ルールを作るより先に、入れてはいけない情報を1つ決めるほうが早いです。
社員がAIを使い始めると、たいていこういう状態になります。
- 使っている人と、使っていない人がいる
- 誰がどのサービスを使っているか、会社は把握していない
- 無料のものを、個人の名前で使っている
- 何を入れてよくて、何を入れてはいけないかが、決まっていない
最後の1つだけ、先に決めてください。ほかは後からで間に合います。
なぜ、そこだけ先なのか
AIに文章を入れると、その内容がサービスを作っている会社に渡ります。 そして、サービスの種類によっては、その内容がAIの学習に使われます。
これは推測ではありません。公式に、そう書かれています。
OpenAI（ChatGPT）の場合
OpenAIは、個人向けと企業向けで方針を分けています。
個人向け（ChatGPTやDALL·E）について：
お客様がChatGPTやDALL・Eなどの個人向けサービスを利用する場合、当社はお客様のコンテンツを使用して当社モデルを学習させることがあります。
企業向け（ChatGPTチーム、ChatGPTエンタープライズ、APIプラットフォーム）について：
ChatGPTチーム、ChatGPTエンタープライズ、APIプラットフォームなどのビジネス事業用のコンテンツは、当社モデルの学習に使用しません。
個人向けでも、設定で学習を止められるとされています。OpenAIのプライバシーポータルから「自分のコンテンツで学習しない」を選ぶ方法が案内されています。
出典：OpenAI「モデルのパフォーマンスを向上させるためのデータの使用方法」（ページの更新日 2026年3月13日／2026年11月3日に確認）
Microsoft（Copilot）の場合
Microsoft 365 の商用サービスで使う Copilot について、こう書かれています。
データは基礎モデルのトレーニングには使用されません。
データは非公開です。お客様の指示がある場合を除き、お客様のデータは使用されません。
出典：Microsoft Learn「Microsoft Copilot および Microsoft Copilot Chat におけるエンタープライズ データ保護」（2026年11月3日に確認）
★ここから分かること
無料で、個人の名前で使っているものがいちばん危ない、ということです。
会社としてお金を払って使うものは、たいてい「学習に使わない」と書かれています。ところが、社員が個人で使い始めるのは、無料のものです。
これが、順番を間違えやすい理由です。
★個人情報を入れるときは、確かめることが決まっています
個人情報保護委員会が、事業者に向けて注意喚起を出しています。生成AIに個人情報を含む文章を入れる場合について、こう書かれています。
① 個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合には、特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること。
② 個人情報取扱事業者が、あらかじめ本人の同意を得ることなく生成AIサービスに個人データを含むプロンプトを入力し、当該個人データが当該プロンプトに対する応答結果の出力以外の目的で取り扱われる場合、当該個人情報取扱事業者は個人情報保護法の規定に違反することとなる可能性がある。そのため、このようなプロンプトの入力を行う場合には、当該生成AIサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること。
出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日）（2026年11月3日に確認）
やさしく言い直すと、こうなります。
- お客様の情報を入れるなら、もともと集めたときの目的の範囲内かを確かめること
- そして、そのサービスが学習に使わないことを確かめること
確かめていないなら、入れない。 これが安全な側です。
決めるのは、この1枚です
難しい規程は要りません。A4一枚、3行で始められます。
【入れてよいもの】
社外に出しても困らない文章。公開済みの資料。自分で書いた下書き。
【入れてはいけないもの】
お客様の氏名・連絡先・取引内容
社員の個人情報（評価、給与、健康に関すること）
未公表の数字（売上、見積額、契約条件）
他社から預かっているもの
パスワードや、入り口の情報
【迷ったとき】
入れない。〈担当者名〉に聞く。これを掲示するか、朝礼で1回話す。それだけで、いちばん大きな危険は減ります。
次に決めるとよいこと（急ぎません）
- どのサービスを使うかを会社として1つ決める（個人の名前での契約をやめる）
- 会社として契約するなら、学習に使わないと書かれている種類を選ぶ
- 出てきた文章を、社外に出す前に誰が読むかを決める
- やめるときの手順（辞めた人のアカウントを止める。ほかのサービスと同じです）
→ 契約とアカウントの整理は、こちらに書きました 社内のパソコン・ソフトの台帳の作り方
自分たちでできること
① 誰が何を使っているかを聞く
責めるためではありません。把握していない状態をやめるためです。たいてい、何人かはすでに使っています。
② 上の1枚を作って、配る
③ 会社として使うものを1つ決める
無料のものを個人の名前で使い続けるより、1つ決めてしまうほうが、結果的に安く済みます。
やらなくていいこと
- 使用を禁止すること。 隠れて使われるだけで、把握できなくなります
- 分厚い規程を作ること。 読まれません
- 研修を手配すること。 1枚配るほうが効きます
- 監視の仕組みを入れること。 その前に決めることがあります
頼んだほうがいい場合
- お客様の情報を扱う仕事で使いたい（ここは確認する項目が増えます）
- 取引先から、AIの利用状況について聞かれた
- どの種類を契約すればいいか分からない（名前が似ていて、中身が違います）
- すでに入れてしまったかもしれない（まず何が起きるかを整理しましょう）
最後のご相談は、珍しくありません。気づいた時点で手を打てば、たいていは収まります。