情報漏えいとは？生成AIを業務で使う前に知っておきたい初動と確認点

生成AIに業務の文章を入力したり、出力を共有したりすると、情報が意図しない相手へ届く可能性があります。ここでいう情報には、個人に関する情報だけでなく、取引先とのやり取りや社内の未公開情報も含まれます。

会社で使ってよい範囲や、どこからを事故として扱うかは、入力した内容、利用したサービス、社内のルールで変わります。個人データに関する制度上の案内と、一般的な情報漏えいの話も同じではありません。

この記事では、生成AIの利用で情報が意図しない相手へ出た、または出たおそれがある場面を対象にします。意味、初動、個人データに関する制度上の案内との違い、事前に確認したい点を整理します。

情報漏えいとは何を指すか

本記事では、業務で守るべき情報が、想定していない相手に見える、渡る、または利用できる状態になることを情報漏えいとして説明します。個人情報だけでなく、取引先との打ち合わせ内容、未公開の企画、社内の連絡先なども、会社のルールによっては対象になりえます。

重要なのは、情報が社外へ出たと断定できる場面だけではありません。誤って入力した内容がどう扱われたか分からない、共有先の設定を誤ったかもしれないといった段階でも、確認が必要になることがあります。

この説明は、生成AIを業務で使うときの実務上の整理です。個別の法律上の評価や、会社での利用可否をこの記事だけで決めるものではありません。

生成AIの利用で何が情報漏えいにつながるか

生成AIでは、プロンプトへ情報を入力し、出力を他者と共有したり、他の業務ツールへ渡したりできます。個人情報保護委員会も、プロンプト入力などに応えて文章・画像等を生成する生成AIサービスについて注意喚起を公開しています。

ただし、入力データをどのように扱うかは、サービスの契約、設定、機能によって異なります。この節は、特定サービスの仕様を一般化するものではありません。

入力した内容を確認する

顧客名、連絡先、契約内容、未公開資料の文章などを、そのまま入力することが考えられます。入力してよい情報の範囲は、会社のルールと利用サービスの条件を照らして確認します。

文章を要約する目的でも、原文に個人に関する情報や社外秘の内容が含まれることがあります。情報を置き換えたり、必要な部分だけに絞ったりしてもよいかは、社内で決めた基準に従います。

出力の共有や連携を確認する

生成された回答を、URL、ファイル、チャット、メールなどで共有する場面もあります。共有先、閲覧権限、転記した内容を確認しないと、共有した出力に含まれる情報が意図しない相手へ届くことがあります。

生成AIの出力を別の業務ツールへ渡す連携も、確認対象です。誰がどの情報へアクセスできる設定なのかは、利用するサービスと社内の運用によって確かめます。

無許可の利用を確認する

会社が承認していない生成AIを業務で使うと、入力範囲や連絡先が社内で共有されていないことがあります。無許可のAI利用については、シャドーAIとはの記事で、禁止だけに頼らない防ぎ方を解説しています。

この場面で重要なのは、特定の社員や部署を責めることではありません。業務で使う生成AIの範囲と、迷ったときの相談先が分かる状態をつくることです。

情報漏えいが疑われたとき何をするか

情報が出た、または出たおそれがあると気付いたときは、一人で重大度や届け出の要否を決めようとしないことが大切です。本記事では、まず会社で定められた連絡先へ、確認できた事実を伝えられる状態にする順で整理します。

追加の入力や共有を止める

同じ情報の入力、共有、転記を続けると、確認する範囲が広がることがあります。利用を中断できるなら中断し、サービスの設定変更や削除は社内の手順を確認してから進めます。

画面や履歴を消すと、状況を確かめにくくなる場合があります。記録の保存方法も会社の手順がある場合は、それに従います。

確認できた事実を記録する

利用した日時、サービス名、アカウント、入力や共有をした操作、分かる範囲の情報の種類を整理します。社内の一般的なチャットへ、確認前の内容を必要以上に転載しないことも大切です。

記録は、正確でなくても推測を混ぜない形にします。「何が起きたか分からない」という点も、担当者が確認するための情報になります。

社内の窓口へ連絡する

上司、情報システム、情報セキュリティ、個人情報の担当など、会社で決められた窓口へ連絡します。どこに連絡するか分からない場合は、所属組織の連絡ルールやAI利用ルールを確認します。

個人に関する情報が含まれる可能性があるときは、その点を隠さず伝えます。個人データに該当するか、個人データに関する制度上の対応が必要かを含めて、その後の調査や外部への連絡は、会社の担当者が事実関係と適用範囲を確認して判断します。

個人データの漏えい等と何が違うか

個人情報保護委員会の「漏えい等の対応とお役立ち資料」は、個人データの漏えい等について、報告が必要な場合、報告期限、報告先などを案内しています。これは、個人情報保護法上の個人データに関する制度の説明です。

そのため、一般的な情報漏えいが起きたときに、同じ報告期限や本人通知が一律に当てはまるとはこの記事では扱いません。個人データを含む可能性がある場合は、社内の個人情報、法務、情報セキュリティの担当へ確認します。

見る対象	この記事での整理	確認先
業務上の情報漏えい	守るべき情報が意図しない相手に出た、または出たおそれがある場面	会社のAI利用ルール、情報セキュリティの連絡先
個人データに関する漏えい等	個人情報保護委員会が報告や本人通知などを案内する制度上の対象	会社の個人情報・法務担当、個人情報保護委員会の案内

この違いを分けておくと、必要以上に自己判断で結論を急がずに済みます。まずは情報の種類と、誰がどこまで見られる状態になった可能性があるかを共有します。

会社で生成AIを使う前に何を確認するか

情報漏えいを防ぐための確認は、利用が始まってからだけではありません。会社で利用範囲を決め、迷ったときの連絡先を用意しておくと、入力前に立ち止まりやすくなります。

入力してよい情報を分ける

個人に関する情報、取引先の情報、未公開の企画、社内資料などを、どのように扱うかを分けます。情報の種類ごとに、入力してよいか、置き換えが必要か、入力しないかを会社のルールとして確認します。

生成AIを会社で使う範囲を決める文書については、AI利用ポリシーとはの記事で詳しく扱っています。利用サービスの指定や例外がある場合も、このルールと合わせて確認します。

共有方法と連絡先を決める

出力の共有方法、アカウントの使い分け、外部ツールとの連携を、誰が確認するかを決めます。個別の設定方法はサービスごとに異なるため、契約内容や管理画面の案内を確認します。

入力や出力を実行中に検査する仕組みについては、ガードレールとはの記事が参考になります。ガードレールだけで判断を置き換えず、利用範囲と連絡先も合わせて整えます。

次に何を確認すればよいか

情報漏えいは、生成AIの技術だけで決まる話ではありません。入力した情報、共有した範囲、利用サービスの条件、会社のルールを分けて確認することが出発点です。

個人データが含まれる可能性がある場合は、個人情報保護委員会の案内が扱う制度上の対象かどうかも、社内の担当者と確認します。一般的な情報漏えいへ、同じ期限や手続きを当てはめないようにします。

自社の生成AI利用ルール、入力範囲、疑いが生じたときの連絡先を整理したい場合は、AI導入について相談することもできます。個別の法的な結論ではなく、業務で確認する順番を整えるための相談先として利用します。

どの資料を参照したか

• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」