ChatGPTの情報漏洩対策｜中小企業がすぐ使える社内ルール雛形とチェックリスト

ChatGPTの情報漏洩対策の結論｜中小企業はまず7つを決める

ChatGPTの情報漏洩対策は、高価なセキュリティ製品を入れるところから始める必要はありません。10〜30名の会社なら、まず「何を入れないか」「誰が何を確認するか」を決めることが土台になります。下の7つが、この記事で扱う対策の全体像です。

※作業時間の目安は、後の章の計算と同じく、当メディアによる想定です。

7つのうち、1〜3が最も大切です。ここが決まっていないと、設定を見直しても、社員が迷ったときに判断できません。現場では「迷ったら入力しない、先に聞く」を合言葉にしておくと使いやすくなります。

なお、ChatGPTの画面や設定項目の名前は、提供元の更新で変わることがあります。そのため本記事では特定の設定名や操作手順は扱いません。2026年10月時点で根拠を確認できた公的資料をもとに「何を確認すべきか」を整理します。最新の設定方法は、OpenAIの公式ヘルプで確認してください。

ChatGPTで情報が漏れる仕組みと公的な注意点

情報漏洩につながる5つの経路

「ChatGPTの情報漏洩」と聞くと、AIが勝手に秘密を話す場面を想像しがちです。実際には、もっと身近な経路がいくつもあります。

1. 入力内容が提供事業者に送られる：ChatGPTに入力した文章は、提供元のサービスに送られます。どう保存され、どう使われるかは、利用規約やプライバシーポリシーで決まります。
2. 学習に使われ、別の回答に現れる可能性：個人情報保護委員会は、入力した個人情報が機械学習に使われ、正確または不正確な内容で出力されるリスクを指摘しています。
3. 画面や履歴からの漏れ：共用パソコンで前の人のやり取りが見える、オンライン会議の画面共有中に映り込む、といった経路です。
4. アカウントの管理不足：パスワードの使い回しや、退職した人のアカウントが残っている状態は、ツールに関係なく漏洩の原因になります。
5. 会社が把握していない利用（シャドーAI）：社員が個人のアカウントやスマホで業務に使っていると、会社はどこに何が入力されたか把握できません。

1と2はサービス側の扱いに関わる経路、3〜5は社内の使い方に関わる経路です。中小企業でまず手を付けやすいのは、3〜5と「そもそも重要な情報を入れない」ことです。

個人情報保護委員会の注意喚起で押さえる3点

個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表しました。ChatGPTのような生成AIを業務で使う会社にとって、社内ルールの根拠にしやすい資料です。要点と、社内ルールへの落とし込み方を表にしました。

また同委員会は、ChatGPTを開発・提供するOpenAIに対しても、要配慮個人情報（病歴など特に慎重な扱いが求められる個人情報）の取得などについて注意喚起を行っています。提供する側にも使う側にも、注意が求められているということです。

「設定さえすれば安全」とは言えない理由

入力内容を学習に使わせないかどうかは、確認すべき大事な項目です。ただし、それだけで情報漏洩対策が終わるわけではありません。理由は3つあります。

• 人のミスは設定では防げない：誤って別の顧客の資料を貼る、画面共有中に映す、といった事故は設定と関係なく起こります。
• 出力の誤りという別のリスクがある：注意喚起が指摘するとおり、応答には不正確な個人情報が含まれることがあります。誤った情報を取引先に送れば、それも信用の問題になります。
• 規約や画面は変わる：一度確認しても、提供元の更新で内容が変わることがあります。定期的な見直しが必要です。

つまり、設定の確認は「対策の一つ」と考え、入力する情報そのものを絞ることを中心に据えます。

中小企業がすぐできる情報漏洩対策の進め方

ここからは、専任担当がいない会社を想定した5ステップです。担当者1名が通常業務の合間に進められる分量にしています。生成AIの導入全体の流れは中小企業の生成AI導入ステップで解説しているので、この記事では情報漏洩対策に絞ります。

