生成AIの禁止事項リスト｜入力してはいけない情報と判断基準
ChatGPTやMicrosoft 365 Copilot、Gemini、Claudeを業務で使う人が増えると、情報システム部門やDX推進担当には「これは入力してよいのか」という相談が集まります。便利だからこそ、社員は手元の資料をそのまま貼り付けたくなります。ここで基準がないと、個人情報や契約書、未発表の資料が外部サービスに入ってしまうおそれがあります。
そこで役に立つのが、禁止事項をまとめたリストです。「何を入れてはいけないか」「どんな使い方を避けるべきか」を具体的に並べておくと、社員は業務中に自分で判断できます。この記事では、生成AIの業務利用における注意点として、入力してはいけない情報とやってはいけない使い方を整理し、判断に迷うグレーゾーンの考え方や社員への周知方法まで紹介します。
なぜ禁止事項を明文化する必要があるのか
「常識で考えればわかる」と思える禁止事項も、人によって線引きは違います。ある社員は顧客名を伏せれば大丈夫だと考え、別の社員は要約なら問題ないと判断します。基準が頭の中にしかないと、判断が人によってばらつきます。
明文化しておくと、次の3つの効果が期待できます。ひとつ目は、社員が迷ったときに立ち返る場所ができることです。ふたつ目は、情報システム部門やDX推進担当が同じ基準で相談に答えられることです。3つ目は、問題が起きたときに「どこまでが想定内で、どこからが逸脱か」を判断しやすくなることです。
生成AIの業務利用では、入力した情報が学習や再利用に使われる可能性や、外部に保存されるリスクがあります。だからこそ、抽象的な心構えではなく、具体的な禁止事項のリストとして配ることが大切です。禁止事項リストは、ガイドライン全体の一部として位置づけると運用しやすくなります。ルール全体の作り方は生成AI利用ガイドラインの作り方で整理しています。
入力してはいけない情報一覧
生成AIに入力してはいけない情報を、分類ごとに具体例と漏洩した場合のリスクで整理します。自社の情報管理ルールに合わせて、実際の業務で扱う情報を当てはめてください。
| 分類 | 具体例 | 漏洩した場合のリスク |
|---|---|---|
| 個人情報 | 氏名、住所、電話番号、メールアドレス、マイナンバー、顧客ID、社員番号 | 本人への不利益、法令上の対応義務、信用の低下につながるおそれ |
| 顧客情報 | 取引履歴、商談内容、価格交渉の詳細、顧客固有の課題や社内事情 | 顧客との信頼関係の毀損、契約上の守秘義務に関わるおそれ |
| 機密情報 | 未発表の製品情報、経営戦略、未公開の財務・決算情報、M&A関連資料 | 競争上の不利益、社外流出による事業への影響 |
| 認証情報 | ID・パスワード、APIキー、アクセストークン、ネットワーク構成情報 | 不正アクセスやシステム侵害の起点になるおそれ |
| 他社の著作物 | 契約書の全文、他社資料、有償記事、ライセンス条件が不明なコード | 権利者との関係悪化、利用規約や契約に反するおそれ |
大事なのは、「機密情報は禁止」で終わらせず、部門ごとに具体例を添えることです。営業なら価格交渉の詳細、人事なら評価や給与、開発なら認証情報やソースコードというように、自分の業務に置き換えられる例があると、判断がそろいやすくなります。個人情報の取り扱いについては、個人情報保護委員会が生成AIサービスの利用に関する注意喚起を公開しているため、あわせて参照することをおすすめします。組織全体のセキュリティ対策としては、IPAの「組織における内部不正防止ガイドライン」なども参考になります。技術面の対策は生成AIセキュリティ対策の基本でも解説しています。
やってはいけない使い方
入力する情報だけでなく、生成AIの使い方そのものにも避けるべきパターンがあります。ここでは代表的な3つを取り上げます。
生成物の無確認利用
AIが出した文章や数値を、確認せずにそのまま使うのは避けます。生成AIは、事実と異なる内容をもっともらしく出力することがあります。顧客に送るメール、社外公開する資料、経営判断に使う資料では、AIの出力を最終版として扱わず、担当者が一次情報を確認してから使うようにします。特に数値、法律、契約、技術仕様など、間違いの影響が大きい内容は注意が必要です。
