ChatGPTの情報漏洩は8つの経路で起きる｜経路別の止め方と設定手順

ChatGPTの情報漏洩とは、ChatGPTを使う過程のどこかを通って、社内の情報が会社の管理の届かない場所へ出てしまうことです。防ぎ方の結論は、入力に気をつけるという心がけを配ることではなく、情報が外に出る経路を数え上げ、経路ごとに「何が出るのか」「誰が止めるのか」「どう止めるのか」を先に決めておくことにあります。経路は大きく8つあります。そのうち、使う本人の操作で閉じられるのは4つ（経路1・2・3・5）で、残りは設定を変える人と契約を決める人が動かないかぎり開いたままです。この記事では、社員10〜200名で情報システムの専任がいない会社を想定し、8つの経路を順にたどりながら、公式の記載で確認できる設定名と手順、社内規程に入れる文言、そして漏らしてしまったあとの初動までを整理します。

※この記事の設定名・手順・保存期間は、2026年9月18日時点でOpenAIの公式ヘルプおよび公式サイトに掲載されている表記をもとにしています。報告の期限と注意喚起の内容は個人情報保護委員会のページ、事故の内容は当事者の公表文・調査会社の発表・報道によるもので、本文中でどれにあたるかを明記しています。画面上の項目名は、表示されている英語のままにしています。

情報が外に出る8つの経路｜何が出て、誰が止めるのか

ChatGPTから情報が外に出る経路は、入力の1本だけではありません。社内で「機密情報を入れないこと」と周知したのに不安が消えないとすれば、それは残りの7本が手つかずのままだからです。まず経路を並べ、それぞれで何が外に出るのか、社内の誰が閉じられるのかを1枚の表にします。ここから先の章は、この表の順番どおりに進みます。

この表を作る意味は、対策の担当を割り当てられることにあります。経路1・2・3・5は使う本人の操作で閉じられますが、経路4・6・7・8は、本人がどれだけ気をつけても閉じません。社内説明会で「気をつけましょう」と伝えて終わりにすると、閉じたのは前半だけで、後半は開いたままになります。

10〜200名の会社での着手順：8つを同時に始めると、たいてい途中で止まります。専任がいない前提なら、順番は①会社として公認の入口を1つ配る（経路8と経路1にまとめて効く）→②共有リンクとメモリを止める（経路2・3）→③退職・異動の手順に1行加える（経路8）、の3手で十分に形になります。ログの監視や端末管理は、この3手が回り始めてからで間に合います。

「入力しない」だけでは半分しか塞げない

社内ルールの多くは、入力してはいけない情報の列挙から始まります。それ自体は必要ですが、列挙だけで止まると、共有リンクを押した一瞬や、退職者の個人アカウントに残った履歴には手が届きません。入力は8分の1の経路であり、しかも、当人の記憶に残りやすい経路です。記憶に残らない経路のほうが、時間が経ってから表に出ます。

もう一つ、入力の話には落とし穴があります。入力を禁止された社員は、業務の都合でどこかに入力先を探します。会社が用意した入口がなければ、自宅の端末や個人アカウントが受け皿になり、会社からは何も見えなくなります。禁止の強さと、見えなくなる度合いは比例します。

経路ごとに担当を決めると、対策が動き出す

止める人の欄は、3種類しかありません。使う本人、総務・情シス、経営です。使う本人に割り当てるのは、画面の操作で完結するものだけにします。契約の選択や、端末に何を入れてよいかの判断を本人に委ねると、判断の基準が人によって変わり、結果として守られません。逆に、本人しか押せないボタン（共有リンクの作成、一時チャットの選択）を会社側で肩代わりすることもできません。この切り分けを先に決めておくと、8つの経路それぞれについて、誰の稼働をどれだけ使うかが見積もれます。

