「機密情報は入力しない」と社内に周知した。学習をオフにする手順書も配った。それでも全社での利用を解禁してよいのか決めきれない。情報システム部門や管理部門の方から、この段階で止まっているという相談をよく受けます。
止まる理由ははっきりしています。設定画面で変えられるのは、情報が社外へ出ていく道筋のうち一部にすぎないからです。貼り付ける範囲を間違える、拡張機能を装ったソフトが会話を読む、連携ツールが夜間も社内データを送り続ける、退職した社員の個人アカウントに会話が残ったまま消えない。いずれも、どのチェックボックスとも対応していません。
本記事では、チャットGPT（ChatGPT）で情報が外へ出る経路を6つに分けて整理します。それぞれ何が実際に起きたのかを公表資料で確認しながら、経路ごとに誰が塞ぐ責任を持つのかまで踏み込みました。
- ChatGPTで情報が外へ出る6つの経路と、設定変更で塞げる範囲の境目
- 共有リンクと偽の拡張機能で実際に起きたこと（公表資料つき）
- API連携と自動化ツールが作る、人の目が届かない通り道
- 退職者や業務委託のアカウントに残る会話をどう扱うか
- 経路ごとに担い手を決めて、棚卸しを2週間で終わらせる進め方
ChatGPTの情報漏洩は、設定画面の外側でも起きている
情報漏洩と聞いて多くの人が思い浮かべるのは、入力した文章がモデルの学習に使われ、いつか他人への回答に出てくるという筋書きでしょう。学習を止める設定に関心が集まるのも自然な流れだと思います。ただ、公表されている事故を並べてみると、学習が直接の原因だったと確認できるものはほとんど見当たりません。
代わりに目立つのは、利用者本人の操作、端末とアカウントの管理、そして組織の統制という、AIの外側にある3つの領域です。個人情報保護委員会が2023年6月に出した注意喚起でも、事業者に求められたのは、入力が利用目的の範囲内かどうかの確認と、提供事業者が個人データを機械学習に利用しないことの確認でした。裏を返せば、確認すべきことは入力の手前と契約の側にあるという整理になります。
※ 出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について（令和5年6月2日）」
そこで本記事は、対策を数えるのではなく、経路を数えるところから始めます。経路の数さえ把握できれば、どこが手つかずなのかは自然に見えてきます。
関連記事：AIの倫理的問題とは？主な論点と企業がとるべき対策を事例で解説
経路1｜貼り付けと共有リンク、そして画面の写り込み
件数が最も多く、しかも記録に残りにくいのが利用者本人の操作です。悪意はなく、多くの場合は急いでいるだけ。だからこそ、注意喚起だけでは減りません。
貼り付ける範囲が広すぎる
議事録を要約させるつもりで、表計算ソフトのシートを丸ごと貼り付ける。取引先名や単価の並んだ列まで一緒に送られていても、送信した本人は気づきません。必要なのは発言部分だけなのに、選択範囲を絞る手間を惜しんだ結果として、余分な列が渡ります。
対策として現実的なのは、入力欄に貼る前に一度メモ帳へ通す、という一手間を業務手順に書いておくことです。人の注意力ではなく、工程で防ぐ形になります。
共有リンクは、渡した相手のところで止まらない
2025年7月末から8月にかけて、ChatGPTの共有機能で作られた会話がGoogle検索の結果に並んでいると指摘されました。報道では、数千件のチャットログが検索から見つかり、一部には友人や家族との関係についての具体的な記述など、利用者を特定できる可能性のある内容が含まれていたとされています。OpenAIの最高情報セキュリティ責任者は短期間の実験だったと説明し、機能の削除とインデックス済みコンテンツの削除に着手したと明らかにしました。
機能そのものは、すでに削除されています。ただ、この件が示したのは仕様の危うさというより、共有ボタンを押すときの想定と、実際の到達範囲がずれるという構造のほうでしょう。ファイル共有サービスの公開リンクで長年繰り返されてきた事故が、AIの会話でも同じ形で起きたと考えるのが妥当だと思います。
※ 出典：INTERNET Watch「個人を特定可能なChatGPTのチャットログがGoogleにインデックスされていたと判明。機能ごと削除へ」（2025年8月4日）
画像やファイルは、本文以外の情報も一緒に運ぶ
スクリーンショットを1枚上げるだけでも、画面の端に別のウィンドウやタブのタイトルが写り込みます。PDFなら、本文に載せていない作成者名や社内のファイルパスがプロパティに残っている場合があるでしょう。打ち込んだ文字だけを気にしていると、この部分は素通りになります。
共有リンクは、発行した本人が無効化しない限り残り続けます。設定画面の共有済みリンクの一覧を一度開き、いま何件が生きているのかを数えてみてください。想定より多いはずです。
