ChatGPTを業務で安全に使うルール作り｜中小企業の情報漏洩対策【2026年最新】

🔐 編集部レビュー｜中小企業のAI安全活用

「ChatGPTを仕事で使いたい。でも、お客さんの情報を打ち込んで大丈夫なのか不安」——この相談、ここ1年で本当に増えました。

便利なのは分かっている。実際、議事録の要約やメール下書きで残業が減ったという声も多い。一方で、入力した情報がどこへ行くのか、漏れたら誰が責任を取るのか、そこが曖昧なまま「とりあえず禁止」にしている会社も少なくありません。

禁止はラクですが、現場は隠れて使います。だったら「安全に使うルール」を先に決めたほうが、結局リスクは下がる——というのが、いろいろな現場を見てきた私たちの正直な実感です。

この記事では、専門の情報システム部門がない中小企業や個人事業主でも今日から回せる、ChatGPTの業務利用ルールと情報漏洩対策を、具体的な手順に落として整理してみました。

なぜ今、ChatGPTの業務ルールが必要なのか

結論から言うと、社員が勝手に使い始めているからです。総務省や各種の調査でも、生成AIを「会社の許可なく業務に使ったことがある」という回答は珍しくありません(出典: 各種民間調査)。

つまり、ルールがない会社の実態は「禁止」ではなく「無管理」。ここが一番こわい状態です。誰が、何を、どのサービスに打ち込んでいるか、会社が把握できていない。

実際に起きた「ヒヤリ」のパターン

大きな事故として報道されるのは氷山の一角で、現場で多いのはもっと地味なヒヤリです。たとえば、こんなもの。

• 顧客リスト(氏名・メール)をそのまま貼り付けて「整形して」と依頼した。
• 取引先からの未公開の見積書PDFを要約させた。
• 社内の人事評価コメントを、表現をやわらげる目的で入力した。
• 自社の未発表サービスの仕様を相談相手にした。

どれも悪意はありません。むしろ仕事を早く終わらせたい真面目な人ほどやりがちです。だからこそ、個人の注意力に頼らず、仕組みで線引きする必要があります。

情報漏洩はどこで起きる？3つの入口を押さえる

ChatGPTにまつわる漏洩リスクを、私たちは大きく3つの入口で整理しています。ここを理解しておくと、対策の優先順位が決めやすくなります。

入口1：入力した内容がAIの学習に使われる

一番誤解が多いのがここです。「打ち込んだ情報がそのまま他人の回答に出てくるのでは」という不安。実際の挙動は、契約プランや設定によって変わります。

OpenAIの説明では、無料版・個人のChatGPT Plusでも、設定からモデルの改善(学習)へのデータ利用をオフにできます。さらに法人向けのTeam・Enterpriseプランは、既定で入力データを学習に使わない扱いです(出典: OpenAI公式)。

とはいえ「学習に使われない＝どこにも保存されない」ではありません。不正利用監視などの目的で一定期間ログが保持されることはあります。「外部のサーバーに預ける」という前提は変わらない、と捉えておくのが安全です。

入口2：アカウント・パスワードの使い回し

地味ですが、現場で一番こわいのは実はこちら。1つのアカウントを部署で共有していたり、パスワードが簡単だったりすると、過去の会話履歴ごと第三者に見られる恐れがあります。

ChatGPTは会話履歴がアカウントに残ります。退職者のアカウントを放置すれば、そこに過去の業務情報が丸ごと残り続けるわけです。

入口3：偽アプリ・偽サイト・拡張機能

「ChatGPT 公式」を装った偽アプリや、ブラウザ拡張機能を経由した情報抜き取りも報告されています。入力した文章を勝手に外部へ送る作りになっているものもあります。

