心配されるのか:入力データと「学習」の仕組み
ChatGPTに入力した文章は、質問に答えるためにOpenAI社のサーバーへ送られます。ここまでは、クラウドのメールや会計ソフトと同じです。
ChatGPT特有の注意点は、入力内容がAIの学習に使われる場合があることです。学習とは、利用者が入力した文章をAIの改善材料にすることで、学習に使われた情報は、将来ほかの利用者への回答に影響する可能性が理屈のうえでは否定できません。
ただし、学習に使われるかどうかは条件で決まっています。OpenAI公式の説明によると、次のとおりです。
- 個人向けプラン（無料版・Plus）:初期設定では入力内容が学習に使われることがある。ただし設定（データコントロール）でオフにできる
- 法人向けプラン（Business / Enterprise）と API:初期設定で学習に使われない
つまり「ChatGPTに入力したら即漏れる」は誤解ですが、「無料版を初期設定のまま使わせる」のは会社としては避けるべき状態です。
会社利用で注意すべき4つのリスク
個人情報・機密情報の入力
最も現実的なリスクは、社員が顧客名簿・取引先との契約内容・未公開の社内情報などを、そのまま入力してしまうことです。
個人情報については、個人情報保護委員会が生成AIサービスの利用に関する注意喚起を出しています。本人の同意なく個人データを入力し、それが回答の生成以外の目的（学習など）で扱われる場合、個人情報保護法に違反するおそれがあると指摘されています。
「便利だから議事録をまるごと要約させた」という使い方が、意図せずこの状態になり得ます。
会社が把握していない利用（野良AI）
会社が禁止・黙認していても、社員は個人のスマホやアカウントで使えてしまいます。こうした会社が把握していないAI利用は「シャドーAI（野良AI）」と呼ばれます。
把握していない利用は、教育もチェックもできません。実は、情報漏えい事故に最も近いのはこの状態です。
アカウント管理の不備
ChatGPTに限らない話ですが、パスワードの使い回しや退職者アカウントの放置は、履歴に残った社内情報ごと第三者に見られる入口になります。
チャット履歴には過去に入力した情報が蓄積されるため、アカウントを乗っ取られたときの被害は「その日の入力」だけでは済みません。
回答の誤り・著作権
情報漏えいとは別軸ですが、ChatGPTは事実と異なる内容をもっともらしく答えることがあります。回答を社外向けの文章にそのまま使わない、事実確認は人が行う、という運用上の注意も併せて必要です。
全面禁止はかえって危険
リスクを聞くと「では禁止しよう」となりがちですが、実務ではおすすめしません。理由は2つあります。
1つ目は、前述のとおり禁止しても使われるからです。禁止した会社ほど利用が個人アカウントに潜り、会社から見えなくなります。
2つ目は、競争力の問題です。文章作成や調べものの効率化は、すでに多くの会社で当たり前になりつつあります。中小企業がAIを活用すべき理由と具体的な業務例は「中小企業こそ生成AIを活用すべき理由」で解説したとおりです。
禁止で得られる安心は見せかけで、失うものは実利です。**「禁止」ではなく「使い方を決める」**が現実的な落としどころです。
会社で決めるべき5つのルール
1. 入力してはいけない情報を線引きする
まず「何を入力してはいけないか」を具体的に決めます。目安は次の3つです。
- 個人情報（顧客・社員の氏名、連絡先、名簿など）
- 取引先との機密情報（契約内容、見積もり、図面など）
- 社内の未公開情報（財務数値、人事情報など)
逆に、一般的な文章の下書き・言い換え・調べものは自由に使ってよい、と明示します。NGだけでなくOKを示すことで、社員が萎縮せずに使えます。
2. 学習に使われない設定・プランにする
個人向けプランを使う場合は、設定の「データコントロール」から、入力内容をモデルの改善（学習）に使わない設定に変更します。
本格的に使うなら、初期設定で学習に使われない法人向けプランやAPIの利用を検討します（後述の比較表を参照）。
3. アカウントを会社で管理する
業務利用は会社が用意したアカウントで行い、個人アカウントでの業務利用はやめてもらいます。パスワードの使い回し禁止と、退職時のアカウント停止もセットで決めます。
4. 回答の扱い方を決める
AIの回答は下書きとして扱い、社外に出す前に人が確認する、と決めます。特に数字・固有名詞・法律に関わる内容は必ず事実確認をします。
5. 相談先を決めて周知する
「これは入力していいのか？」と迷ったときに聞ける相手を1人決めておきます。ルールは作って終わりではなく、朝礼や社内チャットで具体例つきで周知して初めて機能します。
プランはどう選ぶ？
| 項目 | 無料版・Plus | 法人向け（Business / Enterprise） | API・自社システム |
|---|---|---|---|
| 費用 | ◎ 無料〜 | ○ 月額数千円/人程度〜 | △ 開発費がかかる |
| 学習への利用 | △ 初期設定では使われることがある（設定でオフ可） | ◎ 初期設定で使われない | ◎ 初期設定で使われない |
| アカウント・利用の管理 | △ 個人任せになりがち | ◎ 会社で一元管理できる | ◎ 仕組みとして制御できる |
| 自社業務への適合 | △ 汎用の画面のまま | ○ 汎用の画面のまま | ◎ 自社データ・業務に組み込める |
目安はシンプルです。
- まず試す段階なら、個人向けプランでもルールと設定を整えれば始められます
- 全社で本格的に使うなら、管理機能のある法人向けプランが安心です
- 自社のデータや業務システムと組み合わせたいなら、API経由で組み込む形になります
ByteBloomの視点:ルール作りは「小さく使いながら」で十分
実際に中小企業のAI活用や業務システム開発を支援していて感じるのは、最初から完璧な社内規程を作ろうとして止まる会社が多いということです。
数十名規模の会社であれば、A4で1枚のルール——入力NGの3分類、設定の変更、会社アカウントの利用、回答は下書き扱い、迷ったら相談——から始めて、運用しながら育てるほうが現実的です。
また、開発の現場では「社員に自由に入力させる」のではなく、APIを使って業務システムの中にAIを組み込む形もよく選ばれます。この形なら入力内容は学習に使われず、AIに渡す情報の範囲もシステム側で制御できます。日報や案件データのような社内に蓄積されたデータとAIを組み合わせる下地としても有効です。
まとめ:ChatGPTは「ルールと設定」で安全に使う
- 入力内容が学習に使われるかは条件次第。個人向けプランは設定でオフにでき、法人向けプランとAPIは初期設定で使われない
- 最大のリスクは、ルールがないまま個人アカウントで使われ続ける「野良AI」状態
- 個人情報の入力は個人情報保護法違反になるおそれがあり、線引きが必須
- 全面禁止は利用を見えなくするだけで、リスクも実利も悪化する
- まずはA4で1枚のルール（入力NGの線引き・設定変更・会社アカウント・回答の扱い・相談先）から始める
ChatGPTは、正体の分からない危険物ではありません。仕組みを理解してルールを決めれば、中小企業にとって強力な道具になります。
社内のAI活用を相談したい方へ
ByteBloomでは、生成AIの業務活用から、APIを使った業務システムへのAI組み込みまで、中小企業の実情に合わせて支援しています。「うちの場合、何から決めればいいか」という段階のご相談も歓迎です。
- AIで効率化できる業務の具体例は「中小企業こそ生成AIを活用すべき理由」で紹介しています
- 業務システム開発の実績は開発実績・事例のページをご覧ください
- 「自社のルール作りや活用方法を相談したい」という方は、お問い合わせフォームからお気軽にご相談ください