経路1：入力｜入力した内容がモデルの学習に使われる仕組みと、どこまで使われるかの線引き

入力した内容が学習に使われるかどうかは、アカウントの設定で決まります。OpenAIの公式ヘルプ（Data Controls FAQ）には、設定項目としてImprove the model for everyoneが説明されており、この設定をオフにすると、会話は履歴に残るものの、学習には使われないと記載されています。設定はアカウント単位で、どの端末から使っても同じように適用されるとも書かれています。つまり、私物のスマートフォンと会社のパソコンで設定を別々にする必要はない代わりに、本人のアカウントの設定が、会社の情報の扱いをそのまま決めてしまうということです。

設定の場所は、公式ヘルプの表記では次のようになります。ログイン中のWebではプロフィールアイコンからSettings、そしてData Controls。ログアウトした状態のWebでは画面右下の疑問符アイコンからSettings。モバイルアプリではサイドバーのプロフィールアイコンからData Controlsです。

見落とされがちなのが、ログアウトしたままでも設定画面が用意されている点です。アカウントを作らずに使えるということは、会社の側からは、誰がいつ何を入力したのかを知る手がかりが残らないということでもあります。アカウントを作らせない運用は、管理が楽になったのではなく、記録が残らなくなっただけです。

学習に使わせない設定（オプトアウト）のやり方と、それで何が解決し何が残るか

オプトアウトで解決するのは、経路1のうち「将来のモデルの学習に使われる」という部分だけです。会話が保存されることも、画面に表示されることも、共有リンクから外に出ることも、この設定では変わりません。ここを混同したまま「学習をオフにしたので大丈夫」と社内に説明すると、残りの7経路が視界から消えます。

手続き自体は簡単で、公式ヘルプには、Settings内のData Controlsのトグルを切り替える方法と、プライバシーポータルでDo not train on my contentを申請する方法があり、どちらか一方を行えばよい（両方で行う必要はない）と明記されています。

そのうえで、オプトアウトしていても学習に使われることがある例外が、公式ヘルプに2つ書かれています。1つ目は、回答に高評価・低評価のフィードバックを送った場合です。公式ヘルプには、送ったフィードバックに関連づけられた会話の全体が、モデルの学習に使われることがあると記載されています。親指のアイコンを押す操作は、社内では「便利機能への協力」くらいの認識で行われがちですが、その1回で会話全体の扱いが変わり得ます。2つ目は、サポートとのやり取りです。設定で学習が有効になっている場合、サポートへの問い合わせの内容が、モデルを含むサービスの改善に使われることがあると記載されています。障害の相談で実際の業務データを添付する場面は起こりやすいので、社内ルールでは、サポート宛の文面も入力と同じ扱いにしておくのが無難です。

もう1つ、開発向けの注意があります。公式ヘルプには、Codexはフル環境での学習について別の設定をCodex Settingsに持っており、ChatGPT側の設定変更やプライバシーポータルでのオプトアウトでは、その設定は変わらないと記載されています。開発部門を抱える会社では、ここだけ別に確認が要ります。

この設定でできること／できないこと：できるのは、入力内容を将来のモデルの学習から外すこと。できないのは、会話の保存を止めること、共有リンクの公開範囲を狭めること、他人のアカウントからの閲覧を防ぐこと、端末に残ったログイン情報を守ることです。設定の画面と手順はChatGPTに学習させない設定で画面ごとに追えます。

入力してはいけない情報の具体例｜個人情報・顧客データ・契約書・ソースコード・未公開情報

線引きは、情報の種類ではなく「外に出たときに誰が困るか」で引くと運用しやすくなります。社内でよく問題になるのは、次の5種類です。

• 個人情報：氏名・住所・電話番号・メールアドレス・生年月日、健康や信条に関わる情報。特に、本人の同意を取っていない個人データの入力は、後述する個人情報保護委員会の注意喚起が直接触れている部分です。
• 顧客から預かったデータ：会員名簿、購買履歴、問い合わせの原文。自社の情報ではなく、預かりものである点が重い部分です。委託契約に再委託の制限が書かれている場合、生成AIへの入力がその制限に触れる可能性があります。
• 契約書・見積書：取引先名・金額・条件が一体で入っているため、要約を頼むだけでも相手方の情報を渡すことになります。秘密保持契約の対象になっている文書は、まず社内の扱いを確認する対象です。
• ソースコードと設定情報：認証情報や接続先が本文に混ざっていることがあり、コードそのものよりもその周辺が危険です。
• 未公開の情報：発表前の製品、価格改定、人事、決算に関わる数字。公開の予定がある情報ほど、公開前の扱いが緩みがちです。