業務で使うなら、公式サイト(chat.openai.com / chatgpt.com)か公式アプリ以外は使わない、という単純なルールが効きます。

プランの違いを知る：無料版・Plus・Team・Enterprise

「どれを契約すればいいか」は、扱う情報の機密度で決まります。データの扱いがプランで違うので、ここは料金だけで選ばないほうがいい部分です。

※料金・仕様は2026年6月時点の目安。最新は各社公式でご確認ください(出典: OpenAI公式)。

正直に言うと、無料版や個人Plusでも「学習オフ」にすれば、ある程度の業務利用は可能です。ただ、複数人で使う・顧客情報を扱う前提なら、管理者がメンバーを一元管理できるTeam以上を私たちは勧めています。誰がアカウントを持っているか会社が把握できる、という一点だけでも価値があります。

1枚で回る「ChatGPT利用ルール」のひな形

長い規程は読まれません。私たちが現場で勧めているのは、A4一枚に収まる5項目だけのルールです。これをそのまま社内チャットに貼るところから始めてOKです。

ルール1：入力してよい情報・ダメな情報の線引き

一番大事なのがこれ。判断に迷わせない具体例をセットで示します。

迷ったら入れない。これを合言葉にするだけで、事故の大半は防げます。

ルール2：使ってよいサービスを指定する

「ChatGPTの公式版のみ」「会社が契約したTeamアカウントのみ」といった形で、使ってよい入口を限定します。野良の拡張機能や類似アプリは原則禁止。

ルール3：アカウントは個別・2段階認証を必須に

共有アカウントをやめ、ひとり1IDに。2段階認証(SMSや認証アプリ)をオンにするだけで、不正ログインのリスクはかなり下がります。退職者のアカウントは即停止、をルールに明記します。

ルール4：出力をうのみにしない(ファクトチェック)

これは漏洩対策ではありませんが、信頼性の観点で外せません。AIはもっともらしい誤り(ハルシネーション)を返します。社外に出す文章・数値は必ず人が確認する、を明記しておきます。

ルール5：困ったときの相談先を決めておく

「これ入れていいのかな」と迷ったとき、聞ける相手を1人決めておく。完璧なルールより、迷ったら止まれる文化のほうが効きます。

無料・個人プランで今すぐやる設定3つ

有料に上げる前に、無料版・Plusでもできる安全設定があります。5分で終わります。

1. 学習への利用をオフ：設定 → データコントロール →「すべての人のためにモデルを改善する」をオフ。
2. 2段階認証をオン：設定 → セキュリティ →多要素認証を有効化。
3. 履歴の扱いを理解する：機密性が高い相談は、一時チャット(履歴に残さないモード)を使う。

※メニュー名称は変更される場合があります(出典: OpenAI公式)。

議事録・会計・契約まわりは専用ツールで安全に

「ChatGPTに何でも打ち込む」のではなく、業務ごとに安全な専用ツールへ振り分けるほうが、結果として漏洩リスクは下がります。データの置き場所が業務向けに設計されているからです。

会議の文字起こし・議事録

会議音声をChatGPTに直接渡すより、文字起こし専用ツールのほうが精度も管理性も上です。日本語特化のNottaは、話者の区別や要約まで一気通貫で、社内会議の議事録づくりが現実的に回ります。海外ツールではtl;dvがオンライン会議の録画・要約に強い印象です。

確定申告・会計

数字や口座情報はChatGPTに入れるべきではない代表格。会計はfreee会計やマネーフォワード クラウド、個人ならやよいの青色申告 オンラインのように、データを暗号化して扱うクラウド会計に任せるのが安全です。

電子契約・押印まわり

契約書の中身をChatGPTで要約させるのは情報漏洩の典型例。電子契約は専用サービスのほうが安全で、freeeを使っているならfreeeサインのように、契約から会計まで同じ基盤でつながる組み合わせが管理しやすいです。

導入から定着までの90日プラン

ルールは作って終わりだと形骸化します。3か月で「使われるルール」にする流れを置いておきます。

• 1〜30日：1枚ルールを作り、希望者だけで試用。入力NG例を集める。
• 31〜60日：Team等の契約を検討し、アカウントを個別化。月1で「ヒヤリ共有会」を開く。
• 61〜90日：うまくいった使い方を社内で横展開。ルールを実態に合わせて1回見直す。

最初から完璧を目指さないこと。小さく始めて、現場の「これ困った」を拾いながら直していくほうが、結局は早く定着します。

よくある質問(FAQ)