ChatGPTを業務で使い始めたら「情報漏洩リスクがある」と指摘された。その理由と、中小企業でも実践できる安全な導入ルール・設定方法を具体的に解説します。
こんな悩み、ありませんか？
「業務効率化のためにChatGPTを使い始めたら、上司や社内のIT担当者から『顧客情報を入力したら危ない』と注意された」「でも、具体的にどこまでがOKでどこからがNGなのかわからない」――そんな状況に陥っている方は、今や珍しくありません。
実際、弊社のクライアントである神奈川県内の製造業（従業員50名規模）でも、営業担当者が顧客とのメールをそのままChatGPTに貼り付けて文章を作成していたことが発覚し、経営者が青ざめるという出来事がありました。悪意があったわけではなく、「便利だから使っていた」だけです。しかし、その一歩が重大なコンプライアンス違反につながりかねない。
この記事では、なぜChatGPTが情報漏洩リスクとして語られるのか、その技術的な背景を整理したうえで、中小企業のWeb担当者や経営者が今日から実践できる「安全な導入ルールの作り方」を具体的に解説します。
なぜChatGPTへの情報入力がリスクになるのか
OpenAIのデータ利用ポリシーが出発点
2023年3月以前、ChatGPT（無料版・API経由）に入力したデータはOpenAIのモデル改善に使用される可能性がありました。この仕様が広まったことで「入力した情報がAIの学習に使われ、他のユーザーの回答に漏れ出るかもしれない」という懸念が一気に高まりました。
現在は設定によってオプトアウト（学習利用の拒否）が可能ですが、問題はそれだけにとどまりません。
flowchart TD
A[社員がChatGPTに情報を入力] --> B{どのプランを使っているか？}
B -->|無料プラン / ChatGPT Plus| C[デフォルトで学習利用される可能性あり]
B -->|API経由 / Enterprise| D[学習利用はオプトアウト可能]
C --> E[設定でオプトアウトを有効化]
D --> F[ただしOpenAIのサーバーには送信される]
E --> F
F --> G{入力内容に問題はないか？}
G -->|個人情報・機密情報を含む| H[⚠️ コンプライアンス違反リスク]
G -->|問題なし| I[✅ 安全に利用可能]本質的なリスクは「外部サーバーへの送信」
たとえ学習利用をオプトアウトしても、入力したテキストはOpenAIのサーバーに送信されます。つまり、個人情報・取引先情報・社内の機密情報を含むテキストを入力した時点で、その情報は社外に出ているという認識が必要です。
これはメールの誤送信や、クラウドストレージへの意図しない共有と本質的に同じ構造です。「AIだから特別に危ない」というよりも、「外部サービスを使う際の基本的な情報管理ができていなかった」というのが実態に近いケースがほとんどです。
安全な導入ルールの作り方：5つのステップ
ステップ1：入力してはいけない情報を明文化する
まず最初にやるべきことは、禁止事項のリスト化です。「なんとなくダメそう」という空気感では、現場での判断がバラバラになります。
以下のような形で、社内ドキュメント（NotionやGoogleドキュメント）に記載することを推奨します。
# ChatGPT利用ガイドライン v1.0
## 入力禁止情報
- 顧客の氏名・住所・電話番号・メールアドレス
- 取引先の社名と具体的な契約金額の組み合わせ
- 社内システムのID・パスワード・APIキー
- 未発表の新製品・新サービスに関する情報
- 従業員の個人評価・給与情報
## 入力する前のチェック
□ 個人名が含まれていないか？
□ 会社名と金額が同時に記載されていないか？
□ 社外秘・機密のラベルが付いた文書ではないか？
ポイントは「禁止」だけでなく「なぜ禁止なのか」の理由を一言添えることです。理由がわかると、グレーゾーンの判断も現場でできるようになります。
ステップ2：ChatGPT の学習利用をオプトアウトする
ChatGPTの設定から、入力データの学習利用を無効化できます。全社員が使うアカウントには必ずこの設定を入れてください。
1. 画面左下のアカウントアイコンをクリック
2. [設定] を開く
3. [データコントロール] を選択
4. 「モデルの改善のためにチャット履歴を使用する」をOFFにする
ステップ3：情報を「匿名化」してから入力する習慣をつける
禁止情報を除外するだけでなく、匿名化・一般化してから入力するという習慣が、最もトラブルを防ぐ実践的な方法です。
【NG例】
「株式会社○○の田中様から、今月末までに500万円の
見積書を送るよう依頼されました。以下の内容でメールを作成してください。」
