- ChatGPTなどの生成AIは便利ですが、「顧客名簿を貼り付けて要約させた」——それだけで情報漏えいになりかねません。
- 国（総務省・経済産業省）も、AIを使う会社に向けて「AI事業者ガイドライン」（第1.2版・2026年3月公表）で自主的な対策をうながしています。
- IPAの「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向け脅威の3位に“初選出”されました。
- 本記事は、中小企業が無料で今日から作れる社内ルールの6項目と、入力してはいけない情報のチェックリストを、専門用語ぬきで解説します。
「うっかり入力」が、いちばん怖い
ChatGPTやGeminiのような生成AIは、文章づくり・要約・メール下書きなどを一瞬でこなしてくれます。少人数の中小企業ほど、その効果は大きいものです。いっぽうで、使い方を決めずに広がると、思わぬところで足をすくわれます。
いちばん多いのが「うっかり入力」です。たとえば「この顧客リストを整理して」と個人情報や社外秘のデータをそのまま貼り付けてしまう——。無料のツールでは、入力した内容がAIの再学習（次の回答づくりの材料）に使われる設定になっていることもあり、気づかないうちに社外へ情報が出ていくおそれがあります。
これは「悪意ある攻撃」ではなく、まじめに仕事をしている社員が善意で起こしてしまうのが特徴です。だからこそ、個人の注意力に頼るのではなく「会社としてのルール」を一枚決めておくことが、いちばん効く対策になります。
国も“注意”を強めている ── ガイドラインと最新の脅威
「大げさでは？」と思われるかもしれませんが、国の動きもはっきりしてきています。中小企業が知っておきたい、2026年の公的な情報が2つあります。
① AI事業者ガイドライン（第1.2版）
総務省と経済産業省は、AIを開発・提供・利用する事業者に向けた統一的な指針「AI事業者ガイドライン」を公表しています。最新は第1.2版（2026年3月31日公表）で、人間中心・安全性・公平性・プライバシー保護・セキュリティ確保などを共通の考え方として示しています。難しい規制ではなく、「AIを使うなら、このくらいは自分たちで気をつけましょう」という“みんなの土台”だと考えるとわかりやすいです。
② IPA「情報セキュリティ10大脅威 2026」
独立行政法人IPA（情報処理推進機構）が毎年発表する「情報セキュリティ10大脅威」の2026年版（組織編）では、「AIの利用をめぐるサイバーリスク」が第3位として“初めて”選出されました。想定される問題として、AIへの理解不足による意図しない情報漏えいや権利侵害、AIの生成結果を検証せず鵜呑みにすることで生じる問題などが挙げられています。まさに、中小企業の現場で起こりがちなことです。
ポイントは、「使うな」ではなく「気をつけて使おう」という方向であること。上手に使えば強い味方になるからこそ、最低限のルールを整えて安心して使おう、というのが今の流れです。
社内ルールに「入れておきたい」6項目とは？
では、実際に何を決めればよいのでしょうか。難しく考える必要はありません。一般に、生成AIの社内ルールには次の6つの項目を入れておくと、抜け漏れなく安全に使えると言われています。まずはA4一枚から始めましょう。
この6項目は、細かく完璧に書く必要はありません。まずは1〜2行ずつ、自社の言葉で。使いながら足りない部分を足していくのが、続くルールづくりのコツです。
絶対に入力してはいけない情報とは？【チェックリスト】
6項目のなかでも、いちばん大事なのが「①入力してはいけない情報」です。次のようなものは、原則として生成AIに入力しないと決めておきましょう。
- お客様の個人情報（氏名・住所・電話番号・メールアドレスなど）
- 取引先・仕入先の機密情報（見積・契約内容・非公開の取引条件）
- 社内の未公開データ（財務・売上・経営に関わる数字）
- 人事情報（採用・人事評価・給与・健康に関する情報）
- パスワード・認証情報（ID・鍵・システムの設定値）
どうしてもこうした情報を扱いたい場合は、名前を伏せる・数字を丸める（匿名化）、あるいは「入力内容を学習に使わない」と明記された法人向けのツールを使う——といった前提を、ルールに書き添えておくと安心です。
無料で今日から作る 4ステップ
ルールづくりというと身構えてしまいますが、費用も専門家も、最初は要りません。次の順番なら、その日のうちに“動くルール”が作れます。
- 「入力してはいけない情報」を1行決める
まずは上のチェックリストから。「個人情報・顧客情報・社外秘は入力しない」——この一文だけでも、事故はぐっと減ります。 - 「使ってよいツール」を1つに絞る
会社として認めるツールを決め、その設定（学習にデータを使わない等）を確認します。各自バラバラを避けるだけで安全性が上がります。 - 「確認する人」と流れを決める
AIの生成物は、公開・送信の前に人が確認する。「AIが下書き→人が確認」という分担を一言で決めます。 - A4一枚にまとめて共有する
ここまでを1枚の紙（またはチャットのピン留め）にして全員へ。立派な規程よりも、全員が読める一枚のほうが実際に守られます。
自社に合ったルールのひな形づくりから、ツールの選定・設定、社員への説明までを、専門用語ぬきでお手伝いできます。“禁止事項の一枚”だけでも一緒に作る——そんな小さな一歩からでも大丈夫です。
よくある質問（FAQ）
Q. うちは数人の会社です。ルールは本当に必要ですか？
A. 人数に関わらず必要です。むしろ一人ひとりの裁量が大きい小さな組織ほど「うっかり入力」が起きやすいもの。A4一枚の簡単なルールでも決めておく価値があります。
Q. 無料のAIツールを使っていても関係ありますか？
A. 関係あります。無料版は、入力内容がAIの再学習に使われる設定になっている場合があります。まず利用中のツールの設定と規約を確認し、機密情報は入力しない運用にしましょう。
Q. ルールは何から書けばいいですか？
A. 「入力してはいけない情報」を1行決めるだけでも効果があります。個人情報・顧客情報・社外秘は入力しない、という最低限のラインから始め、少しずつ項目を足していくのが失敗しないやり方です。
Q. 社員がルールを守ってくれるか心配です。
A. 「禁止」よりも「なぜ危ないか」と「困ったときの相談先」をセットで伝えると、守られやすくなります。罰則より、安心して相談できる窓口づくりが効果的です。
参考：総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日公表）／IPA（情報処理推進機構）「情報セキュリティ10大脅威 2026［組織編］」（第3位「AIの利用をめぐるサイバーリスク」初選出）／IPA「AI利用者のためのセキュリティ豆知識」（2026年4月2日公開）をもとに、Office Nが中小企業向けに再構成。
※「入れておきたい6項目」は、公的ガイドラインの考え方をふまえた一般的な整理であり、必要な項目は業種・扱う情報により異なります。ツールの機能・料金・データの取り扱い（学習利用の有無など）は、各サービスの最新の公式情報を必ずご確認ください。生成AIの出力は誤りを含む場合があるため、公開・共有の前に人による確認を推奨します。