社員がChatGPTに個人情報を入力してしまったら会社はどう動くか

社員がChatGPTに個人情報を入力してしまったら、会社は削除の前に事実を記録し、入れた情報と人数、アカウントの種類を確かめ、個人情報保護委員会への報告と本人への通知が必要かを判断します。本人の削除操作だけで終えてはいけません。

今この状況にあるなら、今日やることは次の順です。本人を責めずに事実を聞く。画面と日時を記録する。担当者と責任者へ伝える。報告対象に当たるなら速報の目安は知った時点からおおむね3〜5日なので、判断を翌週へ持ち越さないでください。

最初の1時間⁠で確かめること

削除を急がせないでください。消してしまうと、何が入ったのかを会社が確かめられなくなります。OpenAIの保持に関する説明では、削除したチャットは元に戻せません。先に会話の画面を、社内の限られた人だけが見られる場所へ記録します。

聞くときは「なぜやった」ではなく「何を入れたか」⁠を聞きます。責めると次の報告が遅れ、会社が知る時点も遅くなります。

ChatGPT側で確かめる設定

アカウントの種類で、扱いが大きく変わります。OpenAIのデータ管理の説明⁠を確かめると、次のとおりです。規約や設定は変わるので、対応時は最新のページを見てください。

個人アカウントなら、本人に設定の状態を確かめ、この設定を切ってもらいます。ただし、切っても保存済みの会話は消えません。すでに行われた処理の扱いまで、この設定で確かめられるわけでもありません。

削除するときは、次の点まで見ます。

• チャット本体は、画面からすぐ消えるが、システムからの完全削除は30日以内⁠の予定で、セキュリティや法律上の義務で長く保持する場合がある
• ライブラリなどに別に保存されたファイルは、チャットを消しても残る
• カスタムGPTやプロジェクトに入れたファイルは、それぞれ削除が要る
• 共有リンクを作っていれば、データ管理の画面から削除する
• 一時チャットも、安全のために最大30日保持される場合がある

会話が学習に使われる可能性を、削除だけで完全に打ち消せると確認できる説明は見つかりませんでした。OpenAIのプライバシーの窓口（Privacy Portal）⁠で取れる対応も、その時点の案内で確かめます。

法律上の報告判断はどう進めるか

判断の順番は3段階です。

1. 個人データに当たるか

個人情報保護法の報告義務の対象は「個人データ」⁠で⁠す⁠。名簿や顧客データベース、従業員台帳のように、検索できる形で整理された情報に含まれる個人情報と考えてください。そこから写した場合は、当たる可能性が高くなります。手書きメモや1枚⁠の名刺の扱いは事情で変わるので、出どころまで確かめます。

2. 報告対象の4類型に当たるか

個人情報保護法の施行規則第7条は、報告の対象となる事態を4つ定めています。発生した場合だけでなく、発生したおそれがある場合も含みます。

要配慮個人情報の定義は個人情報保護法第2条第3項⁠にあり、人種、信条、社会的身分、病歴、犯罪の経歴などが挙げられています。

難しいのは、AIへの入力が「漏えい」⁠に当たるかです。個人情報保護委員会の2023年6月⁠の注意喚起は、本人の同意なく個人データを含むプロンプトを入力し、応答の出力以外の目的で扱われる場合は、法律に違反する可能性があるとしています。これは第三者提供の規律（法第27条・第28条）にも関わります。

クラウドの一般論としては、委員会のQ&A 7-53が、契約などでサービス提供者が個人データを取り扱わないことになっている場合は提供に当たらないという考え方を示しています。ただ、生成AIの入力にそのまま当てはめてよいと委員会が示した文書は確かめられませんでした。個人アカウントへの入力なら、なおさら自社だけで「大丈夫」⁠と決めないほうが安全です。

判断に迷うときは、個人情報保護委員会の案内⁠に沿って窓口を使います。漏えい等の報告を扱う専用のダイヤルや、法律の相談窓口が用意されています。

3. 対象なら、期限内に報告して本人へ通知する

報告には2段階あります。施行規則第8条⁠と委員会の案内によると、次のとおりです。

会社の誰かが知った時点から数え始めると考え、本人が総務へ言うのをためらった日数も無駄にしないようにします。速報の項目には、概要、データの項目、人数、原因、二次被害のおそれ、本人への対応、公表、再発防止などがあり、最初に確かめた表がそのまま下書きになります。

他社から預かった個人データを扱っていた場合は、委託元への連絡も確かめます。法第26条第1項⁠のただし書で、委託を受けた事業者が委託元へ通知したときの扱いが定められています。

なお、2026年7月⁠に公布された令和8年改正の個人情報保護法には、漏えい時の本人への通知に関する見直しも含まれます。対応時点で施行されているかを確かめてください。

個人情報以外も入っていないかを見る

製造業では、1つ⁠の入力に個人情報と技術情報が同時に入っていることがあります。たとえば、クレーム報告書を要約するために、顧客担当者の氏名と、預かった図面番号や仕様を一緒に貼り付けた場合です。

個人情報の判断が終わっても、取引先との秘密保持契約が残っています。契約で外部サービスへの入力や、発生時の通知がどう定められているかを確かめ、必要なら顧問弁護士に相談して取引先へ連絡します。

再発防止は、本人の注意で終わらせない

報告書に「注意するよう指導した」とだけ書いても、同じ仕事の場面が残れば別の人が同じことをします。入力した理由を起点に、次の順で直します。

1. なぜ入れたかを確かめる。要約や翻訳の必要があったなら、会社で使える道具を用意する
2. 入れてはいけない情報を、「病歴」「顧客名簿」「預かった図面」のように職場の言葉で書く
3. 個人アカウントの業務利用の制限と、学習に使われない設定を確かめる
4. 間違えて入れたときの連絡先と、最初に記録する項目を1枚にする
5. 他の社員にも同じ入力がないか、責めない形で確かめる

個人情報保護法には、個人データの安全管理措置（第23条）⁠と従業者の監督（第24条）⁠の定めがあります。AIの利用も、社内の規程と教育の範囲に入れて記録しておきます。社内周知にはセキュリティ意識向上サービスの比較、外部への送信を仕組みで見つけたいときはDLPの製品比較、AI利用全体の管理にはAIセキュリティ製品の比較が材料になります。

使ってよい道具の用意から進める方法はシャドーAIを禁止で終わらせない進め方⁠に書きました。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版には、インシデント対応の手引きも含まれています。AIのリスク全体はAIセキュリティの3つ⁠の対象の整理と、AIのセキュリティのカテゴリ⁠で確かめられます。