それ、セキュリティ事故です。社員がやりがちな生成AIの使い方と、社内ルールで引く3本の線

休憩時間に、社員がお客様からの苦情メールをそのままAIに貼り付けて、「いい返事の書き方を教えて」と聞く。悪気はまったくありません。むしろ、仕事を良くしようとしてやっています。そして会社は、何が入力されたかを知るすべがありません。

これを止める方法は、禁止ではありません。線を3本引くことです。決めるのは3つだけです。

1. 入れない3本の線（お客様の個人情報／契約と金額／社内の人事の話）を、「入れない」ではなく「書き換えれば入れていい」の形で決める
2. 入れてしまった時に言う相手を社内で1人決め、報告した人を叱らないと先に伝えておく
3. その2つをA4で1枚にして、見えるところに貼る

費用はかかりません。社内で話し合う1〜2時間あれば決まります。以下は、その中身です。

禁止にすれば、安全になりますか？

いいえ。禁止した会社のほうが、かえって危ない状態になることがあります。

「うちはAI禁止にしています」。沖縄の経営者の方とお話ししていると、よく出てくる言葉です。気持ちはよく分かります。情報漏えいの記事を読めば、よく分からないものを自由に使わせるのは怖い。

ただ、禁止した会社で実際に起きるのは、こうです。社員は会社のパソコンでは使わず、自分のスマートフォンで使う。冒頭の場面が、会社から見えないところに移るだけです。

禁止の本当の問題は「使われないこと」ではなく、「見えなくなること」です。使っていい会社では「それは入れないで」と言えますが、禁止した会社では言う機会そのものがありません。

私はプライバシーマークやISMSという情報管理の認証を取る仕事に、主担当として関わってきました。審査で見られるのは「禁止しているか」ではなく、「決めたことが現場で守られているか」です。守られない禁止は、評価されません。

本当に起きているのですか？

起きています。2026年9月、大手企業が同じ形の事案を公表しました。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて入りました。約250名の選考会が、2025年に実際に起きた事象をもとに選んだものです。

具体例が、2026年9月3日にRIZAP株式会社が公表したお知らせです。表題は「当社における外部生成AIサービスへのお客様情報の誤ったアップロードに関するお詫びとお知らせ」。同社の発表によれば、社員が個人で使用している外部の生成AIサービスに、お客様の情報を誤ってアップロードしたという事案です。

起きた場面は、保健指導の管理システムのデータを集計する作業の途中。入っていたのは、保険証の記号番号、メールアドレス、氏名、生年月日、性別、一部の方の住所と電話番号。さらに疾患情報（高血圧症・糖尿病・脂質異常症）などの要配慮個人情報も含まれていました。同社は、個人情報保護委員会への報告を完了したと公表しています。

委託元であるIHIグループ健康保険組合のお知らせでは、対象は210名で、当該従業員の自己申告により判明したとされています。

この事案で見ておきたいのは、3つです。

1. 会社が用意した道具ではなく、社員個人のアカウントで起きた。会社の管理が届かない場所です
2. 見つけたのは監視の仕組みではなく、本人の申告だった。言い出せる空気がなければ、分からないままだったかもしれません
3. 作業そのものは特別ではない。データを集計するという、どの会社にもある仕事の途中でした

「うちでも起きるかもしれない」と思われたなら、その感覚は正しいです。規模が大きく、体制も整っている会社で起きています。違いは、決めてあるかどうかだけです。

決めるのは、どの3つですか？

お客様の個人情報、契約と金額、社内の人事の話。この3つです。

つまずくのは、最初から完璧なルールを作ろうとするからです。あれこれ考えているうちに半年たって、何も決まっていない。よくある話です。

3つとも「入れない」ではなく「書き換えれば入れていい」の形で決めるのがコツです。

1本目：お客様の個人情報

お名前、電話番号、住所、メールアドレス。そのままは入れません。ただし記号に置き換えれば相談できます。

AIに聞きたいのは「どう返すといいか」で、お客様が誰かは答えに関係ありません。名前を伏せても、返る答えの質はほとんど変わりません。ここが大事なところです。

2本目：契約と金額

取引先の名前と具体的な金額。この2つが揃うと、外に出てはいけない情報になります。これもぼかせば相談できます。

金額を正確に伝えなくても、「切り出し方の相談」としては十分に成り立ちます。

3本目：社内の人事の話

評価、給与、健康状態、家庭の事情。社員が最も扱われたくない情報です。ここも名前を外して状況だけにすれば相談できます。

入れてしまったら、どうすればいいですか？

決めておくのは3つです。誰に言うか、何を伝えるか、会社として何をするか。

線を引いたら、もう1つ決めてください。「入れてしまった時、どうするか」です。人は間違えます。急いでいるときほど。

1. 誰に言うか — 社内で1人決めて、名前を書いておく
2. 何を伝えるか — いつ、どのサービスに、どんな内容を入れたか
3. 会社として何をするか — その会話を消す、提供元に消去を求める、必要なら本人や取引先に連絡する

