生成AIで機密情報を扱う前の確認事項｜入力可否を判断する手順

生成AIで機密情報を扱う前には、情報の重要度と、利用するサービスの契約・設定・保存方法を照らして入力可否を判断します。「学習に使われない」とされる環境でも、それだけで全情報を入力してよいとは限りません。社内規程や取引先との条件、外部連携、出力後の共有まで含めて確認してください。

入力候補の情報を分類する

顧客名、契約内容、未公開の計画、従業員に関する情報など、何を含む資料かを確認します。ファイル名や本文だけでなく、注釈、表の別欄、変更履歴にも情報が残る場合があります。資料全体をまとめて送る前に、作業に必要な部分を切り出せないかを検討します。

判断は利用者個人の感覚だけに任せず、情報の管理者や利用を許可する役割へ確認します。公開情報と機密情報が混ざる資料は、公開部分だけを使う方法もあります。「社外秘」と表示されていないから公開してよい、という扱いは避け、実際の内容と取り決めを見て判断します。

確認する項目は、入力内容の保存、サービス提供者による利用、管理者の閲覧、データの削除、外部への転送などです。同じサービス名でも契約や設定によって扱いが異なることがあります。個人用の環境と業務用の環境を混同しないよう、使用してよい入口を明示します。

連携機能や拡張機能を使う場合は、生成AI本体だけでなく連携先の扱いも確認します。利用規約が読みにくい箇所や契約条件が不明な箇所は、推測で安全と判断せず確認待ちにします。公式資料や契約の確認日を残し、条件が変わった際に見直せるようにします。

文章の構成を整えるだけなら、実名や実際の契約内容を使わずに作業できる場合があります。氏名を記号へ置き換えるだけでは、部署、日付、案件の特徴から対象を推測できることもあります。単純な伏せ字を匿名化の完了とせず、前後関係も含めて識別される可能性を考えます。

情報を減らした結果、求める出力が得られない場合は、さらに情報を追加する前に作業方法を変えられないか検討します。一般的なひな形だけ生成し、実際の内容は社内で追記する方法もあります。利便性と機密性のどちらを優先するかは、情報の管理責任を持つ人が判断します。

取引先向け説明文の下書きを作る場合の想定例です。「目的：説明の構成を整理」「入力候補：既存の説明資料」「除外：取引先名、契約条件、未公開の計画」「使用環境：社内で承認した環境」「確認者：資料の管理を担う人」と記入します。実際の資料を送る前にこの整理を行います。

さらに「生成後の作業：担当者が事実を確認し、必要な固有情報を社内で補う」「共有先：確認後の文書だけを相手へ渡す」と定めます。入力を絞っても、出力に根拠のない条件が加わることがあります。出力が機密を含まないことと、内容が正しいことは別々に確認してください。

入力時だけ注意しても、出力した文章や会話履歴が広い共有先に保存されれば情報が広がります。共同作業の設定、共有リンク、書き出したファイル、社内の利用ログを確認します。業務資料として採用した出力は、既存の文書管理ルールに沿って扱います。

画面を閉じたことが削除を意味するとは限りません。履歴を消せる範囲、管理者や提供者側の保存、バックアップの扱いなどは環境に依存します。完全に消せると断定せず、必要な確認を行います。削除できない条件が業務上許容できないなら、その情報は入力しない判断になります。

誤入力に気づいたら、会話の続行や共有を止め、入力した情報、使用環境、実行時点、共有の有無を確認します。内容を広く転送せず、社内の情報管理や事故対応を判断する役割へ報告してください。ログ削除だけで対応完了とせず、必要な外部確認や関係者への対応を判断します。

再発防止では「気をつける」とするだけでなく、承認した利用経路の案内、資料を切り出す手順、迷った場合の相談先を整えます。入力可否の一覧も例外条件が変われば更新が必要です。利用者が判断できないときに作業を止められる運用が、現場での安全な活用につながります。

企業向け契約なら入力できますか。契約だけで一律には判断できません。対象情報の取り決めと設定、社内方針を確認します。

氏名を消せば問題ありませんか。他の情報から対象が分かる場合があります。識別情報を減らすだけでなく、そもそも実データが必要な作業かも見直してください。