AIを使う中小企業の情報漏洩対策｜経営者が確認したい10項目

「社員がAIを使い始めた。便利なのはわかるが、会社の情報が漏れないか心配だ」

この不安に対して、最初に必要なのは、高価なツールを一つ買うことではありません。
誰が、どのサービスで、どの情報を扱っているかを把握し、入力ルール・アカウント・端末・共有範囲を点検することです。

AIの学習利用を止める設定だけを確認しても、アカウントが乗っ取られたり、共有リンクを誤って公開したりするリスクは残ります。

この記事では、IT専任者がいない中小企業に向けて、経営者が確認したい10項目と、社員10人の会社を想定した点検の進め方を説明します。
対策によってリスクを下げることは目指せますが、情報漏洩を完全に防げると保証するものではありません。

※2026年10月11日時点の資料をもとにした一般的な点検の考え方です。
個別の設定変更や事故対応は、利用サービスの公式案内、保守会社、セキュリティ専門家などに確認してください。

情報漏洩対策は、AIの設定だけでは完結しない

AIを使う会社でも、点検対象はAIだけではありません。

たとえば、AIへ渡すために顧客情報をクラウドストレージへ置いた場合、保管先や共有設定も確認が必要です。
外部サービスとの連携を許可したなら、そのサービスがどの情報を読めるのかも管理対象になります。

参考動画では、社員の端末や委託先、アカウント連携など、複数の経路から被害が広がり得る点が扱われていました。
本記事ではその視点を、中小企業で確認できる項目に整理しています。
参考動画：世界中で情報漏洩が止まらない！防ぐ手立ては……

基本対策の根拠には、IPAの中小企業の情報セキュリティ対策ガイドライン 第4.0版を使います。
端末更新や認証強化、情報共有、教育などを組み合わせる考え方です。

経営者が全設定を自分で操作する必要はありません。
「誰が点検するか」「不明な項目を誰に聞くか」を決めるところから始めましょう。

情報はどこから漏れる？先に分けたい4つの経路

情報漏洩を一つの問題として捉えると、対策も「気をつけよう」で終わりがちです。
次のように、経路を分けて確認します。

経路	説明のための例	点検する対象
入力・転送	顧客の問い合わせ全文を、未承認のAIへ送る	入力ルール、サービスの契約・データ取扱条件
アカウント・端末	偽のログイン画面や端末の感染でアクセスを奪われる	認証、端末更新、異常なログイン
共有・外部連携	社内限定のつもりのファイルが外部から見える	共有範囲、連携先、読み取り・編集権限
人・委託先	退職者や契約終了した業者の権限が残っている	アクセス停止、担当者、終了時の確認

表は当サイトの整理例であり、すべての漏洩原因を網羅する分類ではありません。

「AIを禁止すれば大丈夫」「法人向けプランなら何を入れてもよい」と一括で判断せず、情報の種類と経路に合った確認を行います。

経営者が確認したい10項目

以下は、IPAの基本対策と動画の問題提起をもとに、AIを利用する会社向けに組み直した点検表です。
IPAのチェックリストをそのまま転載したものではありません。

各項目に「確認済み・未確認・対応が必要」を付け、担当者と確認日を残してください。
未確認を、そのまま安全と扱わないことが大切です。

1．会社で使っているAI・クラウドを把握しているか

まず、サービス名、利用者、用途、扱う情報、管理者を書き出します。
個人契約のAIや、ブラウザーに追加した拡張機能も確認対象に含めましょう。

社員を責めるための調査にすると、利用状況を出しにくくなります。
「会社のデータを守るため、業務利用しているものを確認したい」と目的を伝えます。

契約の棚卸しについては、社員がそれぞれ生成AIを使い始めたら？中小企業の契約と情報管理を整える方法も参考になります。

2．AIへ入力してよい情報の例が決まっているか

「個人情報に注意」だけでは、現場で判断しにくくなります。
自社の業務に合わせ、入力可・確認が必要・入力不可の例を作ってください。

たとえば、最初は次のように保守的な範囲で始める方法があります。

• 入力可：自社が公開した案内文、完全に架空の練習データ。
• 確認が必要：社内資料、取引先から受領した資料。
• 入力不可：認証情報や秘密鍵、会社が入力を禁止した情報。