そして、いちばん重要なのはここです。

報告した人を叱らないと、先に決めて、先に伝えておく。

叱られると分かっていれば、誰も報告しません。先ほどの事案が本人の申告で分かったのは、そこが保たれていたからです。

会社として届け出が必要になる場合もあります。お客様の個人情報が外部に漏れたとき、個人情報保護委員会への報告と、ご本人への通知が義務になる事態が定められています。対象は「病歴などの要配慮個人情報が含まれる」「不正に使われて金銭的な被害が出るおそれがある」「不正の目的による行為で起きた」「1,000人を超える」のいずれかに当たる場合で、気づいてから3〜5日以内の速報と、30日以内（不正の目的による場合は60日以内）の確報が求められます。

自社の出来事がこれに当たるかどうかは、状況によって変わります。当てはまるかの判断は、委員会の案内か、弁護士などの専門家に確認してください。この記事では「迷ったらすぐ相談する相手を決めておく」ことだけをおすすめします。先ほどの事案でも、要配慮個人情報が含まれていたため、報告が行われています。

有料版にすれば、入れても大丈夫ですか？

いいえ。設定の話と「何を入れるか」の話は、別ものです。

入力した内容をAIの学習に使わせない設定を用意しているサービスは多くあります。ただし、その設定があるかどうか、どこにあるかは、サービスと契約の種類によって違い、画面も変わります。「有料にしたから安心」と思い込んで、設定を確認しないまま使っている会社をよく見ます。お使いのサービスの設定画面で、実際に確かめてください。

先ほどの事案でも、学習には使われていないと確認された一方で、会社は報告と連絡に追われています。設定をしたうえで、なお3本の線は要ると考えてください。

沖縄の会社では、どんな形で聞かれますか？

多いのは「取引先から聞かれて、はじめて考える」という形です。

県内の会社から伺うのは、だいたい次の2つです。

• 元請けや取引先から「AIを使うなら、社内のルールはありますか」と確認された
• 本島外の事業所や、現場に出ている社員がいて、全員を集めて研修する時間が取れない

どちらも、紙1枚があれば足ります。ルールは、集まって説明しなくても配れます。顔を合わせる必要があるのは「書き換え方」を練習する時だけで、そこはオンラインでもできます。

ルールは、どんな形で配ればいいですか？

A4で1枚にして、休憩室か事務所の壁に貼ってください。

ルールは、読まれなければ無いのと同じです。分厚い文書を共有フォルダに入れておくより、はるかに守られます。載せるのは、この記事の内容だけで足ります。

• 入れない3つ（個人情報／契約と金額／人事）と、その書き換え方
• 入れてしまった時に言う相手の名前
• 報告した人は叱らない、という一文

ひな形が欲しいときは、IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開）が無料で使えます。付録に「情報セキュリティ関連規程（サンプル）」や「5分でできる！情報セキュリティ自社診断」が入っています。

ただし、このガイドラインにAIの項目はまだありません。国が出しているAI向けの文書は「AI事業者ガイドライン」（第1.2版・総務省／経済産業省）ですが、こちらは会社の規模を問わない考え方の文書で、中小企業がそのまま使える様式にはなっていません。AIの線は、いまのところ自社で引くしかないのが実情です。だからこそ、3つだけに絞って紙1枚にするのが現実的です。

なお、この線を就業規則そのものに書き込むとなると社会保険労務士の領域になります。まずは紙1枚から始めて、必要になった段階で相談先を分けてください。

まとめ

• 禁止は守られない。禁止すると、見えなくなる
• 決めるのは3つだけ。しかも「入れない」ではなく「書き換えれば入れていい」
• 4つ目として「入れてしまった時」を決める。報告した人は叱らない
• 紙1枚にして、貼る

この記事で参考にした資料

いずれも2026年10月31日に内容を確認しています。

---

この記事の内容をA4 1枚にまとめた「社内AIルールチェックリスト」を無料でお渡ししています。そのまま社内で配れる形にしてあるので、ページ下のボタンから受け取ってください。

「うちの場合はどこまで書き換えればいいのか」は業種によって変わります。そこだけは、30分の無料相談でもお答えしています。