情報漏えいが心配で生成AIを使わせられない会社のための社内ルールの作り方

「情報が漏れるのが怖いから、うちはAIを使わせていない。」

商談や研修の場で、経営者からこの言葉を何度も聞いてきました。
先に結論を書きます。
答えは禁止を続けることではなく、短くてもいいので社内ルールを作り、使いながら整えていくことです。
情報漏えいの不安は、正体を分けて見れば、そのほとんどがルールと設定で対処できるものだからです。
そして調査を見るかぎり、多くの会社が実際に置かれているのは「禁止」でも「導入」でもなく、もっと危ない状態です。

いちばん多いのは、禁止ではなく「個人任せ」

商工中金が2026年1月に取引先の中小企業3,892社から回答を得た中小企業の生成AIの利用にかかる調査では、生成AIの導入状況について「会社での導入は行っておらず、使用も個人の判断に任せている」と答えた企業が64.9%で最多でした。
中小企業基盤整備機構の中小企業のAI等の利活用に係る実態調査（2026年3月公表）でも、AIを導入している中小企業は20.4%にとどまっています。

個人の判断に任せている、と書くと穏やかに聞こえますが、実態は「ルールがないまま、社員が各自のアカウントで使っている」状態です。
会社が把握していない場所で、業務の情報が個人契約の無料サービスに入力されているかもしれません。
禁止している会社でも、事情は大きく変わらないと考えられます。
便利な道具は、禁じても見えないところで使われるからです。

つまり、使わせないという判断は、情報を守る判断になっていない可能性が高い。
守りたいのであれば、会社として線を引くほうが早い、というのが本稿の立場です。

「漏れる」の中身は3つに分かれる

情報漏えいという言葉には、性質の違う心配が混ざっています。
分けると、それぞれ対処が違うことが見えてきます。

─入力した内容がAIの学習に使われる

もっともよく聞く不安です。
ただしこれは、サービスとプランの選び方でコントロールできる領域です。
主要な生成AIサービスには、入力内容をモデルの学習に使わせない設定や、業務利用を前提にした法人向けプランが用意されています。
規約や設定は変わっていくものなので、導入時に必ず確認し、会社が指定した環境以外では業務情報を扱わないと決めることが、そのまま対処になります。

─個人情報を入力すると、法律の問題になる

個人情報保護委員会は2023年6月の時点で、生成AIサービスの利用に関する注意喚起を公表しています。
あらかじめ本人の同意を得ないまま個人データを含むプロンプトを入力し、その個人データが応答の生成以外の目的で取り扱われる場合、個人情報保護法の規定に違反するおそれがある、という内容です。
ここは設定ではなく、入力しないという運用で守る領域です。
顧客名簿や履歴書をそのまま貼り付けない、と決めておくだけで、リスクの大きな部分が消えます。

─いちばん現実的なのは、日常の操作から漏れること

筆者の会社では、記事の作成や営業管理といった業務をAIエージェントで運用しています。
その設定作業のなかで一度、動作確認を急ぐあまり、AIとの会話にシステムの本番用の認証キーをそのまま打ち込んだことがあります。
筆者の環境では、AIとの会話ログが自動で保存され、ナレッジとして整理され、共有ツールへ複製される仕組みが動いています。
つまり一度打った文字列は、放っておくと自動的に複数の場所へ増えていきます。
外部への流出には至りませんでしたが、キーの差し替えという後始末が必要になりました。

このとき身にしみたのは、漏えいは高度な攻撃より先に、日常の操作からやってくるということです。
AIとの対話は、記録され、あとから使える資産として残っていきます。
残るからこそナレッジになり、残るからこそ、打ってはいけないものがあります。
この両面を社員が知っているかどうかが、実務ではいちばん効きます。

社内ルールには、まずこの3つだけ入れる

完璧な規程を作ろうとして、レビュー待ちのまま半年止まる。
これもよくある光景です。
最初はA4一枚で足ります。
入れる項目は3つです。

─入れてはいけない情報の線引き

個人データ、取引先から預かっている機密、パスワードや認証キーなどの自社の非公開情報。
この3つは入力しない、と明文化します。
迷ったら入れない、という一文も添えておくと、判断が現場で完結します。

─会社が使うサービスと設定を決める

個人任せをやめる、ということです。
会社がサービスとプランを指定し、学習利用の設定を確認したうえで、業務はその環境でだけ行うと決めます。
先ほどの商工中金の調査では、生成AIの導入・推進における課題として「社内ルールや方針の整備が追いついていない」を挙げた企業が25.1%あり、「情報管理やセキュリティに関する不安が大きい」の21.0%を上回っています。
不安そのものより、決めごとが追いついていないことが課題になっている、と読める数字です。
環境を会社が用意し、ルールは実態に合わせて後から直していくのが現実的な順番です。

─困ったときの相談先を決めておく

うっかり入力してしまったとき、誰に言えばいいのか。
これを決めていない会社では、報告が遅れます。
報告した人を責めない、と書き添えておくことも含めて、窓口をひとり決めておきます。

この3つを決めたら、あとは使いながら書き足していきます。
ルールは配った日に完成するものではなく、運用の記録で育っていくものです。

ルールは、社員がAIを知る過程と一緒に育てる

ルールが紙のまま終わるか、実際に守られるかを分けるのは、社員がAIの仕組みをどれだけ知っているかです。
入力した内容がどこに保存され、どこへ流れるのかを知っている人は、線引きの意味が分かるので、ルールを自分の判断として守れます。
知らない人にとって、ルールはただの禁止事項の列挙になってしまいます。

N-BRIDGEのAI研修では、その会社が実際に抱えている課題を題材に、AIエージェントで何をどこまで支援できるかを試すところまで設計しています。
情報の扱い方は、その過程で自然と身につく類のものです。
研修はゴールではなく、社員のAI知識をつけて、AX（AIによる業務変革）へ進むための最初の一歩と位置づけています。
研修と並行してAI利用ガイドラインを整えたい、という相談にも対応しています。

導入のあと定着まで進める考え方は、社内にAIに詳しい人がいない会社が、AI研修のあと定着まで進める方法にまとめています。

まとめ

情報漏えいの不安は、禁止の理由ではなく、ルールを作る理由です。
学習利用は設定で、個人情報は入力しない運用で、操作ミスは知識と相談先で。
分けてしまえば、どれも中小企業の手に負える大きさです。

自社の場合はどこから手を付けるべきか。
現在地の確認にはAI活用診断をご利用ください。
研修と併せて進めたい場合はAI研修のページをご覧ください。

執筆：永松裕章（N-BRIDGE株式会社）