生成AIに入力してはいけない会社の情報、個人情報と機密の線引き

取引先の名前を「A社」に書き換えれば、その文は生成AIに貼ってもいいのでしょうか。答えは何が書いてある文かで変わります。名前を消せば済むのは「だれの話か」が問題になる情報だけで、マイナンバーやパスワード、発表前の売上高は、名前をいくら伏せても秘密のまま。

メールの下書きも議事録の整理も、AIに頼めば早い。分かってはいても、貼り付ける直前に、ふと迷うことがありますよね。線の場所は、情報を6つの種類に分けると見えてきます。

伏せて使えるのは「だれ」の部分まで

仕事の情報が外に出て困る理由は、2つに分けられます。だれのことかが分かってしまうこと。そして、書いてある中身そのものが外に出てはいけないこと。

前のほうは名前や連絡先を置き換えれば、小さくできます。「山田様へのお詫びのメール」を「取引先の担当者へのお詫びのメール」にしても、文面の相談には困りません。

後のほうはそうはいきません。パスワードなら、だれのものかを伏せても、そのままログインに使えます。発表前の新商品の値段も、会社名を消したところで、値段そのものが秘密です。

この2つを頭に置いて、仕事でよく扱う情報を6つに分けてみました。

表でまず見てほしいのは「危ないのは」の列。名前を伏せれば済む「だれ」だけの行は、6つのうち1つしかありません。残りの5つは中身を入れるかどうかを、種類ごとに決めることになります。

個人情報は、預かった目的と入れた先で決まる

いちばんよく出てくるのは名前やメールアドレスのような個人情報でしょう。個人情報保護委員会のQ&Aによると、氏名だけでも個人情報に当たります。ホームページに名前が載っている取引先の担当者も、同じ部署の同僚も、扱いは変わりません。¹

では、個人情報を入れたら、すぐ法律違反になるのでしょうか。

そうとは限りません。委員会が2023年6月に出した注意喚起には、会社が生成AIに個人情報を入れるときの注意点が2つ並んでいます。²

まず、その個人情報を預かったときの利用目的に収まっているか。同じ顧客の名前でも、問い合わせに返事をするためか、別の商品を案内するためかで、目的の範囲は変わります。

もう1つは、入れた個人データが、AIが答えを返す以外の目的で扱われないか。本人の同意なしにそうなれば「個人情報保護法の規定に違反することとなる可能性がある」と注意喚起は書き、サービスの事業者が機械学習に使わないことなどを十分に確認するよう求めました。²

学習に使われるかどうかが、なぜそこまで問われるのか。手がかりは、クラウドサービスについての委員会のQ&Aにあります。たとえば顧客の名簿をクラウドに保存しても、サービスの事業者が中身を取り扱わない契約になっていて、アクセスの制御もできていれば、名簿を第三者に渡したことにはなりません。³

逆に、事業者が中身を扱えるなら話は変わります。入力を学習に使うサービスは、この「中身を扱う」側にいるとみてよいでしょう。

社外から届いたメールを要約する前の線の引き方は、休み明けのメールを生成AIで要約 優先順位の付け方と社外メールの扱いでも取り上げました。

健康や病歴は、名前を消しても中身を書かない

人事や労務の仕事では、もう一段重い情報も扱います。病歴、健康診断の結果、障害があること、犯罪の経歴。個人情報保護法はこれらを「要配慮個人情報」と呼びます。本人が不当な差別や偏見を受けないよう特に配慮が要る情報で、取得するときにも原則として本人の同意が必要です。⁴

重さは漏えいしたときの決まりにも表れます。会社が委員会に漏えいを報告する義務は、たとえば本人の数が1,000人を超えるときに生じます。ところが要配慮個人情報が含まれていると、人数の条件がありません。委員会のガイドラインも、報告が要る例に「従業員の健康診断等の結果を含む個人データが漏えいした場合」を挙げています。⁵

しかも、名前を消しても中身は残ります。「経理にいる30代の社員が、11月から療養で休む」。名前がなくても、社内の人が読めば、だれのことか見当がつくかもしれません。

健康のことを相談したいなら、その人の話を、よくある場面の話に言い換えます。たとえば「休職していた社員が復職するとき、最初の面談で確認することを挙げて」。病名も時期も、だれの話かも要らない頼み方です。診断書の文面は、そもそも貼りません。

