以下の担当名は仕事上の役割を示します。専任部署の設置を前提とせず、兼務や外部支援を含めて、内容を判断する人と実行する人を決めてください。

結論：生成AIへの入力禁止情報は、顧客情報・従業員情報・契約上の秘密・未公開の業務情報を中心に、利用契約と社内ルールを確認して決めます。情報管理の担当者と業務責任者が案を作り、自社の承認者が確認します。役割は兼務でも構いません。例外として、外部から受け取った資料は、その提供条件や秘密保持の取り決めも確認し、入力可否を判断します。

1. 入力禁止情報を判断するための基本条件

  • 法令遵守：扱う情報に適用される条件を、社内規程、利用契約、提供元との取り決めなどから確認します。法的な判断が必要な場合は専門家へ確認し、一般的な禁止・許可へ短絡させません。
  • 業務上の機密性：未公開の製品設計、取引先情報、価格交渉内容、内部統計など、漏洩した場合に競争上の不利益が生じる情報。
  • 倫理・コンプライアンスリスク：差別的表現や誹謗中傷につながる情報、社内のハラスメント関連の記録など。
  • 技術的リスク：入力の保存、サービス提供者による利用、外部連携先への転送など、利用環境ごとの取り扱いを確認します。テキストや画像という形式だけで、学習への利用可否は決まりません。

2. 対象となる情報の具体的な確認項目

項目名定義・内容例判断基準
個人識別情報氏名・住所・電話番号・メールアドレス・マイナンバー等対象情報の利用条件を確認し、未確認なら入力を保留
営業機密情報未公開の価格表・顧客リスト・提案資料の草稿社内機密レベルが高い → 禁止
技術設計情報回路図・ソースコードの未公開部分・アルゴリズムの詳細競合優位性がある → 禁止
契約情報契約書の条項・交渉メモ・内部承認プロセス契約上の秘密保持義務 → 禁止
内部統計・分析結果売上予測・市場分析レポートの未公開版未公開情報として社内方針と共有範囲を確認し判断

3. 役割分担と承認フロー

  1. 情報管理を担う人（策定責任者）：全社的な入力禁止情報リストの草案作成。
  2. 法務の確認を担う人（法令チェック）：草案に対し、関連法令・ガイドラインの適合性を確認。
  3. 対象部門リーダー（業務適合性）：自部門の業務フローで実際に使用される情報をレビューし、例外の必要性を検討。
  4. 経営層（最終承認）：リスクマネジメント観点から全体方針を承認。
  5. 運用担当（実装・周知）：決定した禁止情報をAI利用ガイドラインに反映し、社内ポータル等で周知。

4. 具体的な決定手順

  • Step1：情報資産一覧の取得（情報管理を担う人が管理データベースから抽出）。
  • Step2：各情報を上記「確認項目」の表に当てはめ、分類タグ（例：個人情報・営業機密・技術情報）を付与。
  • Step3：法務の確認を担う人がタグ付与結果をもとに法令適合性を評価し、必要な例外処理をコメント。
  • Step4：対象部門リーダーが業務上の利用シナリオを提示し、例外が必要な場合は代替策（例：匿名化・要約）を提案。
  • Step5：経営層がリスクと業務効率のバランスを判断し、最終的に「入力禁止情報リスト」および「例外許可基準」を承認。
  • Step6：運用担当が利用できる環境と禁止情報の具体例を周知。警告機能が使える場合も、言い換えや画像を見落とす可能性があるため、補助として扱う。

5. よくある失敗と対処法

  • 過度に網羅的すぎる：全社的に禁止範囲が広がり、業務効率が低下。→ 部門ごとの利用ケースを踏まえて例外を設計。
  • 法務チェックが抜ける：規程や契約条件の変更を見落とす可能性がある。→ 契約や規程の変更時に、法務の確認を担う人や外部支援先へ確認する。
  • 現場の理解不足：禁止情報を入力してしまうケースが頻発。→ ガイドラインと共に実務演習を実施し、警告画面の見本を提示。

6. 想定例（※実務での記入項目例）

※以下は社内で使用する「入力禁止情報決定シート」の項目例です。実際の記入は各項目に該当する情報を具体的に記載してください。

  • 情報カテゴリ（例：個人情報、営業機密、技術情報）
  • 具体的なデータ例（例：顧客氏名＋連絡先、未公開製品の設計図）
  • 判断の根拠（確認済みの社内規程、契約条件、専門家への確認記録など）
  • 業務利用シナリオ（例：営業資料作成時の下書き利用）
  • 例外許可条件（入力を減らす方法、利用環境、残るリスク、判断者。伏せ字だけで許可しない）
  • 承認者（情報管理を担う人、法務の確認を担う人、部門リーダー）
  • 承認日・レビュー期限

7. 短いQ&A

  • Q: 部門ごとに異なる禁止情報を設定してもよいですか？
    A: はい。全社共通の基準に加えて、部門固有の機密情報は別途リスト化し、部門リーダーの承認を得る形で追加できます。
  • Q: 外部ベンダーが提供するデータはどう扱うべきですか？
    A: 契約書で取り扱い範囲を明示し、必要に応じて「例外許可条件」として別途管理します。
  • Q: 既にAIに入力した情報が禁止対象だった場合の対処は？
    A: 入力と共有を止めて社内の窓口へ報告し、情報、保存先、閲覧範囲を確認します。提供者への削除確認など必要な対応は責任者が判断します。警告の追加だけで解決としないでください。

上記の手順と役割分担を社内に落とし込み、定期的なレビューを実施することで、生成AI活用時の情報漏洩リスクを最小化しつつ、業務効率を保つことが可能です。

関連サービスと基礎資料

AIソリューションの対象範囲もご確認いただけます。

本記事の手順・確認項目は一般的な検討のための提案です。AIを使って草案を作成し、構成・表現の点検を行っています。個別の契約・運用条件は実際の環境に合わせて確認してください。