AIツールに機密情報を入れる前の、30秒チェック

入力前の30秒チェック

1. 誰かを特定できるか：氏名だけでなく、メール、顧客番号、住所、会話の組み合わせも確認。
2. 公開前か：契約、見積、売上、商品計画、パスワード、APIキーを含まないか。
3. 入力が本当に必要か：削除、伏字、架空値への置換で同じ目的を達成できないか。
4. 契約条件を確認したか：保存期間、学習利用、第三者提供、処理地域、削除方法を確認。
5. 出力を検証できるか：誤りや情報混入を人間が確認してから業務利用できるか。

原則として入力しない情報

「氏名を消したから安全」とは限りません。所属、役職、案件内容などを組み合わせると個人を識別できる場合があります。置換後も元データへ戻せる対応表をAIへ入力しない運用にします。

個人情報は利用規約だけで判断しない

個人情報保護委員会は、入力情報がサービス提供者の学習データとして利用される場合、個人データの入力が提供者への第三者提供に当たり得ると注意喚起しています。事業者は本人同意、利用目的、委託・第三者提供、安全管理など、自社側の法的義務も確認する必要があります。

クラウドAIには営業秘密をそのまま渡さない

IPAが2026年に公開した利用者向け資料では、最低限の対策として「クラウドAIに営業秘密は教えない」と明示されています。個人事業でも、取引先の非公開情報、原価、入札情報、発売前企画は営業上の重要情報になり得ます。

サービス選定で確認する7項目

• 入力・出力がモデル学習に使われるか、拒否設定があるか
• 会話やファイルの保存期間と削除方法
• 管理者が利用者・共有・連携アプリを制御できるか
• 通信・保存時の暗号化やセキュリティ認証
• データ処理地域と再委託先
• 事故発生時の通知・問い合わせ窓口
• 個人向けと法人向けプランで条件が違うか

公式ページに「学習しない」とあっても、保存、サポート調査、外部連携、共有リンクは別の論点です。必要な条件を一つずつ確認します。

小規模事業者の最小運用ルール

1. 赤：認証情報、個人データ、営業秘密は入力禁止。
2. 黄：社内資料や顧客文書は、承認済み法人環境で必要部分だけ処理。
3. 緑：公開情報と合成データは、出典確認を前提に利用可能。
4. 月次確認：利用中サービスの規約、保存、学習設定を再確認。

事故が起きたら

入力を止め、共有リンクや連携を解除し、対象情報・日時・サービス・入力者を記録します。契約先、取引先、個人情報保護委員会への報告要否は、情報の種類と影響を確認して判断してください。

本記事は一般的な安全確認で、法律相談ではありません。機微な個人情報や重大な営業秘密を扱う場合は専門家へ相談してください。