公式ヘルプも、共有機能の説明の中で、健康情報・金融情報・パスワード・口座番号といった機微な個人情報を共有する中身に入れないよう注意を促しています。入力してよい情報の線引きを社内で作るときは、この5種類に自社固有の1〜2種類（たとえば設計図面や患者情報）を足して、A4で1枚に収めると運用に乗ります。

大手電子機器メーカーの技術者がソースコードを入力した事例

入力の経路でよく引き合いに出されるのは、韓国の大手電子機器メーカーであるサムスン電子の事例です。半導体部門の技術者が2023年3月から4月にかけてソースコードや会議のメモをChatGPTに入力し、少なくとも3件の事案が確認されたと、Bloomberg・CNBC・Forbes・TechCrunchが2023年5月2日に報じました。同社は、社内ネットワークにつながる端末での生成AIツールの利用を一時的に制限する方針を示したと報じられています。

この事例を社内説明に使うときは、2点を添えると誤解が減ります。1つは、日本国内の事例ではないこと。もう1つは、報道された内容であり、同社自身の公表文として確認できるものではないことです。恐怖を煽る材料にすると、次に出てくるのは「だから禁止」という結論で、その先に待っているのは会社から見えない利用です。使いたい業務があるからこそ入力が起きた、という順番で説明するほうが、そのあとのルールが守られます。

経路2：共有リンクと公開設定｜検索エンジンに載る選択肢があった頃の経緯

共有リンクは、本人の1クリックで会話1本がまるごと外に出る経路です。公式ヘルプ（ChatGPT shared links）には、個人アカウントで作った共有リンクは、リンクを持っている人なら誰でも中身を見られると記載されています。社内のチャットに貼った便利なやり取りが、そのまま転送されて社外に渡っても、リンク側では何も起きません。

ここには、法人契約に寄せることで構造的に狭くなる部分があります。公式ヘルプには、Business・Enterprise・Edu・ChatGPT for Healthcareのワークスペースで作ったリンクは、同じワークスペースの対象メンバーしか開けず、ワークスペースの外の人は見られないと記載されています。個人アカウントでの利用を許容している会社は、この壁を持っていません。

リンクの中身にも違いがあります。個人アカウントのリンクは作った時点（または更新した時点）のスナップショットで、あとから足したメッセージは自動では含まれません。一方、ワークスペースの会話リンクは、共有したあとに足したメッセージも含まれることがあると記載されています。さらに、共有リンクは既定では匿名であるものの、古い共有の作り方では作成者の名前が表示されることがあるため、送る前にプレビューを確認するよう公式ヘルプが注意しています。予定タスクの共有リンクには、タスクのタイトル・指示文の全文・スケジュール・元のタイムゾーンが含まれ、タイトルはリンクのプレビューに出ることがあるとも書かれています。指示文の全文が含まれるという点は、業務の手順書をそのまま指示文に書いている場合に効いてきます。

会話が検索エンジンに載った経緯と、そこから読み取れること

2025年7月31日から8月1日にかけて、OpenAIは共有リンクを作るときにあった「この会話を検索エンジンで見つけられるようにする」という選択肢を取り下げた、と複数の媒体が報じました。各媒体は、同社のセキュリティ責任者（CISO）によるXへの投稿を引用しています。この選択肢は、利用者が自分でチェックを入れた場合にだけ有効になるものだったと報じられており、勝手に公開されたという話ではありません。検索結果に出た会話の規模は媒体によって開きがあります。数の大小よりも、共有の設定が提供側の判断で変わることのほうが、社内で引き取るべき点です。

