AIに社内資料を渡していい？「学習に使われない」以外に確認すること

結論

議事録を要約したい。問い合わせを分類したい。長い資料から必要な部分を探したい。生成AIは、こうした作業を助ける選択肢になります。

ただし、資料を入力する前には、その資料を外部サービスで扱ってよいかを確認する必要があります。「学習に使われない」という説明だけで、すべての条件が分かるわけではありません。学習・保存・アクセス・外部連携・削除を分けて確かめ、資料の中身も見てから判断します。

なぜ今、確認が必要なのか

IPA（情報処理推進機構）が2026年1月に公表した「情報セキュリティ10大脅威 2026」では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。このランキングは、2025年に発生した事故や攻撃の状況などを基に選定されています。

解説書（組織編）では、組織の許可なくAIを業務利用する「シャドーAI」や、出力を十分に確認せず使うリスクも扱っています。AIは事実と違う内容をもっともらしく書くことがあり、これをハルシネーションと呼びます。

個人で便利に使っているサービスを、そのまま会社の資料にも使えるとは限りません。

学習・保存・共有を分けて見る

AIサービスを確認するときは、少なくとも次の項目を分けて調べます。

確認するのは、実際に使う契約と設定です。同じ製品名でも、個人向けと組織向けで条件が異なる可能性があります。

分からない項目は、推測で埋めず、管理担当者や提供元に確認します。

顧客名を消せば、入力してよい？

例えば、問い合わせ一覧から氏名を消しても、住所、注文番号、詳しい相談内容が残っているかもしれません。その組み合わせから相手が分かる場合もあります。

また、個人が分からなくても、未公開の価格や取引条件は、社外へ渡してよい情報とは限りません。

「名前を消したか」だけでなく、「資料全体に何が含まれているか」を確認する必要があります。

個人情報保護委員会は2023年6月の注意喚起で、個人情報を含む内容を生成AIに入力するときは、利用目的の範囲内かを十分に確認するよう求めています。本人の同意なく入力した個人データが、応答の出力以外の目的で扱われる場合は、法律に違反する可能性があるとも示しています。

最初は扱う情報を絞って試す

新しいサービスを試す場合は、公開済みの文章や、実在の顧客情報を含まない練習用データから始める方法があります。

例えば問い合わせ分類なら、架空の問い合わせを数件用意します。分類が目的に合うか、どこで間違えるかを確認してから、業務で使う条件を決めます。

これは、サービスの利用条件や社内ルールの確認を省略できるという意味ではありません。機能の試行と、実際の資料を扱う判断を段階的に進める方法です。質問の書き方は「AIに質問しても答えがずれる。伝えるべき4つのこと」で扱っています。

入力前に確認する四つのこと

この四つは入力前の確認の入口です。すべてそろっても、情報の漏えいや誤りが起きないと保証されるわけではありません。