「ChatGPTに社内資料を貼り付けても大丈夫か」。生成AIが業務に入り込むにつれ、情報システム部門や管理部門にはこの問いが集中するようになりました。全面禁止という判断もありますが、禁止された現場は個人のアカウントで使い続けるだけです。だとすれば、どこまで入力してよいのかという線引きを先に決めるほうが現実的でしょう。
ChatGPTの情報漏洩は、外部からの攻撃だけで起きるわけではありません。多くは正規のアカウントから、正規の手順で、利用者本人の手によって情報が渡されるところから始まります。逆に言えば、情報がどこを通って外に出るのかが分かれば、どの設定で何が止まり、何は止まらないのかを判断できるようになります。
本記事では、社内での生成AI活用の立ち上げに関わってきた立場から、ChatGPTで情報が外へ出る経路を3つに分解し、経路ごとの止め方を設定の手順まで落として整理します。個別の漏洩事件を並べるのではなく、仕組みと再現条件のほうに重心を置きました。
- ChatGPTで情報が外に出る3つの経路と、それぞれの止め方
- 「学習させない設定」が守る範囲と、守らない範囲
- 個人アカウントで今日のうちに変えられる設定の手順
- プランごとの学習・保存の扱いの違いと選び方
- 設定では塞げない穴を社内ルールでどう塞ぐか
ChatGPTの情報漏洩は「盗まれる」より「渡している」
情報漏洩という言葉からは、何者かがサーバーに侵入してデータを抜き取る場面を思い浮かべがちです。ChatGPTをめぐる漏洩では、その絵はあまり当てはまりません。実際に起きているのは、利用者が自分の意思で入力欄に情報を貼り付け、その情報が提供者側の管理下へ移り、条件によっては学習や人手による確認の対象になる、という流れです。
ChatGPTの漏洩対策は、侵入を防ぐ発想では設計できません。ファイアウォールや不正アクセス検知は、外から来るものを止める仕組みだからです。生成AIの利用では、社員が正規の認証を通り、正規の画面から、自分の判断で情報を送り出します。止めるべき対象が「侵入」ではなく「送信」に変わるため、既存のセキュリティ製品の延長線上では手当てしきれない領域が残ります。
入力した情報がたどる4つの段階
入力欄に貼り付けた文章は、一度にまとめて漏洩するわけではありません。段階に分けて見ると、どこに介入できるかがはっきりします。
まず、入力内容はネットワークを通じて提供者のサーバーへ送信されます。届いた内容は会話としてアカウントに保存され、削除するまで履歴に残ったままです。3段階目が学習で、契約しているプランと設定によっては、モデルの改善に使われる対象へ回ります。そして最後が確認の段階で、安全性の検証や不正利用の調査という目的から、限られた範囲の人手による確認が及ぶ場合もあるとされています。
送信、保存、学習、確認。この4段階のうち、利用者側の設定で直接コントロールできるのは主に保存と学習の2つで、送信そのものを止められるのは入力する人間だけです。設定の話から入ると対策が細かくなりがちですが、いちばん効くのは「そもそも入れない」という判断だという事実は、最初に押さえておく価値があります。
関連記事：AIの倫理的問題とは？主な論点と企業がとるべき対策を事例で解説
情報が外に出る3つの経路
漏洩の入り口は、大きく3つに分けられます。入力内容そのもの、アカウント、そして外部との連携です。対策の議論が噛み合わない現場では、たいてい1つ目だけが話題になり、残りの2つが手つかずのまま残されています。
経路1｜入力内容が保存され、学習や確認の対象になる
最も知られている経路です。個人向けプランの既定の設定では、入力した内容がモデルの改善に使われる可能性があります。設計書の一部、顧客の氏名や連絡先、契約書の文面、まだ公開していない財務数値。要約や翻訳のためにこうした情報を貼り付ければ、それはそのまま社外のサーバーに置かれた自社データになります。
注意したいのは、学習に使われなくても保存はされるという点です。多くの解説は「学習をオフにすれば安全」で話を終えますが、オフにしても会話はアカウントに残り、削除するまで参照できる状態が続きます。アカウントが奪われれば、過去の入力はまとめて読まれることになります。
経路2｜アカウントと認証情報が奪われる
ChatGPTのアカウントには、業務で扱った情報が会話履歴という形で積み上がっていきます。つまりアカウント1つが、社内文書の抜粋を集めた小さなアーカイブになっているわけです。
パスワードの使い回し、フィッシング、認証情報を狙うマルウェア。手口としては目新しくありませんが、奪われたときの被害の中身が以前とは変わりました。従来はそのサービスの中にある情報が漏れました。生成AIのアカウントでは、社内のあちこちから持ち出された断片がまとめて漏れます。
