社内の情報をAIに入力する前に確認すること：情報の分け方とツールの確認点

生成AIを業務で使うとき、迷いやすいのが「この情報を入力してもよいのか」という点です。顧客からのメールを要約したい、社内の資料をもとに提案書を作りたいと思っても、入力してよいかが分からず手が止まってしまうことがあります。

反対に、深く考えずに入力してしまい、後から問題に気づくこともあるでしょう。生成AIのツールの多くは、入力した内容を外部のサービス上で処理する仕組みです。どの情報なら入力してよいかを、使う前に確認しておく必要があります。

この記事では、社内の情報をAIに入力する前に確認したいことを、情報の分け方、ツールの確認点、入力する前の工夫、社内のしくみでの守り方の4つに分けて紹介します。

情報を3つに分けて考える

最初に、社内の情報を入力してよいかどうかで分けておきましょう。細かく分けすぎると判断が難しくなるため、まずは3つ程度に分けるのがおすすめです。

どの情報をどの区分に入れるかは、会社の業種や取引先との関係によって変わります。表はあくまで一般的な例として、自社に合わせて調整してください。

判断に迷う情報が出てきたときに、誰に確認すればよいかも決めておきます。担当者が一人で悩んで入力してしまうより、確認先がはっきりしているほうが、結果として安全に使えます。

個人情報と取引先の情報は特に慎重に

入力しない情報の中でも、特に注意したいのが個人情報と取引先から預かった情報です。

個人情報の扱いについては、法律上の決まりがあります。顧客や社員の氏名、連絡先などを外部のサービスに入力してよいかは、使うツールや目的によって判断が分かれることがあります。具体的な判断が必要な場合は、最新の情報を公的機関や専門家に確認してください。

取引先から預かった資料や図面には、契約で扱いが決められている場合があります。秘密保持の取り決めがある情報を外部のAIサービスに入力すると、契約に反するおそれもあるでしょう。こうした情報は、契約の内容を確認してから判断するのが基本です。

ツールと契約で確認しておくこと

同じ生成AIでも、ツールや契約の種類によって、入力した内容の扱いが異なります。使い始める前に、確認しておきたい点がいくつかあります。

1つ目は、入力した内容がAIの学習に使われるかどうかです。学習に使われる設定の場合、入力した内容がサービスの改善などに利用される可能性があります。2つ目は、入力した内容がどのくらいの期間保存されるかという点です。3つ目は、会社として利用者を管理できる機能があるかどうかで、アカウントの追加や停止、利用状況の確認ができるかを見ます。確認した内容は、社内の利用ルールとあわせて記録しておくと便利です。ツールの条件が変わったときに、どこを見直せばよいかがすぐに分かるからです。

個人向けの契約と、法人向けの契約とで、これらの条件が異なる場合があります。社員が個人のアカウントで使っていると、会社として条件を管理できません。機能や条件は変わるため、導入時は公式情報を確認してください。

入力する前にできる工夫

条件付きの情報を扱うときは、入力する前にひと手間かけることで、情報が外に出る機会を減らせます。

よく使われるのは、固有名詞を伏せる方法です。顧客名を「A社」、担当者名を「担当者」のように置き換えてから入力すれば、文章の構成や言い回しを整えるという目的は果たせます。金額や数量も、文章の下書きに必要がなければ伏せておけばよいでしょう。

資料の全体ではなく、必要な部分だけを入力するのも有効です。たとえば提案書の構成を相談したいだけなら、本文をすべて貼り付ける必要はありません。見出しと要点だけを入力すれば、目的を果たせることが多いものです。

こうした工夫は、社員がそれぞれ思いつくのを待つより、具体的な例として社内で共有しておくと広まりやすくなります。

社内のしくみで守る

一人ひとりの注意だけに頼らず、社内のしくみで情報を守ることも大切です。

まず、使ってよいツールを会社として決め、会社が管理するアカウントで使うようにします。社員が個人の判断で別のツールを使っている状態は、シャドーAIと呼ばれることがあり、会社として把握できない情報の流れを生みます。退職した社員のアカウントが残らないよう、停止の手順も決めておくと安心です。

