「社員が顧客の名前や取引内容をそのままChatGPTに貼っていないか」。導入を進めたい一方で、この心配が引っかかって止まっている会社は多いです。先に結論を書きます。この心配は3つに分けると扱えます。①入れた情報がAIの学習に使われるのか、②入れた情報を誰が見られるのか、③そもそも何を入れてはいけないのか。①と②は、使っている契約プランと設定でほぼ決まり、公開されている一次情報で確かめられます。③だけは設定では決まらず、自社で線を引くしかありません。この記事では、3つの中身と、自社がどこで止まっているかを費用ゼロで確かめる手順、直す順番を書きます。「どの業務をAIに任せてよいか」という業務側の線引きは別の記事で扱っているので、ここでは入力する情報の側だけを見ます。
「禁止する」か「放置する」かの二択になりやすい
顧客情報の心配が出ると、会社の対応は両極に振れます。ひとつは全面禁止で、業務でのAI利用を止める。もうひとつは、個人の判断に任せて何も決めない。どちらも、心配の中身を分けていないために起きます。
全面禁止にすると、社員は個人のスマートフォンで使います。会社からは見えなくなるだけで、入力される情報は減りません。放置すると、誰が何を入れているかを誰も把握していない状態が続き、問題が起きたときに初めて分かります。どちらの場合も、会社が把握できていないことが本当の問題です。
把握するには、心配を3つに分ける必要があります。分けると、設定で片づくものと、自社で決めるしかないものが見えてきます。
心配の中身は3つに分かれる
当社が導入の相談で最初に整理している区分です。
| 心配 | 何で決まるか | 確かめる場所 | 設定で解決するか |
|---|---|---|---|
| ① 入れた情報が学習に使われるのか | 契約プラン（個人向けか法人向けか）と、アカウントの設定 | 提供元の公開文書と、設定画面 | する（プランと設定の確認） |
| ② 入れた情報を誰が見られるのか | 契約プランごとの保持期間・管理者権限・提供元の閲覧範囲 | 提供元の公開文書と、管理者画面 | おおむねする（プランの選択） |
| ③ そもそも何を入れてはいけないのか | 自社の顧客との契約・社内の情報区分・法令 | 自社の契約書と社内ルール | しない（自社で決めるしかない） |
①について、提供元の一次情報を確認しておきます。OpenAIが公開している法人向けのプライバシー説明（Enterprise privacy at OpenAI・2026年1月8日更新）には、ChatGPT Business・Enterprise・Edu・API Platform などの法人向けサービスでは、既定では利用者のデータをモデルの学習に使わないと明記されています。一方で同じ文書には、個人向けのChatGPTのデータは学習に使うことも書かれています。個人向けでも、設定の「データコントロール」から「すべての人のためにモデルを改善する」をオフにすれば学習には使われない、と同社のヘルプセンター（Data Controls FAQ）は説明しています。あわせて、一時チャットは30日後に削除され学習には使われない、とも書かれています。
つまり①は、「会社契約か、個人契約か」「個人契約なら設定をオフにしているか」の2点で決まります。ここまでは、提供元の文書を読めば分かることです。②も、プランごとの保持期間や管理者の権限が同じ文書に書かれています。設定や文言は変わるため、確認は必ず提供元の最新の文書で行ってください。
問題は③です。学習に使われなくても、保持期間が短くても、顧客との契約で「第三者に開示しない」と約束している情報を外部のサービスに入れてよいかは、別の判断です。ここは提供元の設定では決まりません。
費用ゼロで、自社の現在地を確かめる
必要なのは、社員に聞く時間と、紙1枚です。半日あれば一巡します。
手順1：誰が、どのアカウントで使っているかを数える
社員に「業務でAIを使っているか」「使っているなら、会社のアカウントか個人のアカウントか」の2つだけを聞きます。責める場ではないと先に伝えてください。責めると、以後は答えなくなります。
結果を、会社契約／個人契約（設定オン）／個人契約（設定オフ）／使っていない、の4つに分けて数えます。個人契約で設定を確認していない人が1人でもいれば、①の心配は現実のものです。逆に、全員が会社契約なら、①は既に片づいています。
手順2：提供元の文書で、自社のプランの扱いを確かめる
使っているサービスの提供元が公開しているプライバシーの説明を開き、自社のプランについて「学習に使うか」「保持期間」「誰が閲覧できるか」の3点を書き写します。二次情報の解説記事ではなく、提供元の文書を読んでください。設定や条件は更新されるため、更新日も一緒に控えます。
手順3：「入れてはいけない情報」を3種類で1枚にする
③の確認であり、この記事でいちばん大事な手順です。次の3種類について、自社で該当するものを箇条書きにします。
