生成AIに会社の情報を入れていい?仕事で使う前の確認点

生成AIに資料を貼って要約させると、仕事は確かに速くなります。ただ、その資料に会社の情報や顧客の名前が入っていると、入れていいのか迷いますよね。

結論からいうと、会社のAI利用のルールが最優先です。ルールが見当たらない場合も、機密情報、個人に関する情報、契約で使い方が決まっている情報の3つは入れないのが基本です。IPAが2027年度に新設するデータマネジメント試験のシラバス案にも、この3つが入力しない情報として挙がっています。

この記事では、入れてはいけない情報の見分け方と、出力を使う前の点検、困ったときの動き方を整理します。

生成AIに会社の情報を入れていいかは、まず会社のルールで決まる

生成AIの使い方は、会社によって大きく違います。社内専用の環境を用意している会社もあれば、外部のサービスの利用を禁止している会社もあります。同じ操作でも、会社によって許される範囲が違うので、最初に確かめるのは会社のルールです。

IPAのデータマネジメント試験のシラバス案でも、AIへのデータ入力による情報漏えいを避けるために、組織内のガイドラインを守ることが技能として挙げられています。国の試験の範囲になるほど、仕事の基本になりつつあるということです。

• 社内のポータルや規程集で「生成AI」「AI利用」を検索する
• 見つからなければ、情報システム部門か上司に、使ってよいサービスと入れてよい情報を聞く
• 答えをもらったら、メールなど記録が残る形で残しておく

ルールがなくても入れない3つの情報

ルールが見当たらない場合でも、次の3つは入れないのが基本です。シラバス案で入力しない情報として挙がっているものを、仕事の場面に置き換えて並べます。

3つ目は見落としやすい種類です。自分の会社の情報でなくても、取引先との約束で使い方が決まっている情報は、AIに入れること自体が約束違反になることがあります。

出力をそのまま使わない

入れる情報に気をつけても、出てきた答えをそのまま使うと別の問題が起きます。シラバス案では、AIの出力について次の点に気をつけることが挙がっています。

著作権の考え方は、生成AIパスポートの著作権とAI新法でも整理しています。

まずいと思ったら、一人で抱えない

入れてはいけない情報を入れてしまった、あるいは同僚がそうしているのに気づいた。そんなときは、関係する部門に早めに報告・相談するのが基本です。シラバス案でも、問題を見つけたときに報告・相談することが技能として挙がっています。

エンジニアから見たひとこと

私は普段、QAエンジニアとして働きながら、AIを使った業務の効率化を進めています。現場でAIを使ううえで一番気をつけているのは、プロンプトの書き方より、何をAIに渡すかです。

たとえばテストの観点を洗い出してもらうときも、実際の顧客のデータは渡さず、項目の形だけをまねた架空のデータに置き換えてから使っています。それでも出力の質はほとんど変わりません。AIが必要としているのは中身の秘密ではなく、構造や文脈であることが多いからです。

出力のほうも、テストと同じで「正しそうに見える」ことと「正しい」ことは別です。数字や固有名詞は必ず元の資料と照らし合わせ、社外に出すものは人が最後に読む。この2つを習慣にするだけで、失敗の大半は防げます。

こうした「AIに渡すデータの扱い」は、2027年度に新設されるデータマネジメント試験の範囲にも入っています。試験の中身はデータマネジメント試験のシラバス、向いている人はデータマネジメント試験は誰向け?で整理しています。AIの基本を体系的に学ぶなら、生成AIパスポートとITパスポートの違いも参考になります。

よくある質問

まとめ

渡す情報を選べば、生成AIは仕事の強い味方になります。こうしたデータの扱いを国の試験で証明したい方は、データマネジメント試験は誰向け?を見てください。