ChatGPTに業務データを入れる前に確認すべき情報の種類と社内ルール

ChatGPTに何を入力してよいか迷っていませんか？情報漏洩リスクを避けながら業務効率化を実現するための「情報分類」と「社内ルールの作り方」を実践的に解説します。

こんな悩みはありませんか？

「ChatGPTを使えば仕事が楽になると聞いたけど、どこまで入力していいのか分からない」「会議の議事録を要約させたいけど、顧客名が入っているのが心配」「社員がバラバラにAIを使い始めていて、ルールをどう整えたらいいか困っている」

こうした声は、2024年以降に急増しています。ChatGPTの普及スピードに、社内の情報管理体制が追いついていないのです。

FivenineDesignでも、取引先の中小企業から「AIツールをどう安全に使えばいいか」という相談が急増しました。本記事では、情報漏洩のリスクを正しく理解しながら、業務効率化をしっかり進めていただくための「情報の分類方法」と「社内ルールの具体的な作り方」を解説します。

なぜ「入力してよい情報」を整理する必要があるのか

ChatGPT（OpenAI）の利用規約では、APIを経由せず通常のチャット画面を使う場合、入力したデータがモデルの学習に利用される可能性があります（2024年時点のデフォルト設定）。設定でオプトアウトは可能ですが、そもそも「何を入力するか」を仕組みで制御しなければ、担当者が気づかないうちに機密情報が外部のサーバーに送信される事態になりかねません。

あるクライアント（神奈川県内の製造業、従業員40名）では、営業担当者が顧客との商談メモをそのままChatGPTに貼り付けて「提案書のたたき台を作ってほしい」と依頼していました。メモには顧客の正式社名、担当者名、価格交渉の経緯まで含まれており、情報漏洩リスクが高い状態でした。本人には「AIを活用して業務を効率化した」という自覚しかなく、悪意は一切ありません。これは典型的な「ルール不在による事故未遂」です。

まず「情報の種類」を3段階に分類する

社内ルールを作る前に、自社が扱う情報を以下の3つのレベルに分類してください。この分類が、すべてのAI活用ポリシーの土台になります。

レベル1：ChatGPTへの入力OK（公開・汎用情報）

• 一般的な文章の添削・翻訳
• 業界全般の調査・リサーチ（固有名詞なし）
• 社内向けの議事録フォーマットのテンプレート作成
• プログラムのサンプルコード生成
• マーケティングのアイデア出し（顧客名・製品名を含まない）

このレベルの情報は、仮に外部に出ても実害がないものです。積極的に活用して構いません。

レベル2：匿名化・マスキングを行えばOK（社内限定情報）

• 顧客名・担当者名を「A社」「担当X」に置き換えた議事録
• 製品名・価格を「商品α」「¥○○」に置き換えた提案書の下書き
• 社員の氏名を省いた業務フロー・マニュアルの整理

このレベルは「情報を抽象化すれば使える」領域です。次のセクションで具体的な匿名化の手順を説明します。

レベル3：ChatGPTへの入力NG（機密・個人情報）

• 顧客の個人情報（氏名・住所・連絡先・購買履歴）
• 契約書・秘密保持契約（NDA）の内容
• 財務諸表・給与データ
• 未公表の新製品情報・特許関連
• 採用候補者の個人情報

これらは**社内のAIツール（Azure OpenAI Serviceなど、データが外部学習に使われない環境）**でのみ扱うべきです。

flowchart TD
    A[入力しようとしている情報] --> B{個人情報・契約情報を含む？}
    B -->|Yes| C[レベル3：入力NG]
    B -->|No| D{社名・製品名・金額など社内限定情報を含む？}
    D -->|Yes| E[レベル2：匿名化してから入力]
    D -->|No| F[レベル1：そのまま入力OK]
    E --> G[匿名化処理を実施]
    G --> H[ChatGPTで活用]
    F --> H
    C --> I[社内AIサービスか、使用を中止]

実践：匿名化の具体的な手順とコード例

「匿名化って難しそう」と感じる方も多いですが、基本的には検索＆置換の考え方です。

たとえばWeb担当者がPythonスクリプトを使えば、テキストファイル内の固有名詞を一括でマスキングできます。

import re

def anonymize_text(text: str, replacements: dict) -> str:
    """
    指定した固有名詞を匿名化して返す
    replacements: {"実際の名前": "置換後の表現"}
    """
    for original, masked in replacements.items():
        text = text.replace(original, masked)
    return text

# 使用例
original_text = """
2024年11月、株式会社山田商事の田中様より
月額50万円の受注案件についてご相談をいただきました。
"""

replacements = {
    "株式会社山田商事": "A社",
    "田中様": "担当者X様",
    "50万円": "●●万円",
}

result = anonymize_text(original_text, replacements)
print(result)
# → 2024年11月、A社の担当者X様より
#    月額●●万円の受注案件についてご相談をいただきました。

function anonymizeText(text, replacements) {
  let result = text;
  for (const [original, masked] of Object.entries(replacements)) {
    // 大文字小文字を区別しない全置換
    const regex = new RegExp(original.replace(/[.*+?^${}()|[\]\\]/g, '\\$&'), 'g');
    result = result.replace(regex, masked);
  }
  return result;
}

// 使用例
const original = "株式会社山田商事の田中様、金額は50万円です。";
const rules = {
  "株式会社山田商事": "A社",
  "田中様": "担当者X様",
  "50万円": "●●万円",
};

console.log(anonymizeText(original, rules));
// → A社の担当者X様、金額は●●万円です。

このスクリプトをChatGPTに入力する直前の前処理として習慣化するだけで、情報漏洩リスクは大幅に下がります。実際に前述の製造業クライアントには、このPythonスクリプトをSlackのワークフローと連携させて「匿名化ボタンを押してからChatGPTに貼り付ける」フローを構築しました。導入後は「安心して使えるようになった」という声とともに、ChatGPT活用の件数が月30件から120件超へと増加しています。

よくある失敗パターンと対処法

失敗①「ChatGPTの設定を変えれば安全」という思い込み

ChatGPTには「チャット履歴をオフにする」設定がありますが、これは学習利用を止めるものであり、送信データがOpenAIのサーバーに届くこと自体は変わりません。セキュリティの担保という観点では根本的な対策になりません。エンタープライズプランへの移行や、Microsoft Azure OpenAI Serviceの活用が現実的な選択肢です。

失敗②「うちはIT企業じゃないからリスクは低い」という油断

個人情報保護法や各業界の規制は業種を問いません。飲食業でも顧客の予約情報、建設業でも工事見積もりや下請け業者との取引情報は「外に出してはいけない情報」です。業種に関係なく分類の習慣をつけることが重要です。

失敗③ ルールを作って終わり

「AIガイドラインを作成した」と満足して、社員への周知・研修をしないケースが非常に多いです。文書化したルールは必ずSlackやグループウェアで全社共有し、月1回の振り返りを行う仕組みにセットしてください。ルールは生きていなければ意味がありません。

社内ルール（AIガイドライン）の最低限の構成

まとめと次のステップ

ChatGPTを安全に業務活用するための第一歩は、「禁止する」ではなく「仕分けする」ことです。情報を3段階に分類し、レベル2の情報は匿名化してから使う。この習慣を社内に根付かせるだけで、リスクを大幅に抑えながらAIのメリットを享受できます。

FivenineDesignでは、Laravel・Next.jsを活用した社内向け匿名化ツールの開発や、ChatGPT APIを活用した業務自動化システムの構築も承っています。「うちの業務フローに合ったルールを作りたい」「安全なAI活用環境を整えたい」という方は、お気軽にご相談ください。