個人情報・社外秘・ソースコードを守る実務チェックリスト
最終更新：
ClaudeやChatGPTへ仕事の資料を貼る前に、顧客の個人情報、社外秘、契約書、未公開情報、APIキー、非公開ソースコードが含まれていないか確認する。個人向けAIの学習設定をオフにしても、会社の利用許可や秘密保持義務がなくなるわけではない。この記事では、入力禁止データの判断基準、安全な匿名化、個人向け・法人向けプランの違い、誤送信後の対応を実務向けに整理する。
結論：「AI会社が学習に使わない」と「自社の機密情報を入力してよい」は別問題だ。会社が承認したサービス・アカウント・用途が確認できない場合は、業務データを入力しない。
入力前の30秒チェック
- この資料は自分の情報だけか、顧客・社員・取引先の情報を含むか
- 社外へメール添付してよい資料か
- 契約、就業規則、顧客との約束で外部サービスへの送信が認められているか
- 会社が承認したAIサービスと業務用アカウントか
- 固有名詞、番号、秘密部分を削除しても目的を達成できるか
判断の基準：その文章を会社の外部掲示板へ貼れないなら、個人用の生成AIへも貼らない。迷ったら情報管理・法務・上司へ確認する。
生成AIに入力してはいけない情報7カテゴリ
1．認証情報と秘密鍵
パスワード、ワンタイムコード、APIキー、アクセストークン、秘密鍵、接続文字列、Cookie、復旧コードは入力しない。コードの相談では、設定ファイルやログに混ざっていないかも確認する。
2．顧客・社員・応募者の個人情報
氏名、住所、電話番号、メール、顔写真、履歴書、評価、位置情報、顧客IDなど。名前を消しても、会社名・役職・地域・具体的な出来事の組み合わせで個人を推測できる場合がある。
3．要配慮情報・高リスク情報
健康診断、病歴、障害、信条、犯罪歴などのセンシティブな情報や、マイナンバー、本人確認書類、カード情報は特に慎重に扱う。AIで処理する必要性、法的根拠、社内手順を先に確認する。
4．社外秘・未公開の経営情報
発売前製品、価格戦略、売上、予算、買収、人事、取締役会資料、障害情報、脆弱性など。文章の要約やメール化が目的でも、未公開情報を外部サービスへ送る行為は変わらない。
5．契約書・法務文書・顧客から預かった資料
NDA、業務委託契約、訴訟資料、顧客の原稿やデータには、第三者提供や再委託の条件がある。契約書に「秘密」と書いていない資料でも、自由に入力できるとは限らない。
6．非公開ソースコード・ログ・システム構成
自社コード、脆弱性、サーバー名、IPアドレス、データベース構造、エラーログを貼ると、認証情報や顧客データまで混ざることがある。Claude Codeなどを使う場合は、対象フォルダと除外ファイルも確認する。
7．著作権・ライセンス上、送信権限がない内容
有料記事、購入した電子書籍、社内限定教材、他社の設計図を丸ごと貼らない。要約したいという目的だけでは、第三者サービスへ全文送信する権限にならない。
母向け記事との違い：この記事は仕事のデータが中心
| 記事 | 主な読者 | 中心となる検索意図 |
|---|---|---|
| ChatGPTに入力してはいけない個人情報 | スマホ・AIを使い始めた人 | 口座、住所、医療、写真、詐欺から自分と家族を守る |
| この記事 | 仕事でClaude・ChatGPTを使う人 | 顧客情報、社外秘、契約、コードを安全に扱う |
日常生活の具体例は、ChatGPTに入力してはいけない個人情報で確認できる。
個人向けAIと法人向けAIの違い
データの利用条件は、サービス名だけでなくプランと契約で変わる。2026年7月時点の公式情報では、OpenAIはChatGPT Business・Enterprise・Eduなどの業務向けサービスの入力・出力を既定でモデル学習に使わないと案内している。AnthropicもClaude for WorkやAPIなどの商用製品の入力・出力を既定でモデル学習に使わないとしている。
| 確認項目 | 個人向けアカウント | 会社契約・法人向け |
|---|---|---|