マイナンバーとパスワードは、AIの仕事にそもそも要らない

マイナンバーはもっとはっきりしています。会社が個人番号を使うのは主に、源泉徴収票や社会保険の届出に社員の番号を書いて、役所などに出すときです。⁶番号法（マイナンバー法）には、決められた場合のほかは、だれであっても番号を含む個人情報を人に渡したり集めたりしてはならない、という決まりがあります。⁷

決まりは厳しいのですが、それより先に覚えておきたいことがあります。AIに頼む仕事で、番号そのものが要る場面はほとんどありません。年末調整の案内文を作るときも、扶養の書類の書き方を聞くときも、番号は使わずに済みます。

パスワードやAPIキー、ログイン用のURL、メールで届く認証コードも同じです。ログインできないときの手順を聞くなら、「社内のシステムにログインできないとき、確認する順番を教えて」で足ります。

認証情報は、漏れればお金の被害にもつながりかねない情報です。委員会のガイドラインには、送金や決済のできるサービスのログインIDとパスワードの組み合わせが漏えいした場合も、人数に関係なく報告が要る例として載っています。⁵

取引先と自社の秘密は、契約と社内の区分で決まる

個人情報でなくても、入れてはいけない情報はあります。会社の財務情報のような会社そのものの情報は、個人情報には当たりません。⁸それでも気軽には貼れません。取引先との約束や、社内の決まりがあるからです。

取引先から資料を受け取るとき、秘密保持契約を結ぶことがありますよね。工業所有権情報・研修館（INPIT）によると、秘密保持契約書には、秘密にする情報の範囲と、その情報を何の目的にだけ使えるか、つまり目的外使用の禁止を盛り込む必要があります。⁹

見積や図面をAIに要約してもらうことが、その目的に入るのか。入れた先のサービスが、開示してよい相手に当たるのか。どちらも契約書の文言しだいで、読む前には答えが出ません。迷ったら、入れる前に契約を担当する法務や上司に聞くのが、いちばん早い道です。

自社の秘密は会社がどう扱うと決めているかが線になります。不正競争防止法では、営業秘密は、秘密として管理されていて、事業に役立ち、公然と知られていない情報です。¹⁰資料に「社外秘」と書くことも、見られる人を絞ることも、この「秘密として管理」の一部です。

INPITには、会社の情報を3つに分ける例もあります。どんなことがあっても他社に伝えない「極秘」、秘密保持契約を交わせば伝えてよい「社外秘」、ふだんの営業で伝えてよい「一般情報」の3つです。⁹

生成AIのサービスを提供しているのも、自社から見れば社外の会社。この3つに当てはめるなら、外のサービスにそのまま入れてよいのは一般情報まで、と考えると分かりやすいでしょう。経済産業省も2025年3月、営業秘密管理指針を約6年ぶりに改め、生成AIなどの新しい技術の動きも踏まえた内容にしています。¹¹

どの情報が漏れるといちばん困るのかは、姉妹メディアである情シスのミカタが機密情報とは？漏えいして困る情報ランキング50、1位は管理者の認証情報で、50の情報に順位を付けました。

ぼかすなら、名前は立場に、中身は形に

伏せ方は3つあります。名前を立場にする、中身の代わりに形を渡す、個別の話をよくある場面にする。仕事の場面に当てはめると、次のようになります。

2つめの「形を渡す」は、ぜひ覚えておきたい伏せ方です。Excelの関数や並べ替えの手順を聞くなら、AIに要るのは列の並びとデータの形だけ。名前の列に「社員1」「社員2」と書いた見本で聞いても、本物の名簿に当てはめる式は変わりません。

気をつけたいのは、置き換えたつもりでも、残った情報の組み合わせで分かってしまうことです。個人情報保護法のいう個人情報には、ほかの情報と簡単に照らし合わせて特定の人が分かるものも入ります。¹²部署と年代と時期と出来事。このうち2つ3つがそろうだけで、社内ならだれのことか分かる場合があります。

伏せた名前と元の名前の対応表は手元に残し、AIには渡しません。置き換え表の作り方は、生成AIで1年の振り返り 実績メモから自己評価の下書きを作る頼み方で紹介しました。

