議事録を要約したい。問い合わせメールの返信案を作りたい。生成AIは便利ですが、入力欄に貼り付けた瞬間、情報の扱いは社内だけで完結しなくなる場合があります。
大切なのは「生成AIは禁止」でも「学習オフなら何でもOK」でもなく、情報、目的、契約・設定、出力の使い方を確認することです。
DSS ver.2.0ではどう位置付けられているか
DSSのDXリテラシー標準は、生成AIを「問いを立てる」「仮説を立てる・検証する」といったビジネススキルと組み合わせる姿勢を示しています。同時に、期待しない出力、著作権などの権利侵害、情報漏えい、倫理的問題への注意も明記しています。
さらに「How」の留意点には、セキュリティ、モラル、コンプライアンスがあります。生成AIの操作方法だけでなく、個人情報、知的財産、利用規約、データ流出の影響を考えることまでが、全ビジネスパーソンのリテラシーです。
入力前に見る4つの観点
1. 何の情報か
顧客名、メールアドレス、顔写真、社員評価、未公開の売上、ソースコード、契約書などは慎重に扱う必要があります。氏名を消しても、部署、役職、案件名などの組み合わせで本人や企業を推測できる場合があります。
2. なぜ入力するのか
「便利そうだから」ではなく、要約、分類、草案作成など利用目的を明確にします。個人情報を扱う場合、もともと特定した利用目的の範囲内かも確認します。
3. サービス側でどう扱われるか
入力データの保存期間、学習利用の有無、管理者設定、提供先、利用地域、削除方法はサービスや契約プランで異なります。画面上の設定だけでなく、利用規約、プライバシーポリシー、法人契約の条件を確認します。
4. 出力を誰がどう使うか
AIの回答は自然な文章でも正しいとは限りません。外部公開、顧客回答、採用・評価、法務判断など影響が大きい用途では、根拠確認と人間の承認を組み込みます。
入力前の判断フロー
| 情報の例 | 基本的な扱い | 入力前に見るもの |
|---|---|---|
| 公開済みの製品説明 | 比較的扱いやすい | 正式な公開版か |
| 社内手順・未公開資料 | 社内ルールに従う | 利用環境、保存、学習利用 |
| 個人情報・顧客情報 | 原則として慎重に判断 | 利用目的、必要性、契約、権限 |
| パスワード・秘密鍵 | 入力しない | 漏えい時の影響と失効手順 |
「便利だから」「法人契約だから」だけでは判断できません。同じサービスでも、契約プラン、管理設定、入力する情報、利用目的によってリスクは変わります。
実務で起こりやすい4つの事例
事例1：会議メモをそのまま要約
参加者名、取引条件、未発表施策が含まれていました。対策は、承認済みサービスを使い、必要部分だけに絞り、識別情報や機密情報を可能な範囲で除くことです。
事例2：顧客メールから返信案を作成
署名、電話番号、相談内容まで貼り付けると、個人情報を外部サービスへ送る形になり得ます。テンプレート化した架空情報で草案を作り、最後は社内で実データに置き換える方法があります。
事例3：障害調査でログを投入
ログにはアクセストークン、IPアドレス、ユーザーIDが混ざることがあります。自動マスキングを導入し、秘密情報が含まれないことを確認してから扱います。
事例4：「学習に使われない」設定だけで許可
学習されなくても、一定期間保存されたり、保守のために処理されたりする可能性は残ります。学習設定は確認項目の一つであり、安全性や適法性を単独で保証するものではありません。
個人情報保護法との関係
個人情報保護委員会は、事業者が個人情報を含むプロンプトを入力する際、特定した利用目的の達成に必要な範囲内かを確認するよう注意喚起しています。また、本人同意なく個人データを入力し、提供者が回答生成以外の目的で扱う場合は、個人情報保護法に違反する可能性があるとしています。
これは「個人情報の入力は一律違法」という意味ではありません。情報の性質、利用目的、本人同意、提供者の取扱いなどで判断が異なります。迷う場合は個人情報保護・法務・セキュリティ担当へ確認してください。
今日からできるチェックリスト
- 会社が承認した生成AIサービスか
- 入力する情報の区分と利用目的を確認したか
- 個人情報・機密情報・認証情報を必要以上に含めていないか
- 保存、学習利用、第三者提供、削除条件を確認したか
- 出力の事実と出典を人が確認するか
- 外部公開や重要判断には承認手順があるか
まとめ
生成AIを安全に使う第一歩は、プロンプトを書く技術より「何を渡してよいか」を判断する力です。まずは入力情報を減らし、承認済み環境を使い、重要な出力は人が検証する。この3点をチームの共通ルールにしましょう。