関連記事：ChatGPTの情報漏洩はどこで起きる？3つの経路と設定・ルールでの止め方
経路2｜拡張機能と非公式アプリ
ChatGPTを便利に使うと称するブラウザ拡張機能は、数多く公開されています。拡張機能はその性質上、開いているページの内容を読み取る権限を求めます。ChatGPTの画面で動く拡張機能であれば、入力欄と回答欄の中身を読める状態になると考えてよいでしょう。
2023年3月、セキュリティ企業のGuardio Labsが「Quick access to Chat GPT」という名称のChrome拡張機能について報告しています。Facebookの広告経由で配布されており、インストールするとブラウザから幅広く情報を収集し、有効なセッションのCookieを盗み、利用者のFacebookアカウントに管理者権限の裏口を作るという内容でした。Googleが削除するまでに、9,000件を超えるダウンロードがあったと報告されています。
押さえておきたいのは、名前にChatGPTと付いていても、提供元がOpenAIとは限らないという点です。公式アプリと拡張機能は別物であり、審査を通ってストアに並んでいることは安全性の保証になりません。
※ 出典：Guardio Labs「FakeGPT: New Variant of Fake-ChatGPT Chrome Extension Stealing Facebook Ad Accounts with Thousands of Daily Installs」（2023年3月）
社内で確認するなら、次のいずれかに当てはまる拡張機能から先に見てください。
- 提供元の会社名がストアの説明に書かれていない
- 求めている権限が「すべてのサイトのデータの読み取りと変更」まで広い
- 公式サイトからではなく、SNS広告や検索広告のリンク経由で入れた
- 社内で誰がいつ導入したのか、記録が残っていない
経営者拡張機能を一つずつ確認するとなると、現場の負担が大きすぎませんか。
Writers-hub編集部
全部を洗う必要はありません。ChatGPTの画面で動くものと、業務データを扱うページで動くものに絞れば、対象はかなり減ります。ブラウザの拡張機能一覧を開いて、権限の範囲と提供元を確認するところから始めてください。
関連記事：ChatGPT情報漏洩の事例5件｜原因を4つに分けて企業が取るべき対策を解説
経路3｜API連携と自動化ツールが作る、人の目が届かない通り道
APIや法人向けの契約を選べば、入力内容が既定でモデルの学習に使われない扱いになると案内されています。その一点だけを見れば、個人向けプランより安心に見えるでしょう。
ところが経路の観点でいうと、API連携はむしろ通り道を増やします。社内システムからAPIを呼ぶ構成では、あいだに自動化ツールやサーバーが挟まるからです。たとえば問い合わせメールが届いたら要約して社内チャットへ流す、という処理を市販の自動化サービスで組んだ場合、メール本文はまずその自動化サービスの事業者を経由していくでしょう。OpenAI側のデータの扱いをいくら読み込んでも、経由地の扱いは別に確認しなければなりません。
しかも、いったん動き始めた連携を見ている人はいません。人が操作する場合と違い、深夜でも土日でも同じ量のデータが流れ続けます。設定した本人が異動しても、止まらないまま動きます。
GPTsやコネクタも構図は同じです。社内文書を読み込ませたGPTsを作ってリンクを共有すれば、共有された相手は元の文書を直接開く権限がなくても、中身を引き出せる余地が生まれます。
連携を作るときは、処理の内容だけでなく「何が、どこを経由して、どれだけの期間残るか」を1行で書き残してください。半年後に棚卸しをする人が読むのは、設計書ではなくその1行になります。
連携を止めずに、通り道だけ減らせないでしょうか
自動化をまとめて止めると、現場は元の手作業に戻るか、個人のアカウントで使い続けるかのどちらかになります。どの処理を残し、どこにデータを渡さない形へ組み替えるか。業務の切り出し方から一緒に設計します。
経路4｜アカウントの持ち主が入れ替わるとき
情報システム部門が把握しているのは、たいてい会社が契約した分のアカウントだけです。ところが実際の利用は、個人が無料で作ったアカウントから始まっている場合が少なくありません。便利さが先に伝わり、統制はあとから追いかける形になります。
そのまま退職の日を迎えると、何が起きるでしょうか。会社は、その人が何を入力したのかを知る手段を持たないまま、会話だけが個人のアカウントに残ります。会社の権限で削除を依頼することもできません。業務委託や派遣の契約終了でも同じことが起きます。