ステップ1：今どう使っているかを5分アンケートで把握する

ルールを作る前に、実態を知ります。禁止の前提で聞くと正直な回答が集まりにくいので、「責めるためではなく、安全に使うためのルール作り」と最初に伝えます。

コピー【生成AIの利用状況アンケート（所要5分・回答は責任者のみが見ます）】

Q1. 業務でChatGPTなどの生成AIを使ったことがありますか
　□ よく使う　□ たまに使う　□ 使ったことがない

Q2. 使っているツール名を書いてください（複数可）
　（　　　　　　　　　　　　　　　）

Q3. どのアカウントで使っていますか
　□ 会社のメールアドレスで作成　□ 個人のメールアドレスで作成　□ 分からない

Q4. どの端末で使っていますか
　□ 会社のパソコン　□ 個人のスマホ　□ 個人のパソコン

Q5. どんな業務に使っていますか
　□ メール作成　□ 議事録・要約　□ 資料作成　□ 調べもの　□ その他（　　　）

Q6. 顧客名・金額・社内の数字などを入力したことがありますか
　□ ない　□ ある　□ 覚えていない

Q7. 使っていて不安に感じたことや、ルールにしてほしいことがあれば自由に
　（　　　　　　　　　　　　　　　）

Q6で「ある」と答えた人がいても、その場で注意するのは避けます。正直に答えた人を責めると、次から誰も申告しなくなります。

ステップ2：情報を「赤・黄・青」の3段階に分ける

「機密情報を入れない」だけでは、現場は何が機密か判断できません。具体例を入れた3段階の表にすると、迷いが減ります。

表は自社の業種に合わせて書き換えてください。たとえば建設業なら「施主の住所が入った図面」、士業なら「依頼者の相談内容」を赤に加える、といった具合です。

ステップ3：伏せ字（ダミー化）の型を決める

黄の情報を使うときの置き換えルールを決めておくと、社員ごとのばらつきがなくなります。

置き換えの前後は、次のようになります。

コピー【置き換え前（入力してはいけない例）】
株式会社〇〇建設の山田部長から、11月14日納品分の見積1,284,000円が高いと言われた。
値引きせずに納得してもらう返信を考えて。

【置き換え後（入力してよい例）】
A社の担当者1から、〇月〇日納品分の見積が高いと言われた。
値引きせずに、品質と納期の確実さを理由に納得してもらう返信の文案を3つ考えて。

AIへの依頼文も、伏せ字を前提にした型にしておくと便利です。

コピー【伏せ字前提の依頼文テンプレート】
以下の文章は、社名・人名・金額を記号に置き換えています。
記号はそのまま残して、［目的：例）取引先への丁寧なお詫びメール］を作ってください。
・読み手：［例）取引先の担当者］
・文字数：［例）300字以内］
・トーン：［例）丁寧だが簡潔に］

＜元の文章＞
［ここに伏せ字にした文章を貼る］

出力された文章の記号を、最後に人が本当の名前や金額に戻します。この「戻す作業」が、内容を見直す機会にもなります。

ステップ4：利用規約・プライバシーポリシーと設定を確認する

個人情報保護委員会の注意喚起は、提供事業者が入力データを機械学習に使わないことなどの確認や、利用規約・プライバシーポリシーの確認を求めています。担当者が次のチェックリストで確認し、結果を日付つきで残します。

コピー【生成AIツール確認チェックリスト】
確認日：　　年　　月　　日　　確認者：
ツール名：
確認した公式ページのURL：

□ 入力した内容が、AIの学習（モデルの改善）に使われるかどうか
□ 学習への利用を止める方法があるか。あれば、どの画面で設定するか
□ 入力内容や会話履歴がどのくらいの期間、保存されるか
□ 会話履歴を利用者が削除できるか
□ 会社として複数人のアカウントを管理する仕組みがあるか
□ 退職者のアカウントを止める手順を自社で決めたか
□ パスワードの使い回しを禁止し、ログインの安全性を高める設定を確認したか
□ 規約やプライバシーポリシーの更新をどう知るか（次回の確認日：　　）

【確認結果のメモ】

設定項目の名前や場所は変わることがあるため、チェックリストには「何を確認するか」だけを書いています。具体的な操作は、確認した時点の公式ヘルプに従ってください。有料版や法人向けの契約を検討するときも、同じチェックリストで比べると判断しやすくなります。

