社員がAIに社外秘を入れる前に。

明示的に「入力してはいけない」と書かれているのは、限られた相手に向けたものでした

はっきりと禁止しているのは、政府機関・地方自治体・学校といった特定の主体に向けた資料です。 しかもその多くは生成AI専用に作られたルールではなく、「約款型クラウドサービスでは要機密情報を取り扱えない」という既存の一般規定を当てはめたものでした。

出典例：デジタル庁「生成AIの業務利用に関する申合せ」第2.1版／総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」／文部科学省「初等中等教育段階における生成AIの利活用に関するガイドライン」Ver.2.0

民間企業に向けた入力の記述は、条件つきの「留意」でした

総務省・経済産業省の「AI事業者ガイドライン 別添」に、民間の利用者向けの記述があります。原文はこうです。

入力する個人データが生成AIサービスの提供者においてAIの学習データとして利用されることが予定されている場合には、同意を得られていない個人データを含むプロンプトを入力しないよう留意する 総務省・経済産業省「AI事業者ガイドライン 別添（付属資料）」第1.2版（令和8年3月31日）P.171

読むと、「学習に使われる場合は」という条件がついた「留意」です。 では条件が外れれば入れてよいのか——そうは書かれていません。当日はここを丁寧に分けてご説明します。

個人情報保護委員会は「入力するな」ではなく「確認しなさい」と言っています

令和5年6月2日の注意喚起は、入力した情報が機械学習に利用されないことを確認すること、 利用目的の範囲内であることを確認すること、という立て付けです。入力そのものを禁じてはいません。 つまり実務でやるべきことは、禁止事項を並べることではなく確認の手順を決めることになります。

いちばん注意が要るのは、個人情報ではなく営業秘密でした

経済産業省の「営業秘密管理指針」（最終改訂：令和7年3月31日）の脚注に、 「当該情報が当該企業以外の第三者（例えば、生成AI提供事業者等）に提供される場合は、秘密管理性が否定される場合もあり得る」とあります。 どういう場合がそれにあたるのかまでは書かれておらず、この点を明確にした公式の整理は見つかりませんでした。 個人情報には公式の判断基準があるのに、営業秘密には同等の整理がない——これが現在地です。

「書かれていない」資料が、思っていたより多くありました

個人情報保護委員会のQ&Aとガイドライン通則編、政府機関等のサイバーセキュリティ統一基準群、自治体のセキュリティポリシーガイドライン、 医療情報システムの安全管理ガイドライン——いずれも全文検索で「生成AI」の語が0件でした。

⛔ ここを取り違えないでください。「禁止と書かれていない」ことと「入れてよい」ことは別のことです。 規制が無いのではなく、いま使っているクラウドと同じ枠組みで判断するほかない状態だ、というのが弊社の読み方です。 そう考えると、実務の問いは「AIだから特別にどうか」ではなく「いま使っているグループウェアや会計ソフトと同じ基準で見て、どうか」になります。