ChatGPTに社外秘を入力してしまったら｜初動対応と線引き | AIコンサルティング・ホームページ制作

ChatGPTに社外秘を入力してしまったときは、まず追加の入力を止めて、入力した内容を記録し、会社の責任者に報告してください。一人で抱え込んだり、履歴を急いで消したりせず、状況を整理してから対応を決めるのが基本です。

この記事では、社外秘を入力してしまったときの初動対応を5つのステップで説明します。あわせて、ChatGPTに入力した内容がどう扱われるのか、入れてよい情報と入れてはいけない情報の線引き、再発を防ぐ方法も整理しました。

この記事は、一般的に知られている考え方と、公的機関・サービス提供元が公表している情報をもとに、当社が整理したものです。実際に情報が漏れたかどうかの判断や、法律上の対応は、状況によって変わります。重大なケースでは、弁護士などの専門家に相談してください。

ChatGPTに社外秘を入力してしまった…まず知っておきたいこと

「会議の議事録を要約させたくて、顧客名が入ったまま貼り付けてしまった」「見積書の下書きを頼んだら、取引先の単価を入れていた」。AIを仕事に使い始めた会社では、こうしたことが実際に起こります。気づいた瞬間は、血の気が引くものです。

ただ、慌てて対応を間違えると、状況をかえって悪くしてしまいます。大切なのは、「何を」「いつ」「どのサービスに」入力したのかを正確に把握することです。ここがはっきりすれば、次に何をすべきかが見えてきます。

そのために、まず「社外秘とは何か」と「ChatGPTに入力した内容がどう扱われるのか」の2点を確認しておきましょう。

「社外秘」とは？法律上の営業秘密との違い

「社外秘」は、多くの会社が使っている社内の呼び方で、法律で決まった言葉ではありません。会社ごとに、「社外秘」「機密」「取扱注意」など、情報の区分と名前が違います。

一方、法律（不正競争防止法）には「営業秘密」という考え方があります。経済産業省の「営業秘密管理指針」では、営業秘密として保護されるには、次の3つの要件を満たす必要があると説明されています。

秘密管理性：会社が秘密として管理していること
有用性：事業活動に役立つ情報であること
非公知性：一般には知られていないこと

（出典：経済産業省「営業秘密管理指針」（最終改訂：令和7年3月31日））

つまり、「社外秘」と書いてある情報が、そのまま法律上の営業秘密になるわけではありません。ただ、会社として「秘密にしておきたい情報」であることに変わりはなく、外部のサービスに入力する前に、社内で扱いを決めておくことが大切です。

また、取引先から預かった情報は、取引先との秘密保持契約（NDA）の対象になっていることがあります。この場合、自社の社外秘より、さらに慎重な扱いが求められます。

ChatGPTに入力した内容は、どうなる？

入力してしまった内容がどうなるかは、使っているプランと設定によって違います。OpenAIの公式ヘルプで案内されている内容を、整理します。

個人向けのプラン（無料・Plusなど）の場合

「Settings」の「Data controls」にある「Improve the model for everyone」という設定をオフにすると、新しい会話がOpenAIのモデルの学習に使われなくなります。オフにしても、会話の履歴は残ります。

また、「Temporary chat（一時チャット）」は、履歴に残らず、モデルの学習にも使われません。ただし、安全のために最大30日間保持されることがあると案内されています。

法人向けのプラン（Business・Enterpriseなど）の場合

公式ヘルプでは、ChatGPT Business、Enterprise、Edu、ChatGPT for Healthcareの管理されたワークスペースの内容は、初期設定ではモデルの学習に使われないとされています。会社として使うなら、法人向けのプランを選ぶのが、一つの安全策です。

見落としやすい点

設定をオフにする前の会話が、すでに学習に使われているかどうかは、この設定だけでは判断できません。
「いいね」「よくない」などのフィードバックを送ると、その会話全体が学習に使われることがあると、公式ヘルプに書かれています。
学習に使われないことと、情報が社外のサービスに送られたことは別の話です。

（出典：OpenAI「Data controls in ChatGPT」）

設定や仕様は、変更されることがあります。実際に使っているプランの最新の案内を、公式ヘルプで確認してください。

社外秘を入力してしまったときの初動対応【5ステップ】

ここからは、実際に入力してしまったときの対応です。会社の規模や情報の内容によって、細かな手順は変わりますが、基本の流れは次の5つです。

図1　社外秘を入力してしまったときの初動5ステップ

ステップ1　追加の入力を止める

気づいたら、その会話への入力をすぐに止めます。「さっきの内容は忘れてください」と続けて入力するのは、避けてください。さらに情報を重ねてしまうことがあるためです。

ステップ2　何を入力したのか、記録する

次に、状況を記録します。画面のスクリーンショットを撮り、次の点をメモしておきます。

入力した日時と、入力した人
使ったサービスと、プラン（無料・有料・法人向けなど）
入力した内容（どの情報が、どこまで含まれていたか）
学習の設定（「Improve the model for everyone」がオンかオフか）

