生成AIに会社情報を入力しても大丈夫？中小企業が決めておきたいルールを解説

生成AIは便利だからこそ管理して使いたい

最近では、
生成AIを業務で使う機会が増えています。

たとえば、

・メール文面の作成
・文章の要約
・議事録の整理
・提案資料のたたき台作成
・問い合わせ回答の作成
・社内資料の言い換え
・調査内容の整理

などです。

生成AIは、
うまく使えば業務を効率化できる便利なツールです。

一方で、
会社情報や顧客情報をそのまま入力してよいのか、
迷う場面も増えています。

大切なのは、
生成AIを怖がって使わないことではありません。

便利なツールだからこそ、
会社として使い方を決め、
管理したうえで活用することです。

中小企業でも、
生成AIを安全に使うための最低限のルールを決めておくことが重要です。

最近のAIセキュリティ動向から見えること

最近のAIセキュリティでは、
単に「AIに情報を入力してよいか」だけでなく、
AIがどの情報にアクセスできるか、
どの操作までできるかも重要な論点になっています。

たとえば、
AIにメールや資料を読み込ませたり、
社内データを検索させたり、
外部サービスと連携させたりする利用が増えています。

このような使い方は便利ですが、
AIが扱える情報の範囲が広がるほど、
情報漏えいや誤操作のリスクも大きくなります。

また、AIセキュリティの分野では、
プロンプトインジェクションと呼ばれる攻撃も注目されています。

これは、
AIに読み込ませる文章、Webページ、メール、資料などの中に、
悪意ある指示を紛れ込ませるような攻撃です。

人が見ると普通の文章に見えても、
AIがその中の指示を受け取り、
意図しない動きをする可能性があります。

そのため、生成AIを使うときは、
「何を入力するか」だけでなく、
「AIに何を読ませるか」
「AIにどこまで操作させるか」
を考えることが重要です。

入力する情報に注意する

生成AIを使うときにまず注意したいのは、
入力する情報の内容です。

特に、次のような情報は慎重に扱う必要があります。

・顧客情報
・取引先情報
・契約書
・見積書
・請求情報
・未公開の事業計画
・社内の機密資料
・従業員の個人情報
・パスワードや認証情報

これらの情報を不用意に入力すると、
情報管理上の問題につながる可能性があります。

たとえば、
顧客名や契約内容を含む文章をそのまま入力して要約させる、
社外秘の資料をそのまま貼り付けて文章を作らせる、
といった使い方には注意が必要です。

まずは、
「その情報を外部サービスに入力してよいのか」
を考えることが大切です。

入力してよい情報と避ける情報を分ける

中小企業で生成AIを使う場合、
まずは入力してよい情報と、
避けるべき情報を分けて考えるとよいでしょう。

入力してよい情報の例としては、

・公開済みの情報
・一般的な文章のたたき台
・個人名や会社名を含まない文章
・社外秘情報を含まない説明文
・一般的な案内文や挨拶文

などがあります。

一方で、
避けた方がよい情報としては、

・顧客名を含む情報
・取引先名を含む未公開情報
・契約内容
・個人情報
・社内限定の資料
・パスワードや認証情報
・未公開の経営情報

などがあります。

まずは、
「公開しても問題ない情報か」
「社外に出してはいけない情報が含まれていないか」
を確認することが大切です。

そのまま貼り付けない工夫も必要

生成AIを使う場合、
情報をそのまま貼り付けるのではなく、
必要に応じて加工することも重要です。

たとえば、

・会社名を伏せる
・顧客名を削除する
・金額や契約条件を省く
・個人名を削除する
・具体的な案件名を一般化する

といった方法があります。

たとえば、
「A社向けの提案書を要約して」ではなく、
「製造業向けの提案書として、一般的な表現に整理して」
のように置き換えることができます。

また、問い合わせ内容を整理する場合でも、
顧客名、メールアドレス、電話番号などは削除してから使う方が安全です。

生成AIを使うときは、
入力前に不要な情報を削る習慣をつけることが大切です。

入力だけでなく連携にも注意する

生成AIの利用では、
入力する文章だけでなく、
他のサービスとの連携にも注意が必要です。

たとえば、

・メールを読み込ませる
・クラウドストレージと連携する
・社内ドキュメントを検索させる
・カレンダーやチャットを参照させる
・外部サービスに操作を実行させる

といった使い方です。

このような連携を行うと、
生成AIが扱える情報の範囲が広がります。

便利になる一方で、
本来見せる必要のない情報までAIが参照できる状態になる可能性があります。

また、AIが作業を自動で進める仕組みでは、
どこまで実行を許可するかも重要です。

メールの下書きを作るだけなら、
リスクは比較的小さいかもしれません。

しかし、
AIが外部にメールを送信したり、
ファイルを削除したり、
設定を変更したりできる場合は注意が必要です。

生成AIを業務で使う場合は、
どの情報にアクセスできるか、
どの操作まで許可するかを決めておくことが重要です。

出力内容をそのまま使わない

生成AIを使うと、
自然な文章やもっともらしい回答が出てくることがあります。

しかし、出力された内容をそのまま使うのは避けた方がよい場合があります。

理由は、
内容が正確とは限らないためです。

たとえば、

・事実と違う内容が含まれる
・自社の方針と合わない表現になる
・取引先に誤解される表現が入る
・法務や契約上の確認が必要な内容が含まれる
・専門的に見ると不正確な説明になる