この一件から社内で引き取るべき教訓は、機能が撤回されたから安心だ、ということではありません。共有や公開に関わる設定は、提供側の判断で増えたり減ったりするということです。だからこそ、社内の側には「作った共有リンクを後から数えられる状態」が要ります。

共有リンクの棚卸し手順｜すでに作ったリンクを洗い出して消す

公式ヘルプには、Settings、Data controls、Shared links、Manageと進むと共有リンクの一覧を開けること、そこから1件ずつ削除するか、More actionsからまとめて削除できることが記載されています。会社としては、次の順で進めると、多くの場合は一度の作業で片づきます。

1. 棚卸しの日を決める：四半期に1回、日付を決めて全員が同じ日に見ます。個人アカウントでの利用がある会社では、会社側から一覧を見る手段がないため、本人に開いてもらう以外の方法がありません。
2. 一覧を開いて件数を数える：何件あったかだけを総務に報告してもらいます。中身の報告は求めません。中身を集めると、それ自体が新しい持ち出しになります。
3. 社外に渡ったものと、消してよいものを分ける：取引先に渡したリンクは、消すと相手の手元で開けなくなるため、消す前に一声かけます。
4. 消す：不要なものを削除します。なお、元の会話を削除すれば公開済みの共有リンクも無効になる、という記載は公式ヘルプにはありません。共有リンクの側を削除する必要がある、という前提で手順を作ります。
5. 次回の日付をカレンダーに入れる：ここまでを1つの手順書にして、入社時の説明資料に綴じます。

経路3：メモリ・履歴・削除｜一時チャットの使い分けと、削除しても消えないデータ

この経路の問題は、情報が「別の会話に持ち出される」ことと、「消したつもりで消えていない」ことの2つです。公式ヘルプの一時チャットの説明には、2026年9月18日時点で、一時チャットにパーソナライズありとパーソナライズなしの2種類があると書かれています。パーソナライズありの一時チャットは、既存のメモリ・カスタム指示・プラグインを参照しますが、新しいメモリは作りません。パーソナライズなしは、メモリもカスタム指示もプラグインも使いません。ここから読み取れるのは、通常の会話では、以前のやり取りから作られた記憶が、別の会話でも参照され得るということです。

実務では、次のような形で表に出ます。ある案件の前提として取引先名や単価を伝えたあと、別の会話で一般的な文面を作らせたときに、その案件の情報が混ざった文面が返ってくる。画面共有をしながら作業をしていれば、その場に取引先名が映ります。どこにも送信していないのに、社内の別の人に見られたという状態が起こり得ます。

一時チャットの使い分けと、選び直せない設定

公式ヘルプには、一時チャットは履歴に残らず、新しいメモリを作らず、モデルの学習にも使われないこと、ただし悪用の監視の目的でのみ確認されることがあることが記載されています。保存についても書かれており、安全上の目的で最大30日間コピーを保持することがあるとされ、Data Controls FAQの側には30日後にシステムから削除されると書かれています。まったく残らないわけではない、という理解で使うのが正確です。

運用上、覚えておきたい制約が2つあります。1つは、パーソナライズありかなしかの選択は、会話を開始したあとには変更できないと記載されている点です。もう1つは、一時チャットを保存すると通常のチャットになり、そこから先はアカウント単位のパーソナライズと学習の設定に従うと記載されている点です。良い結果が出たので残しておこう、という自然な操作で、一時チャットの性質は消えます。

社内での決め方：「残したくない話題は一時チャット」ではなく、「この業務は一時チャットのパーソナライズなしで」と業務名で指定します。判断を都度させると、忙しい日の判断は緩みがちです。

削除しても消えないデータ｜アーカイブとライブラリの扱い

削除の周辺には、社内で誤解されやすい点が3つあります。公式ヘルプ（チャットとファイルの保持について）の記載をもとに整理します。

退職や異動のときに「履歴を消しておいて」と伝えるだけでは、アーカイブしただけの状態やライブラリのファイルが残ります。手順書には、チャットの削除・アーカイブの解除・ライブラリのファイル・プロジェクトやGPTの削除を、それぞれ別の行として書いておきます。