ステップ5：社内ルールを1枚にまとめて配る

ルールは長いほど読まれません。最初は1枚にまとめ、運用しながら足していく方が定着します。次の雛形の［ ］を自社用に書き換えて使ってください。

コピー【生成AI利用ルール（第1版）】
制定日：［　　年　　月　　日］　責任者：［氏名・役職］

1. 使ってよいツール
　［ツール名］のみ。それ以外を業務で使いたいときは責任者に相談する。

2. アカウント
　［会社のメールアドレスで作成する／会社が用意したアカウントを使う］。
　パスワードは他のサービスと使い回さない。

3. 入力してはいけない情報（赤）
　・顧客、取引先、従業員の個人情報
　・ID、パスワード
　・未発表の数字、価格、人事
　・秘密保持契約を結んで預かった資料

4. 伏せ字なら入力してよい情報（黄）
　社名はA社、人名は担当者1、金額はX円に置き換える。迷ったら入力せずに相談する。

5. 出力の使い方
　AIの回答は誤りを含むことがある。社外に出す前に、事実・数字・宛名を人が確認する。

6. 誤って入力したとき
　すぐに［責任者名・連絡手段］へ連絡する。報告した人を責めることはしない。

7. 見直し
　毎月［第1月曜の朝礼］で迷った例を共有し、必要に応じてこのルールを更新する。

就業規則に近い形の詳しい規程が必要になったら、生成AIの社内規定サンプルの雛形に発展させるとよいでしょう。

業務別：入力前の判断例

「この業務では何を入れてよいか」を業務別に示しておくと、現場の判断が速くなります。

議事録は、実名や数字がまとまって入りやすい業務です。文字起こしをそのまま貼るのではなく、伏せ字の要点から作る流れをChatGPT議事録プロンプト集と組み合わせると、安全性と手間のバランスが取りやすくなります。

10〜30名の会社で必要な時間の目安

20名の会社で、担当者1名が進める場合の目安を計算しました（当メディアによる想定です）。

担当者の作業は、週1〜2時間ずつ進めれば2〜3週間で終わる量です。説明会は全員を一度に集めなくてもかまいません。集め方は後の章で紹介します。

よくある失敗と対策

情報漏洩対策でつまずくのは、ルールの中身よりも運用の部分です。中小企業で起こりやすい失敗を、想定例として整理しました。

特に多いのが、最初の「全面禁止」です。会社が禁止していても、社員が個人の端末で使っていれば、会社は気づけないことがあります。見張るより、正直に相談できる環境を作る方が、結果として漏洩のリスクを下げやすくなります。

もう一つは、出力をそのまま使う失敗です。個人情報保護委員会の注意喚起にもあるとおり、回答に不正確な情報が含まれることがあります。社外に出す文書は、宛名・数字・事実関係を人が確認する工程を残してください。

万一、入力してしまったときの初動

ルールがあっても、ミスはゼロにはなりません。大切なのは、気づいたときにすぐ動ける手順を決めておくことです。

コピー【誤入力時の初動手順】
1. 手を止める
　 続けて入力しない。画面を閉じる前に、何を入れたか確認する。

2. 記録する
　 いつ・どのツールで・どのアカウントで・何を入力したかをメモする。

3. すぐ報告する
　 ［責任者名］に［30分以内］を目安に連絡する。

4. 削除などの対応は責任者と相談して決める
　 会話の削除ができるか、削除後どう扱われるかは、その時点の公式ヘルプで確認する。

5. 個人情報が含まれていた場合
　 社外への連絡や手続きが必要かどうかは、個人情報保護委員会の公式情報や専門家に確認する。

6. 再発防止
　 原因を振り返り、赤・黄・青の表や手順に反映する。

報告には、次の様式を使うと聞き漏れを防げます。

コピー【生成AI 誤入力 報告メモ】
報告日時：
報告者：
入力した日時：
ツール名／アカウント（会社・個人）：
入力した内容の概要：
　□ 個人情報を含む（誰の・何の情報か：　　　　）
　□ 取引先から預かった情報を含む
　□ 社内の未公開情報を含む
その後に行った操作：
責任者の判断・対応：
再発防止のために変えること：

報告した人を責めないことは、この手順が機能するための前提です。初動の速さは、日ごろの雰囲気で決まります。

社員教育・定着のさせ方

最初の説明会は30分で「赤の情報」だけ覚えてもらう

最初から全部を覚えてもらう必要はありません。30分の説明会で、次の順に話すと要点が残ります。

理解度を5問で確認する

説明会の後、次の確認テストを配ると、理解のずれが分かります。

コピー【生成AIルール 確認テスト】
入力してよいものに○、伏せ字なら可に△、入力禁止に×をつけてください。

1. 自社サイトに載っている会社概要の文章（　）
2. 取引先の担当者の名前と電話番号が入ったメール（　）
3. 社内会議の要点（社名を「A社」に置き換え済み）（　）
4. 社内システムのログインID（　）
5. 来月発表予定の値上げ幅（　）

