ChatGPT業務利用の情報漏洩リスク——中小企業がすべき対策3つ

社員が「ちょっと使ってみよう」という気軽さで、ChatGPTに業務の情報を入力している——そんな光景が中小企業でも広がっています。メールの文面を整えてもらう、会議録を要約する、提案書のたたき台を作る。確かに便利ですが、そこに「どんな情報を入力しているか」まで把握できているでしょうか。

IPA（情報処理推進機構）が発表した「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向けの第3位に初めてランクインしました。生成AIそのものが危ないのではなく、「使い方を誤ることで、実際の情報漏洩被害が現実化し始めている」ことが評価された結果です。

社員のChatGPT利用、把握できていますか？

生成AIの業務利用は、大企業やIT専任担当がいる組織だけの話ではなくなっています。スマートフォンからでも無料で使えるChatGPTは、社員が会社のPCや私物端末から日常的にアクセスできる環境にあります。

問題は、その利用が「個人の判断」で進んでいる点です。どんな情報を入力しているか、どのプランで使っているか——会社として把握できていないケースは多いのではないでしょうか。IT部門がない中小企業ほど、この見えない利用実態が積み重なりやすい構造があります。

ChatGPTへの入力で情報漏洩が起きるしくみ

ChatGPTに入力した内容は、まずOpenAIのサーバーに送信・保存されます。「学習に使われても、加工処理されるから問題ない」と感じるかもしれませんが、リスクの本質はそこにとどまりません。OpenAIの公式ポリシーでは匿名化処理の詳細は明示されておらず、また不正利用の監視を目的にスタッフが会話内容を確認できる仕組みもあります。OpenAI側でセキュリティインシデントが起きた場合、送信したデータが影響を受ける可能性もあります。

無料・Plusプランはデフォルトでモデルの学習にも利用される設定になっており、設定変更でオプトアウトは可能です。企業向けのTeamプランやEnterpriseプランではデフォルトで学習利用がオフになっていますが、いずれの場合も「データが外部に送られる」という点は変わりません。

IPAも公式サイトで、AI利用者に向けて明示しています。

「クラウドAIに営業秘密は教えない」

専門用語を使わずに伝えた、現場向けの注意事項です。

中小企業で特に起きやすい3つのシーン

① 顧客情報を含むメールや提案書の作成

「この顧客へのメールを丁寧に書いて」「この条件で提案書を整えて」と、顧客名や案件の詳細をそのまま入力するケースがあるのではないでしょうか。個人情報や取引先との機密情報がクラウドAIに送られることになります。

② 会議録や社内情報の要約

会議で記録したテキストや音声の文字起こしをそのまま貼り付けて「要約して」と依頼するパターンです。経営会議の内容や採用に関わる情報が、意図せず外部サービスに送られることになります。

③ 契約書・社外秘文書の確認や修正

契約書の条項を確認したり、取引先との合意内容を文書化したりする際に、文章をそのまま貼り付けて使うこともあるのではないでしょうか。法的に機密性の高い情報が含まれる場合、特に注意が必要です。

今すぐ整えたい3つの対策

① 社内利用ルールを言葉にする

「個人情報・社外秘情報はChatGPTに入力しない」——これだけでも、社内で共有するルールとして明文化することが重要です。ルールがなければ、社員は悪気なく機密情報を入力し続けます。

IT部門がなくても始められます。チャットへの投稿や1枚のメモで構いません。「入力を禁止する情報の種類」（顧客名・財務情報・契約内容・採用候補者情報）を具体的に示すことで、意識は変わります。

② ChatGPTの設定と利用プランを確認する

現在使っているプランと、学習利用の設定状況を確認しましょう。無料・Plusプランを使っている場合は、設定画面から「すべての人のためにモデルを改善する」をオフにするオプトアウト操作が可能です。

社員が複数いる場合は、企業向けのTeamプランへの移行も選択肢のひとつです。デフォルトで学習利用がオフになるため、個人設定のばらつきに依存するリスクを減らせます。

③ 社内データの置き場所を整理する

クラウドAIへの情報送信リスクに根本から対応するには、社内データをひとつの場所にまとめる環境づくりが必要です。これは将来的なローカルAI活用——社内サーバー上でAIを動かし、外部にデータを送らずに処理する方法——への備えにもなります。今日すぐ完成するものではありませんが、今から取り組む価値のあるステップです。

参考：SaaSに預けたデータは本当に安全か——提供者側の情報漏洩リスク

データの「置き場所」を整えることが、AI時代のセキュリティの土台

生成AIは業務を助ける強力なツールです。ただ、クラウド型AIサービスを使う以上、入力した情報は外部のサーバーに送られます。機密かどうかにかかわらず、社内の情報を外部サービスに送ること自体にリスクがある——その認識がまず重要です。

この問題への根本的な方向性として、社内サーバーで動かす「ローカルAI」の活用があります。外部にデータを送らずにAI処理ができるため、情報漏洩リスクを大きく減らせます。ローカルAIを使いこなすには、処理対象の社内データがひとつの場所にまとまっていることが前提です。

Orcinusは、チャット（Mattermost）・ファイル共有・会計（Hieronymus）を社内のサーバー上でまとめて管理できる、IT担当者不要のサポート付きオールインワンソリューションです。社内にデータの「定位置」を作っておくことが、将来ローカルAIを導入する際の土台にもなります。

参考：生成AIで社内データを活かすには——データの「置き場所」から整える