ChatGPT等の法人利用 — 情報漏えいリスクと社内ルールの作り方

ChatGPTをはじめとする生成AIチャットツールは、文章作成や情報整理の速度を大きく高める一方、業務で使う以上は「何を入力してよいか」「誰が責任を持つか」という社内ルールが欠かせません。ルールを整備しないまま使わせている状態は、情報漏えいや誤情報の流布といったリスクを放置していることと同じです。本稿では、法人利用における主なリスクの実像と、最小限で始められる社内ルールの作り方を整理します。

2023年以降、ChatGPTやその他の生成AIチャットツールは検索や資料作成の代替手段として急速に個人利用が広がり、業務の現場でも「気づけば使われていた」というケースが増えています。複数の調査機関の調査でも、企業における生成AI利用率は年々上昇傾向にあると報告されていますが、利用率の伸びに対して社内ルールの整備が追いついていない企業が少なくありません。IT部門やセキュリティ部門が主導して導入したケースだけでなく、現場の従業員が個人の判断で使い始めるケースも多く、この「非公式な利用」をどう扱うかが経営上の論点になっています。

生成AIの業務利用に伴うリスクは、大きく3つに整理できます。ひとつは入力情報の扱いです。チャット画面に入力した文章は、サービスによって取り扱いが異なり、対話内容がサーバーに保存される場合があります。顧客情報や未公表の契約条件、人事情報などを入力すると、意図せず外部に情報が渡ってしまう可能性があるため、何を入力してよいかの線引きが必要です。

ふたつめは学習利用の設定です。多くのサービスには、入力内容をモデルの追加学習に使うかどうかを選べる設定があります。個人向けの無料プランと法人向けプランでは、この設定のデフォルトや扱いが異なることが一般的で、契約形態によって「学習に使われない」ことが契約上明記されるケースもあります。設定を確認せずに利用を始めると、意図しない形で情報が扱われるリスクが残ります。

みっつめは誤情報（ハルシネーション）のリスクです。生成AIは事実と異なる内容や存在しない情報をもっともらしく生成することがあり、出力をそのまま社外文書や意思決定に使うと、誤った情報が外部に出てしまう恐れがあります。特に数値・固有名詞・法令や制度に関する記述は、必ず一次情報で確認する運用が求められます。

リスクを懸念して生成AIの利用を全面的に禁止する企業もありますが、この対応には別の問題が伴います。業務効率化のニーズがなくなるわけではないため、禁止しても従業員が私用端末や個人アカウントで隠れて利用する「シャドーAI」が発生しやすくなるためです。会社が把握・管理できない状態での利用は、ルールを定めて公式に利用させる場合よりもむしろリスクが高くなる可能性があります。全面禁止よりも、利用してよい範囲を具体的に定め、公式なルートを用意するほうが実効性のあるリスク管理につながりやすいと考えられます。

※上記は一般的な傾向であり、具体的な契約内容・設定はサービスごと、契約時点ごとに異なります。実際の利用にあたっては、各サービスの最新の利用規約・法人向け契約内容を必ず確認してください。

- ①入れてよい情報の線引き: 顧客の個人情報、未公表の契約・財務情報、人事情報などは原則入力禁止とし、公開情報や匿名化した情報のみ利用可とする
- ②出力の確認プロセス: 生成された文章・数値は、社外に出す前に必ず人が事実確認を行う。特に固有名詞・数値・法令関連は一次情報で照合する
- ③アカウントの管理: 個人の無料アカウントでの業務利用を避け、可能な範囲で法人契約・管理者付きアカウントに統一する
- ④学習利用のオフ設定確認: 契約時に学習利用の可否を確認し、必要に応じてオフに設定する。設定変更の有無を定期的に確認する
- ⑤相談窓口の設置: 判断に迷った場合に相談できる窓口（情報システム部門・法務部門など）を決めておき、周知する

ルールをゼロから作るのは負担が大きいため、まずは上記5項目を1ページ程度の簡易ガイドラインにまとめ、周知することから始めるのが現実的です。運用しながら実際に出た疑問や事例を反映して更新していくことで、無理なく定着させやすくなります。全社一律のルールに加え、部署ごとに扱う情報の性質が異なる場合は、部署単位で補足ルールを設けることも検討に値します。生成AI活用の広い進め方については中小企業のAI経営導入ガイド、失敗しやすいパターンについてはAI導入が失敗する典型パターンも参考になります。

生成AIの業務利用は、禁止か放任かの二択ではなく、リスクの実像を理解した上で「入れてよい情報」「確認プロセス」「アカウント管理」など最小限のルールを定めることが現実的な出発点になります。ルールは一度作って終わりではなく、利用実態や各サービスの仕様変更に合わせて見直しを続けることが重要です。自社の業種・取扱う情報の性質によってリスクの重みは異なるため、判断に迷う場合は自社の情報セキュリティ規程や専門家に確認することをおすすめします。