生成AI・情報管理
ChatGPT・Claude社内導入時の情報漏えい対策
安全性は製品名だけでは決まりません。同じサービスでも個人向け・業務向け・APIで契約条件や管理機能が異なるため、扱う情報と利用形態を先に分類し、公式情報を確認して設定します。
まず確認するポイント
- 公開情報
- 社外公開済み。通常の確認手順で利用可否を決める
- 社内情報
- 契約・設定・共有範囲を確認し、用途を限定する
- 機密情報
- 原則入力しない。必要な場合は匿名化と承認を必須にする
- 個人情報
- 利用目的、委託、保存、権限を法務・責任者と確認する
製品仕様と契約条件は更新されます。2026年8月22日時点の公式情報を参照し、導入時点の管理画面・契約書・プライバシー情報を必ず再確認してください。
導入前に決める8項目
禁止事項だけでなく、利用者が迷ったときの確認先と例外申請を用意します。業務向けプランで学習利用が既定で無効でも、保存、外部連携、共有リンク、フィードバック送信などは別に確認します。
- 利用できるアカウント・契約プラン
- 入力してよい情報と匿名化の方法
- 利用者、管理者、退職・異動時の権限変更
- 会話・ファイル・ログの保存期間
- 外部アプリ、コネクタ、GPT、MCP等の許可範囲
- 出力の事実確認、引用、著作権、承認
- インシデント時の停止・報告・削除手順
- 定期的な設定・規約・利用状況レビュー
ChatGPT・Claudeで確認するポイント
OpenAIはBusiness、Enterprise、API等の業務データを既定で学習に使わないと説明しています。Anthropicも商用製品について、明示的な許可なしに保持データを学習へ使わないと説明しています。ただし、製品・契約・任意のデータ共有・保持設定ごとに条件があるため、個人アカウントと業務契約を混同しないことが重要です。
- 管理者が利用者と共有機能を制御できるか
- 学習利用・フィードバック共有の設定
- 保持期間と削除方法
- 接続先へ渡るデータと権限
- 監査ログや利用状況を確認できるか
参考にする公式情報
導入時は、一般記事ではなく利用する製品の公式情報と契約条件を確認します。IPAの中小企業向けガイドラインも、生成AIの利用規約とプライバシーポリシーを事前確認し、データ取扱方針を把握することを求めています。
無料相談