同じ文でも、入れる先で線が動く

ここまでの線は、どのサービスに入れるかでも動きます。

情報処理推進機構（IPA）が2025年1月、企業の情報システムやリスク管理などの部門の人と経営層の1,200人に聞いた調査があります。生成AIを業務で使うことについて、何らかのルールを定めていたのは52.0%ですが、中身は大きく分かれました。¹³

「公開情報だけ」の会社と「社内に閉じた環境なら秘密情報も」の会社では、同じ見積書でも答えが正反対です。しかも、いちばん多いのは「わからない」の34.5%。ルールに近い部門の人でもこの割合ですから、線が分からずに迷うのは、あなたのせいではありません。

自分の会社の線を知るには、会社の決まりと、使うサービスの2つを見ます。注意喚起はサービスの利用規約やプライバシーポリシーを十分に確認するよう呼びかけました。²総務省と経済産業省のAI事業者ガイドラインにも、AIを使う事業者がすることとして、提供する会社の規約を守ることや、個人情報と機密情報を不適切に入れないよう注意することが並びます。¹⁴

見るところは4つです。

1. 会社に生成AIの決まりがあるか、あれば入れてよい情報の範囲
2. 使うのが、会社が認めたサービスとアカウントか
3. 入力が学習に使われない契約か設定になっているか
4. 会話の履歴がどこに残り、だれが見られて、消せるのか

1と2は自分で決められることではありません。決まりが見つからないときは、情報システム担当者か上司に「どのサービスなら、どこまで入れてよいか」を聞いておくと、次から迷わずに済みます。

貼り付ける前に確認すること

会社とサービスの線が分かったら、あとは貼る文そのものです。送信の前に、次の6つを見ます。

それでも、貼ったあとで「名前が残っていた」と気づく日はあるでしょう。履歴を消して終わりにせず、その日のうちに情報システム担当者か上司に伝えます。国への報告が要るかどうかは、会社が判断すること。¹⁵漏えいに当たるかどうかも、サービスの契約や設定によって変わります。早く伝えるほど、会社が打てる手は増えます。

AIにどこまで任せられるかを、理由と一緒に言える人は、チームの中で頼られます。「この表は名前を伏せればAIで整えられます。原価の列だけは外して、あとで手で入れましょう」。そう言えるようになれば、貼るたびに迷っていた時間が、安心してAIに仕事を預ける時間に変わっていくはずです。

ここで引いた法律やガイドライン、注意喚起、調査の数字は、2026年10月30日に、省庁や委員会、公的機関のサイトで見たものです。個人情報保護法については、改正法が2026年7月17日に公布され、原則として公布から2年以内に施行されます。AI開発などで統計を作る目的に限った同意の特例や、データの処理を任された会社の義務の見直しが入りますが、細かい決まりは委員会が整えている途中。記事の中身は、今の法律に沿っています。迷う場面は、会社の法務か弁護士に相談してください。

注

1. 個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するQ&A」（2025年7月1日更新）のQ1-2、Q1-5、Q1-20 ↩

2. 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）の（1）①②と（3）③ ↩ ↩² ↩³

3. 同じQ&AのQ7-53 ↩

4. 個人情報の保護に関する法律第2条第3項と第20条第2項、同法施行令第2条 ↩

5. 個人情報の保護に関する法律施行規則第7条、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-3-1 ↩ ↩²

6. 個人情報保護委員会「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」第4-1-⑴ ↩

7. 行政手続における特定の個人を識別するための番号の利用等に関する法律第19条と第20条 ↩

8. 同じQ&AのQ1-7 ↩

9. 工業所有権情報・研修館「よくあるご質問・ご相談 営業秘密管理」 ↩ ↩²

10. 不正競争防止法第2条第6項 ↩

11. 情報処理推進機構「営業秘密のツボ」第115号（2026年1月21日）の巻頭のあいさつ ↩

12. 個人情報の保護に関する法律第2条第1項第1号 ↩

13. 情報処理推進機構「企業における営業秘密管理に関する実態調査2024」報告書概要、12ページ。調査は2025年1月23日から31日のウェブアンケート ↩

14. 総務省と経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日）の第5部、U-4、U-5、U-7 ↩

15. 個人情報の保護に関する法律第26条 ↩