生成AIのセキュリティ対策
——中小企業が導入前にやるべき5つの設定とルール

「AIは情報が漏れるらしいから、うちは禁止にしています」——研修の現場でよく伺う言葉です。しかし同じ会社で社員の方に個別に伺うと、「実は自分のスマホで使っています」という声が返ってくることも珍しくありません。禁止は対策ではなく、見えなくしているだけというのが実情です。

本記事では、専任のシステム担当者がいない中小企業でも半日あれば終わる、生成AI（文章や資料を自動で作れるAI）の初期セキュリティ設定を5つに絞って解説します。ChatGPT・Claude・Geminiのどれを使う場合でも、考え方は同じです。

まず整理：怖がるべきリスクは3つだけ

「AIは危ない」と一括りにすると対策が立てられません。業務利用で実際に問題になるのは、次の3つにほぼ集約されます。

• 入力した情報の扱い——顧客名や契約内容を入力したとき、それがAIの学習（AIの賢さを育てるための材料として使うこと）に回るかどうか
• アカウントの管理——誰が何のアカウントで使っているか会社が把握できているか。退職時に止められるか
• 出力の誤り——AIがもっともらしい嘘（ハルシネーション）を書き、それを確認せず社外に出してしまうこと

逆に言えば、この3つを塞げば業務利用は始められます。以下の5つの設定は、それぞれこの3つのどれかに対応しています。

設定1：入力データを学習に使わせない（オプトアウト）

最初にやるべきはこれです。各サービスとも設定画面から数クリックで変更できます。

• ChatGPT：設定 → データコントロール → 「すべての人のためにモデルを改善する」をオフ
• Claude：設定 → プライバシー → 会話データの利用に関する項目をオフ
• Gemini：設定 → Geminiアプリアクティビティをオフ

画面の名称はアップデートで変わることがあるので、「設定」の中の「データ」「プライバシー」に類する項目を探す、と覚えておくのが実用的です。

設定2：業務利用は法人向けプランに寄せる

各社の法人向けプラン（ChatGPT Business、Claude Team、Google Workspace版のGeminiなど）は、既定で入力データを学習に使わない扱いになっています。個人プランでオプトアウト設定を各自に任せると、設定漏れが必ず発生します。

「人数分の費用が」と躊躇される会社も多いのですが、まずは実際に業務で毎日触る3〜5人分だけ契約するのが現実的です。全社一斉に配る必要はありません。使う人が決まってから広げれば十分間に合います。

設定3：アカウントを会社のメールアドレスで統一する

個人のGmailやプライベート端末で登録されたアカウントは、会社から中身を確認することも、退職時に止めることもできません。業務で使うアカウントは必ず会社ドメインのメールアドレスで作る——このルールだけで、管理不能なアカウントの発生を防げます。

すでに個人アカウントで使っている社員がいる場合は、責めずに会社アカウントへ移行してもらってください。ここで叱ってしまうと、次からは隠れて使うようになり、かえって見えなくなります。

設定4：入力してよい情報を3段階で決める

技術的な設定より、現場が迷わないのはこの線引きです。細かい規程を作るより、次の3段階を1枚の紙にして配るほうが確実に機能します。

ポイントは、2番目の「匿名化すれば使える」を明示することです。ここを書かずに「機密情報は禁止」とだけ伝えると、現場は安全側に倒して何も入力しなくなり、AI導入そのものが止まります。

設定5：出力を人が確認するルールを決める

AIは事実と異なる内容を、堂々とした文章で書くことがあります。特に法令・数値・固有名詞は要注意です。

難しい仕組みは要りません。「社外に出るものは、必ず担当者が事実確認をしてから送る」——この一文を社内ルールに入れるだけで大半のリスクは防げます。当社が支援した現場でも、提案資料の作成時間は60〜90%削減できていますが、それは「AIが書き、人が確認する」という役割分担があってこそ成立しています。

注意点：設定を終えても残る3つの落とし穴

1. 無料版・個人版の使い分けが崩れる

会社が法人版を契約しても、社員が自宅で無料版を使うことは止められません。だからこそ設定1のオプトアウト方法も、全員に一度は教えておく必要があります。

2. 会社が把握していない利用（シャドーAI）

シャドーAIとは、会社の許可なく現場で使われているAIサービスのことです。撲滅しようとするより、「使いたいツールがあれば申請すれば検討する」窓口を作るほうが実効性があります。禁止だけを強めると、隠れて使う人が増えるだけです。

3. ルールを作っただけで終わる

配布した紙は読まれません。設定作業と入力ルールの説明は、30分でよいので全員が集まる場で一度実演してください。「この画面のここをオフにします」と実際に操作を見せるのが、文書10枚より早く伝わります。

まとめ：半日の初期設定が、その後の全部を左右する

生成AIのセキュリティ対策は、高価な製品を買うことではなく、設定を済ませ、線引きを紙にし、確認の担当を決めるという地味な作業の積み重ねです。逆に言えば、専任担当者がいない会社でも半日あれば形になります。

そして、この初期設定を最初に済ませておくことが、その後の業務効率化を安心して進める土台になります。順番を逆にして「まず使ってみてから考える」と、あとで情報の取り扱いを一件ずつ棚卸しする羽目になります。

「自社の場合、どこまで設定すればよいか」を具体的に相談したい方は、AI人材育成研修のなかでも初期設定と社内ルールづくりを扱っていますので、下記の無料相談をご利用ください。

不動産業での具体的な運用設計については、不動産会社向けAI導入支援のページで、入力可否の切り分けや人による確認の設計を含めて説明しています。

よくあるご質問