といったことがあります。

生成AIは、
文章作成や整理の補助として使うことはできます。

しかし、最終的な判断や確認は、
人が行う必要があります。

特に、取引先に送る文章、契約に関わる内容、
セキュリティや個人情報に関する説明では、
必ず人が確認することが重要です。

個人利用と業務利用を分けて考える

生成AIを使うときは、
個人利用と業務利用を分けて考えることも大切です。

個人で試す範囲であれば問題になりにくい内容でも、
会社の業務情報を扱う場合は注意が必要です。

たとえば、
個人のアカウントで業務資料を扱った場合、
会社として管理できない状態になることがあります。

また、退職や担当変更があったときに、
どの情報をどこで使ったのか分からなくなる可能性もあります。

業務で使う場合は、
会社として利用を認めるサービスや、
利用時の注意点を決めておくことが望ましいです。

少なくとも、
会社情報や顧客情報を個人判断で入力しないようにすることが重要です。

取引先情報を扱う場合は特に注意する

生成AIを使うときに、
特に注意したいのが取引先情報です。

取引先とのメール、提案資料、契約内容、打ち合わせメモなどには、
相手先の情報が含まれることがあります。

これらをそのまま生成AIに入力すると、
自社だけでなく、取引先との信頼にも影響する可能性があります。

たとえば、

・取引先名
・担当者名
・案件内容
・契約条件
・価格情報
・未公開の製品情報

などは慎重に扱う必要があります。

取引先情報を使って文章を作成したい場合は、
具体名や固有の情報を伏せ、
一般的な内容に置き換えて利用することが大切です。

生成AIは「禁止」よりも「管理して使う」が現実的

生成AIには、
情報漏えいや誤った出力などのリスクがあります。

しかし、リスクがあるからといって、
一律に禁止すればよいとは限りません。

現場ではすでに、
メール文面の作成、資料の要約、文章の整理、アイデア出しなど、
生成AIを使うことで効率化できる業務が増えています。

禁止するだけでは、
社員が個人判断で使ってしまったり、
会社が利用状況を把握できなくなったりする可能性があります。

大切なのは、
生成AIを使わないことではありません。

便利なツールだからこそ、
会社として使い方を決め、
安全に活用できる状態を作ることです。

たとえば、

・入力してよい情報と避ける情報を決める
・顧客情報や個人情報は入力しない
・社外秘資料はそのまま貼り付けない
・AIが参照できるデータやサービスを制限する
・出力内容は必ず人が確認する
・業務利用するサービスを会社として決める

といったルールを整えておくことが重要です。

生成AIは、
正しく管理すれば業務の助けになります。

だからこそ、
中小企業でも早めに基本的なルールを決め、
安心して使える環境を整えることが大切です。

社内で決めておきたいルール

生成AIを業務で使う場合は、
社内で簡単なルールを決めておくと安心です。

たとえば、

・入力してよい情報と避ける情報を決める
・顧客情報や個人情報は入力しない
・社外秘資料はそのまま貼り付けない
・取引先情報を入力するときは匿名化する
・出力内容は必ず人が確認する
・AIに接続できるサービスやデータを制限する
・AIに重要な操作を任せる場合は人の承認を入れる
・利用するサービスを会社として決める
・業務利用する場合の相談先を決める

といった内容です。

最初から細かい規程を作る必要はありません。

まずは、
日常業務で迷いやすい場面に絞って、
最低限のルールを決めることが現実的です。

ルールがないまま使い始めると、
人によって判断がばらつきやすくなります。

会社としてルールを決めておくことで、
現場も安心して生成AIを使いやすくなります。

まず押さえたいポイント

生成AIを業務で使うときは、
次の5つを意識すると整理しやすくなります。

①顧客情報や個人情報を入力しない
②社外秘資料をそのまま貼り付けない
③入力前に会社名や個人名を伏せる
④AIに接続できる情報や権限を制限する
⑤出力内容は必ず人が確認する

この5つを押さえるだけでも、
生成AI利用時のリスクを下げやすくなります。

生成AIは、
使わない方がよいものではありません。

大切なのは、
安全に使うためのルールを決め、
業務に合った形で活用することです。

まとめ

生成AIは、
文章作成や要約、資料作成の補助など、
中小企業にとっても便利なツールです。

業務を効率化し、
日々の作業を助けてくれる場面も多くあります。

一方で、
会社情報、顧客情報、取引先情報、契約内容、個人情報などを不用意に入力すると、
情報管理上の問題につながる可能性があります。

また、AIがメール、クラウドストレージ、社内資料などに連携する場合は、
どの情報にアクセスできるのか、
どの操作まで許可するのかも確認する必要があります。

大切なのは、
生成AIを怖がって使わないことではありません。

便利なツールだからこそ、
会社としてルールを決め、
管理したうえで活用することです。

まずは、
顧客情報を入力しない、社外秘資料をそのまま貼らない、
AIに接続する情報や権限を制限する、出力内容を人が確認するなど、
基本的なルールから始めることが現実的です。

生成AIを安全に使える状態を整えることは、
今後の業務効率化と情報管理の両方にとって重要です。

無料相談のご案内

生成AIを業務で使う際のルール作りや、
会社情報・取引先情報の扱いに不安がある場合は、
無料相談で現状を整理しながら進め方をご案内しています。

Shelltasでは、
専門的な内容も分かりやすく整理し、
中小企業でも無理なく運用できるルールづくりを支援しています。

まずは現状整理からでも構いませんので、
お気軽にご相談ください。