第4章 会社と情報を守る（安全とコンプライアンス）——情報漏洩を防ぐ鉄則と緊急停止の仕組み
対象＝中小企業の経営者・役員・実務リーダー。 「お客様の個人情報や会社の機密データが、AIを通じて外部に漏れたり、勝手にAIの学習に使われたら大変なことになる」 この心配は、経営者として極めて健全で正しい感覚です。 本章では、個人情報保護委員会や政府のガイドラインを踏まえ、「入れてよい情報・いけない情報の仕分け方」「自社データを学習に使わせない契約（ZDR）」「万が一のときの緊急停止手順」を、専門用語を使わずに分かりやすく解説します。 ※本章は社内ルールの作成手順を示すものであり、特定ツールの安全性や法律適合を保証するものではありません。正式な法律・税務上の助言ではありません。
1. 会社を守る情報管理：7つの実践ステップ
- 入れるデータを3つに分ける（データ仕分け表）
社内のデータを以下の3つにきれいに分類します：
- ①絶対に入れない（個人情報、マイナンバー、口座番号、顧客名簿、社外秘の極秘情報）
- ②伏字（マスキング）にして入れる（会社名や個人名を「A社」「担当者B」などに置き換える）
- ③責任者の許可を得て入れる（すでに自社ホームページ等で誰にでも公開されている情報）
- 「絶対に入れないルール」を目に見える形で徹底する
「個人情報を入れるな」と口頭で言うだけでは必ず誰かがミスをします。AI画面のすぐ横に「禁止リスト」を貼り出し、貼り付け前のセルフチェックをルール化します。 - 自社データがAIの学習に流用されない設定（ZDR）を確認する
無料版や個人向けのAIを使うと、入力した社内データがAIの「学習用データ」として再利用され、他社の回答に漏洩する恐れがあります。法人向けプランの契約書や設定画面で、「入力データを学習・二次利用のために保管しない（ZDR: Zero Data Retention）」という方針を必ず確認します。 - 業務の操作履歴（Audit Trail / 監査ログ）は自社で保管する
税務調査や社内監査で「なぜこの金額で支払ったのか」を証明できるよう、誰が・いつ承認したかの履歴（Audit Trail）を社内の安全なサーバーに保管します。これはAI側の学習用保管とは全く別物です。 - データを送る「外部の委託先会社」を一覧表にする
自社が使うAIツールは、どこの国のどの会社（OpenAI、Microsoft、Google等）のサーバーを経由しているかを把握します。出所が不明なツールは会社で使わせないようにします。 - 万が一のときの「緊急停止ボタン（キルスイッチ）」の責任者を決める
AIが誤作動を起こしたり、間違った入力を検知した際に、一瞬でAIの利用を停止できる担当者と連絡網を「社員の実名」で決めておきます。 - トラブル発生時の初動対応を紙1枚にしておく
「①止める $\rightarrow$ ②影響範囲を調べる $\rightarrow$ ③経営陣や取引先へ報告 $\rightarrow$ ④再発防止」。慌てずに対応できるよう、紙1枚に手順をまとめておきます。
2. チェックリスト（安全とコンプライアンスの点検）
3. よくある失敗パターン（現場あるある）
| # | 失敗パターン | 現場で起きるトラブル | 先にやっておくべき解決策 |
|---|---|---|---|
| A | 便利だからと顧客名簿を丸貼り | 顧客の個人情報や取引金額をそのまま入力して漏洩騒ぎになる | 画面の前に「禁止データ一覧」を常時表示する |
| B | 無料の個人用AIを業務で使う | 自社の機密データがAIの再学習に使われ、外部へ漏洩するリスク | 法人契約（学習利用防止 / ZDR）のアカウントのみを会社許可にする |
| C | 操作の証拠（ログ）を残さない | 後日トラブルが起きた際、誰がいつ承認したか分からず責任転嫁が起きる | 承認操作の履歴（Audit Trail）を自動保存する仕組みにする |
| D | ツールの提供元を知らない | セキュリティの安全性が怪しい無料ツールを社員が勝手に使ってしまう | 会社が許可した指定ツール以外は利用禁止にする |
| E | 緊急停止の担当者がいない | 変な回答や誤作動が起きても、誰も止め方が分からず被害が広がる | 緊急停止（キルスイッチ）ができる担当者を実名で決めておく |
| F | 「人の確認」を省いてしまう | AIが作った誤った見積もりや回答がそのまま顧客に送信される | 送信直前の「人の承認関所（Human Approval Gate）」を絶対に残す |
4. 安全管理の効果はどう測るか（効果の保証ではなく「仮説・要実測」）
安全対策も「やって終わりにしない」ために、定期的に確認します。
| 測定する項目 | 運用の目標 | 実際の確認方法 |
|---|---|---|
| 禁止データの誤入力の件数 | 「0件（目標）」 | 月1回の抜き打ちサンプリングや社内報告 |
| ツールの安全確認の更新 | 「年に1回または規約改定時」 | 利用ツールの利用規約やセキュリティ設定の確認日 |
| 緊急停止のテスト訓練 | 「半年に1回実施」 | 実際にAIを一時停止できるかテストした記録 |
| 重大インシデント（漏洩・誤送信） | 「0件（目標）」 | 事故報告書で管理 |
「これで100%絶対に事故は起きない」と油断せず、常に人間が目を光らせておくことが大切です。
5. 誰が安全の責任を持つか（社内の役割分担）
| 社内の役割 | 担当する責任 | 持っている権限 |
|---|---|---|
| 現場リーダー（業務オーナー） | 日常業務での入力データのチェック | ルール違反な入力の差し戻し・修正指示 |