IPAが公開している「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「内部不正による情報漏えい等」が7位に挙げられました。11年連続の選出です。同じ表の3位には「AIの利用をめぐるサイバーリスク」が入っており、いま説明している経路は、その2つが重なる場所にあたります。
※ 出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公開・2025年に発生した事案が対象）
なお、IPAの「組織における内部不正防止ガイドライン」は2022年4月の第5版で、雇用の流動化による退職者の増加を踏まえた人的管理の対策を追記しています。生成AIに限らず、人が入れ替わる局面は以前から弱点として扱われてきました。だとすれば、退職時のチェックリストにAIツールの欄を足すより先に、業務利用を会社契約のアカウントへ寄せるほうが順序として妥当でしょう。
- 会社契約のアカウントを配り、個人アカウントでの業務利用を認めない
- 業務委託や派遣の契約終了日と、アカウントの停止日をそろえる
- 退職手続きの確認項目に、利用していた生成AIサービスの申告を加える
- 共有リンクとGPTsの持ち主を、個人ではなく部署単位で引き継げる形にする
経路5｜アカウントそのものが盗まれる
利用者が何も間違えていなくても、端末がマルウェアに感染していれば会話は読まれます。
セキュリティ企業のGroup-IBは2023年6月、情報窃取型マルウェア（インフォスティーラー）のログを調査した結果として、ChatGPTの認証情報が保存された感染端末を101,134台確認したと発表しました。調査対象は2022年6月から2023年5月までで、月別では2023年5月の26,802件が最多。地域別ではアジア太平洋が最も多かったと報告されています。
数の大きさより重要なのは、盗まれたのがブラウザに保存されたIDとパスワードだという点でしょう。ChatGPT側の防御が破られたわけではなく、端末側の問題がそのまま持ち込まれた形です。だからこそ、多要素認証の有効化と、ブラウザへのパスワード保存をやめるという端末側の対策がそのまま効きます。
※ 出典：Group-IB「Group-IB Discovers 100K+ Compromised ChatGPT Accounts on Dark Web Marketplaces」（2023年6月）
多要素認証は、IDとパスワードが盗まれてもログインできない状態を作ります。会社契約のアカウントなら管理画面から全員に強制でき、個人任せにする場合と比べて確実に行き渡ります。
経路6｜読み込ませた資料の側から、指示が入り込む
最後は、社内規程にまだ書かれていないことが多い経路です。
ChatGPTにWebページのURLやファイルを読ませて要約させる使い方は、いまや珍しくありません。ところが読ませた側のコンテンツに指示文が仕込まれていると、AIが利用者の依頼と取り違えて動く場合があります。間接プロンプトインジェクションと呼ばれる手口で、OWASPが公開する大規模言語モデル向けの脅威リストでも、2025年版の1位「LLM01:2025 Prompt Injection」として扱われています。
同資料は、外部ソースから入力を受け取る際に、その中の指示がモデルの動作を変えると説明したうえで、想定される被害として機密情報の開示、接続したシステムでのコマンド実行、意思決定プロセスの操作などを挙げました。応募書類の要約、取引先から届いた仕様書の整理といった、社外から来た文書をAIに読ませる場面は業務のなかにいくらでもあります。
技術的な防御はサービス提供側で進んでいる段階であり、利用する側が今すぐ取れる手は限られます。現実的なのは、外部から届いた文書と社内データを、同じ会話で混ぜないという運用でしょう。読み込ませる会話と、社内の機密を扱う会話を分けておけば、仮に指示が仕込まれていても引き出せる範囲が狭まります。
※ 出典：OWASP Gen AI Security Project「LLM01:2025 Prompt Injection」
経路ごとに、誰が塞ぐのかを決める
6つ並べてみると、担い手が同じではないことが分かります。情報システム部門にまとめて任せると、手が届かない経路が残ったまま「対策済み」と記録されてしまいます。
| 主に塞ぐ人 | 具体的な打ち手 | 設定変更で塞げるか | |
|---|---|---|---|
| 貼り付けと共有リンク | 利用者本人 | 入力の線引きと共有リンクの棚卸し | △ |
| 拡張機能と非公式アプリ | 情報システム部門 | 許可制の導入と権限の確認 | ○ |
| API連携と自動化ツール | 業務設計と開発の担当 | 経由地の記録と定期的な見直し | × |