多要素認証の未設定、部署単位での共有アカウント運用、退職者アカウントの放置。この3つは、生成AIの利用が急に広がった組織でとくに起きやすい穴です。
経路3｜連携機能と共有機能から外へ出る
見落とされやすいのが3つ目です。ChatGPTは単体で完結せず、外部サービスとの接続や、会話を他人に見せる機能を備えています。
社内のファイルストレージやメールと接続するコネクタを有効にすれば、AIが参照できる範囲は会話の外へ広がります。会話の共有リンクを発行すれば、URLを知る人は誰でも中身を読めます。2025年の夏には、共有された会話が検索エンジンにインデックスされる状態になっていたことが報じられ、提供者側が該当する機能を取り下げました。共有は、押した本人が思っているより広い相手に届く操作だと考えたほうが安全でしょう。
さらに、ChatGPTの名前を冠した非公式アプリやブラウザ拡張機能も経路になります。入力内容を第三者のサーバーへ中継する実装であれば、公式側の設定をどれだけ厳しくしても効き目はありません。
経路 | 外に出るもの | 主な止め方 |
|---|---|---|
入力内容 | 貼り付けた文書、数値、個人情報 | 学習オフ、一時チャット、法人プラン、入力ルール |
アカウント | 過去の会話履歴のすべて | 多要素認証、共有アカウントの廃止、退職者の即時停止 |
連携と共有 | 接続先のファイル、共有リンクの中身 | コネクタの棚卸し、共有リンクの失効、拡張機能の制限 |
3つを並べると、対策の性質がそれぞれ違うことが分かります。経路1は設定と教育、経路2はアカウント管理、経路3は棚卸しの習慣。担当部署も打ち手も異なるため、ひとまとめに「AI対策」として扱うと、どこかが必ず抜け落ちます。
関連記事：ChatGPT情報漏洩の事例5件｜原因を4つに分けて企業が取るべき対策を解説
設定を変えても漏洩が止まらない理由
「学習させない設定にしてあります」。生成AIの社内ルールについて尋ねたときに返ってくる答えとして、これはかなり多いほうです。有効な一手ではあるものの、その設定が守っている範囲は、思われているより狭いのが実情です。
「学習させない」は「保存させない」ではない
個人向けプランでは、設定画面のデータコントロールから、入力内容をモデルの改善に使わせない選択ができます。止まるのは学習への利用だけで、会話そのものはアカウントに残り、削除するまでサーバー上に存在し続けます。ここを混同したまま「対策済み」と判断している組織は少なくありません。
履歴を残したくない場合は、一時チャットを使う方法があります。一時チャットの会話は履歴に表示されず、モデルの改善にも使われません。ただし安全性の確認を目的として、最大30日程度コピーが保持される場合があるとされています。「消えた」ではなく「見えなくなった」と理解しておくほうが正確です。
※ 出典：OpenAIヘルプセンター「データコントロールに関するFAQ」および「一時チャットに関するFAQ」
削除したはずの会話が残る場合がある
実務でとくに認識しておきたいのが、事業者側の事情で削除が止まることがある点です。2025年5月、米国で進行中の著作権訴訟において、OpenAIは利用者が削除したものを含む出力ログを保全するよう裁判所から命じられました。命令は同年9月末に解除されましたが、その期間に生成された会話は、通常の削除サイクルの外に置かれていたことになります。
※ ニューヨーク・タイムズ社らがOpenAIを相手取った米国の著作権訴訟における2025年5月13日付の保全命令と、その後の解除に関する各種報道に基づきます。
ここから引き出せる示唆は単純です。削除の可否は、最終的に利用者側の手にはありません。事業者の方針変更や司法判断ひとつで前提が動くのであれば、自社が確実にコントロールできるのは「そもそも何を入力しないか」だけだと考えたほうが、対策の設計を誤りません。
管理者が触れる設定は、実はごく一部
もう一点、運用面の落とし穴があります。データコントロールの設定はアカウント単位で保持されるため、社員が私物の端末で別のアカウントを作れば、会社が整えた設定は当然引き継がれません。会社の把握していないアカウントでの業務利用、いわゆるシャドーAIが残っている限り、管理者の手が届く範囲は限定されたままです。
IPAが公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威としてAI利用に関するリスクが初めて選出され、3位に入りました。攻撃側の高度化だけでなく、組織が使うAIサービスを起点とした情報漏えいが、現実の脅威として認識され始めたことの表れといえます。
