生成AIを安全に使う企業ガイドライン
生成AIのセキュリティ対策は、「使うか使わないか」の問題ではありません。「どうやって安全に使うか」だけを考えればいい。この記事では、中小企業の経営者でも明日から動ける、具体的な3つの対策をお伝えします。
うちみたいな小さい会社でも、社員がChatGPTに機密情報を入れちゃわないか心配で…。いっそ禁止にしたほうが安全ですよね？
それがな、禁止にすると逆に怖いねん。社員さんが隠れてスマホで使うようになって、誰も管理でけへん状態になるんよ。禁止やなくてルールを作るほうが、よっぽど効くんやで。
ルールって言っても、何から手をつければいいのか…。難しそうで手が出せなくて。
まずは「学習オフ」の設定を確認するだけでええよ。ChatGPTの設定画面でポチッと切るだけ、5分で終わるねん。それから「入れたらアカン情報」を1枚にまとめて全員に配る。これだけでリスクの8割は下がるんやから。
え、そんな簡単なことでいいんですか？高いシステムを入れないとダメだと思ってました。
大層なもんはいらんのよ。月数万円から始められるし、完璧に揃ってからやなくて今あるもんでやってみたらええ。やってみたら「なんやこんな簡単やったんか」ってなるから。安全に使える土台ができたら、AIに雑務を任せて、自分の好きな仕事に集中できるようになるんやで。
「禁止」より「ルール」が圧倒的に効く理由
IBMの「Cost of a Data Breach Report 2025」によると、世界の企業の5社に1社が「シャドーAI（未承認のAI利用）」によるデータ侵害を経験しています。シャドーAIとは、IT部門の承認なしに社員が個人的に使うAIツールのこと。その平均被害額は通常のインシデントより67%も高く、463万ドル（約6.7億円）にも上るとされています。業種を問わず、製造業からサービス業まで、あらゆる企業で現実に起きている問題です。
でも実は、禁止にした会社ほどシャドーAIのリスクが高まります。社員は禁止されても便利なツールを使いたいから、個人のスマートフォンや自宅PCで使い続ける。管理できない状態が、一番危険です。
2023年3月のサムスン電子の事例はご存知の方も多いと思います。社内でChatGPTを解禁してわずか20日で、半導体のソースコードや社内会議の録音内容が入力されてしまいました。問題の本質は「解禁したこと」ではなく、「ガイドラインなしに解禁したこと」です。善意の社員が機密情報を入力してしまう。ルールさえあれば、防げたことでした。
経済産業省・総務省が2026年3月31日に公表した「AI事業者ガイドライン（第1.2版）」でも、「リスクをゼロにすることを目指すのではなく、対策の程度を調整するリスクベースアプローチ」が推奨されています。完璧を目指さなくていい。まず動くことです。
今日から始める3つのセキュリティ対策
① まず「学習オフ」の設定を確認する
ChatGPTの場合、デフォルト設定では入力内容がOpenAIのモデル改善に使われる可能性があります。すぐできる対策は、「設定→データコントロール→すべての人のためにモデルを改善する」をオフにすること。これだけで入力内容が学習に使われなくなります。
法人でより確実にやるなら、ChatGPT Team（月額30ドル/人）またはChatGPT Enterprise（要見積もり）への移行がおすすめです。これらのプランはデフォルトでデータが学習に使われません。Claudeも同様で、法人向けプランやAPI利用ではデータ保護が明確に定められています。設定確認は5分でできます。今日中にやってみてください。
②「入れてはいけない情報」を1枚にまとめる
まずは「AIに入れてはいけない情報」を社員に伝えるだけで、リスクの8割は下げられます。具体的には以下の情報です。
- 顧客の個人情報（氏名・住所・電話番号・メールアドレス）
- 未公開の製品仕様書・設計図
- 売上・利益などの社内財務データ
- 取引先との契約内容・交渉状況
これらをリスト化して1枚のPDFにまとめ、全社員に共有する。それだけでいい。ルールは制限ではなく、むしろ解放なんです。
③ DLPツールで情報の流れを「見える化」する
ある程度の規模になってきたら、DLP（Data Loss Prevention）ツールの導入を検討してください。機密情報が外部サービスに送信されようとしたとき、アラートを出したりブロックしたりしてくれる仕組みです。
Microsoft 365を使っている企業なら、Microsoft Purview DLPが追加費用なく使えるケースもあります。TeamsやSharePoint、Outlookでの情報流出を監視でき、顧客情報が外部AIに送信されそうになるとアラートが届く設定が可能です。また、IPAの「AI利用者のためのセキュリティ豆知識」も無料公開されており、社内勉強会でそのまま活用できます。
セキュリティを整えた先に、好きな仕事がある
ここで一つ、問いかけさせてください。あなたが毎日やっている仕事の中で、「これだけは自分でやりたい」「これが楽しい」と感じるのは、どんな仕事ですか？
「安全に使える環境」があって初めて、社員が安心してAIを業務に組み込める。そしてAIが面倒な雑務を引き受けてくれるようになると、人間は自分の「好き」と「得意」に集中できる。
つむぎやが目指しているのは、まさにその世界です。「人間はすべての面倒な作業を自動化し、好きと得意で社会貢献していく」。セキュリティ対策は怖いものではなく、「安心してAIを使い倒すための準備」として捉えてほしいと思います。
AIが雑務を引き受けた結果、人がより「人らしい仕事」に集中できるようになった。これが私の目指す姿です。
「AIに仕事を奪われる」という不安は、まったく正しくないと思っています。AIが奪うのは雑務です。そしてその先に、あなたの本当の価値がある。
生成AIのセキュリティ対策は、3つのステップで考えるとシンプルです。①「学習オフ」の設定で、データが学習されない状態を作る。②「入れてはいけない情報」を1枚にまとめて全社共有する。③規模が大きくなったらDLPツールで見える化する。難しく考えなくていい。やってみたら「なんだ、こんなに簡単だったのか」と必ず感じます。ぜひ今週中に、まず①だけでも試してみてください。あなたの会社でも、きっと変化を実感できます。
AI活用の基礎をしっかり学びたい方は、つむぎやのAI研修カリキュラムもご覧ください。
なお、AIを「安全に」使ううえでは、生成物の著作権にも注意したいところです。商用利用での具体的な注意点は生成AIと著作権｜商用利用で中小企業が気をつける注意点でまとめていますので、あわせてご覧ください。
AI導入についてのご相談はつむぎや株式会社までお気軽にどうぞ。