これは社内ルールの例であり、すべての会社にそのまま当てはまる法的基準ではありません。
顧客名簿、人事情報、未公開の取引条件などは、利用契約・守秘義務・社内規程を確認するまで入力を保留します。

会社名や氏名を消すだけで十分とは限りません。
住所、注文番号、珍しい取引内容などから相手がわかる可能性も考え、練習には架空データを使いましょう。

3．契約・学習利用・保存・外部連携の条件を区別しているか

「学習に使われない」と「情報が保存されない」「外部へ共有されない」は、別々に確認する項目です。

利用するサービスについて、入力情報の利用目的、保存期間、削除方法、管理者の権限、外部連携先などを公式の規約・説明で確かめます。
サービス名だけでなく、契約しているプランや利用機能も記録してください。

有料・法人向けという名称だけで、すべての情報の入力を許可しないようにします。
確認できない項目がある間は、扱う情報を公開情報や架空データに絞る方法があります。

4．重要なアカウントの認証を強化しているか

メール、クラウドストレージ、管理者アカウントなどは、パスワードの使い回しを避け、利用できる多要素認証やパスキーを検討します。

認証を強化しても、端末が侵害されたり、別の権限が残ったりする問題まで消えるわけではありません。
「認証を強くしたから点検終了」とせず、他の対策と組み合わせます。

認証方式を変える際は、端末紛失時の復旧方法や予備の管理者も確認しましょう。
IPAのガイドライン

5．パソコン・ブラウザー・アプリを更新しているか

OSやブラウザー、業務アプリの更新状況と、サポート期限を確認します。
会社の更新ルールと、トラブル時に相談する保守会社を決めてください。

「更新通知が出るたびに後回し」が続かないよう、担当者と点検日を決めます。
ただし、業務システムによっては更新前の動作確認が必要です。
影響を確認せずに一斉変更するのではなく、保守手順に沿って進めましょう。

6．共有ファイルの公開範囲を確認しているか

「社内に送ったリンクだから社内限定」とは限りません。
ファイルの閲覧範囲、編集範囲、リンクを転送された相手のアクセス可否を確認します。

点検時は、設定欄に表示される共有相手や公開範囲を確認してください。
機密ファイルのリンクを外部の個人アカウントに送るなど、新たな共有を作って試す方法は避けます。

7．AIの外部連携に、不要な権限を与えていないか

AIへメールやストレージを連携するときは、「何を読めるか」「何を変更できるか」「処理を実行できるか」を確認します。

一つの文書を使いたいだけなのに、業務全体へアクセスできる権限を渡す必要があるかを検討してください。
できる限り、用途に必要な範囲に限定します。

外部連携の停止方法、管理担当者、見直す日も記録しておくと、使わなくなった接続を見つけやすくなります。

8．退職者・異動者・委託先の権限を見直しているか

退職や異動、委託契約の終了に合わせ、アカウントや共有権限を見直す手順を決めます。
誰が申請し、誰が停止し、誰が確認するかまで分けておきましょう。

会社のデータや業務の引き継ぎを確認せず、アカウントを丸ごと削除するのは避けてください。
まず必要な引き継ぎとアクセス停止を、サービスの正規手順に沿って進めます。

9．不審な動きや誤入力を報告できるか

社員が「漏らしたかもしれない」と感じたとき、誰に連絡すればよいかを明確にします。

例として、身に覚えのないログイン通知、知らない共有相手、AIへの誤入力などを報告対象にできます。
対応担当者は、利用サービスで確認できるログや通知の範囲も把握しておきましょう。

「自分で削除できたから報告しなくてよい」という運用にせず、気づいた時点で相談できるルールにします。

10．被害拡大と業務停止に備えているか

社内の連絡先、保守会社、利用サービスの窓口、専門家への相談先をまとめます。
責任者が不在のときの代わりも決めてください。

重要な業務データは、取得対象・頻度・保管先・復元手順を決めてバックアップし、復元できるかを確認します。

バックアップは、情報が外へ漏れること自体を防ぐ対策ではありません。
データの消失・暗号化などで業務が止まった場合の備えとして、漏洩防止策と区別して扱います。
IPAのガイドライン