答え：1○　2×　3△　4×　5×

月1回10分の振り返りと、入社時の説明

朝礼や定例会の10分を使い、「今月迷った入力」を1〜2件共有します。判断に迷った例は、そのまま赤・黄・青の表に追記します。こうすると、ルールが現場の言葉で育っていきます。

新しく入った人には、入社手続きの書類と一緒に1枚ルールを渡し、確認テストを受けてもらいます。人の入れ替わりがある会社ほど、この仕組みが効きます。

全員を同じ時間に集められない会社は動画を使う

現場仕事や外回りが多い会社では、全員が同じ時間に説明会へ出るのは難しいものです。ルールの説明は社内で短く行い、生成AIの基礎知識やリスクの考え方は動画で各自が学ぶ、という分担が現実的です。動画で学べる法人向けサービスの選び方はAI研修eラーニングおすすめ4選で比較しています。

選択肢の一つが、当メディアを運営する株式会社Essenceの「実践型AI講座Biz」です。生成AIリテラシーやChatGPT・Geminiなどの基礎から、事務書類作成の効率化といった実践、管理職向けのAIガバナンスまで、1,000本超の動画があります。1アカウントで社員何人でも視聴でき、料金は月額19,800円（税抜、2026年10月時点）です。同時に視聴したい場合はアカウントの追加が必要です。24時間いつでもスマホで見られるため、移動時間に学ぶこともできます。契約前に無料デモで内容を確かめられます。

ChatGPT情報漏洩対策に関するよくある質問

学習に使わない設定をすれば、機密情報を入力しても大丈夫ですか？

設定の確認は大切ですが、それだけで安心とは言えません。誤って別の資料を貼る、画面共有で映るといった人のミスは設定では防げないためです。規約や画面が変わることもあります。赤の情報は設定に関係なく入力しない運用をおすすめします。

社員が個人のスマホでChatGPTを使っていたら、会社にバレますか？

会社が気づけるかどうかは、端末やネットワークの管理状況によって異なり、個人の端末では把握しにくいのが一般的です。見つけることに力を注ぐより、使ってよいツールを決め、迷ったら相談できる雰囲気を作る方が、隠れた利用を減らしやすくなります。

海外の大手企業の情報漏洩事例は参考にすべきですか？

海外の大手企業の事例を紹介する記事はありますが、本記事では一次情報を確認できていないため詳細は扱っていません。報道を参考にする場合は、企業の公式発表など元の情報を確かめてください。自社では、議事録や見積の丸ごと貼り付けなど身近な場面から対策するのが近道です。

ChatGPTで議事録を作るのは情報漏洩の面で危険ですか？

文字起こしの全文には実名や取引先名、未発表の数字が混ざりやすく、そのまま貼るのは避けた方が安全です。発言者を担当者1、社名をA社などに置き換えた要点メモから議事録の形に整えてもらえば、リスクを抑えながら手間を減らせます。

専任のIT担当がいません。ルール作りは誰がやればいいですか？

経営者が責任者になり、総務や事務の担当者1名が作業を進める形が現実的です。本記事の雛形を使えば、担当者の作業は5〜6時間程度が目安です。判断に迷う項目は経営者が決め、月1回の振り返りで少しずつ直していけば十分です。

まとめ｜設定より先に「入れない情報」と相談先を決める

ChatGPTの情報漏洩対策は、設定の確認だけでは足りません。中心になるのは、入力してよい情報を赤・黄・青で分け、伏せ字の型と誤入力時の連絡先を決めることです。個人情報保護委員会の注意喚起も、利用目的の確認や規約の確認を求めています。

次にやることは3つです。まず今週中に5分アンケートで利用実態をつかみます。続いて、本記事の1枚ルール雛形を自社用に書き換えます。最後に30分の説明会と確認テストで、赤の情報を全員で共有してください。月1回の振り返りを続ければ、ルールは現場に合った形に育っていきます。