社員が無料のChatGPTに顧客名を入れていた時に、会社がまず確認すること
公開日：2026-11-05／AnchorUp コラム
社員が無料のChatGPTに顧客名を入れていたと分かったら、最初にやることは「何を、どのアカウントで、どの設定で入れたか」の記録です。 履歴を消すのも、本人に注意するのも、そのあとにします。
気になるのは、入力内容がAIの学習に使われる状態だったかどうかです。OpenAIの公式ヘルプによると、個人のFree、Plus、Proは初期設定でデータ共有がオンです。本人が「Improve the model for everyone」をオフにしていなければ、共有される状態だったと考えて確認を進めます。
ただし、学習に使われる状態だったとしても、それだけで「情報漏えいだ」「国への報告が必要だ」と決まるわけではありません。入力した内容によって、関係する法律や契約が変わるからです。
この記事は2026年11月5日時点の公式情報をもとにした一般的な整理で、法律上の結論を示すものではありません。個別の判断は、個人情報保護委員会の相談窓口や弁護士に確認してください。
最初に何を確認するのか？
次の5項目を本人から聞き取り、メモに残します。 あとの判断の材料は、ほぼこの5項目で揃います。
| 確認すること | 具体的に聞くこと | 何の判断に使うか |
|---|---|---|
| 入力した内容 | 会社名か個人名か。連絡先、金額、病歴、カード番号は含まれるか | 個人情報か、報告の基準に当たるか |
| 件数 | 何人分、何社分か | 1,000人を超えるか |
| 元のデータ | 顧客名簿や管理システムから写したか | 「個人データ」に当たるか |
| アカウント | 個人で作った無料アカウントか、会社の契約か | 学習の扱いがどちらか |
| 設定と操作 | 学習に関する設定はどうなっていたか。一時チャットか、ログインせずに使ったか。共有リンクを作ったか | 学習や共有の可能性 |
「顧客名」が会社名だけなら、個人情報保護法の問題にならない場合があります。個人情報保護委員会のガイドラインは、法人等の団体そのものに関する情報は個人情報に該当しないとしています。ただし同じ箇所で、役員や従業員の情報は個人情報に当たるとしています。担当者名が一緒に入っていないか確かめてください。
「個人データ」は、名簿やシステムのように検索できる形でまとめた個人情報のことです。ガイドラインでは「個人情報データベース等を構成する個人情報」と定義されています。漏えいの報告義務はこの個人データについて定められているので、元のデータがどこから来たかを確認します。
履歴はすぐ消してよいのか？
記録を取ってから消します。 先に消すと、何を入れたのかを誰も確かめられなくなります。入力した画面の写し、日時、アカウントの種類を残してから、次の順で進めます。
- 学習に関する設定を確かめる。 変更する前の画面を残してから、公式ヘルプの手順に沿って、学習に使わない設定にします。
- 共有リンクを確認して消す。 該当のチャットの共有リンクを作っていた場合は、チャットを消す前に、リンクのURLと渡した相手を記録してから、リンクを消します。
- 該当のチャットを消す。 消したあとのデータがどれだけの期間残るかは、その時点の公式ヘルプを読み、記録に書き添えます。
製品の仕様は変わりやすいので、数年前の解説記事や社内の記憶で判断しないでください。すでに学習に使われた分を取り消せるかどうかも、公式の説明を読み、分からなければOpenAIに問い合わせます。
社員の入力は「漏えい」に当たるのか？
一律には言えません。 まず、次の2つを手がかりに考えます。
1つ目は漏えいの定義です。ガイドラインは、漏えいを「個人データが外部に流出すること」とし、メールの誤送信などを例に挙げています。一方で、事業者が自らの意図で第三者に提供する場合は漏えいに当たらないとしています。その場合は、原則として本人の事前の同意が別に必要です。
2つ目はクラウドサービスの考え方です。個人情報保護委員会のQ&A（Q7-53）は、第三者提供や委託に当たるかどうかの基準を、サービス事業者が個人データを取り扱うことになっているかどうかだと説明しています。取り扱わない場合の例は、契約で取り扱わないと定め、アクセス制御もしている場合です。
無料版を社員が個人で使っていた場合、会社と事業者の間にこうした契約は通常ありません。
