AIの情報漏えいを防ぐ対策｜少人数の会社がまず決める5つのこと

社員が数名から、多くても30名くらい。そんな会社でも、議事録の下書きや、顧客への返信メールの文案作りにAIを使うのは、もう普通のことになってきました。

契約書の内容をChatGPTに読み込ませて要約してもらったり、会議の録音をAIに文字起こしさせたり。便利なんですが、ふと「この情報、AIに入れて大丈夫だったのかな」と不安になったことはないでしょうか。

結論から言うと、AIの情報漏えいは、ツール自体が危ないから起きるわけではありません。「何を入れていいか」を誰も決めていないことが、いちばんの原因なんです。

この記事では、専任の情報システム担当がいない少人数の会社が、まず決めておきたい5つのことをチェックリストの形で整理します。

AIの情報漏えい、少人数の会社でこそ注意したい理由

「誰かが個人で使い始める」から管理が追いつかない

大きな会社なら、新しいツールを使う前に情シス部門の許可が必要、というルールがあることも多いですよね。

ただ、少人数の会社ではそうした窓口がないことがほとんどです。担当者が便利だと思ったツールに、個人のメールアドレスでサッと登録して使い始める。それ自体は悪いことではないんです。

問題は、誰がどのツールに何を入れているか、代表者が把握していない状態が続いてしまうことなんです。

大企業と同じルールは、そのままだと重すぎる

情報漏えい対策というと、分厚い規程集や承認フローを思い浮かべる方も多いはずです。ただ、それを少人数の会社に持ち込むと、誰も読まずに終わってしまいます。

『ルールを作っても、どうせ現場は守らないだろう』。そう思う方もいるかもしれません。でも、ルールが機能しないのは、量が多すぎるからというケースがほとんどです。

この記事で紹介する5つは、どれも「今日決めて、今日から運用できる」くらいの軽さにしています。まずはここから始めてみてください。

1つ目に決めること、入力してはいけない情報の線引き

まず「顧客の名前」「金額」「契約の内容」はNGにする

最初に決めるべきは、AIに入力してはいけない情報の具体例です。抽象的な「機密情報は入れない」だけでは、現場は判断できません。

最低限、次の4つはNGにしておくと分かりやすいです。顧客や取引先の名前、契約書に書かれた金額や条件、従業員の人事情報、サービスのログインIDやパスワードです。

例えばこんな場面があります。担当者が「A社との契約書を要約して」とAIに頼もうとして、社名も金額もそのまま貼り付けてしまう。悪気はなくても、これはNGに当たります。

判断に迷ったら「公開情報に書けるか」で考える

細かいケースまで全部ルール化するのは大変ですよね。そこで使いやすいのが、「この内容を自社のホームページに書いても問題ないか」という基準です。

書いて問題ない内容なら、AIに入れても基本的には大丈夫です。逆に、社外に出したくない内容なら、AIにもそのままは入れない。これだけでも、かなりの判断ができるようになります。

実は、この基準ひとつを共有するだけで、現場からの質問はぐっと減ります。「これって入れていいんでしたっけ」というやり取り自体が減るので、担当者の手間も軽くなるんです。

2つ目に決めること、使っていいAIツールを一覧にする

社員それぞれが別のツールを使っている状態をやめる

少人数の会社でよくあるのが、AさんはChatGPT、Bさんは別の無料AIツール、Cさんはスマホの翻訳アプリのAI機能、というように、誰が何を使っているか分からない状態です。

これ自体は自然な流れなんですが、代表者からすると「会社の情報がどこに流れているか分からない」状態になってしまいます。

そこでまず、社内で使うAIツールを3つから5つ程度に絞って、名前を一覧にしておきます。ChatGPT、Claude、Geminiあたりが2026年11月時点ではよく使われていますが、仕様や料金プランは変わりやすいので、最新情報は各公式サイトで確認してください。

新しいツールを使う前に、ひとこと相談してもらう

一覧を作ったら、そこに載っていないツールを使いたいときは、代表者や担当者にひとこと相談してもらうルールを添えておきます。

『相談するのが面倒』と思われそうで心配、という声もあるかもしれません。ただ、禁止するわけではなく「教えてね」で十分なんです。実際、ChatworkやSlackのグループに一言投げるだけで済む運用にしている会社も多いです。

こうしておくと、新しいツールが増えるたびに、代表者が入力ルールをその場で説明できます。後から「実はこんなツールも使っていました」と発覚する事態を防げます。

3つ目に決めること、無料プランと有料・法人向けプランの違いを確認する

無料版は入力した内容が学習に使われることがある

AIツールの多くは、無料プランだと入力した内容がサービス改善のための学習データに使われる設定になっている場合があります。

有料プランや法人向けプランでは、この学習利用を無効にする設定が用意されていることが多いです。ただし、この仕組みはサービスごとに違いますし、2026年11月時点の目安なので、実際の設定は必ず各サービスの公式サイトやヘルプページで確認してください。

