会社員の生成AI安全利用ガイド｜情報漏えい・著作権・誤情報対策

生成AIは、文章作成、要約、調査、企画、データ整理などを大幅に効率化できます。一方で、社外秘情報の入力、個人情報の漏えい、誤情報の利用、著作権侵害といったリスクを理解せずに使うと、個人の評価だけでなく会社の信用にも影響します。大切なのは「使わない」ことではなく、情報の扱いと確認手順を決めたうえで、安全に使いこなすことです。

会社員が生成AIを使う前に確認すること

最初に確認するのは、会社が許可している生成AIサービス、利用できる業務、入力禁止情報、生成物の保存・共有方法です。個人アカウントで勝手に業務データを扱わず、会社指定の環境や法人契約がある場合はそちらを利用します。ルールが明文化されていない場合は、上司や情報システム部門に確認し、判断の記録を残しましょう。

入力情報を4段階に分類する

• 公開情報：自社サイトや公開資料など。比較的利用しやすい
• 社内情報：社内手順や会議メモなど。利用可否を社内規程で確認する
• 機密情報：顧客情報、契約、売上、原価、開発情報。原則入力しない
• 個人情報：氏名、連絡先、人事評価、応募者情報。原則入力しない

迷った場合は、固有名詞や数値を架空データに置き換え、個人や企業を特定できない形に加工します。ただし、匿名化しても組み合わせによって特定できる場合があるため、リスクが高い業務では入力自体を避けます。

情報漏えいを防ぐ実務ルール

プロンプトには必要最小限の情報だけを入れます。「資料全体を貼る」のではなく、目的に必要な論点だけを一般化して質問してください。会議録、メール、顧客リスト、ソースコード、未公開の経営数値をコピーする前に、そのデータを外部サービスへ送信してよいかを必ず判断します。

安全な置き換え例

「A社の田中様から、契約金額300万円の値引きを求められた」という入力は、「既存顧客から契約金額の10％値引きを求められた。関係を維持しながら代替案を示す返信案を作成して」のように一般化できます。目的を保ちながら、固有名詞、正確な金額、契約条件を削ることがポイントです。

誤情報・ハルシネーションへの対策

生成AIは、自然で説得力のある文章を作れても、内容が正しいとは限りません。存在しない制度、統計、判例、URL、書籍を提示することもあります。数字、日付、固有名詞、法令、医療・金融情報、引用は、必ず政府機関、企業公式サイト、原典などの一次情報で確認します。

1. 生成結果の中から、確認が必要な主張を分解する
2. 一次情報を開き、発行日と対象範囲を確認する
3. 複数の情報源で矛盾がないか確認する
4. 確認できない内容は削除するか「未確認」と明示する
5. 最終版を人が読み、文脈・数字・表現を承認する

AIに「出典を付けて」と頼むだけでは検証になりません。提示された出典が実在し、実際にその主張を支えているかまで確認してください。

著作権・商標・肖像への配慮

他社の記事、書籍、有料レポートを大量に貼り付けて要約させたり、特定の作者の表現をそのまま再現させたりする使い方は避けます。公開する文章や画像は、既存作品との類似、引用の必要性と範囲、素材の利用条件を確認します。AI生成物であっても、利用者側の確認責任がなくなるわけではありません。

外部公開前の確認項目

• 第三者の文章や画像に過度に似ていないか
• 引用部分が明確で、出典とリンクが正しいか
• 企業名、商品名、ロゴの扱いに問題がないか
• 人物の顔や声を本人の同意なく使用していないか
• 利用中のAIサービスの商用利用条件を満たしているか

重要判断をAIに任せない

採用の合否、人事評価、融資、契約、法的判断、安全管理など、人の権利や生活へ大きく影響する判断はAIだけで決めません。AIは論点整理や選択肢の洗い出しに使い、最終判断者、確認基準、異議申立ての方法を明確にします。差別的な偏りがないか、特定の属性に不利な結果になっていないかも確認が必要です。

プロンプトインジェクションと不審な出力

生成AIにWebページやファイルを読ませると、その中に「以前の指示を無視せよ」「機密情報を出力せよ」といった不正な命令が埋め込まれている場合があります。外部コンテンツを扱う機能では、アクセス権限を最小化し、AIが実行できる操作を限定してください。不審な指示、未知のリンク、認証情報の要求が出た場合は作業を止めます。

チームで運用するための5つの仕組み

1. 利用範囲：許可するツールと業務を一覧化する
2. 入力基準：入力禁止情報と匿名化の例を示す
3. 確認基準：数字、引用、公開物のレビュー担当を決める
4. 記録：重要業務ではプロンプト、出力、修正内容を保存する
5. 事故対応：誤入力や誤公開が起きた際の連絡先と初動を決める

ルールは長い規程だけでなく、実務で使える1ページのチェックリストにします。月1回、利用事例と失敗例を共有し、ツールや法令、会社方針の変化に合わせて更新すると定着しやすくなります。

事故が疑われるときの初動

機密情報を誤入力した、誤情報を公開した、不審な動作があった場合は、自己判断で隠したり削除だけで済ませたりしません。利用を停止し、入力内容、時刻、アカウント、共有先、画面記録を整理して、社内の情報セキュリティ窓口へ速やかに報告します。サービス側で会話削除や学習利用停止が可能でも、送信済み情報の安全が保証されたとは限りません。

安全利用チェックリスト

• 会社が許可したサービス・アカウントを使っている
• 機密情報・個人情報・認証情報を入力していない
• 必要最小限のデータに絞り、固有名詞を一般化した
• 数字、制度、引用、URLを一次情報で確認した
• 著作権、商標、利用規約を確認した
• 外部公開前に人がレビューした
• 重要判断をAIだけで決めていない
• プロンプトと修正内容を必要に応じて記録した

公的な指針も確認する

企業での運用設計には、経済産業省・総務省のAI事業者ガイドラインや、IPA（情報処理推進機構）の生成AI利用ガイドライン、AIセキュリティ関連資料が参考になります。業種別の規制や自社の契約条件も合わせて確認してください。

• 経済産業省：AI事業者ガイドライン
• IPA：生成AIの適切な利用に向けたガイドライン
• IPA：AIセキュリティ関連情報

安全性を実務スキルに変える

安全な利用は、AI活用を止めるための制約ではなく、仕事で継続して成果を出すための基盤です。まずは公開情報だけを使う小さな業務から始め、入力、確認、修正、共有の型を作りましょう。学習の進め方はAIリスキリング90日学習ロードマップ、日常業務への応用はChatGPTで仕事を効率化する方法も参考にしてください。