経路4：外部連携｜コネクタ・アプリ・カスタムGPTから出ていくもの

外部連携は、自分で入力していない情報まで出ていく経路です。ストレージやメールを接続すると、本人が打ち込んでいないフォルダの中身が参照の対象になります。対策の話題になりにくい領域ですが、会社の情報量で見ると、入力より広い範囲が対象になります。

公式ヘルプ（コネクタの説明）には、アプリに渡したデータは各アプリの利用規約とプライバシーポリシーに従って扱われること、その内容はアプリを有効にする前に表示されることが記載されています。つまり、有効化の画面に出ている文章が、そのデータの扱いを決める契約そのものです。社内では、この画面を読まずに進める操作が起こりやすいので、「有効化の画面が出たら総務に相談」を1行入れておく価値があります。

学習の扱いは、プランで分かれます。公式ヘルプには、Business・Enterprise・Eduでは、コネクタ経由で取得した情報を既定ではモデルの学習に使わないこと、Free・Plus・Go・ProではImprove the model for everyoneがオンなら、アプリ経由で取得した情報が学習に使われることがあると記載されています。個人アカウントで社内ストレージを接続することの意味は、ここに集約されます。

アプリの許可は4段階｜Always askから Allow all actionsまで

許可の設定は、公式ヘルプの表記でAlways ask、Allow read actions、Allow low-risk actions、Allow all actionsの4段階です。より緩い設定を選んでも、安全上やワークスペースの保護が上書きされるわけではないと記載されています。合わせて、許可の設定は「いつ確認を出すか」を変えるだけで、アプリに新しいアクセス権を与えるものではないとも書かれています。この2つは、社内説明で必ずセットにしてください。片方だけを伝えると、確認画面が出なくなることを権限が増えたと受け取る人と、その逆に受け取る人が出ます。

管理者の側でできることも記載されています。ワークスペースの管理者は、Workspace settingsのPluginsでプラグインの導入を管理し、Workspace settingsのAppsでアプリごとのアクセスと権限を管理できます。非同期のアプリにはパラメータ制約を付けて、送ってよい引数を絞ることもできるとされています。個人アカウントの集まりでは、この管理の口が存在しません。

カスタムGPTは提供終了が予定されている｜今から作り込まない

カスタムGPTは、指示・会話の始め方・ナレッジ（アップロードしたファイル）・機能・アプリ・アクション（自分で定義した外部API）を設定できる仕組みです。ナレッジに社内資料を入れて配ると、そのGPTを開ける人には資料の中身が届きます。1つのGPTでアプリとアクションを同時には使えないとも記載されています。

ただし、2026年9月18日時点の公式ヘルプには、OpenAIがカスタムGPTの提供終了を予定しており、ワークフローをプラグインへ移すことを推奨する記載があります。対象となるEnterpriseワークスペースでは2026年12月11日に提供終了を予定し、移行の仕組みは2026年9月17日を目標としていること、他のプランも同じ時期を見込むとされています。個人向けアカウント（Free・Go・Plus・Pro）では、新しいGPTの作成と公開はできず、既存のGPTは提供終了まで使えると記載されています。この領域は動きが速いため、社内資料に手順を書き写すよりも、公式ヘルプの該当ページを参照先として1行書いておくほうが、結果的に手間がかかりません。

経路5：アカウント｜多要素認証・パスワード管理・ブラウザ保存の停止

アカウントが乗っ取られた場合、ここまでの経路の対策はすべて意味を失います。履歴も、共有リンクの一覧も、接続したストレージへの参照も、正規の利用者として使われるからです。逆に言えば、少ない手間で効きやすいのがこの経路で、必要なのは1人あたり数分の設定です。

公式ヘルプ（多要素認証の有効化と無効化）には、MFAを有効にすると、ChatGPTとAPIプラットフォームを含むOpenAIのサービス全体に適用されると記載されています。方式は、認証アプリのワンタイムコード、プッシュ通知、SMSまたはWhatsAppの6桁コード、パスキーの4種類で、パスキーはハードウェアのセキュリティキーに保存できるものもあるとされています。設定の場所は、ChatGPTの設定からSecurity、Multi-factor authenticationです。選べる方式は、端末・国・アカウントの種別・アカウントの作り方によって変わるとも書かれています。