「うちは無料版しか使っていないから大丈夫」と思っていても、設定を見たことがない、という会社も多いのではないでしょうか。一度、今使っているプランの設定画面を開いてみることをおすすめします。

設定を確認したら、1行メモで残しておく

設定を確認したら、「このツールは学習オフに設定済み」「このツールは無料版なので機密情報は入れない」というメモを1行でも残しておきましょう。

当社でも、似た課題に取り組んだことがあります。少人数の会社だからこそ、こうした確認作業は属人化しやすいんです。担当者が変わった瞬間に、誰も設定を知らない状態になってしまうことも。

メモは凝ったものでなくて構いません。社内のスプレッドシート1枚に、ツール名と設定内容を書いておくだけで十分です。

当社でも、似た課題に取り組んだことがあります。

4つ目に決めること、ルールを1枚にまとめて共有する

長い規程より、A4一枚の「できる・できない」表のほうが効く

ここまでの内容を、分厚い規程集にする必要はありません。むしろ、A4一枚に収まるくらいの「できる・できない」の表にしたほうが、実際に読んでもらえます。

入力してよい情報と入力してはいけない情報、使ってよいツールの一覧、設定確認の状況。この3つを表にまとめておくだけで、十分な指針になります。

『そんな簡単なもので効果があるの』という方もいるかもしれません。ただ、読まれないルールには意味がありません。まずは読んでもらえる形から始めるのが大事なところです。

入社時・契約時に必ず見てもらう

作ったルールは、新しく入ったメンバーや業務委託の方に、初日に必ず見てもらうようにしましょう。

既存のメンバーにも、年に1回程度は見直しのタイミングを作っておくと安心です。AIツールの仕様は変わりやすいので、ルールも半年から1年に1回は更新したいところです。

「前に決めたルール、今も合っているかな」と思ったときが、ちょうど見直しのタイミングです。忙しい時期を避けて、落ち着いたタイミングで10分だけ時間をとってみてください。

5つ目に決めること、漏えいが起きた時の動き方を決めておく

まず誰に報告するかを決めておく

どれだけ気をつけていても、入力ミスや操作ミスは起きるものです。だからこそ、起きてしまった後の動き方を、起きる前に決めておくことが大事なんです。

最低限決めておきたいのは、「気づいた人がまず誰に報告するか」です。代表者でも、担当の役員でも構いません。報告先を1人か2人に絞っておくだけで、対応のスピードが変わります。

「こんな小さなミスを報告したら怒られるかも」。そう思って報告が遅れることが、一番避けたい事態です。報告しやすい空気を作ることも、ルールと同じくらい大事です。

クライアントやASPへの連絡のタイミングも決めておく

顧客情報や取引先の情報が関わる場合は、先方への連絡が必要になることもあります。連絡するかどうか、いつ連絡するかを、その場の判断に任せず、あらかじめ方針を決めておきましょう。

個人情報が絡む場合は、対応の進め方が法律で定められている部分もあります。詳しい手続きが必要になりそうな場合は、弁護士や専門家に早めに相談することをおすすめします。

ここまで決めておけば、実際に何かが起きたときも、慌てずに順番通り動くことができます。準備しておくこと自体が、一番の安心材料になります。

5つのことをチェックリストで振り返る

表にして、今の状況を照らし合わせる

ここまでの5つを、表にまとめました。会社の状況と照らし合わせて、できているところ・できていないところを確認してみてください。

決めること	やること（例）	目安の時間
1. 入力NG情報の線引き	顧客名・金額・契約内容・人事情報・パスワードをNGリスト化	30分程度
2. 使うツールの一覧化	社内で使うAIツールを3〜5個に絞って共有	30分程度
3. プランの設定確認	学習利用オフなどの設定を確認し1行メモを残す	ツール1つあたり15分程度
4. ルールのA4一枚化	上記をまとめて配布・入社時に共有	1時間程度
5. 漏えい時の動き方	報告先と連絡方針を決めておく	30分程度

全部を一度にやらなくていい

この表を見て、「全部できていない」と感じた方もいるかもしれません。ただ、一度に全部をやる必要はないんです。

まずは1つ目の「入力してはいけない情報の線引き」だけでも決めてみてください。これだけで、リスクの大部分は下げられます。

残りは、思い出したタイミングで少しずつ進めていけば十分です。少人数の会社だからこそ、無理のない範囲で続けられるルールにすることが、長く機能させるコツです。

まとめ

AIの情報漏えいは、ツールが悪いから起きるものではありません。何を入れていいか、誰がどのツールを使っているか、起きたときに誰へ報告するか。この3つが決まっていないことが、不安の正体なんです。

今日紹介した5つは、どれも特別な専門知識がなくても決められる内容です。まずは1つだけ、今週中に決めてみてください。

当社では、Web広告の運用代行のほか、こうした社内のAI活用ルール作りを含むAI導入支援も行っています。ルール作りだけ相談したい、という場合も対応可能です。AI導入支援は1業務10万円〜、顧問契約は月5万円〜（いずれも税別）が目安です。