ローカルLLMに必要なPCスペック｜VRAM 8GB・12GB・16GBの現実
ルミィ
AIの歩き方
会社の機密をChatGPTに貼ってはいけない？業務で入力NGな情報7つ
ルミィ
「この議事録を要約して」「この顧客メールを丁寧にして」「このエラーを直して」——仕事でAIを使うと、つい資料やログをそのまま貼りたくなります。
しかし、会社が許可していない個人向けAIへ、顧客情報や社外秘を入力するのは危険です。便利かどうかより先に、その情報を外部サービスへ送ってよい権限があるかを確認しなければなりません。
この記事では、業務で入力してはいけない情報7種類、安全に使う5ステップ、すでに貼ってしまった場合の対応を、2026年7月13日時点の公式情報を基準に整理します。
最優先は所属組織のルールです。個人の判断で「匿名化したから大丈夫」「有料プランだから大丈夫」と決めず、会社が許可したサービス・アカウント・用途の範囲で使ってください。
結論｜迷ったら入力せず、会社の許可を確認する
判断基準は「AIが学習するか」だけではありません。入力した内容が外部へ送信・保存されるか、誰がアクセスできるか、保存期間、接続先、契約、法令、社内規程まで含めて判断します。
- 会社が許可していない個人アカウントには、業務情報を入れない
- 許可された法人向け環境でも、必要最小限の情報だけを使う
- 顧客情報・個人情報は、利用目的と契約・法令上の根拠を確認する
- パスワード、APIキー、秘密鍵はAIへ入力しない
- 迷ったら送信を止め、上司・情報システム・セキュリティ担当へ確認する
「社外の知らない人に、そのまま見せられる？」と考えると止まりやすいよ。でも最終判断は会社のルールで確認してね。
業務でAIに入力してはいけない情報7つ
| 種類 | 具体例 | 安全な代替 |
|---|---|---|
| 1. 顧客・取引先情報 | 顧客名簿、商談内容、NDAで預かった資料 | 架空の会社名とダミー条件に置き換え、文章の型だけ相談する |
| 2. 個人情報 | 氏名、住所、連絡先、健康情報、顔写真 | 目的に不要な項目を削除し、再特定できないか確認する |
| 3. お金の情報 | 口座、カード番号、給与、未公開の売上 | 数字をダミーへ置換し、計算方法や表の構造だけ相談する |
| 4. 認証情報 | パスワード、APIキー、秘密鍵、セッショントークン | 入力しない。漏れた可能性があれば直ちに無効化・再発行する |
| 5. 社外秘・未公開情報 | 契約、企画、新製品、決算前の数字 | 公開済み情報か、会社が許可した専用環境だけを使う |
| 6. 技術情報 | ソースコード、設計図、構成情報、システムログ | 秘密値や顧客データを除いた最小の再現例にする |
| 7. 人事・評価情報 | 人事評価、採用候補者、懲戒、面談記録 | 実データを使わず、一般化した評価項目や文面の型を相談する |
名前だけ消しても、部署、案件、日付、金額などの組み合わせから本人や会社が分かる場合があります。これは十分な匿名化とはいえません。必要な情報だけに減らすことと、再特定できないかを見ることが大切です。
安全に使うための5ステップ
| 順番 | 確認すること | 止める条件 |
|---|---|---|
| 1 | 会社が許可したAI・アカウント・用途か | 個人アカウント、未承認サービス、用途外利用 |
| 2 | 情報の持ち主と分類を確認 | 顧客・個人・機密情報なのに権限や根拠が不明 |
| 3 | 削除・置換して必要最小限にする | 固有名詞を消しても再特定できる |
| 4 | 契約・設定・保存・接続先を確認 | 学習、保存期間、第三者連携、地域、管理者権限が不明 |
| 5 | 出力を人が確認してから使う | 事実、数字、権利、機密の混入を確認できない |
「履歴を消した」「学習をオフにした」は安全対策の一部にすぎません。学習に使われなくても、サービス提供や不正利用対策のために一定期間処理・保存される場合があります。また、外部アプリやコネクターを使えば、その接続先の規約や保存方針も確認が必要です。
個人向け・法人向け・ローカルAIの違い
| 利用環境 | 考え方 | 業務利用の注意 |
|---|---|---|
| 個人向けAI | 学習・履歴・人による確認などの扱いはサービスと設定で異なる | 会社が許可していない業務情報を入れない |
| 法人向け・API | 主要各社は対象の法人データをモデル学習へ使わない方針を示している | 契約、保存期間、地域、管理者設定、接続機能まで確認する |
| ローカルAI | 正しくオフライン運用すれば、クラウド送信を避けられる | アプリの通信、更新、ログ、バックアップ、端末暗号化、利用者権限を確認する |