社内で回すときの現実的な手順は、次の3つです。第1に、設定は本人にしかできないため、全員が同じ場で一斉に行う時間を取ります。個別に依頼すると、半分は後回しになります。第2に、方式は認証アプリかパスキーを既定とし、SMSは端末の事情で選べない人の例外にします。第3に、設定が終わった人の一覧を総務が持ちます。画面の中身は確認できないので、本人の申告で十分です。

パスワードの側では、3つを決めます。他のサービスと同じパスワードを使い回さないこと、ブラウザに保存させないこと、退職時に引き継がないこと（引き継ぎは、後述するアカウントの扱いで対応します）。ブラウザ保存の停止は、経路6で扱うマルウェアによる窃取に直接効きます。ブラウザに保存されたパスワードは、感染した端末から機械的に抜き出せるためです。なお、多要素認証は利用者ごとの設定です。全員に行き渡らせるには、設定する時間を業務時間内に取り、完了を申告してもらう運用が現実的です。

ChatGPT側には多要素認証をワークスペースで必須にする設定がないことや、OpenAI側の対策と、契約するプランごとに会社が管理できる範囲は、ChatGPTのセキュリティは何で決まる？会社が設定すべき範囲で整理しています。

経路6：端末・ブラウザ拡張・非公式アプリ

この経路では、ChatGPTの設定を何も触っていない人の情報が出ていきます。狙われているのはサービスではなく、利用者の端末です。設定の話に埋もれがちですが、まとまった規模の認証情報が実際に取引されていたことを調査会社が発表しているのは、この経路です。

端末のマルウェア感染による認証情報の窃取とダークウェブでの売買

セキュリティ企業のGroup-IBは、2022年6月から2023年5月に情報窃取型マルウェアに感染した端末のうち、101,134台からChatGPTのログイン情報が盗まれ、ダークウェブで取引されていたと発表しています。10万台という規模は、個々の利用者の不注意ではなく、端末の管理の問題として見るべき数字です。情報窃取型マルウェアは、ブラウザに保存された認証情報やセッションの情報をまとめて送り出すため、ChatGPTだけでなく、同じブラウザで使っている業務システムの認証情報も同時に持ち出されることがあります。

会社としてできることは3つです。1つ目は、業務に使う端末を把握すること。私物の端末で業務のアカウントにログインしている人がいる限り、この経路は閉じません。2つ目は、ブラウザにパスワードを保存させないこと。3つ目は、OSとブラウザの更新を止めないことです。いずれも生成AIに固有の対策ではなく、一般的な端末管理の延長にあります。だからこそ、生成AIの導入は、端末の管理を見直すきっかけにしやすい場面です。

ブラウザ拡張機能・非公式アプリ・ラッパーサービス

もう1つ、ほとんど語られていない入口があります。ChatGPTを便利にすると称するブラウザ拡張機能、公式ではないスマートフォンアプリ、そしてChatGPTを内側で呼び出していると説明しているだけの無料サービス（ラッパーサービス）です。これらは、会話の内容を自分たちのサーバーに通してから表示する構造を取り得ます。利用者から見える画面は公式とよく似ているため、社内で使われていても気づきにくいのが特徴です。

見分け方として、社内に配れる基準を3つ挙げます。第1に、提供元の会社名と所在地が明記されているか。第2に、入力した内容の扱い（保存の有無、保存先、保存期間）が文章で説明されているか。第3に、ログインの画面が公式のドメインで開くか。ブラウザ拡張機能については、権限の要求内容が「すべてのサイトのデータの読み取りと変更」になっていないかも確認します。この権限は、業務システムの画面も読める権限です。

会社としての決め方：個別に可否を判断し続けるのは、専任がいない会社には重すぎます。「業務で使う生成AIは会社が配ったものだけ」と決め、その代わりに配るものを用意するほうが、判断の回数が減ります。判断の回数が減らない対策は、いずれ守られなくなります。

