ChatGPTに「入れてよい情報」を決めていますか？

生成AIを業務に取り入れようとすると、最初に問題になるのが「どの情報を入力してよいのか」という判断です。

便利な機能に注目が集まりやすい一方で、利用するサービスや設定、入力する情報によっては、顧客情報や社内情報の取り扱いに注意が必要です。

大切なのは、生成AIを一律に禁止することではありません。業務で安全に活用するために、入力できる情報と入力してはいけない情報の基準を、あらかじめ決めておくことです。

生成AIに入力した内容も「外部に渡す情報」と考える

クラウド型の生成AIを利用する場合、入力した文章やファイルは外部のサービス上で処理されます。

サービスや契約プラン、設定によってデータの取り扱いは異なりますが、「自分のパソコンの中だけで処理されているわけではない」という前提で考える必要があります。

経済産業省・総務省のAI事業者ガイドラインでは、AIを利用する側にも、個人情報や機密情報などを不適切に入力しないことや、利用目的とリスクに応じて管理することが求められています。

また、IPAの「AI利用者のためのセキュリティ豆知識」では、利用者向けの基本的な対策として「クラウドAIに営業秘密は教えない」と明確に示されています。

同じサービスでも、契約と設定で扱いが変わる

生成AIは、サービス名だけで安全性を判断することはできません。

同じChatGPTでも、個人向けの利用と法人向けの契約では、入力・出力データの取り扱いや初期設定が異なります。

2026年8月時点のOpenAI公式情報では、個人向けChatGPTでは、会話内容がモデル改善に利用される場合があります。ただし、設定画面の「すべての人のためにモデルを改善する」をオフにすると、それ以降の新しい会話はモデル改善に使用されません。

Temporary Chatを利用した場合も、会話はモデル改善に使われず、履歴やメモリには残りません。ただし、安全上の確認を目的として、一定期間保持される場合があります。

一方、ChatGPT Business、ChatGPT Enterprise、APIでは、標準設定で入力・出力をモデルの学習に使用しないと案内されています。

ただし、「モデル学習に使われない」ことと、「外部サービスへ送信されない」「一切保存されない」ことは同じではありません。

業務利用を始める前に、次の項目を確認する必要があります。

• 契約しているサービスとプラン

• モデル改善への利用設定

• データの保存期間

• ファイルをアップロードした場合の扱い

• 外部サービスやクラウドストレージとの連携

• 管理者が確認できる情報

• 会話やファイルの削除方法

サービスの仕様や設定項目は変更される可能性があるため、導入時だけでなく、定期的に公式情報を確認します。

※記載内容は2026年8月時点の公式情報をもとにしています。最新の利用規約、プライバシーポリシー、管理画面の設定をご確認ください。

まずは情報を3段階に分ける

複雑なルールを最初から作る必要はありません。

まずは、業務で扱う情報を次の3段階くらいにに分けるだけでも、判断しやすくなります。

比較的入力しやすい情報

• 自社ホームページなどですでに公開している情報

• 一般公開されている制度や用語に関する質問

• 会社名や個人名を含まない架空のケース

• 社外に出ても支障がない一般的な業務課題

• 自社が権利を持つ公開済みの商品・サービス情報

例えば、

• 自社サイトに掲載済みのサービス内容から、顧客が疑問に感じそうな点を洗い出す

• 公開済みの商品情報をもとに、比較検討時に確認されやすい項目を挙げる

• 架空の条件を使って、導入前に検討すべき事項を整理する

内容を加工してから入力する情報

• 会議のメモ

• 顧客アンケート

• 業務上の相談記録

• 売上やアクセス解析のデータ

• 社内向け資料

• 見積書や提案書の参考情報

例えば、顧客アンケートの傾向を整理したい場合は、氏名、会社名、メールアドレス、電話番号、個別の取引内容などを削除し、回答内容だけにしてから扱います。

また、売上データを分析する場合も、実際の顧客名や案件名をそのまま入力せず、「商品A」「顧客区分B」などに置き換えます。

単に名前を消すだけでなく、他の情報と組み合わせることで個人や企業を特定できないかも確認が必要です。

一例ですが、

株式会社○○から、売上金額が○円である新規事業について相談された

ではなく、

不動産系の中小企業から、新規物件の◯◯◯の予算について相談された

という形に置き換える。といった方法です。

原則として入力しない情報

• 顧客や従業員の個人情報

• パスワード、APIキー、認証情報

• 公開前の契約書や機密資料

• 取引先から秘密保持を求められている情報

• 未発表の商品・事業計画

• 営業秘密や独自技術

• 医療、健康、金融など特に慎重な管理が必要な情報

判断に迷った場合は、「この内容を、取引先ではない外部の事業者に見せても問題ないか」と考えると分かりやすくなります。

入力内容だけでなく、出力内容にも注意する

生成AIは、もっともらしい文章を短時間で作れますが、内容が常に正しいとは限りません。

日付、金額、制度、法律、製品仕様、会社名などは、必ず元の資料や公式情報を確認する必要があります。

また、生成された文章をそのまま顧客に送るのではなく、

• 事実関係に誤りがないか

• 相手に失礼な表現がないか

• 自社の方針と一致しているか

• 著作権や引用上の問題がないか

を、人が最終確認することも重要です。

生成AIから得られた内容は、判断材料の一つとして扱います。

顧客に提出する文章、提案内容、契約や制度に関する説明などは、

担当者が根拠を確認し、責任を持って最終判断する必要があります。

中小企業でも決めておきたい5つのルール

生成AIを業務利用する場合は、最低限、次の5点を決めておくとよいでしょう。

1. 業務で使用してよい生成AIサービス

2. 入力してよい情報と禁止する情報

3. 個人情報や会社名を削除する方法

4. AIの出力を誰が確認するか

5. 問題が起きたときの相談先

社員数が少ない会社でも、口頭だけでなくA4一枚程度にまとめておくと、判断のばらつきを減らせます。

IPAの「テキスト生成AIの導入・運用ガイドライン」でも、組織導入の前提として、少人数・小規模から始めること、設定内容や判断経緯を文書化すること、継続的に見直すことが挙げられています。

社員数が少ない会社でも、利用サービス、入力禁止情報、出力の確認責任者、問題発生時の相談先をA4一枚程度にまとめておくと、担当者ごとの判断のばらつきを抑えられます。

「使わない」より「安全に使える状態」をつくる

生成AIには注意点がありますが、すべてを禁止してしまうと、業務改善や情報整理に活用できる機会も失われます。

重要なのは、

• 何に使うのか

• どのサービスを使うのか

• どの情報まで入力できるのか

• 最終確認を誰が行うのか

を整理することです。

まずは、公開情報を使った用語の確認、想定される質問の洗い出し、検討項目の整理など、機密情報を扱わない範囲から試すのが現実的です。

SDPlanningでは、生成AIの導入そのものだけでなく、現在の業務や扱っている情報を確認しながら、無理なく運用できる使い方やルールづくりを一緒に整理しています。

生成AIを業務で使いたいが、何から決めればよいか分からない方へ

現在の業務や情報管理の状況を確認し、活用できる作業と注意すべき情報を整理します。お気軽にご相談くださいね！

中小企業向け 生成AI利用ルール（A4・PDF）をダウンロード

無料ダウンロード.pdf