経営者社内では学習オフの徹底を周知しています。それでも、まだ足りないところがあるのでしょうか。
Writers-hub編集部
学習オフは、入り口の1つを閉めた状態です。会話の保存、アカウントの乗っ取り、外部連携という残りの経路はそのまま開いています。順序としては、次に多要素認証と共有アカウントの廃止、そのあとに入力してよい情報の線引きへ進むと、少ない手数で守れる範囲が広がります。
設定は変えた。それでも「誰が何を入力しているか」が見えていないなら
経路が3つある以上、設定変更だけでは半分も塞げません。合同会社Writers-hubでは、業務のどこにAIを使わせ、何を入力させないのかという線引きの設計から、現場に根づかせる研修までを一緒に組み立てています。
関連記事：ChatGPTに学習させない設定方法｜オフにしても残るリスクと防ぎ方
個人アカウントで今日のうちに変えられる設定
組織のプラン変更には時間がかかります。一方で、個人が今日のうちに変えられる設定はいくつもあり、経路1と経路2の大半はここで塞げます。順番に手を入れていきましょう。
設定からデータコントロールを開き、入力内容をモデルの改善に使う項目をオフにします。効くのは切り替えた時点より後の会話だけで、それまでに送信した内容は対象外です。判断を先延ばしにするほど守れない範囲が増えます。
履歴に残したくない内容は、一時チャットに切り替えてから入力します。会話は履歴に表示されず、モデルの改善にも使われません。安全性確認のためのコピーが一定期間保持される点は、前提として置いておきます。
会話をまたいで情報を覚える機能が有効だと、過去に入力した社名や案件名が別の会話でも参照されます。業務で使うアカウントでは、記憶されている内容を一覧で確認し、不要なものを削除します。
過去に発行した会話の共有リンクは、設定画面から一覧を確認し、不要なものを失効させます。URLを知る相手には中身が見えるため、社外へ渡したリンクから優先して処理します。
アカウントを奪われると、履歴に残るすべての入力がまとめて読まれます。パスワードだけの防御では足りないと考え、認証アプリなどによる多要素認証を設定します。
ファイルストレージやメールとの連携、外部アプリやブラウザ拡張機能の接続状況を確認し、業務に不要なものは解除します。接続は増える一方になりやすいため、棚卸しの周期を先に決めておくと管理が続きます。
6つのうち、手間に対して効果が大きいのは多要素認証と共有リンクの棚卸しです。前者はアカウント経路をまとめて塞ぎ、後者はすでに外へ出ている情報を回収できる数少ない操作だからです。設定変更というと入力データの扱いに目が向きがちですが、着手の順番としては後回しにされやすい2つを先に片づけるほうが、リスクの減り方は大きくなります。
設定の変更は、変更した時点より後の会話にしか及びません。すでに入力してしまった機密情報については、設定を切り替えても遡って取り消されないため、該当する会話の削除と、社内での影響範囲の確認を先に進めてください。
プランの違いは「既定で学習されるかどうか」で見る
個人向けと法人向けの差は、機能の多さではなく既定の扱いにあります。個人向けは学習に使われうる状態が既定で、設定で外す形をとります。法人向けのプランとAPIは、既定で学習に使われません。組織として選ぶときは、この既定値の違いを起点に考えると判断が早くなります。
| 個人向けプラン | 法人向けプラン | API | |
|---|---|---|---|
| 入力内容の学習利用（既定） | 使われうる | 使われない | 使われない |
| 管理者による利用状況の把握 | × | ◎ | △ |
| アカウントの一括管理と即時停止 | × | ◎ | △ |
| 導入までの手間 | ◎ | ○ | △ |
| 業務での常用のしやすさ | △ | ◎ | ○ |
表の見方として押さえておきたいのは、法人向けプランの価値が学習の可否だけではないところです。誰がいつ何に使ったのかを管理者が把握でき、退職時にアカウントを確実に止められること。組織としての漏洩リスクを下げるのは、むしろ統制の部分にあたります。
APIは既定で学習に使われず、社内システムへ組み込みやすい選択肢です。ただし送信されたデータの取り扱いを自社側で設計する責任が生まれます。ログをどこに残し、誰が閲覧できるようにするのか。決めないまま組み込めば、漏洩の経路を自社の内側に新しく作ることになります。
※ 各プランにおけるデータの扱いは、提供者側の方針変更によって更新されます。導入を判断する際は、OpenAIが公開している法人向けのプライバシー方針で最新の記載を確認してください。
設定で塞げない部分は、入力ルールで塞ぐ
