社内データをAIに渡すときの線引き 中小企業のための分類と管理の基本

「社内データをAIに渡して大丈夫か」の不安は、データを公開・社内・機密の3区分に分け、個人プラン禁止・法人プラン限定・ローカル限定の4階層に流す経路を決めれば、ほぼ解消できます。本記事では、弊社が中小企業の情シス・経営者と一緒に作ってきた現実的な線引きの作り方を、テンプレ付きでまとめました。

なぜ今、社内データの線引きが必要なのか

AI業務利用が当たり前になった今、「禁止する」より「どう使うか決める」方が安全になっています。社員が個人アカウントのChatGPTに見積書を貼って要約させる、いわゆるシャドーAIは、多くの会社で既に起きています。

弊社が支援した10社程度の中小企業の情シス担当者にヒアリングしたところ、「社員のAI利用を把握できていない」と答えた割合が体感で7割を超えました。全面禁止のルールを置いても、現場は便利さの誘惑に勝てません。ルールが厳しすぎると逆に「黙って使う」を増やし、結果として何が外部に出たか追えなくなります。

一方で、ルールが緩すぎても事故は起きます。顧客の氏名・連絡先・取引額を含む顧客リストを丸ごとAIに貼った結果、後日その情報がAIの学習データに含まれた疑いが浮上し、顧客への説明対応に追われた事例も実在します。「全面禁止」と「野放し」の中間を、業種と規模に合わせて設計するのが現実解です。

AIに渡してよいデータ、渡してはいけないデータの3区分

社内データは大きく3つに分けて考えると整理しやすいです。公開情報・社内情報・機密情報の3区分です。

区分	中身の例	AI利用の基本方針
公開情報	自社ウェブサイト・プレスリリース・公開済み商品カタログ	個人プランを含めどのAIで使ってもよい
社内情報	議事録ドラフト・社内マニュアル・営業トークスクリプト	学習オプトアウト済みの法人プランのみ
機密情報	顧客個人情報・契約書・人事評価・財務詳細・未公開技術	原則外部AI禁止／ローカルLLMかマスキング後のみ

この3区分の境界は業種でずれます。例えば製造業の図面は公開してよい型番情報が混ざる一方、士業の場合は依頼者名と相談内容の組み合わせだけで守秘義務違反になりえます。自社の業種特性に合わせて、誰がどの区分を判定するかも同時に決めておくのが要点です。判定者は情シスではなく、その情報を持つ部門長にするのが現実的です。

自社のどのデータがどの区分に当たるか整理しきれないと感じたら、初月無料の経営AI診断（通常30万円相当）で、御社の業務データを棚卸ししながら線引きの叩き台を一緒に作る使い方ができます。

渡し方を決める4階層の管理ルール

データ区分が決まったら、次はどのAI経由で渡してよいかを4階層で決めます。区分とプランのマトリクスを社内で1枚に落とすと、社員が迷わなくなります。

1. 個人プラン（無料・Plus等）: 公開情報のみ。プロンプト学習が既定オンのため、社内情報以上は厳禁。
2. 法人プラン（Enterprise・for Work 等）: 公開＋社内情報まで。学習オプトアウトが既定で、SSO・ログ取得・データ保持期間の制御が可能。
3. API直接利用（社内ツール経由）: 法人プラン同等＋ログを自社で管理。プロンプト・出力を自社DBに記録し、後から追跡できる。
4. ローカルLLM（オンプレ・閉域）: 機密情報まで扱える。ただし社内権限分離が必須で、誰でも何でも検索できる状態にしない。

中小企業で多いのは2と3の組み合わせです。フロントは法人プランを契約し、機密寄りのワークフローだけAPI経由の社内ツールに閉じる構成が、コスト・運用負担ともに現実的です。

このマトリクスを作っただけでは運用は続きません。**「契約していないAIは業務利用禁止」「個人アカウントの業務利用禁止」「機密区分はマスキング必須」**の3行を就業規則か情報管理規程に明記し、入社時オリエンで配布する運用を組み合わせて初めて、線引きが機能します。

マスキングと匿名化の現実的な手順

機密情報をどうしても外部AIで扱いたいケースは必ず出てきます。そのときに使うのがマスキングです。完璧な匿名化を求めると業務が止まるため、目的別に粒度を変えるのが実務的です。

• 個人特定情報の置換: 氏名→「氏名A」「氏名B」、電話番号→「電話1」、メール→「mail1@example.com」。要約・分類タスクなら情報量はほぼ落ちません。
• 金額・取引額の丸め: 「1,234,567円」→「約120万円」、「シェア17.3%」→「約2割」。経営判断の壁打ちなら丸めで十分。
• 固有名詞の汎化: 「A社の決算資料」→「製造業中堅企業の決算資料」。業界知見を引き出すならむしろ汎化した方が良い回答が得られる。