架空事例：社員10人の会社で点検するなら

以下は、説明のための架空事例です。
実在企業の改善実績ではありません。

社員10人の卸売会社で、営業社員がAIによるメール下書き、総務担当が文書要約を使っています。
経営者は、利用サービスや外部連携の一覧を持っていません。

この会社なら、次のような順序で点検を進められます。

進め方の例	担当	作るもの・確認すること
最初に利用状況を集める	総務＋各利用者	サービス、用途、扱う情報、管理者の一覧
不明なデータ入力をいったん保留する	社長＋利用者	公開情報・架空データで試せる業務を決める
アカウントと共有を点検する	総務＋保守会社	認証、共有範囲、連携権限、退職者のアクセス
報告の流れを決める	社長＋総務	社内責任者、不在時の代理、外部相談先
点検を継続する日を決める	社長＋総務	未確認項目、担当者、次の確認日

たとえば「見積書をAIへ渡してよいか不明」なら、まず実際の見積書の入力を保留します。
金額だけ変更した実物ではなく、会社名・条件も含めて架空の見積を作り、操作練習を続ける方法があります。

一方、共有範囲が不明なファイルは、AIの学習設定を変えても問題が解決しません。
保管先の共有設定を別に確認する必要があります。

点検の目的は、全項目に形式的なチェックを付けることではありません。
「未確認のまま使っている箇所」を見つけ、判断できる担当者につなぐことです。

漏洩が疑われたときに慌てないための準備

「AIに貼り付けてしまった」「知らないログインがあった」というときに、社員一人で対応を抱え込ませないようにします。

まず社内の責任者へ連絡し、発覚時刻、利用サービス、端末、入力・共有した情報の種類など、わかる事実を整理してください。

そのうえで、サービスの窓口や専門家と、接続・権限の停止など被害拡大を抑える対応、調査に必要な記録の保全を進めます。
痕跡を消すために履歴や端末データを自己判断で削除することは避けましょう。
削除できたことだけで、漏洩がなかったとも判断できません。

個人データが関係する場合は、漏洩のおそれの段階でも、条件によって報告や本人への通知が必要になることがあります。
適用条件や期限を確認し、判断を放置せず、専門家や相談窓口へ早めに相談してください。
個人情報保護委員会：漏えい等の対応とお役立ち資料

本記事のチェックリストだけで、法的な報告義務の有無や事故の終結を判断することはできません。

無料資料と社員の基礎学習を組み合わせる

最初の点検には、IPAの無料資料を利用できます。
ガイドラインには、経営者の取り組みや基本対策、社内ルールづくりに使う資料が案内されています。
IPAの中小企業向けガイドライン

ただし、資料を配るだけでなく、自社で起こりそうな場面を一つ選び、判断を話し合うことが大切です。

たとえば、次のような問いで確認できます。

• 顧客名を消した問い合わせなら、そのままAIへ入力してよいか。
• 共有リンクを社内チャットへ貼った場合、誰が閲覧できるか。
• AIへ誤入力したことに気づいたら、誰へ連絡するか。

答えを暗記させるより、「何が未確認で、どこへ相談するか」を説明できる状態を目指します。

AIの基礎やリスクの判断に学習が必要なら、生成AIパスポート、IT全般の基礎が必要ならITパスポートなどの出題範囲を、学ぶ順序の参考にする方法もあります。
資格取得は選択肢であり、取得者がいれば安全になるという意味ではありません。

学ぶ内容を選ぶときは、中小企業のAI担当者に資格は必要？生成AIパスポート・ITパスポート・G検定を比較で、目的別の違いと受験時期に合う教材の選び方を整理できます。

教育の進め方は、生成AIの社員教育は何から？中小企業が1人から始める手順もあわせてご覧ください。

まとめ：今週は「一覧」「入力の判断」「連絡先」から

AIを使う会社の情報漏洩対策は、AIの設定だけでなく、アカウント、端末、共有範囲、外部連携、委託先まで含めて点検します。

何から始めればよいかわからない場合は、次の3つから着手してください。

1. 業務で使うAI・クラウドと、その管理者を一覧にする。
2. 入力可否が不明な情報は保留し、公開情報・架空データで試す範囲を決める。
3. 誤入力や不審なログインを見つけたときの連絡先を決める。

その後、10項目を使って担当者と確認日を残します。
未確認の項目を減らし、変化があったときに再点検できる運用にすることが、継続的な対策につながります。

参考資料

企画の参考：ウェブ職TVの情報漏洩に関する動画。
基本対策と事故対応の確認には、本文中のIPA・個人情報保護委員会の資料を参照しています。
動画内の個別事故や被害数値を、未検証のまま転載していません。