生成AIを社内で使う前に決めたい情報管理のルール（チェック表つき）

IPAの「情報セキュリティ10大脅威 2026」解説書は、職場で使えるAIサービスが用意されていない場合などに、社員が個人で使っているAIサービスを業務に使ってしまうこと（シャドーAI）をリスクに挙げています。社外への持ち出しが禁止されている資料を入力すれば情報漏えいにつながり、個人アカウントでの業務利用を会社が把握できないこと自体もリスクだとしています。

「AI事業者ガイドライン」の別添も、会社のルールが整っていないと、社員が会社の管理の外で一般向けの生成AIを業務に使うおそれがあると指摘しています。ルールは、使い始めてから後追いで作るより、使い始める前に決めておくほうが徹底しやすくなります。

まず、業務で使ってよい生成AIサービスと、使うアカウントを決めます。IPAの解説書は、AIを使う組織の対策として次の項目を挙げています。

• 認めたサービス以外は使わない：会社が許可していないAIサービスの業務利用を禁止する。
• 個人アカウントで使わない：個人のアカウントでの業務利用を制限する。個人アカウントでの利用は、会社が把握できないこと自体がリスクだとされています。
• 入力データを学習に使わせない：外部のサービスを使うときは、入力したデータを学習の対象から外す設定（オプトアウト）を徹底する。
• 約款を確認する：サービスを契約するときに約款を確認する。AI事業者ガイドラインも、提供者が定めた利用上の注意点やサービス規約を守ることを、AI利用者の取り組みに挙げています。

ガイドラインの別添は、特に機密情報を扱う場合には、ビジネスでの利用を想定し、企業向けのセキュリティ機能を備えた生成AIサービスを使うことを推奨しています。入力した情報がどこで処理・保存されるかによっても、扱い方は変わります。違いはPCの中で動くAIとクラウドのAI、何が違う？で解説しています。

AI事業者ガイドラインは、AI利用者が取り組む事項として、個人情報や機密情報をAIサービスに不適切に入力しないよう注意することを挙げています。別添では、入力した情報がサービスの提供者で学習に使われることになっている場合は、機密情報や、本人の同意を得ていない個人データを含む指示文（プロンプト）を入力しないよう留意するとしています。

「何を入力してはいけないか」は、情報の種類ごとに決めておくと、社員が迷わずに済みます。

社内の文書を検索して答える仕組み（RAG）など、AIを外部のサービスやデータと連携させる使い方について、ガイドラインの別添は、意図しない範囲に個人情報や機密情報が漏えいすることに特に注意が必要だとしています。導入前に文書のアクセス権を見直すポイントは、Microsoft 365 Copilotを入れる前に確認したいことをご覧ください。

AI事業者ガイドラインは、AIの出力の精度やリスクの程度を理解し、リスク要因を確かめたうえで使うことを、AI利用者の取り組みに挙げています。別添では、出力によって重大な影響や被害が生じうる場合には、人間の判断を介在させる仕組みにもとづいて判断することを挙げています。

生成AIは、事実と異なる内容をもっともらしく答えることがあります（ハルシネーション）。社内ルールでは、少なくとも次の点を決めておきます。

• 確認が必要な文書：社外に出す文書、契約や規程にかかわる文書、数値を含む資料など
• 誰が確認するか：作成者のほかに確認する人を置くか
• 出典の確かめ方：AIが示した法令・統計・URLなどは、原文を開いて確かめる
• 生成したプログラム：ガイドラインは、生成したコードにセキュリティ上の弱点が含まれていると、情報の改ざんや漏えいにつながるおそれがあるとしています。使う前のレビューを決めておきます

確認の具体的な手順は、生成AIの「ハルシネーション」とは？業務で使うときの確認のしかたで解説しています。

AI事業者ガイドラインの別添は、AI利用者が使い始める前に、操作履歴や入力・出力の記録などのログを管理する体制を整えることを挙げています。使い始めてからは、利用状況や異常な操作を把握するためにログを定期的に確認し、異常を見つけたらすぐに報告できる体制を整えることも挙げています。

本編も、後から検証できるよう、入出力などのログを合理的な範囲で記録・保存し、記録の方法・頻度・保存期間を検討するとしています。一方で別添は、不要なデータや冗長なログを削除してデータを最小限にすることも挙げています。何を、どれくらいの期間残すかを決めておきましょう。

IPAの解説書は、IT資産管理や通信ログなどを活用して、会社が管理していないAIサービスの利用を把握することや、多要素認証の徹底も対策に挙げています。

AI事業者ガイドラインは、社内でAIに関わる人が、その関わり方に応じて十分なAIリテラシーを持てるよう、必要な措置をとることを挙げています。IPAの解説書も、AI利用についての講習などを用意し、次の点を社員に理解してもらうことを挙げています。

• 社内の秘密情報などを安易に入力しない
• AIは指示を正確に反映した結果を出すとは限らず、ハルシネーションがある
• AIに頼りすぎない
• 最新の手口や脅威の動向を知っておく。AIは攻撃する側にも使われています（AIを悪用したサイバー攻撃と社内でできる対策）

あわせて、IPAの解説書が挙げるように、規程に違反したときの扱い、トラブルが起きたときの報告先や相談窓口も決めておきます。AIサービスは更新されていくため、ガイドラインの別添が挙げるとおり、使い方が適切な範囲にとどまっているかを定期的に確かめ、ルールを見直します。

ここまでの内容を、使い始める前に確認する表にまとめます。

情報の管理は、AIサービスの中だけでは終わりません。生成AIの利用にあわせてPCを入れ替えるときは、使い終わったPCやストレージに残った業務データの消去も計画に入れておきましょう。AIの導入とPCの入替・データ消去の関係はAIはPCの入替・リユース・データ消去をどう変えるかで、個人データが残った機器を手放すときの法律上の注意点はPCの廃棄・売却と個人情報保護法で解説しています。

• 情報セキュリティ：株式会社REER JAPAN データ消去部の情報セキュリティマネジメントシステムは、LAPにてISO/IEC 27001:2022の認証を受けています（適用範囲：電子機器の回収、データ消去の業務）。（情報セキュリティと認証）
• 消去の前に機器リストを確認：受け取った機器はすぐに全数を検品・入庫登録し、機器リストをご承認いただいてから消去を始めます。1台ずつ記録し、進み具合はオンラインで確認できます（法人向けPCデータ消去）。
• 1台から買取：法人のPC・サーバー・ネットワーク機器を1台から買い取ります。古い機器や故障品もまとめて査定します（法人PC買取）。買取する機器のデータ消去は無料、消去証明書（PDF）の発行は有料（お見積り）です。
• 回収：関東圏はご指定の場所へ訪問回収、関東圏以外は事前のお見積りのうえ宅配便で受け付けます（法人向けPC回収・対応エリア）。

入替の台数や時期がまだ決まっていなくてもかまいません。無料お見積りからご相談ください。