この記録が、あとで影響を判断するときの材料になります。記録をとる前に、履歴を削除しないことが大切です。

ステップ3　責任者に、すぐ報告する

入力した本人が、責任者（上司・情報管理の担当者・経営者）に早めに報告します。叱られるのを恐れて黙っていると、対応が遅れ、かえって問題が大きくなります。

経営者の立場の方は、報告してきた社員を責めすぎないことも大切です。「早く言ってくれてよかった」という空気がないと、次からは隠されてしまいます。

ステップ4　設定を確認し、これからの入力に備える

ChatGPTの設定を確認します。個人向けのプランであれば、「Improve the model for everyone」をオフにすることで、これからの新しい会話が学習に使われなくなります。

ただし、これはすでに入力した内容を取り消すものではありません。「設定をオフにしたから大丈夫」と判断せず、次のステップで影響を整理してください。

ステップ5　影響を判断し、必要な対応を決める

最後に、記録をもとに、影響の大きさを判断します。見る点は、次のとおりです。

入力した情報は、社外秘のどのレベルか（社内のルールで区分があれば、それに従う）
取引先から預かった情報や、秘密保持契約の対象の情報が含まれていないか
個人情報（顧客・従業員など）が含まれていないか
パスワードやAPIキーなど、第三者に使われると危険な情報が含まれていないか

取引先の情報や個人情報が含まれている場合は、取引先への連絡や、法律上の対応が必要になることがあります。判断に迷う場合は、弁護士などの専門家に相談してください。

履歴の削除について　ステップ2の記録を取る前に履歴を削除すると、何を入力したのか分からなくなります。削除するかどうか、いつ削除するかは、記録を取ったうえで、責任者の判断に従ってください。履歴を削除しても、情報の扱いが取り消されるとは限りません。

入れてよい情報・だめな情報の線引き

入力してしまった場合の対応も大切ですが、それ以上に大切なのは、最初から入れない仕組みをつくることです。ChatGPTなどの生成AIに入力する情報は、次の3つに分けて考えると、判断しやすくなります。

図2　AIに入力する情報の3つの区分

区分1　そのまま入れてよい情報

すでに公開されている情報（自社のホームページの内容、公開済みの資料など）
一般的な知識や、文章の例を考えてもらうための、特定の誰かの情報ではない材料

区分2　置き換えれば入れてよい情報

取引先名・担当者名（「A社」「担当者A」などに置き換える）
具体的な金額・数量（「100万円」を「〇〇円」にするなど、ダミーにする）
社内の議事録・メール文面（固有名詞や数字を取り除いたうえで使う）

区分3　入れない情報

個人情報（氏名・住所・電話番号・メールアドレスなど、個人が特定できる情報）
取引先から預かった秘密情報、秘密保持契約の対象になっている情報
未公開の財務情報・人事情報・新製品の情報
パスワード、APIキー、認証情報
顧客リストなど、まとまった名簿やデータ

線引きは、会社によって違って構いません。大切なのは、「迷ったら入れない」を共通のルールにしておくことです。ルールの作り方は、雛形つきの生成AIの社内ルールの作り方で紹介しています。

関連記事生成AIの社内ルールの作り方｜中小企業向け・コピーして使える雛形つき

個人情報が含まれるときの注意点

入力した内容に個人情報が含まれる場合は、さらに注意が必要です。個人情報保護委員会は、令和5年6月2日に、生成AIサービスの利用に関する注意喚起を公表しています。個人情報取扱事業者（個人情報を事業に使っている会社）向けの注意点として、主に次の2つが示されています。

個人情報を含むプロンプトを入力する場合は、特定された利用目的を達成するために必要な範囲内であることを十分に確認する
あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、応答結果の出力以外の目的で取り扱われる場合は、個人情報保護法に違反する可能性がある。そのため、サービス提供事業者が個人データを機械学習に利用しないことなどを十分に確認する

また、一般の利用者向けの留意点として、サービスを提供する事業者の利用規約やプライバシーポリシーを十分に確認し、入力する情報の内容を踏まえて利用を判断することも示されています。

（出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」）

お客さまの情報を扱う仕事では、AIに入力する前に、個人が特定できないように加工することを基本にしましょう。