BLOG
AIに入れていい情報・いけない情報。中小企業が最初に決める社内ルール
先に結論です。生成AIに入れる情報は、「入れてよい」「条件付きで入れてよい」「入れない」の3つに分けて、社内で1枚に書いておくことをおすすめします。線を引かないまま使い始めると、慎重な人はまったく使わず、慣れた人は何でも入れてしまう、という状態になりがちです。
この記事では、国の注意喚起でどう書かれているかを確かめたうえで、3つの線引きと、そのまま使える社内ルールの形を紹介します。
国はどう言っているか
個人情報保護委員会は、2023年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表しています。会社（個人情報取扱事業者）に向けた注意点は、要約すると次の2つです。
- 個人情報を含む指示文（プロンプト）を入力するときは、その個人情報の利用目的の範囲内かを十分に確認すること
- 本人の同意なく個人データを入力し、それが回答を出す以外の目的で扱われると、個人情報保護法に違反する可能性がある。そのため、サービスの提供事業者が入力した個人データを機械学習に使わないことなどを十分に確認すること
あわせて、一般の利用者に向けては、AIの回答に不正確な内容が含まれることがあること、提供事業者の利用規約やプライバシーポリシーを確認したうえで、入力する情報を判断することが挙げられています。
つまり、国が求めているのは「AIを使うな」ではなく、何を入れるかを、使うサービスの条件と照らして判断することです。
3つに分ける
入れてよい情報
- すでに公開している情報（ホームページの文章、公開中の求人原稿、商品の説明）
- 一般的な質問（文章の言い回し、表計算の関数の使い方、業界用語の意味）
- 個人や取引先が特定されない文章の下書き（社内のお知らせ、案内文のたたき台）
公開済みの情報は、外に出ても困らないものです。まずはここから使い始めると、社内の不安も小さく済みます。
条件付きで入れてよい情報
- 社内の手順書、会議のメモ、業務マニュアル
- 名前や会社名を伏せた問い合わせ文・クレームの文面
- 売上や原価など、社外には出していない数字
条件は2つです。1つは、使うサービスが、入力した内容を学習に使わない設定・契約になっていること。サービスやプランによって、学習に使うかどうか、設定で止められるかどうかが違います。使う前に、利用規約とプライバシーポリシーで確かめてください。もう1つは、その情報を扱ってよい目的の範囲内であることです。
入れない情報
- 名前の入った顧客名簿、応募者の履歴書、社員の評価や給与など、伏せていない個人情報
- 病歴や健康診断の結果など、法律で「要配慮個人情報」とされるもの
- マイナンバー
- パスワード、システムの鍵、口座番号やカード番号
- 取引先との秘密保持契約の対象になっている情報
名前の入った個人情報は、国の注意喚起が正面から取り上げている情報です。入力が利用目的の範囲内か、サービス側で学習などに使われないかを確かめないまま入れると、法律に反するおそれがあります。中小企業では、まず「伏せてから入れる（条件付き）」を基本にするのが安全です。要配慮個人情報は、本人の同意なく取得することが原則として禁じられているほど、特に慎重な扱いが求められる情報です。マイナンバーも、法律で使える場面が限られています。パスワードや口座の情報は、仮に外へ出たときの被害が大きすぎます。秘密保持契約の対象は、契約で目的外の利用や第三者への開示を禁じていることが多いので、まず契約書を確かめてください。
伏せて入れるときのコツ
条件付きの情報を入れるときは、次のように置き換えると安全側に寄せられます。
- 人の名前は「Aさん」「お客様B」に
- 会社名は「取引先X社」に
- 住所は市町村まで、または消す
- 金額は丸める（「1,284,600円」→「約130万円」）
ただし、伏せてもほかの情報との組み合わせで誰か分かってしまうことがあります。「宮崎市の、従業員5人の、創業50年の和菓子店」と書けば、名前がなくても特定できてしまうかもしれません。迷ったら、条件付きではなく「入れない」側に置いてください。
そのまま使える、1枚の社内ルール
社内のルールは、長い規程より、机に貼れる1枚のほうが守られます。たとえば次の形です。
| 区分 | 例 | 使ってよいサービス |
|---|---|---|
| 入れてよい | 公開済みの文章、一般的な質問、個人が特定されない下書き | 会社が認めたサービスすべて |
| 条件付き | 手順書、会議メモ、名前を伏せた問い合わせ、社外秘の数字 | 学習に使わない設定・契約を確認したサービスだけ |
| 入れない | 伏せていない個人情報（名簿・履歴書・人事情報）、要配慮個人情報、マイナンバー、パスワード・口座情報、秘密保持契約の対象 | なし |
この表に、次の3行を書き足すと運用が回ります。
- 使ってよいサービスの名前（個人で勝手に登録したサービスは使わない）
- 迷ったときに聞く人（社長、または担当者1名）
- AIの回答は、人が確かめてから使う（数字・人名・日付は特に）
国の注意喚起でも、AIの回答には不正確な内容が含まれることがあると指摘されています。自然な文章でも、事実と違うことがあります。
国のガイドラインもある
経済産業省と総務省は「AI事業者ガイドライン」をまとめていて、2026年3月31日に第1.2版が公表されています。AIを作る会社だけでなく、業務でAIを使う会社も対象に含まれています。法律のような罰則はありませんが、社内ルールを本格的に整えるときの参考になります。中小企業がまず決めるべきことは、この記事の1枚の表で足りることが多いはずです。
よくある質問
Q. 無料のAIサービスを仕事で使ってもいいですか？
A. 「入れてよい情報」だけに使うなら、選択肢になります。条件付きの情報を入れるなら、入力した内容を学習に使わない設定や契約になっているかを、利用規約で確かめてからにしてください。
Q. 社員が個人のスマートフォンでAIを使っているかもしれません。
A. 禁止するより、使ってよいサービスと入れてよい情報を先に示すほうが現実的です。ルールが無いと、何を入れてはいけないのかが分からないまま使われてしまいます。
Q. ルールを作ったあと、何から使い始めればいいですか？
A. 「入れてよい情報」で済む、毎週くり返している仕事を一つ選んでください。始め方は中小企業のAI導入は何から始めるか。白書のデータと2社の実例にまとめています。
なお、この記事は社内ルールの考え方をまとめたものです。個別の契約や法令の当てはめは、弁護士など専門家にご確認ください。
出典
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日）。内閣府のAI戦略会議の資料として同じ文書が掲載されています（資料PDF）
- 経済産業省「AI事業者ガイドライン検討会」（AI事業者ガイドライン 第1.2版 2026年3月31日）
まず、30分
「うちの仕事だと、どこまで入れてよいのか」。具体的な書類や業務を教えていただければ、3つの区分に一緒に仕分けて、御社用の1枚のルールにします。宮崎の会社にはもちろん、オンラインで全国からご相談いただけます。