ChatGPTの情報漏洩対策｜社内AI利用ルールは3つだけ決めればいい

社員がChatGPTを使い始めたけれど、顧客名や取引先の情報をそのまま入力していないか、ふと不安になったことはありませんか。

禁止にすれば安全かもしれませんが、それでは便利さを手放すことになります。

かといって、何十ページもある利用規程を一から作る余裕もありません。

結論から書きます。

社内のAI利用ルールは、「入力していい情報」と「入力してはいけない情報」を3つだけ決めて共有すれば、まず始められます。

この記事では、その3つの決め方と、当社が実際に社内のAI活用で敷いているルールを紹介します。

この記事でわかること

• 情報漏洩を防ぐために、最初に決めるべき3つのルール
• 「入力してはいけない情報」を、現場に伝わる言葉でどう線引きするか
• 当社がAI活用の実務で実際に運用しているルールの中身

なぜ「まず3つ」でいいのか

中小企業のAI活用が進まない一番の理由は、コストでも技術力でもありません。

「何から手をつければいいか分からない」という、入り口の分からなさです。

ルール作りも同じで、完璧な規程集を先に作ろうとすると、着手する前に力尽きてしまいます。

情報漏洩の不安の正体は、たいてい「何を入力したらまずいのか、誰も明言していない」という状態そのものです。

だから、規程の完成度より先に、現場が迷わず判断できる線引きを共有することの方が効果があります。

そのための最小セットが、次の3つです。

最初に決める3つのルール

① 入力してはいけない情報を、名指しで決める

「機密情報を入力しない」だけでは、現場は判断に困ります。

「機密」という言葉があいまいで、人によって線引きが変わるからです。

そこで、具体的な項目で名指しします。

• 顧客名・取引先名（実名はもちろん、実在が推測できる書き方も含む）
• 契約金額・見積金額など、社外に出していない数字
• パスワード・APIキー・アカウント情報などの認証情報

この3項目だけでも、名指しにすると現場の迷いはかなり減ります。

② 入力する前に「一般化」する習慣をつける

禁止項目を決めても、実際の業務では「この件について相談したい」という場面が必ず出てきます。

そのときに使えるのが、固有名詞を外して一般化してから入力する習慣です。

たとえば「A社への提案書を直したい」ではなく、「製造業のお客様向けの提案書を直したい」と書き換えます。

会社名や個人名を、業種や役割といった一般的な言葉に置き換えるだけで、AIへの相談内容としては十分に伝わります。

「固有名詞を出さずに説明できるか」を、入力前の一呼吸として習慣にするのがポイントです。

③ ルールを「文書」ではなく「ひとこと」で共有する

せっかくルールを決めても、社内規程フォルダの奥に眠っていては意味がありません。

チャットツールに固定メッセージとして貼っておく、朝礼で一言触れる、といった軽い共有で十分です。

「①と②さえ守れば大丈夫」という短い言葉にして、繰り返し目に入る場所に置くことの方が、分厚い規程より実際に守られます。

こうした業務の仕組み化は、問い合わせ対応をAIで効率化する取り組みとも考え方は同じです。ルールも仕組みも、複雑にしないことが定着の近道です。

当社が実際にAI活用で敷いているルール

ここからは、私たちが実際に社内でAIエージェント（Claude Code）を使うときに敷いているルールの一例を紹介します。

当社では、ブログ記事の作成や問い合わせ対応の下書きをAIに任せる場面が日常的にあります。

そのときのルールは、シンプルに2つだけです。

1つ目は、「顧客名・取引先名・社内固有のシステム名は、公開する文章に出力させない」というルールです。

AIに実例を書かせるときも、社名は伏せて「ある製造業のお客様」のように一般化させます。

2つ目は、「秘密情報は専用の場所に分けて置き、AIには必要なときだけ読み込ませる」というルールです。

APIトークンやログイン情報は、記事や指示文の中に直接書かず、別ファイルにまとめて管理しています。

この2つは、先ほどの「①名指しで決める」「②一般化する習慣」を、そのまま自社の運用に落とし込んだものです。

特別な仕組みを新しく作ったわけではなく、決めごとを最初にはっきりさせただけです。

それでも不安な場合は「聞かれて困る質問」で確認する

ルールを決めても、現場での判断に迷う場面は出てきます。

そんなときに使える簡単なチェック方法があります。

「この内容を、取引先の担当者にそのまま見せられるか」と自分に問いかけることです。

見せられないと感じたら、それは入力前に一般化するか、そもそも入力しない対象だというサインです。

難しい判断基準を覚えるより、この一問を習慣にする方が、現場では実際に機能します。

こうした「AIに何を任せ、何を任せないか」の線引きは、中小企業のAI活用ガイドで紹介している他の業務改善の実例とも通じるところがあります。あわせてご覧ください。

まとめ ── あなたの会社は、AI利用ルールを言葉にできていますか

情報漏洩を防ぐための最初の一歩は、完璧な規程を作ることではありません。

「入力してはいけない情報を名指しで決める」「一般化してから入力する習慣をつける」「ひとことで共有する」。

この3つを決めるだけで、社内のAI活用はぐっと安心して進められるようになります。

ここまで読んで、こんなふうに感じた方もいるのではないでしょうか。

「うちの会社にはまだAI利用ルールが何もない」

「ルール以前に、どの業務でAIを使えばいいのかも整理できていない」

「情報漏洩が怖くて、そもそも導入に踏み切れていない」

そんな段階でも大丈夫です。

まずは、AI活用の無料診断で、自社のどこにAIを使えそうか、どこにルールが必要かを一緒に整理してみませんか。

「うちの場合、何を決めればいい？」——その入口から、一緒に考えます。

AI活用の第一歩、いっしょに整えませんか

「AIを使ってみたいけれど、安全面が不安」「自社の業務でどこから任せればいいか分からない」——そんなときは、お気軽にご相談ください。アスタは、AIを実際の業務で安全に活用するお手伝いをしています。

• AIを業務で使ってみたい方 → AI活用無料診断へ（所要時間：約30分）
• まず話だけ聞いてみたい方 → お問い合わせフォームへ

「まだ何も決まっていない」という段階でも大丈夫です。今の状況をお聞きかせください。