弊社の実案件では、社員50名規模の卸売業で、見積書ドラフトのレビューを外部AIに任せる際、自社開発の置換スクリプトで顧客名・金額を伏字に変換してから貼るルールにしました。1案件あたり30秒の手間で、機密情報の外部送信ゼロを維持できています。「マスキングが面倒だから法人プランで直接渡す」ではなく、「マスキング後に個人プランで回す」が機密情報には合う経路です。

中小企業が今日から始める3ステップ

完璧な情報管理体系を一気に作ろうとすると挫折します。まず1か月で叩き台を作り、3か月で運用に乗せるのが現実的です。

ステップ1（今週）: 経営層・情シス・各部門長で30分の会議を開き、自社の「機密情報」リストを20項目以内で確定する。顧客個人情報・契約書・人事評価・未公開財務・未公開技術が最低ラインです。

ステップ2（今月中）: 全社員向けに1ページのルールを配る。「公開情報＝どのAIでもOK、社内情報＝契約済み法人プランのみ、機密情報＝外部AI禁止」の3行＋具体例5つに絞ります。長いガイドラインは読まれません。

ステップ3（3か月以内）: 法人プランを契約し、社員アカウントを集約する。SSO連携と利用ログ取得を有効化し、月1回はログを情シスがざっと確認する運用に乗せる。

この3ステップを進める中で必ずぶつかるのが「うちの業界の機密の定義が曖昧」「ベンダーごとに学習ポリシーの読み方が分からない」「ローカルLLMを入れるか迷う」の3つです。社内だけで判断しづらいときは、第三者の視点を入れた方が早く決まります。

やりがちな失敗3つと対策

弊社が支援に入った中小企業で、実際によく見る失敗を3つ挙げます。同じ轍を踏まないように先回りしておきましょう。

失敗1: ガイドラインを作って配って終わり。配布だけでは半年後にほぼ全員が忘れています。四半期に1回、5分の社内動画か朝礼での再周知が必要です。新入社員にはオリエン時に必ず読ませる運用を入れます。

失敗2: 学習オプトアウトの確認漏れ。同じChatGPTでも、無料版・Plus・Team・Enterpriseでデフォルトの学習ポリシーが違います。契約時に「業務利用前提でオプトアウトが既定か」を契約書で確認しないと、半年後に発覚することがあります。Claude・Geminiも同様です。

失敗3: ローカルLLMを入れて満足する。「自社サーバーで動かしているから何を入れても安全」は誤解で、社内権限分離をしないと別事故が起きます。例えば全社員アクセスのベクトルDBに役員報酬を含む人事情報を入れると、社内の誰でも検索できる状態が生まれます。ローカル化は外部送信対策、権限分離は社内漏えい対策で、別々に設計するものです。

ベンダー・契約書のチェックポイント

新しいAIサービスを導入するとき、契約書とプライバシーポリシーで最低限確認すべき項目があります。**「入力データがモデル学習に使われないか」「データ保持期間はどれくらいか」「ログ・プロンプトの第三者開示条件は何か」「物理データ拠点はどこか」**の4点です。

これらは多くの場合プライバシーポリシーや利用規約の末尾に書かれており、契約担当者が読み飛ばしがちです。導入決裁の前に、情シスか外部の第三者が必ずこの4点を確認するフローを組み込んでください。特にデータ拠点が海外にある場合、業種によっては外為法・個人情報保護法の越境移転規制に抵触する可能性があります。

中小企業ではここまで自社だけで判断するのが難しいケースが多く、初月無料の経営AI診断（通常30万円相当）の枠を使って、現在検討中のAIサービスの契約条件と社内データ区分の整合を一緒にチェックする使い方をしている会社もあります。導入後にトラブルが起きるより、契約前に第三者の目を1度通す方が圧倒的に安く済みます。

関連記事

• AIアプリ本番化前のセキュリティ監査チェックリスト 公開前に確認する7項目 — 関連: 本番化前の総合チェック観点
• 生成AI導入のデータガバナンス 権限設計でやりがちな7つの落とし穴と対策 — 関連: 社内権限分離の具体パターン
• 中小企業のAI開発ベンダー選定基準7項目 相見積もり前に押さえる視点 — 関連: 契約前にチェックすべき視点
• Claude Code の利用料を予算内に収める運用術 中小企業のプラン選択と使い分け — 関連: 法人プランとコスト管理
• ノーコードから本格開発へ移行すべきタイミング 判断基準5つと進め方 — 関連: 内製化判断（横断トピック）

---

自社のどのデータがどの区分に当たり、どのプラン経由でAIに渡すべきかを整理しきれないときは、**初月無料の経営AI診断（通常30万円相当）**をご利用ください。御社の業務データの棚卸しから、契約中のAIサービスの規約点検、社員向け1ページガイドラインの叩き台作成まで、現状を可視化しながら改善提案までご一緒します。30分のオンライン面談から始められます。