ChatGPTにExcelの機密情報を入れて大丈夫?リスクと対策の階段
Excelの顧客データや売上情報をChatGPTなどのAIに渡してよいのか、判断に迷う会社は多いはずです。リスクの中心は、学習への利用・保存場所・利用実態の把握という3つに分解できます。扱うデータの重要度に応じた段階的な対策と、全面禁止がかえって危険な理由を整理します。
結論から
- リスクの中心は3つです。入力内容がAIの「学習」に使われる可能性、データが社外のサーバーに保存されること、そして誰が何を入力したか会社が把握できないことです
- 対策には段階があります。「機密を入力しない運用」→「学習オフ設定」→「法人向け契約」→「社内環境での処理」と、扱うデータの重要度に応じて上げていきます
- 全面禁止は解決策になりにくいです。禁止すると社員が個人アカウントで隠れて使う「野良AI利用」が起こり、かえって統制が効かなくなります
何が問題なのか:3つのリスクを分解する
「AIに会社のデータを入れるのは危ない気がする」という感覚を、具体的なリスクに分解します。
- 学習への利用。一部のAIサービスでは、利用者が入力した内容がAIの改善(学習)に使われることがあります。学習に使われた情報がそのままの形で他人への回答に出てくる可能性は高くないとされていますが、「社外に出した情報がコントロールできなくなる」こと自体が問題です。なお、学習に使うかどうかはサービスや契約プラン、設定によって異なります
- 保存場所とアクセス権。入力した内容は、AI事業者のサーバーに一定期間保存されるのが一般的です。保存期間・保存場所・事業者側の閲覧条件は規約で定められており、これを把握しないまま顧客情報を送ることは、取引先との秘密保持契約や個人情報保護の観点で問題になり得ます
- 会社として把握できないこと。個人アカウントでの利用は、誰が・いつ・何を入力したかを会社が把握できません。事故が起きても気づけず、原因の調査もできない。実務上はこれが最も厄介なリスクです
対策の階段:データの重要度に応じて上げる
すべてのデータに最高レベルの対策は不要です。扱う情報に応じて段階的に考えます。
段階1は今日から始められます。重要なのは「機密とは何か」を具体的に列挙することです。「顧客名・取引金額・個人情報・未公開の経営数値は入力しない」のように書けば、判断に迷いません。数式の相談やコードの生成なら、実データを渡さずに済む場面は多くあります。
段階2では、多くのAIサービスにある「入力内容を学習に使わせない設定」を有効にします(設定の有無や内容はサービスごとに異なるため、公式情報で確認してください)。あわせて、会社名をA社と置き換えるなどの匿名化を組み合わせます。
段階3の法人向けプランは、入力データを学習に使わないことが契約上明記されていることが一般的で、管理者がメンバーの利用を一元管理できます。業務でAIを本格的に使うなら、実質的にここが出発点です。
段階4は、外部にデータを送らない構成(社内サーバーでのAI実行など)です。手間と費用がかかるため、すべての会社に必要なわけではありません。医療・金融など特に厳格な要件がある場合の選択肢です。
| 段階 | 対策 | 扱えるデータの目安 | 費用・手間 |
|---|---|---|---|
| 1 | 機密を入力しない運用ルール | 一般知識の質問、数式・コードの相談 | ルール作成のみ |
| 2 | 学習オフ設定+匿名化 | 固有名詞を伏せた社内データ | 設定と教育 |
| 3 | 法人向け契約(学習不使用が明記されたプラン) | 業務データ全般(契約条件の範囲で) | 月額費用が発生 |
| 4 | 社内環境での処理(外部にデータを出さない構成) | 特に機密性の高いデータ | 構築・運用の投資 |
「全面禁止」がかえって危険な理由
リスクを聞くと「では社内でのAI利用は禁止」としたくなりますが、これはおすすめできません。理由は単純で、便利な道具は禁止しても使われるからです。
会社が禁止すると、社員は個人のスマートフォンや自宅PCから、個人アカウントでAIを使うようになります。これがいわゆる「野良AI利用(シャドーAI)」です。個人アカウントは会社の管理外なので、学習オフ設定の徹底も、入力内容の把握もできません。つまり全面禁止は、リスクを消すのではなく見えない場所に移すだけです。
現実的なのは「安全な使い方を会社が用意して、そちらに誘導する」方針です。
ルールが「使わせないため」ではなく「安全に使うため」に設計されていると、社員は隠れて使う理由がなくなります。
- 会社として法人契約したアカウントを配布する
- 「入れてよいデータ・ダメなデータ」を具体例つきで一覧化する
- 迷ったら相談できる窓口(担当者)を決める
- 禁止事項だけでなく、推奨する使い方(数式の相談、文書の下書きなど)も示す
Excel業務で今日からできる工夫
大きな契約や設定変更の前に、Excel作業の現場でできる工夫もあります。
- 実データではなく「形」を渡す。数式や処理方法の相談なら、実際の顧客名や金額は不要です。列名とダミーの数行だけ渡せば十分に的確な回答が得られます
- 固有名詞を置き換えてから渡す。検索と置換で会社名をA社・B社に変えるだけでも、漏えい時の影響は大きく下がります
- ファイルごと渡す前に中身を確認する。Excelファイルには非表示のシートや削除し忘れた個人情報が残っていることがあります。渡す前に不要なシート・列を消す習慣をつけてください
よくあるご質問
- 無料版のChatGPTに顧客リストを貼り付けてしまいました。どうすればよいですか?
- まず、該当データの内容(個人情報や契約上の秘密を含むか)を確認してください。サービスによっては履歴の削除やデータ削除の申請ができる場合があります。そのうえで、社内の情報管理担当や、必要に応じて取引先・専門家への相談を検討してください。再発防止としては、本文で述べた「入れてよいデータの明文化」と学習オフ設定・法人契約への移行が有効です。
- 法人向けプランなら何を入れても安全ですか?
- 「何でも安全」ではありません。法人プランは学習不使用や管理機能の面で個人利用より安全性が高い一方、データが社外のサーバーを経由すること自体は変わりません。取引先との秘密保持契約で第三者提供が制限されている情報などは、契約条件との整合を確認する必要があります。重要度に応じた使い分けが前提です。
- 社員がすでに個人アカウントで業務利用している気配があります。まず何をすべきですか?
- 責めるより先に、受け皿を用意することをおすすめします。会社管理のアカウントと「入れてよいデータの基準」を示したうえで、個人アカウントでの業務利用を移行してもらう流れです。禁止から入ると利用が地下に潜り、実態がさらに見えなくなります。