連載：法人向けAI安全活用ガイド 初級編（全3回）
- #1 会社でAIを使う前に知っておくべきこと 情報漏洩リスクと社内ルールの作り方 ← 今ここ
- #2 AIツール導入時に確認すべき契約・規約のポイント
- #3 社員がAIを安全に使える環境を整える 運用ガイドラインの作り方
はじめに
「とりあえず社員が各自でChatGPTを使い始めている」——そんな状況になっている会社は少なくないはずです。個人利用ならまだしも、業務での利用には会社が把握・管理すべきリスクが伴います。
この連載では、法人としてAIを安全に活用するための基礎知識を3回に分けて解説します。第1回は「何がリスクになるのか」と「社内ルールの最低限の作り方」が目標です。
対象読者は、情報システム部門・総務・経営企画など、社内のAI利用ルールを整える立場にある方を想定しています。
法人利用で個人利用と何が違うのか
個人がAIを使う場合と、会社として使う場合では、リスクの種類と影響範囲が根本的に異なります。
| 観点 | 個人利用 | 法人利用 |
|---|---|---|
| 漏洩した場合の影響 | 自分への被害 | 顧客・取引先・株主への影響 |
| 責任の所在 | 本人 | 会社（場合によっては役員個人も） |
| 適用されるルール | 利用規約のみ | 利用規約＋法令＋社内規程 |
| 対象となる情報 | 個人の情報 | 顧客情報・営業秘密・未公開情報等 |
| 発覚した場合の影響 | 限定的 | レピュテーションリスク・取引停止・法的責任 |
特に「顧客情報」「未公開の財務情報」「契約書の内容」などが社外のAIサービスに送信された場合、個人情報保護法・不正競争防止法・各種契約上の守秘義務に抵触する可能性があります。
企業が直面する4つのリスク
① 機密情報・営業秘密の漏洩
最も深刻なリスクです。社員が善意で「資料を要約してほしい」とAIに送った内容が、実は未公開の新製品情報や顧客との契約条件だったというケースが起きています。
典型的な入力パターン（NG例）：
【NG】以下の提案書をもとにメールの文章を作成して。
＜添付資料の内容＞
・A社への提案金額：3,500万円（競合他社より30%安く設定）
・担当者：A社 山田部長、B社 鈴木課長
・契約締結予定日：◯月◯日
上記の入力には「顧客名」「金額」「競合情報」「契約予定日」が含まれています。これらは多くの場合、営業秘密または守秘義務の対象です。
② 個人情報保護法上のリスク
顧客の氏名・住所・メールアドレスなどを含むデータをAIサービスに送信することは、個人情報保護法上の「第三者提供」に該当する可能性があります。顧客から取得した個人情報は、取得時の利用目的の範囲内でしか使用できません。
③ シャドーIT問題
会社が公式に導入していないAIツールを、社員が個人のアカウントで業務利用するケースです。会社としてデータの行き先を把握できず、インシデント発生時に対応が遅れます。
④ AIの誤出力による業務上のミス
AIが自信を持って提示した「誤った法律の解釈」「存在しない判例」「古い数字」をそのまま資料や契約書に使ってしまうリスクです。特に法務・財務・コンプライアンス領域で発生すると影響が大きくなります。
まず会社として把握すべきこと
ルール作りの前に、現状を把握することが先決です。以下の3点を確認しましょう。
現状調査チェックリスト
- 社員はどんなAIツールをどんな用途で使っているか（アンケートで把握）
- 会社として契約・購入しているAIツールは何か
- 個人アカウントで業務利用しているケースはあるか
- 現行の情報セキュリティポリシーにAIの記述はあるか
まず「禁止ありき」ではなく「現状把握ありき」で進めることが重要です。実態を知らずに厳しいルールを作ると、社員が隠れて使う「シャドーIT」がむしろ増えます。
社内AIルール、最低限の3層構造
社内ルールは以下の3層で考えると整理しやすくなります。
第1層：利用判断の基準（何を入力してよいか）
情報をレベル分けし、AIへの入力可否を明示します。
| 情報レベル | 例 | AI入力の可否 |
|---|---|---|
| 公開情報 | 会社ウェブサイト上の情報、公開済みプレスリリース | ✅ 可 |
| 社内一般情報 | 社内手順書、議事録（機密指定なし） | ✅ 条件付き可（承認済みツールのみ） |
| 機密情報 | 顧客情報、未発表の財務数字、契約書の内容 | ❌ 原則禁止 |
| 要配慮個人情報 | 健康情報、採用候補者情報 | ❌ 禁止 |
第2層：利用ツールの基準（どのツールを使ってよいか）
「会社として承認したツールのみ」を明示します。承認の基準として最低限以下を確認します。
- 入力データを学習に使用しないことが契約で保証されているか
- データの保存場所・保存期間が明確か
- セキュリティ認証（ISO 27001等）を取得しているか
- 日本語の契約・サポートが提供されているか
第3層：利用後の扱いの基準（出力をどう使うか）
- AI出力をそのまま社外提出しない（必ず人間がレビュー）
- 重要な判断（法的・財務的）はAI出力を参考情報として扱い、専門家に確認する
- AI生成コンテンツであることを内部的に記録する
ルール文書のひな形（最小構成）
以下は「とりあえず今週中に社内ルールを1枚作りたい」という場合の最小構成例です。
## 生成AI利用に関する社内ガイドライン（暫定版）
制定日：◯◯年◯月◯日 所管：◯◯部
### 1. 目的
業務における生成AIの安全かつ適切な利用を確保するため、本ガイドラインを定める。
### 2. 利用可能なツール
以下のツールのみ業務利用を許可する。（例：◯◯ for Business）
個人アカウントによる業務利用は禁止する。
### 3. 入力禁止情報
以下の情報はいかなるAIツールにも入力してはならない。
・顧客の個人情報（氏名、連絡先、契約内容等）
・未公開の財務情報
・社外秘指定の文書の内容
・パスワード・認証情報
### 4. 出力の取り扱い
AI出力はそのまま社外に提出せず、必ず担当者がレビューする。
法務・財務に関わる内容は専門部署に確認する。
### 5. インシデント報告
AIツールの利用に起因する情報漏洩または疑いが生じた場合は、
直ちに◯◯部（内線◯◯◯◯）に報告する。
### 6. 見直し
本ガイドラインは6ヶ月ごとに見直しを行う。
「暫定版」として出すことがポイントです。完璧なルールを時間をかけて作るより、最低限のルールを素早く出して運用しながら改善する方が現実的です。
まとめ
法人でのAI利用は、個人と比べてリスクの影響範囲と責任の重さが根本的に異なります。まず現状を把握し、情報レベルの分類・利用ツールの指定・出力の取り扱いという3層でルールを整えることから始めましょう。
次回は、AIツールを導入する際に確認すべき契約・利用規約のポイントを解説します。「とりあえず契約したが、実はデータが学習に使われていた」という事態を防ぐための実践的な読み方を紹介します。
次の記事： #2 AIツール導入時に確認すべき契約・規約のポイント（公開予定）