委員会が2023年6月2日に公表した生成AIサービスの利用に関する注意喚起の別添1は、事業者があらかじめ本人の同意を得ずに個人データを含む内容を入力し、それが応答の出力以外の目的で取り扱われる場合、個人情報保護法に違反する可能性があるとしています。そのうえで、サービス提供事業者が機械学習に利用しないこと等を十分に確認するよう求めています。個人データを入れていた場合は、この点を中心に確認してください。
個人情報保護委員会への報告が必要になるのはどんな時か？
漏えい等（そのおそれを含む）が起きて、次の4つのどれかに当たる時は、報告が義務です。 本人への通知も原則として必要になります。
| 区分 | 例 |
|---|---|
| 要配慮個人情報が含まれる | 病歴、健康診断の結果 |
| 財産的な被害のおそれがある | クレジットカード番号、送金できるサービスのIDとパスワード |
| 不正の目的のおそれがある行為による | 不正アクセス、従業者による持ち出し |
| 本人の数が1,000人を超える | 設定ミスで1,000人超の情報が閲覧できる状態になった |
上から3つは、人数が少なくても対象です。4つに当たらない場合でも、漏えい等またはそのおそれがある事案では、ガイドラインは、責任ある立場の者への報告と被害の拡大防止、事実関係の調査と原因の究明、影響範囲の特定、再発防止策の検討と実施を求めています。報告の対象でない事案を、委員会へ任意で報告することもできます。
時間の感覚も押さえておきます。
- 速報： 知ってから「速やかに」。ガイドラインの目安は概ね3〜5日以内です。
- 確報： 知った日から30日以内。不正の目的のおそれがある場合は60日以内です。
- いつから数えるか： 法人の場合は、いずれかの部署が知った時点です。社長が聞いた日ではありません。
当たるかどうか迷う時は、自社だけで結論を出さずに聞くのが早道です。委員会は「個人情報保護法相談ダイヤル」（03-6457-9849）を公開しています。
なお、個人情報保護法の改正法が2026年7月17日に公布され、委員会は政令や規則、ガイドラインの検討を続けています。実際に判断する時は、その時点の委員会のページを確認してください。
取引先の情報だった時は何を見るのか？
秘密保持契約と業務委託契約を読みます。 個人情報保護法の報告が要らない場合でも、契約上の義務は別に残るからです。
- 入力した情報が、契約でいう秘密情報に当たるか
- 第三者への開示や、外部サービスの利用を制限する条項があるか
- 事故が起きた時の通知義務と、その期限が書かれているか
- 誰に、どの窓口に知らせることになっているか
取引先へ知らせるかどうかは、契約の内容によります。通知の義務があるか判断しにくい時は、弁護士に契約書を見てもらってください。
再発を防ぐには何から始めるのか？
本人を責めるより、使ってよいAIと、入れてはいけない情報を決めます。 事業者には従業者を監督する義務があり、ガイドラインはリスクに応じて教育や研修の内容と頻度を充実させることが望ましいとしています。個人のミスで終わらせられません。
全面禁止は、かえって把握しにくくなることがあります。東京都のサイバーセキュリティ解説は、全面禁止すると社員が個人のスマートフォンなどで隠れて無料AIを使う「シャドーAI」が広がると指摘しています。
最初に決めるのは次の3つです。
- 会社として使うAIを1つ決める。 たとえばChatGPTのBusinessプランは、OpenAIの料金表に、業務データを既定では学習に使わないと書かれています。
- 入れてはいけない情報を具体的に書く。 「機密情報」だけでは現場が判断できないので、顧客の氏名、取引先との契約で守る情報、未公開の数字のように書きます。
- 間違えた時の連絡先を決める。 東京都の解説も、社員がペナルティを恐れず速やかに相談、報告できるルートを挙げています。今回のように後から分かる事案を減らせます。なお、この解説のテンプレートには個人情報の速報を「72時間以内」とする記述がありますが、委員会のガイドラインの目安は概ね3〜5日以内です。
まとめ
- 消す前に、入力内容、件数、元のデータ、アカウント、設定と操作を記録する
- 記録のあとで、学習に関する設定を確かめ、共有リンクとチャットを消す
- 会社名だけか個人名を含むかで、関係する法律が変わる
- 漏えい等の報告に当たるかは、4つの区分と件数で確かめ、迷えば委員会の相談ダイヤルに聞く
- 取引先の情報なら、法律とは別に契約書を読む
AnchorUpでは、こうした判断のご相談を受けています。相談内容を送る