- 顧客・取引先の個人に関する情報（氏名・連絡先・取引履歴など。法令の対象になるもの）
- 取引先との契約で開示を制限されている情報（見積・図面・未公開の計画など。秘密保持の約束があるもの）
- 自社の未公開情報（原価・給与・人事・未発表の方針など）
3種類とも空欄のまま書けなければ、社員も何を避ければいいか分かりません。「顧客情報を入れるな」という言い方では、社員ごとに解釈が変わります。具体的に書けたものだけが、ルールとして機能します。法令や契約に関わる判断は、必要に応じて顧問の専門家に確認してください。
手順4：先週の実際の使い方を、5件だけ見せてもらう
手順3の1枚ができたら、業務でAIを使っている社員に、先週入力した内容を5件だけ見せてもらいます。1枚と照らして、3種類のどれかに触れているものがあるかを数えます。
ここで分かるのは、ルールの問題か、運用の問題かです。5件とも触れていなければ、ルールを配れば済みます。触れているものがあれば、その社員は「これは入れてよい」と判断していたわけで、1枚の書き方が足りないか、業務のやり方そのもの（顧客名を伏せて使う手順が無い等）を変える必要があります。
直す順番は、③ → 契約 → 設定 → 数える
順番を逆にして、先に法人契約に切り替える会社が多いですが、③が決まっていなければ、法人契約でも社員は同じものを入れます。次の順で動かします。
- ③「入れてはいけない情報」の1枚を先に作る。手順3の3種類です。提供元の設定を変えても、この1枚の代わりにはなりません。
- 使うアカウントを会社契約に揃える。個人契約が混ざっていると、①②の状態を会社が把握できません。人数が少なく費用が見合わない場合は、個人契約でも設定をオフにしたことを本人に確認し、記録に残します。
- 設定と保持期間を、管理者が確認する。提供元の文書と管理者画面で、手順2で書き写した3点が自社のプランでどうなっているかを実際に見ます。
- 月に1回、手順4を繰り返す。5件を見るだけで構いません。数えていない限り、ルールは守られているかどうか分かりません。
業務のどこにAIを入れるかは、この整理と並行して決められます。最初の3つの業務の選び方はAI導入は何から始めるかに、任せてよい業務と人が確認すべき業務の線引きはAIに任せていい仕事と、人が確認すべき仕事に書いています。
※ 提供元の仕様に関する記述は、OpenAIの公開文書（Enterprise privacy at OpenAI・2026年1月8日更新／ヘルプセンター Data Controls FAQ）を執筆時点で当社が読んだ範囲のものです。仕様・文言は変わるため、判断の際は必ず提供元の最新の文書で確認してください。他の提供元のサービスは、それぞれの文書で同じ3点を確かめる必要があります。法令・契約に関わる判断は、顧問の専門家にご確認ください。当社の無料診断でも、まずこの3つの分け方の確認から行っています。
この考え方の呼び名
ここまで、専門用語を使わずに書いてきました。最後に名前を渡しておきます。
手順1で見た「会社が把握していないところで社員が個人のAIを業務に使っている状態」はシャドーAIと呼ばれます。①の「学習に使わせない設定」はオプトアウトと呼ばれます。②の「入れた情報をどれだけの期間、誰が扱えるか」はデータ保持（リテンション）の条件として、提供元の文書に示されています。③の「何を入れてよいか・誰が確認するか」を会社として決める仕組みはAIガバナンス、情報の区分と扱いを決めることはデータガバナンスや情報の格付けと呼ばれます。
名前は最後で構いません。先に必要なのは、心配を3つに分けて、③の1枚を作ることです。当社のAI導入支援の考え方はAI導入コンサルティングのページに公開しています。
よくある質問
法人契約にすれば、顧客情報を入れても問題ありませんか。
①学習に使われるかと②誰が見るかは、法人契約で扱いが変わります。ただし③の、顧客との契約や法令で開示を制限されている情報を外部サービスに入れてよいかは、契約プランでは決まりません。法人契約にした後も、手順3の1枚は必要です。
全面禁止にしたほうが安全ではありませんか。
会社のアカウントを禁止しても、社員は個人のアカウントで使います。会社から見えなくなるだけで、入力される情報は減りません。禁止するより、入れてはいけない情報を具体的に決めて、月1回数えるほうが、把握できている状態を保てます。
社員が入力した内容を、会社が全部確認するべきですか。
全件確認は続きません。手順4のように、月に1回、5件だけ見るほうが続きます。目的は監視ではなく、ルールが機能しているかを数えることです。触れているものが見つかったら、社員を責めるのではなく、1枚の書き方か業務の手順を直します。
提供元の仕様が変わったら、どうすればいいですか。
変わります。この記事で引いた文書も更新日つきで公開されています。手順2で書き写した3点と更新日を控えておき、半年に1回は提供元の文書を読み直してください。二次情報の解説記事ではなく、提供元の文書を直接読むことが確認の基本です。
