ChatGPTに個人情報はどこまで入れてよい？社内ルールの線引きの例

ChatGPTに入れてよい個人情報の範囲は法律が一律に定めているわけではなく、情報の種類とプランを踏まえて会社ごとに線を引きます。

今日やることは、下の表を自社の言葉に直し、総務の担当者と現場の代表で「入れない」⁠の行に漏れがないかを確かめることです。そのまま1枚⁠の社内ルールの土台になります。

表は私たちが公開資料をもとに作った例で、法律の判断そのものではありません。扱う情報が多い会社や、判断に迷う情報は、弁護士など専門家に確認してください。

線引きの例：情報の種類ごとの表

3段階で分けます。「入れない」⁠は法人プランでも入れない情報です。「置き換える」⁠は⁠、名前や番号を消してから使う情報です。「入れてよい」⁠は公開済みか、個人や取引先を特定できない情報です。

「置き換える」⁠は⁠、次のような作業です。「山田太郎様」⁠を「Aさん」⁠、「株式会社◯◯」⁠を「取引先B」⁠、具体的な住所を「関西の工場」⁠に変えます。メールの文面や議事録の整理なら、これで困る場面は多くありません。

法律はどこまで決めているのか

線を引くときの根拠は3つあります。

個人情報保護委員会の注意喚起

個人情報保護委員会の注意喚起（2023年6月）⁠は⁠、事業者向けに2点⁠を示しました。

1つ目は、個人情報を含むプロンプトを入力するなら、特定した利用目的の達成に必要な範囲内かを十分に確認することです。2つ目は、本人の同意なく個人データを入力し、それが応答の出力以外の目的で扱われると、法律違反になる可能性があることです。そのため、提供事業者が機械学習に使わないことなどを十分に確認するよう求めています。

「個人データ」⁠は⁠、検索できるように整理した名簿やデータベースに入っている情報を指す言葉です。顧客名簿や社員名簿から貼り付ける場合が、典型的に当てはまります。

氏名は個人情報、健康診断は要配慮個人情報

個人情報保護法のガイドライン（通則編）⁠は⁠、個人情報の例として本人の氏名を挙げています。「名字と名前だけなら大丈夫」という理解は、社内の説明として使えません。

同じガイドラインは、要配慮個人情報も定めています。病歴のほか、労働安全衛生法に基づく健康診断の結果も含まれます。取得には原則として本人の同意が要るなど、取り扱いが厳しい情報です。総務が扱う健診データ、休職の記録、労災の記録は、表の「入れない」⁠に置く理由がここにあります。

マイナンバーは使える場面が限られる

マイナンバーのガイドライン（事業者編）⁠で⁠、事業者がマイナンバーを使える事務は、社会保障や税の手続きなど法律で定められた範囲に限られています。収集や保管にも制限があります。文書作成の補助に使う理由は見当たりません。

製造業で迷いやすい情報はどこか

製造業では、個人情報より「取引先から預かった情報」⁠で迷う場面が目立ちます。

たとえば、取引先から届いた図面の注記を読み解きたい、という場合です。図面そのものを貼るのではなく、一般的な記号の意味だけを質問すれば、社名も寸法も出さずに答えが得られます。

現場のヒヤリハット報告も迷いやすい例です。氏名は消せても、「◯◯工場の2班の班長」⁠と書けば本人が特定できる場合があります。氏名を置き換えただけで安心せず、所属や日付の組み合わせでも人が分からないかを読み返します。

社内の技術情報も見直します。営業秘密管理指針（経済産業省、2025年3月改訂）は、営業秘密として守られるには、会社が秘密だと主観的に思っているだけでは足りないとしています。秘密として管理する意思が従業員から分かる状態が求められます。「何が秘密か」⁠を決めておくことは、AIのルールと営業秘密の管理の両方に役立ちます。

プランによって線引きは変わるのか

変わる部分と変わらない部分があります。

変わるのは学習の扱いです。OpenAIのヘルプ⁠によると、個人向けのFree、Plus、Proはデータ共有が初期状態でオンで、ChatGPT Businessなどの法人向けは初期状態で学習に使われません。注意喚起が求める「機械学習に使わないことの確認」⁠に⁠は⁠、法人向けのほうが答えやすくなります。

変わらないのは、利用目的の確認と、社内のルールです。学習に使われなくても、データはサービス側で保存され、処理されます。法人プランだからマイナンバーも入れてよい、とはなりません。契約書や利用規約の確認も別に要ります。

会社のルールでは、次のように書くと現場で迷いません。

• 個人アカウントでの業務利用：「入れてよい」⁠の情報だけ
• 会社が契約した法人プラン：「入れてよい」⁠と⁠、置き換えた後の情報
• どのプランでも：「入れない」⁠の情報は入力しない

プランごとの設定の違いは、学習オフと法人プランの整理⁠に分けて書きました。漏れ方の全体像を先に確かめたい場合は、生成AIの3つ⁠の漏えい経路⁠が入口になります。

入れてしまったときはどう動くか

入れてしまった場合に備えて、連絡先と順番だけ決めておきます。

1. 入力した本人が、その場で担当者へ連絡する
2. 入力した日時、サービス名、アカウントの種類、情報の中身を記録する
3. 共有リンクを作っていれば消す
4. 担当者が、取引先への連絡や法律上の対応が要るかを判断する

個人データの漏えいなどが起きたときは、国への報告が要る場合があります。個人情報保護委員会の案内では、要配慮個人情報が含まれる、財産的被害のおそれがある、不正の目的によるおそれがある、本人の数が1,000人⁠を超える、の4類型が対象です。AIへの入力がこれに当たるかは個別の判断になるため、必要なら専門家に相談してください。

会話を消す操作も、落ち着いて扱います。消す前に記録を取らないと、後で何を入力したか説明できなくなります。

線引きを社員に定着させるには

表を配るだけでは、3か月後には忘れられます。

AI事業者ガイドライン第1.2版の別添は、社内ルールが未整備だと、会社の管理の外で従業員が個人向けの生成AIを使う恐れがあるとしています。逆に言えば、使ってよい形を示すことが対策の一部になります。

定着させるには、社員が実際に迷う文面で例題を作るのが近道です。たとえば「クレームのメールを貼って返信案を作りたい。どこを置き換える？」といった問いを、朝礼や研修で1問ずつ扱います。

教育を仕組みにしたい場合は、セキュリティ教育サービスの比較が参考になります。人の注意だけで止めたくない情報には、機械で検知するDLP（情報漏えい防止）⁠の製品比較や、AIセキュリティ製品の比較も選択肢に入ります。

ほかの会社で何が起きたかを説明材料にするなら、公式発表で確かめた事例⁠を使えます。社内ルール全体の組み立てはAIセキュリティのカテゴリ⁠にまとめています。

「入れない」⁠の行は、一度決めたらプランを変えても動かさない。そこだけ固めておくと、新しいAIサービスが増えても判断が速くなります。