次に、誰がどの情報にアクセスできるかを整理しておきましょう。社内の資料とAIをつなぐ仕組みを作る場合は、社員ごとに見られる資料の範囲を分けておく必要があります。権限の設計が不十分だと、本来は見られない資料の内容がAIの回答に含まれてしまうおそれがあるためです。

入力してよい情報のルールは、社内の利用ルールの中に書いておくのが基本です。ルールの作り方は、生成AIの社内利用ルールの作り方で詳しく紹介しています。

顧客メールを下書きに使う前の加工例

納期変更を相談するメールを作りたい場面を想定します。元の受信メールに顧客名、担当者名、電話番号、特注品の名称、注文番号が含まれている場合、メール全文を入力する必要があるかを先に考えます。

目的が文章の言い回しを整えることなら、「取引先に納期変更を相談する」「理由は部材の入荷遅れ」「変更後の日付は社内確認中」「今回は状況報告だけを行う」といった要点だけで下書きを作れます。必要な固有名詞は、承認された社内の環境で後から差し込みます。

ただし、名前を「A社」に置き換えるだけで、情報が安全になるとは限りません。珍しい製品名、案件の場所、取引の経緯などを組み合わせると、相手や案件が分かることがあります。入力の可否は文章全体の内容と利用目的で判断し、匿名化したつもりの資料も社内ルールに従って扱います。

個人情報保護委員会は、生成AIへの個人情報の入力などについて注意喚起を公表しています。具体的な判断では、生成AIサービスの利用に関する注意喚起と、使うサービスの契約条件を確認してください。

ツールの確認結果を残す表

「法人向けだから使ってよい」という判断だけでは、どの情報をどの機能で扱えるかが残りません。管理担当は、確認した契約名、設定、確認日、確認した資料へのリンクを記録します。

学習への利用、保存、共有先は別々の確認項目です。学習に使われないとしても、会社が認めていない相手に共有してよいことにはなりません。資料検索や外部サービスとの連携を後から追加した場合は、入力欄に貼り付けるときとは異なる情報の流れも確認します。

資料の参照権限は、部署名だけで決めず、実際にその人が見てよい範囲と合わせます。公開範囲を間違えた資料をAIにつなぐと、回答を通じて内容が伝わるおそれがあります。AIのアクセス権限の設計も合わせて確認すると、アカウント管理と資料管理を整理しやすくなります。

入力してはいけない情報を送ったときの初動

誤入力に気づいたら、追加の入力や共有を止め、決めた窓口へすぐに連絡します。使ったサービスとアカウント、入力した時刻、情報の種類、添付や共有の有無を伝えられるようにします。報告のために機密情報の全文を別のチャットへ貼り直すことは避けてください。

履歴を消しただけで外部に残る情報もすべて消えたとは判断せず、管理担当が契約や提供元の手続きに沿って確認します。報告の責任を曖昧にしないため、不在時の代替窓口もルールに含めます。通常業務へ戻る条件と、再発を防ぐために直す入力手順まで記録すれば、社員も次に同じ場面で判断しやすくなります。

まとめ

社内の情報をAIに入力する前には、情報を入力してよい・条件付き・入力しないの3つに分け、使うツールと契約の条件を確認します。個人情報や取引先から預かった情報は特に慎重に扱い、固有名詞を伏せるなどの工夫と、会社が管理するアカウントでの利用で、情報が外に出る機会を減らしていきましょう。

e-Grantsは、愛知県一宮市のAIカンパニーです。名古屋・愛知の企業に向けて、ツールの選定から社内ルールづくり、定着の支援までを含むAI導入コンサルティングを提供しています。自社の情報をどう分ければよいか相談したい場合は、30分の無料AI活用診断をご利用ください。