重要判断の丸投げ
採用の合否、人事評価、与信判断、法的な結論など、人の権利や事業に影響する判断をAIに任せきりにするのは避けます。AIは判断の材料集めや下書きには役立ちますが、最終的な意思決定は人が責任を持って行う前提にします。AIの回答を「参考意見のひとつ」として扱い、根拠を人が確かめる運用にしておくと安全です。
無許可ツールの業務利用
会社が承認していないAIサービスを、業務データを使って利用することは避けます。同じChatGPTでも、個人アカウントと法人向けプランでは管理機能やデータの扱いが異なります。承認されていないツールを使うと、退職時のアカウント停止やログ確認ができず、どこに情報が渡ったか把握できなくなります。使ってよいツールを一覧にし、それ以外は業務で使わないことを明記します。
グレーゾーンの判断基準
禁止事項を並べても、実際の業務では「これはどちらだろう」と迷う場面が必ず出てきます。すべてのケースを事前に列挙するのは難しいため、迷ったときに自分で確かめられる質問を用意しておくと役立ちます。
- その情報が外部に出ても問題ないか。 入力しようとしている内容が社外に知られたときに、困る人や困る取引先がいないかを考えます。少しでも不安があれば、入力しない側に寄せます。
- 個人や特定の会社を識別できないか。 名前や固有の事情を消しても、前後の文脈から誰のことか特定できる場合があります。抽象化したつもりでも識別できるなら、入力を控えます。
- 後で確認や説明を求められて答えられるか。 「なぜこの情報を入れたのか」を上長や担当部門に説明できるかを考えます。説明に迷うなら、入力前に相談します。
この3つのどれかで引っかかったら、入力せずに情報セキュリティ担当や法務担当へ相談する流れを決めておきます。迷ったら相談するを基本動作にすると、判断の迷いが放置されず、ルールも育っていきます。判断に迷った実例は、後述するFAQに残していくと、次に同じ場面が来たときの基準になります。
禁止事項を社員に浸透させる方法
禁止事項リストは、配って終わりにすると使われません。日々の業務で参照される状態にするには、いくつかの工夫が必要です。
まず、研修で「なぜ禁止か」を具体例とあわせて説明します。理由がわかると、書かれていない場面でも応用が利きます。全社共通の一般論だけでなく、営業、人事、経理、開発など、部門別の例を用意すると自分ごとになります。
次に、FAQを用意します。「議事録を要約してよいか」「顧客名を伏せれば提案書を入力してよいか」「社内コードをレビューさせてよいか」など、現場から出た質問と判断例を残していきます。実際の質問を基準として蓄積すると、迷ったときに探しやすくなります。
そして、相談窓口をわかりやすくします。メール、フォーム、SlackやTeamsの専用チャンネルなど、現場が使いやすい方法を選びます。窓口が複雑だと、相談されずに自己判断が増えてしまいます。あわせて、誤って機密情報を入力してしまった場合の報告先も決めておきます。報告者を責めるより、早く共有される流れを作ることが、実際のリスクを小さくします。
なお、禁止事項リストは規程本体と切り離さず、利用規程のひな形と一緒に整備すると運用しやすくなります。規程のかたちに落とし込む方法は生成AI利用規程のテンプレートで紹介する予定です。
まとめ
生成AIの禁止事項は、抽象的な心構えではなく、入力してはいけない情報とやってはいけない使い方を具体的に並べたリストにすることで、社員が業務中に判断できるようになります。個人情報、顧客情報、機密情報、認証情報、他社の著作物は入力を控え、生成物の無確認利用や重要判断の丸投げ、無許可ツールの利用も避けます。そして、迷ったときの3つの質問と相談窓口を用意し、FAQで判断例を積み重ねていくことが、ルールを定着させる近道です。
とはいえ、自社の業務にどこまで当てはめ、どの情報をどの分類に置くかは、現場の実態に合わせて考える必要があります。禁止事項リストの作成から、部門別の判断例づくり、社員への周知までをどう進めるか迷う場合は、無料相談でお気軽にご相談ください。貴社の業務内容にあわせて、使ってよい範囲と避けるべき範囲の整理をお手伝いします。