ここまでの設定をすべて適用しても、社員が判断に迷う場面は残ります。「この情報は入れてよいのか」という問いに、その場で答えられる基準があるかどうか。ルール整備の実質は、この一点に集約されます。
よくある失敗は、禁止事項を抽象的な言葉で並べてしまうことです。「機密情報の入力を禁止する」とだけ書かれた文書は、現場では機能しません。何が機密にあたるかの判断が個人に委ねられ、結果として最も判断の甘い人の基準に運用が引きずられます。
- 顧客や取引先の氏名、連絡先、契約内容をそのまま貼り付ける
- 未公開の財務数値や価格表、原価情報を要約させる
- ソースコードや設定ファイルを丸ごと貼ってレビューさせる
- 採用候補者や従業員の評価に関する記述を入力する
- 社外秘の資料を、匿名化しないまま翻訳や清書に使う
一方で、禁止だけを増やすと利用そのものが止まり、結局は目の届かないところで使われます。入力してよい形へ加工する手順まで示しておくと、現場は動きやすくなります。固有名詞をA社やB氏に置き換える、数値を丸める、文書全体ではなく判断に必要な段落だけを抜き出す。この程度の手当てでも、AIから引き出せる答えの質はほとんど落ちません。
個人情報を含む入力については、制度の側からも注意が示されています。個人情報保護委員会は2023年6月、生成AIサービスの利用に関する注意喚起を公表しました。プロンプトに個人情報を含める場合はあらかじめ特定した利用目的の範囲を超えないよう注意すべきこと、要配慮個人情報の取得には本人の同意などの要件があることが示されています。自社の個人情報の取り扱い方針とも関わる論点のため、法務や管理部門を交えて整理しておくと安全です。
組織としての方針を文書にまとめる段階では、総務省と経済産業省が公表しているAI事業者ガイドラインが土台になります。開発する側、提供する側、利用する側という立場ごとに、守るべき事項と実践の考え方が整理されているため、自社が利用者としてどこまで求められるのかを確認しやすくなっています。
ルールの実効性は、文書の精緻さではなく「迷ったときに誰へ聞けるか」で決まります。判断に迷う入力が出たときの相談先を1か所に決め、そこへ集まった質問を月に一度ルールへ反映する。運用の形まで決めて、ようやくルールは生き続けます。
ChatGPTの情報漏洩に関するよくある質問
最後に、社内での説明や規程づくりの場面で繰り返し出てくる質問をまとめました。
会話を削除する操作自体はできます。削除された会話は一定期間のうちにシステムから消去されるとされていますが、即時に消えるわけではなく、法的な要請などがあれば保持が続く場合もあります。入力してしまった情報については、削除操作と並行して、社内での影響範囲の確認を進めるのが現実的な対応になります。
個人向けであれば、無料版と有料版で入力データの既定の扱いに大きな違いはありません。分かれ目は、個人向けか法人向けかというところです。学習に使われない既定と管理者による統制が必要であれば、法人向けプランかAPIを選ぶ判断になります。
個人のアカウントであれば、会社が履歴を直接閲覧する仕組みはありません。法人向けプランでは、管理者が利用状況を把握できる設計になっています。なお会社支給の端末を使っている場合は、端末側の管理ツールによって操作の記録が残っている可能性があります。
同じ経路をたどると考えてください。画像に写り込んだ書類や、添付した資料の中身も、テキストの入力と同様に送信され保存されます。社外秘の資料をそのまま撮影して読み取らせる使い方は、貼り付けるテキスト以上に情報量が多くなりがちで、確認の目も届きにくくなります。
まとめ
ChatGPTの情報漏洩は、3つの経路に整理できます。入力内容が保存され学習の対象になる経路、アカウントごと奪われる経路、外部連携や共有機能から広がる経路。設定変更で塞げるのは主に1つ目で、残りはアカウント運用と組織の統制に属する課題です。
学習オフは有効ですが、保存の有無や削除の可否まで手当てするものではありません。守れる範囲を正しく見積もったうえで、法人向けプランによる統制と、入力してよい情報の線引きを重ねていく。3つの層で考えると、対策の抜けを自分で見つけられるようになります。
生成AIの利用は、禁止しても止まりません。使わせながら守る設計へ切り替えるほうが、結果として漏洩の芽を減らせます。合同会社Writers-hubは、社内でのAI活用の立ち上げから運用ルールの整備、現場への定着までを支援しています。
入力してよい情報の線引きを、自社の業務に合わせて決めたい方へ
禁止事項を並べただけのルールは現場で守られません。実際に使われている業務を洗い出し、そこで扱う情報の粒度に合わせて線を引けば、利用を止めずにリスクだけを下げられます。何から手をつけるべきか決めかねている段階でも、業務の棚卸しからご一緒します。
