図面や現場写真をChatGPTに入れてよいかは、誰の情報か、どのプランか、規制や契約に触れないかの3つで決まります。客先から預かった図面や製品写真は、契約を確かめて了承を得るまで入れないのが基本です。
今日やることは、次の2つです。
- 社内で一番やり取りの多い客先の秘密保持契約を出し、第三者への開示と目的外利用の条文を読む
- 社員が使っているChatGPTのプランと、学習の設定を確かめる
この記事は公開情報をもとにした判断の例で、法律の助言ではありません。契約の解釈は弁護士や相手先に確かめてください。AIの守り全体はAIセキュリティのカテゴリから見られます。
入れてよいかは何で分ける？
判断の例を表にしました。自社のルールの下書きに使えます。
| 情報の種類 |
個人向けプラン |
法人プラン |
| 公開済みのカタログ図、Web掲載の写真 |
可 |
可 |
| 自社の内部図面、工程の写真 |
不可 |
社内の許可で可 |
| 客先から預かった図面、客先の製品写真 |
不可 |
契約の確認と了承の後 |
| 人の顔や名札が写った写真 |
不可 |
写らないように撮り直す |
| 輸出管理の対象になり得る図面 |
不可 |
担当者の判断が先 |
個人向けプランをほとんど不可にしているのは、初期設定の差と、会社で管理できない点によります。設定を確かめた個人アカウントなら安全という話にはせず、会社として統一します。
プランで何が変わる？
OpenAIのデータ管理の説明によると、Free、Plus、Proの個人向けでは、データの共有が初期状態で有効です。設定のData controlsから切れます。ファイルの説明には、「Improve the model for everyone」が有効なら、アップロードしたファイルも含めてモデルの改善に使うことがあると書かれています。
BusinessやEnterpriseなどの法人向けは、同じ説明で、初期状態では学習に使わないとされています。一時チャットは学習に使われませんが、安全上の目的で最大30日コピーが保持されることがあります。
ここで押さえたいのは、学習に使わないことと、送っていないことは別だという点です。データはサービスに送られ、設定に応じて保存されます。社内の許可の基準には、学習の有無に加えて、保存期間と、会社が管理できるかどうかも入れます。
仕様は変わります。ここに書いたのは2026年11月に確かめた内容なので、ルールを決めるときは公式の説明をもう一度見てください。
客先の図面はなぜ別に考える？
自社の情報なら、会社が許可を出せます。客先から預かった図面は、そうはいきません。扱いの条件を決めるのは、取引先との契約です。
秘密保持契約には、第三者への開示の制限や、目的外利用の禁止が書かれていることがあります。外部のAIサービスへのアップロードがこれに当たるかは、条文とサービスの条件で判断が分かれます。自社だけで「法人プランだから大丈夫」と決めないでください。
たとえば、客先支給の図面の公差をAIに読ませて、見積もりの漏れを確かめたい場合を考えます。進める順番は次のとおりです。
- その客先の契約と、支給図面の扱いの取り決めを確かめる
- 使うサービス、プラン、保存の条件を書き、担当窓口に書面で聞く
- 了承が取れなければ、社内の閉じた環境で処理するか、人が読む
図番や社名を消しても、形状や寸法から客先や製品が分かることがあります。黒塗りは了承の代わりになりません。
自社の図面の秘密はどう守る？
自社の図面やノウハウを営業秘密として守るには、不正競争防止法の要件を満たす必要があります。経済産業省の営業秘密管理指針（2025年3月改訂）が扱う要件は、秘密として管理されていること、有用であること、公然と知られていないことの3つです。
そのため、「秘密」と決めた図面を社員が各自の判断で外部のAIへ入れている状態は、管理の面で望ましくありません。経済産業省は、秘密情報の保護ハンドブックを2024年2月に改訂し、生成AIの利活用の広がりを改訂の柱の一つにしました。2025年2月には、その内容を事業者に向けて改めて周知しています。
社内の情報の区分表に「生成AIへの入力」という列を1つ足すと、判断が日常の管理に乗ります。
輸出管理の対象になり得る図面は？
ここは情報漏えいとは別の問題で、外国為替及び外国貿易法（外為法）に関わります。
経済産業省が公開している照会書（2022年）に、クラウドサービスに関する役務通達の解釈が引用されています。自ら使うために保管するだけの契約なら、外国のサーバーに特定技術が保管されても、原則として役務取引に当たらないとされます。
ただし、続きがあります。保管した特定技術をサービス提供者などが閲覧、取得、利用できると知りながら契約する場合は、情報の提供を目的とする取引とみなすとされています。
生成AIサービスへの入力がこのどちらに当たるかを、私たちが一般論で言い切ることはできません。少なくとも、学習や閲覧の条件が問われる論点だと分かります。規制品の設計や製造に関わる図面を持つ会社は、該非判定の担当者か経済産業省の窓口に確かめるまで、外部のAIへ入れないでください。
現場写真では何を確かめる？
図面より気軽に扱われやすいのが写真です。スマホで撮って、そのまま「この不具合の原因は？」と聞けてしまいます。総務省のカメラの注意は、写真に場所の情報が保持される機能があること、高画質なので拡大すればはっきり見えること、位置情報を切っても写っている物から特定され得ることを挙げています。
送る前に、次の写り込みを見ます。
- 人：顔、名札、作業着の社名。個人情報の扱いになる場合があります
- 文字：ホワイトボードの生産計画、掲示の取引先名、伝票、銘板の型番
- 画面：制御盤や管理画面の表示、設備の名前やネットワークの情報
- 物：客先の製品、未発表の試作品、専用の治具の形
- 配置：ライン全景から分かる工程や設備の構成
設備の構成や画面の情報は、工場を守るうえでも外に出したくないものです。工場側の対策全体は工場向けOTセキュリティの比較で確かめられます。
本当に聞きたいのが「このバリの原因」なら、端材や不具合箇所だけを、作業台の上で撮り直せば足ります。全景を切り抜くより、最初から写さないほうが確実です。
外から受け取った写真を読ませる場合の注意もあります。OWASPのLLM01:2025は、画像に指示を隠す手口の可能性に触れています。AIが読むものの扱いはプロンプトインジェクション対策の記事にまとめました。
ルールと仕組みをどう組み合わせる？
ルールは1枚に収めます。上の表と、次の3つの問いで足ります。
- 公開済みの情報か
- 自社の情報か。客先の情報なら了承を取ったか
- 会社が認めたプランか
答えに迷ったら入れずに聞く、聞く先はここ、と窓口も書きます。入れてしまった人を責めると報告が遅れるので、気づいたら連絡するよう最初に伝えます。
ルールだけで止めきれない部分は、仕組みで補います。図面データの持ち出しや外部サービスへの送信を制御する製品は、DLP（情報漏えい対策）の比較で見られます。AIへの入出力を監視する製品はAIセキュリティ製品の比較にまとめています。CADデータや画像にどこまで対応するかは製品で違うので、問い合わせの前に自社の形式を書き出しておきます。
入力の問題は、生成AIのリスクの一部です。誤情報や権利まで含めて整理したいときは導入前に社長が確かめる7点を、AIに操作まで任せるなら権限を持たせる前に決める5つの事を見てください。