| 個人情報管理責任者（役員等） | 社外秘データや例外的な利用の許可判断 | 特殊なデータ入力の許可・取り消し |
| IT・管理部門 | ツールのセキュリティ設定、料金上限（Token Capping） | システム接続の遮断、緊急停止（キルスイッチ） |
| 社長（経営責任者） | 重大インシデント発生時の対外公表・対応指示 | 全社的なAI利用の凍結・プロジェクト中止 |
| AIエージェント | 下調べ・下書き作成のみ | 機密情報の管理権限や外部送信権限は一切なし |
人の確認関所（Human Approval Gate）は、会社を守る最も重要な盾です。いかなる理由があっても関所をなくしてはいけません。
6. 部門別ミニケース——これだけは絶対にやってはいけない入力例
営業部門：名刺データや商談メモの丸投げ禁止
現場の課題
営業のJさんは、提案メールの精度を上げようとして、いただいたお客様の名刺情報（個人の携帯電話番号や私用アドレス）、商談メモ（お客様の家庭の事情や健康状態）、競合他社から聞いた非公開の単価情報を、AIの入力画面にそのまま貼り付けてしまいました。 「全部入れておいた方が、気の利いたメールができる」という安易な思い込みが、重大な情報漏洩リスクに直結します。
正しい安全な手順
- 入力前の仕分け：顧客個人の携帯番号やプライベートな話は「絶対に入れない」。会社名や役職名だけを使う。
- AIの利用：公開されている会社概要や、一般的な提案構成の下書き作成にのみAIを使う。
- 人の確認（承認関所）：完成したメール案は、営業担当者と課長が目視で確認し、問題ないことを確かめてから送信する。
- 契約の確認：利用しているAIが、提案内容を学習データとして保存しない契約（ZDR）であることを確認する。
明日すぐできること
- 「名刺データの一括投入禁止」「私的な商談メモの入力禁止」を営業部のパソコンの横に貼る。
- 法人向けプランの設定画面で、データ学習がオフ（ZDR）になっている画面コピーを保存する。
総務部門：社員の健康診断・家族・給与情報
現場の課題
総務のKさんは、社員から届いた相談メール（休職の相談、健康診断の結果、家族の介護事情など）をそのままAIに貼り付けて「適切な返信を作って」と指示してしまいました。 社員のプライバシーや健康に関する極めて機微な個人情報は、法律上も厳格な管理が求められるものであり、AIに入力することは重大なコンプライアンス違反になります。
正しい安全な手順
- 受信時の仕分け：誰でも見られる社内就業規則の質問以外は、AIに入力せず、総務担当者が直接個別に対応する。
- AIへの入力：一般的な就業規則の条文や、公的な制度の仕組みを調べる目的だけに限定する。
- 人の確認：回答文は総務課長が直接チェックし、社員へ対面または社内メールで伝える。
- 記録の管理：社員の個別の悩みや個人情報は、AIの画面やログに残さない。
明日すぐできること
- 「社員の病気・家族・給与・懲戒の相談はAI入力禁止」と社内マニュアルに明記する。
- 社員からの相談窓口には、直接人間が対応する専用連絡先を案内する。
経理部門：マイナンバー・銀行口座・請求書
現場の課題
経理のLさんは、請求書の読み取りを急ぐあまり、取引先の銀行口座のフル番号や、支払調書に記載されたマイナンバーが含まれる書類を、そのまま外部の無料AIツールにアップロードしてしまいました。 マイナンバー法や金融取引の観点から、取り返しのつかない法令違反につながる極めて危険な行為です。
正しい安全な手順
- 入力前の仕分け：マイナンバーやクレジットカード番号、口座番号は「絶対に入れない（黒塗りまたは隠す）」。
- AIの利用：請求書の会社名、請求金額、消費税額の数字合わせ（突合）の補助だけに限定する。
- 支払確定の関所：実際の銀行振込や支払指示は、必ず経理課長・部長が直接確認して実行する。
- 契約の確認：請求書データが外部の学習用データとして保管されない法人プラン（ZDR）を必ず利用する。
明日すぐできること
- 経理の手順書に「マイナンバーや口座フル番号の外部AIへの入力禁止」を赤字で追記する。
- 請求書の取り込みを行うパソコンを限定し、許可されていない無料ツールの利用を禁止する。
会社を守るコンプライアンスの基本原則
本章で示した手順は、情報漏洩や法的トラブルを未然に防ぐための実践的な考え方です。本手順を守ることであらゆる事故や法令適合を完全に保証するものではありません。各社の業界規制や社内規程、必要に応じて弁護士等の専門家の助言に従ってご判断ください。
本章で参照している公的ガイドライン・引用ID
PPC-GENAI-ALERT-2023（個人情報保護委員会 生成AI利用に関する注意喚起）IPA-SME-SEC-4.0（情報処理推進機構 中小企業の情報セキュリティ対策ガイドライン）IPA-GENAI-INTRO-2024（生成AI導入手引書）METI-AI-GL-1.2（経済産業省・総務省 AI事業者ガイドライン）DIGI-GENAI-PROCURE-2.0（デジタル庁 調達・運用基準）DIGI-GENAI-RISK-α（デジタル庁 利用リスク方針）NIST-AI-RMF-1.0（米国国立標準技術研究所 リスクマネジメント基準）NIST-AI-600-1（生成AIリスク管理指針）CHUSHO-SEC-PAGE（中小企業庁 セキュリティ対策情報）AISI-EVAL-GUIDE-1.20（AIセーフティ・インスティテュート安全性評価基準）
次章への案内
安全管理と情報漏洩対策のルールが固まったら、いよいよ社内を動かす最後のステップです。 → 第5章「失敗しない導入計画（稟議と本番運用）」へ進み、役員会を通すための1枚の企画書づくりと、リスクのない段階的な本番運用の始め方を学びましょう。