【OK例】
「取引先から月末までに見積書を送るよう依頼がありました。
丁寧なビジネスメールを作成してください。
金額は[金額]、期日は[期日]というプレースホルダーを使ってください。」
固有名詞・数字・日付などを「[会社名]」「[金額]」といったプレースホルダーに置き換えるだけで、情報漏洩リスクを大幅に下げながらChatGPTの能力を活用できます。
ステップ4：用途別の利用ガイドラインを作る
すべての業務に同じルールを適用するより、用途ごとに「OKの範囲」を明示するほうが現場では使いやすくなります。
| 用途 | 利用可否 | 注意点 |
|---|---|---|
| メール文章の作成・改善 | 固有名詞を除いてから入力 | |
| 議事録の要約 | 個人名・社名を削除またはイニシャル化 | |
| マーケティング文章の作成 | 未発表情報は含めない | |
| コードのレビュー・補完 | 本番環境のAPIキーは絶対に含めない | |
| 顧客情報を含む問い合わせ対応文 | テンプレート化してから活用する | |
| 契約書・法務文書の作成 | 専門家に依頼する |
ステップ5：Enterprise版またはAzure OpenAI Serviceを検討する
一定規模以上の企業や、AIを本格的に業務統合したい場合は、ChatGPT EnterpriseまたはAzure OpenAI Serviceの導入を検討してください。
これらのサービスでは、入力データがOpenAIのモデル学習に使われない契約が保証されており、セキュリティポリシーの観点から格段に安全性が高まります。費用感としては、ChatGPT Enterpriseが1ユーザーあたり月額数千円〜、Azure OpenAI Serviceはトークン課金制（1,000トークンあたり数円〜）が目安です。
よくある失敗パターンと対処法
失敗1：「口頭で注意しただけ」で終わらせてしまう
「ChatGPTに重要な情報を入れないように」と口頭で伝えたものの、文書化していなかったため、数週間後には形骸化していた――これが最も多いパターンです。ルールは必ず文書化し、社内の共有フォルダやNotionに置いておくことが大前提です。
失敗2：禁止ばかりで「何をしてよいか」がわからない
セキュリティを意識するあまり「禁止事項」ばかりを並べたガイドラインを作ってしまうと、社員が萎縮してAIをまったく使わなくなります。「この使い方はOK」という具体例をセットで示すことで、適切な活用が促進されます。
失敗3：API連携でシークレットキーをそのままGitHubに上げてしまう
開発側の話になりますが、ChatGPTのAPIをWebサービスに組み込む際、OPENAI_API_KEYを.envファイルではなくソースコードに直書きしてGitHubにpushしてしまうケースが後を絶ちません。
# ❌ 絶対にやってはいけない
OPENAI_API_KEY=sk-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx # コードに直書き
# ✅ 正しい管理方法
# .envファイルに記載し、.gitignoreに.envを追加する
echo ".env" >> .gitignore
# Laravelの場合
// config/services.php
'openai' => [
'key' => env('OPENAI_API_KEY'),
],
APIキーが漏洩すると、第三者に大量のリクエストを送られ、多額の料金が請求されるリスクがあります。必ず環境変数で管理してください。
このAI技術、御社の業務にも導入できます
AI導入・業務自動化
ChatGPT活用や業務自動化など、最新のAI技術を御社に合わせてご提案します
※ 通常1営業日以内にご返信します
まとめと次のステップ
ChatGPTは正しく使えば、中小企業の業務効率を劇的に改善できるツールです。冒頭でご紹介したクライアントも、ルールを整備してから3ヶ月後には「メール作成・議事録要約・提案書のたたき台作成」にChatGPTをフル活用し、担当者の残業時間が月平均10時間以上削減されました。リスクを正確に理解したうえで「使える範囲を明確にする」だけで、怖いものではなくなります。
「まず何から始めればよいか」という方は、以下のチェックリストを今日のアクションとして活用してください。
ルールの文書化や社内への展開方法、あるいはWebサービスへのChatGPT API組み込みについてお困りの場合は、Fivenine Designまでお気軽にご相談ください。神奈川を拠点に、LaravelやNext.jsを使ったAI連携開発から、社内向けの導入支援まで幅広く対応しています。
