生成AIの情報管理
漏洩を防ぐルール・確認項目・例文

結論：入力してよい情報の区分表

最初に決めるのは「どの情報を、どの条件なら入れてよいか」です。区分が決まっていれば、現場で迷う時間も事故も減ります。イベント業務での例を並べます。

生成AIで情報が漏れる8つの経路と対策

「AIに入れると漏れる」とひとまとめにせず、経路ごとに分けると対策が具体的になります。

公的な注意点と法律の押さえどころ

個人情報保護委員会の注意喚起

個人情報保護委員会は令和5年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表しています。事業者向けには、個人情報を含むプロンプトを入力する場合は利用目的の達成に必要な範囲内かを十分に確認すること、本人の同意なく個人データを入力し、それが応答の出力以外の目的で扱われる場合は法に違反する可能性があるため、提供事業者が機械学習に利用しないこと等を十分に確認すること、が示されています。

一般の利用者向けの留意点としても、次のように書かれています。

生成AIサービスを提供する事業者の利用規約やプライバシーポリシー等を十分に確認し（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（３）③）

参加者名簿など個人情報の扱い全般はイベントの個人情報の扱いに、漏えいしたときの対応は個人情報が漏れたときの初動にまとめています。

営業秘密は「管理していること」が前提

不正競争防止法第2条第6項は、営業秘密を「秘密として管理されている」事業活動に有用な技術上・営業上の情報で、公然と知られていないもの、と定めています。社内で区分を決めず、誰でも自由にAIへ入力できる状態のままだと、その情報が「秘密として管理されている」と示しにくくなるおそれがあります。区分表とルールを作ることは、漏洩を防ぐだけでなく、自社の情報を守る前提づくりでもあります。

秘密保持契約を確認する

クライアントとの秘密保持契約に第三者への開示を禁じる条項がある場合、外部のAIサービスへの入力が該当するかは契約の文言によります。判断がつかない場合は、法務担当に確認するか、クライアントに事前に相談してください（相談の例文は後述）。

ツール選定で確認する5項目

あわせて、管理者がアカウントを一括で発行・停止できるか、会話の共有機能を管理者が制限できるかも確認しておくと、退職時や異動時の抜け漏れを防げます。

利用形態ごとの確認の重点

クライアントの機密を扱うときの伏せ方

固有名詞と数値を置き換えるだけで、企画の骨子や段取りの検討はAIで進められます。置き換えの例です。

実名が必要な作業（会場への照会メールの清書など）は、AIで型を作り、固有名詞は最後に人が書き入れる分担にすると安全です。

そのまま使える社内ルールのひな形

社内のAI利用ルール（ガイドライン）は、次の8項目で1枚にまとめられます。自社の規程・契約に合わせて書き換えてください。

人の対策と仕組みの対策を組み合わせる

例文6本：申請・確認・周知・報告

①社内への利用申請

②サービス提供者への確認

③クライアントへの事前相談

④社内への周知

⑤誤って入力したときの報告

⑥外部の協力会社への依頼

社内承認を通す資料の作り方

情報システム部門や法務に相談するときは、次の構成で1枚にまとめると論点が絞られます。

1. 01

   何に使うか（具体的に）

   「AIを使いたい」ではなく「企画書のたたき台生成と、会場への照会メールの下書きに使う」と業務を特定します。用途が広いほど審査は厳しくなります。

2. 02

   どのデータを送るか

   区分表のどこまでを入力するかを明記します。個人情報を含まないことが明確であれば、審査の論点が大きく減ります。

3. 03

   5項目の回答

   確認5項目について、サービス提供者の回答と規約の該当箇所を添えます。

4. 04

   使わない場合との比較

   「使わない場合、この作業に月◯時間かかる」という比較を入れます。リスクだけでなく、使わないコストも判断材料です。

5. 05

   段階的な導入案

   「機密性の低い1案件で試し、◯か月後に評価する」という提案にすると、決裁者が判断しやすくなります。

よくある失敗と対処

誤って入力してしまったときの初動

1. 01

   追加の入力を止める

   同じ会話で続けて作業せず、何を入力したかを画面で確認します。

2. 02

   共有と連携を確認する

   共有リンクを作っていないか、連携先に同じ情報が送られていないかを確認します。

3. 03

   責任者に報告する

   日時・ツール・入力した情報・現在の状態を、上の例文⑤の形で報告します。自己判断で終わらせません。

4. 04

   履歴の扱いを決める

   削除するかどうかは、記録として残す必要も含めて責任者と決めます。削除しても提供者側の保存が消えるとは限らないため、規約の保存期間も確認します。

5. 05

   個人情報なら漏えい時の手順へ

   個人データが含まれる場合は、個人情報が漏れたときの初動の手順で、報告や本人への通知が必要かを確認します。

運用チェックリスト

• 入力の区分表（入れてよい／条件付き／入れない）を全員が見られる場所に置いた
• 使ってよいツールを一覧にし、追加の申請窓口を決めた
• 業務で使うアカウントは会社の管理下にある（退職時に停止できる）
• 多要素認証を設定した
• 連携の権限を必要な範囲に絞った
• 送信・提出・発注など対外的な操作は、人の承認なしに実行されない
• 固有名詞・数値・法令は一次情報で確認してから使う
• 秘密保持契約とAI利用の関係を、案件の開始時に確認している
• 誤入力時の報告先と報告の項目を決めた
• 規約と運用ルールを定期的に見直す日を決めた

ルールより確実なのは設計で防ぐこと

ルールだけに頼ると、繁忙期に破られます。設計で防げるものは設計で防ぐのが確実です。ツールを選ぶ段階で次を確認してください。

• 対外送信の承認必須化：送信・提出・発注・支払の前に人の承認を求め、その承認が設定で解除できないか。
• 認証情報の非保持：運営側が利用者の認証情報を入力・保管しない設計か。
• 読み取り専用の連携：クラウドストレージへの接続が読み取り専用に限定されているか。
• 全操作の記録：誰が・いつ・何をしたかが、AIの操作も含めて記録されるか。

PRODUCER AGENTはこの4点を設計で担保しています。詳しくはイベントAIとはをご覧ください。