| 退職者と委託先のアカウント | 人事と情報システム部門 | 会社契約への集約と停止日の統一 | × |
| 認証情報の窃取 | 情報システム部門 | 多要素認証と端末側のマルウェア対策 | ○ |
| 読み込ませた資料からの指示 | 利用者本人と業務設計の担当 | 会話の分離と出力内容の検証 | × |
設定変更だけで対応できるのは、6つのうち2つにとどまります。残る4つは、業務の組み方と人事の手続きに踏み込まなければ動きません。全社にチェックリストを1枚配って終わりにできない理由は、そこにあります。
逆にいえば、担い手さえ割り振ってしまえば、それぞれの作業量はさほど大きくありません。難しいのは実務ではなく、経路を洗い出して割り当てる最初の段取りのほうです。
棚卸しを2週間で終わらせる進め方
完璧を目指すと着手が遅れます。まずは現状を数えることを目標にしてください。
会社契約のアカウント一覧を出し、そのうえで部署ごとに個人アカウントでの利用実態を聞き取ります。責任追及の場にすると正確な数字が出ないため、申告した人を咎めないと先に伝えてから始めてください。
生きている共有リンク、公開しているGPTs、自動化ツールに組み込んだAPI連携を書き出します。この段階では止めず、一覧を作ることだけに集中します。
前章の表を自社の体制に置き換え、経路ごとに担当部署を書き入れます。担い手が決まらない経路が残ったら、それが最初に手を打つべき場所です。
個人アカウントで行われていた業務を、会社契約の環境へ移します。移行先を用意せずに禁止だけ先行させると、把握できない場所での利用が増えるだけになります。
連携もツールも増え続けます。棚卸しは一度で終わる作業ではなく、四半期ごとに同じ表を開いて差分を確認する運用に組み込んでください。
経路を数え終えたあと、使ってよい範囲をどう決めるか
棚卸しが済むと、次に決めるのは「どの業務なら任せてよいか」という線引きでしょう。禁止事項を並べただけのルールは、現場で読まれません。業務ごとの手順に落とし込むところまで一緒に設計し、研修と運用ルールの整備もあわせて承ります。
ChatGPTの情報漏洩に関するよくある質問
学習利用の扱いと、管理機能の有無に関わる部分は変わります。ただし本記事で挙げた6つの経路のうち、貼り付けや共有リンク、拡張機能、退職者のアカウントに関わる部分は、プランを上げても自動的には塞がりません。契約の変更は出発点であって、到達点ではないと考えてください。
通常のやり取りが検索結果に出ることはありません。例外は共有リンクを発行した会話で、2025年7月末から8月にかけて、共有された会話が検索エンジンの結果に並んでいると指摘されました。OpenAIは該当機能を削除し、インデックス済みコンテンツの削除に着手したと説明しています。過去に発行したリンクが残っていないかは、一度確認しておくのが安全でしょう。
画面上の履歴は消えますが、削除がすべての場所へ即座に反映されるわけではありません。不正利用の監視などを理由に、事業者側で一定期間保持される場合があります。削除は有効な手段ですが、削除を前提に機密を入力する運用は避けてください。
経路の観点では、逆に見えにくくなります。会社の契約を止めても個人のアカウントは残り、私物の端末で使われれば記録も残りません。禁止する範囲は狭く定め、代わりに使ってよい環境を具体的に示すほうが、実際の漏洩量は下がると考えています。
入力してよい情報と避けるべき情報の線引きから始めてください。そのうえで、共有リンクの扱い、拡張機能の許可制、退職時の手続きを追記していく順序が現実的です。最初から網羅を目指すと公開が遅れ、その間も利用は続きます。
まとめ
ChatGPTの情報漏洩を設定の話として扱うかぎり、対策は「学習をオフにしたかどうか」で止まります。実際に社外へ出ていく道筋は、貼り付けと共有リンク、拡張機能と非公式アプリ、API連携と自動化ツール、退職者と委託先のアカウント、認証情報の窃取、そして読み込ませた資料からの指示という6つに分かれ、担い手も打ち手もそれぞれ違いました。
経路を洗い出し、誰が塞ぐのかを割り当てる。この2つを済ませてから設定と教育に進めば、対策の抜けは目に見える形で減ります。逆の順序で進めると、手順書だけが増えて実態は変わりません。
合同会社Writers-hubでは、生成AIを日々の記事制作に使っている立場から、社内での使い方の設計と運用ルールの整備、研修までをご支援しています。棚卸しの結果を持ち込んでいただければ、どの経路から手を付けるべきかの相談から始められます。
自社にどの経路が残っているか、一度整理してみませんか
経路の数も、優先順位も、業種と使い方によって変わります。いまの利用実態を伺ったうえで、着手すべき順番を一緒に決めるところから承ります。