OpenAIはBusiness・Enterprise・Edu・APIなどの組織データを既定で学習に使わないと説明しています。AnthropicもClaude for WorkとAPIの会話・コーディングセッションを、明示的な参加などがない限り学習に使わないとしています。GoogleもWorkspaceの顧客データを許可なく基盤モデルの学習・改善に使わないと説明しています。Microsoft 365 Copilotについても、プロンプトや応答、Microsoft Graphのデータを基盤モデルの学習に使わないという説明があります。
「学習に使わない」ことと、「入力してよい」ことは同じではありません。外部送信、保存、アクセス権、契約、法令、社内ルールが別に残ります。
個人向けAIでは設定だけを過信しない
個人向けChatGPTでは学習利用を拒否する仕組みがあります。個人向けGeminiもKeep Activityや一時チャットで扱いが変わる一方、安全対策などのために処理・一時保存される場合があります。設定は変わるため、画面上の名称を覚えるより、利用直前に公式のプライバシー説明を確認してください。
ローカルAIも『入れれば安全』ではない
ローカルAIは、クラウドへ送らず処理できる有力な選択肢です。ただし、インストールしたアプリが通信していないか、モデルや拡張機能の入手元は信頼できるか、端末やバックアップは暗号化されているか、ほかの利用者がファイルを見られないかを確認する必要があります。
実際の違いはローカルAIとクラウドAIの使い分け、完全オフライン環境の例はネットなしで動くローカルLLMで解説しています。
すでに機密情報を貼ってしまった場合
- それ以上の入力・共有を止め、サービス名、日時、アカウント、入力した情報を整理する
- パスワード、APIキー、秘密鍵、トークンは、履歴削除より先に無効化・再発行する
- 会社のルールに従い、上司、情報システム、セキュリティ、個人情報保護の担当へ速やかに報告する
- 担当者の指示に従って会話・共有リンク・接続権限を削除し、学習設定や保存設定を確認する
- 顧客・取引先への連絡や法的対応が必要かは、会社の責任者が判断する
自分だけで隠したり、証拠になり得る情報を慌てて消し切ったりせず、組織の事故対応手順に従ってください。早い報告ほど、鍵の無効化や共有停止などの被害軽減策を取りやすくなります。
法律とガイドラインで確認すること
個人情報保護委員会の注意喚起では、個人データを生成AIへ入力する場合、利用目的の範囲や、提供者が機械学習に利用しないことなどを十分に確認するよう示しています。また、2026年3月31日公開のAI事業者ガイドライン第1.2版では、提供者からの情報や利用上の注意を踏まえ、リスクを理解して適正に使う考え方が示されています。
個人情報・著作権・契約などの全体像は、日本のAI法・著作権・個人情報ガイドも参照してください。
まとめ
- 入力NGは、顧客・個人・お金・鍵・未公開・技術・人事の7種類
- 判断の最初は、会社が許可したAI・アカウント・用途かどうか
- 学習オフだけでなく、保存、接続先、契約、法令、権限まで確認する
- 匿名化は名前を消すだけでなく、再特定できない状態まで考える
- 誤入力したら、秘密値を無効化し、隠さず速やかに社内報告する
便利と安全は両立できるよ。大事なのは、送信ボタンを押す前に一度止まる仕組みを作ること！
よくある質問（FAQ）
会社の資料をChatGPTに貼るのは全部禁止ですか？
A. 会社が許可したサービス、アカウント、用途、契約条件の範囲なら利用できる場合があります。個人判断ではなく、所属組織のルールを確認してください。
名前を消せば顧客情報を入力できますか？
A. 名前以外の部署、案件、日付、金額などから再特定できる場合があります。必要最小限まで減らし、会社の承認を受けてください。
法人向けプランなら機密情報を何でも入れられますか？
A. いいえ。学習利用の有無とは別に、保存期間、接続先、アクセス権、契約、法令、社内分類があります。許可された用途だけで使います。
APIキーを貼ってしまったら、会話を削除すれば大丈夫ですか？
A. 不十分です。直ちにキーを無効化・再発行し、会社の事故対応手順に従って報告してください。
ローカルAIなら必ず安全ですか？
A. 必ずではありません。外部通信、ソフトやモデルの入手元、端末暗号化、ログ、バックアップ、利用者権限まで確認が必要です。
あわせて読みたい
※本記事は2026年7月13日時点の一般的な情報です。個別の業務では所属組織の規程、契約、法令、専門部署の判断を優先してください。
ABOUT ME