| モデル改善への利用 | 設定、フィードバック、安全確認などの条件を確認 | 既定で学習に使わない契約が多いが、正式な条件を確認 |
| 管理者 | 原則として本人 | 組織管理者が保持・共有・監査を設定する場合がある |
| 入力できる情報 | 会社データは原則入れない | 契約だけでなく社内規程と利用目的に従う |
| 保持期間 | 履歴・一時モード・削除条件を確認 | 組織の保持設定や契約を確認 |
法人向けだから何でも入力できるわけではない。最小限の入力、アクセス権、保存期間、接続アプリ、監査、削除手順まで決める必要がある。
ChatGPT・Claudeのプライバシー設定
ChatGPTの場合
- 「Improve the model for everyone」をオフにすると、通常の会話履歴を残しながらモデル改善への利用を止められる
- Temporary Chatは履歴・メモリ・モデル改善に使われないが、安全上の目的で最大30日コピーが保持される場合がある
- Business・Enterprise・Eduなどは、組織データを既定で学習に使わない
Claudeの場合
- 個人向けClaudeでは「Help Improve Claude」の設定を確認する
- Incognito chatは履歴やメモリに残らず、モデル改善に使われないが、既定で30日保持される
- Claude for Work・Anthropic APIなどの商用製品は、入力・出力を既定でモデル学習に使わない
- 評価ボタンでフィードバックを送ると、関連会話が別の条件で保存・利用される場合がある
設定名や保持条件は変わるため、利用時点の公式ヘルプと会社の契約を確認する。
安全な匿名化は「名前を消す」だけではない
| 危険な状態 | 置き換え例 |
|---|---|
| 株式会社〇〇の田中部長、福岡支店、56歳 | A社の管理職 |
| 顧客番号、メール、契約金額が残った表 | 列自体を削除し、金額を仮の値に置換 |
| 本番URL、サーバー名、APIキー入りログ | example.com、SERVER_A、SECRET_REMOVEDへ置換 |
| 契約書PDFを丸ごと添付 | 許可を確認し、問題となる条文だけを抽象化して質問 |
ファイルにはコメント、変更履歴、非表示シート、作成者名、画像の背景などが残ることもある。安全に削除できたと確認できなければ、ファイルをアップロードしない。
安全にAIを使う7ステップ
- 目的を決める：要約、校正、コード相談など必要な作業だけに絞る
- 社内ルールを確認する：許可されたサービス、プラン、端末、用途を確認する
- データを分類する：公開・社内・機密・個人情報などの区分を確認する
- 最小化する：回答に不要な段落、列、添付、ログを削る
- 仮名化する：氏名、会社名、URL、番号、金額をダミーへ置き換える
- 送信前に再確認する：秘密情報検索、ファイルのメタデータ、接続先を確認する
- 出力も検査する：事実、著作権、個人情報、秘密情報の再出力がないか確認する
安全な質問テンプレート
実データを貼らず、構造や考え方だけを相談する。
誤って機密情報を入力したとき
- 追加の入力・共有・フィードバック送信を止める
- 対象の会話、共有リンク、アップロードファイルを削除する
- APIキー、パスワード、トークンを直ちに失効・再発行する
- 会社の情報セキュリティ、個人情報保護、上司へ速やかに報告する
- 入力した情報、サービス、アカウント、日時、共有範囲を記録する
- 顧客・本人への連絡や法令上の対応は、担当部門の判断に従う
自分だけで隠そうとすると対応が遅れる。削除したから終わりと判断せず、会社のインシデント手順に従う。
よくある質問
まとめ
- 認証情報、個人情報、社外秘、契約書、非公開コードを個人用AIへ入力しない
- 学習されないことと、入力許可があることを分けて考える
- 会社が承認したサービス・契約・用途を確認する
- 名前だけでなく、番号・属性・メタデータまで削除する
- 誤入力時は削除だけで終わらせず、秘密の失効と社内報告を行う
AI記事で出典と信頼性を示す方法は、AI記事のE-E-A-T対策でも説明しています。
コメント