経路7：提供側の不具合とサブプロセッサー

この経路は、利用者側の操作では防げません。防げない代わりに、起きたことを知り、影響範囲を確かめる経路を持っておくことが対策になります。実際に起きた例と、事前に確認できる情報の2つに分けて見ます。

2023年3月のredis-py起因の不具合で、他の利用者に見えた情報

OpenAIは2023年3月24日付の公式ページで、オープンソースのライブラリであるredis-pyのバグにより、一部の利用者に、同じ時間帯に使っていた別の利用者のチャット履歴のタイトルが見える状態になったと説明しています。新しく作った会話の最初のメッセージが、別の人の履歴に見えた可能性もあるとされています。

同じバグで、特定の9時間の間にアクティブだったChatGPT Plus契約者の1.2%について、支払いに関する情報が意図せず見えた可能性があるとも説明されています。見えた可能性がある項目は、氏名・メールアドレス・支払先住所・クレジットカードの種類・カード番号の下4桁のみ・カードの有効期限で、クレジットカード番号の全桁はいかなる時点でも外部に出ていないとされています。同社は、実際に他人にデータが見られた利用者の数は極めて少ないと考えているとしています（OpenAIの公表文）。見えるためには、3月20日の午前1時から10時（太平洋時間）に送られた申込確認メールを開くか、同じ時間帯にMy accountからManage my subscriptionを開く必要があったとも説明されています。

ここで大切なのは、これが利用者の入力が原因の漏洩ではない、という点です。社内のルールをどれだけ厳しくしても、この種の事象は発生します。会社として用意できるのは、提供元の告知を受け取る担当を決めておくこと、そして自社の誰がいつ使っていたかを後から辿れる状態にしておくことです。後者がなければ、「うちは影響を受けたのか」という問いに答えられません。

データの保存先・越境移転と準拠法の確認

自社の情報がどこの誰まで届き得るかは、提供元が公開している一覧で確かめられます。OpenAIは、顧客データの処理に関わる第三者（サブプロセッサー）の一覧を公開しており、日本語ページの最終更新日は2026年7月9日です。対象としてAPI・ChatGPT Enterprise・ChatGPT Edu・ChatGPT Businessが並んでいます。

一覧には、クラウド基盤としてMicrosoft Corporation（処理の実施場所に日本を含む）、Oracle Cloud Infrastructure（同）、Google Cloud Platform（同）、Amazon Web Services（米国）、CoreWeave、Cerebras、Cloudflareが挙がっています。カスタマーサポートやコンテンツのモデレーションを担う事業者として、TaskUs（フィリピン）、Intercom（米国）、Salesforce、Accenture、Pylon Labsも載っています。データウェアハウスの運用にSnowflake、ユーザー認証にOkta（Auth0経由）という記載もあります。なお、この一覧は個人向けプラン（Free・Plus等）を対象として明示していないため、個人向けプランについてここから読み取ることはできません。

会社として確認する順番は、次の4つです。第1に、契約するプランがサブプロセッサー一覧の対象に入っているか。第2に、処理の実施場所として日本が含まれる事業者があるか、米国や第三国が含まれるか（越境移転にあたるかどうかの判断材料になります）。第3に、再委託がどこまで認められているか、一覧の更新をどう知らされるか。第4に、契約書の準拠法と、紛争が起きたときにどの国の裁判所で扱うかです。顧客から預かったデータを扱う会社では、自社が顧客と結んでいる委託契約の再委託条項と突き合わせる作業が、ここに加わります。生成AIの利用を委託先に知らせる義務があるかどうかは、その契約書に書かれています。

※サブプロセッサー一覧の内容は更新されます。上記は2026年9月18日時点で公開されている日本語ページ（最終更新日2026年7月9日）の記載です。検討にあたっては、その時点の一覧をご確認ください。

経路8：人と運用｜退職・異動・私物端末・シャドーAI

最後の経路は、設定画面のどこにも出てきません。人が入れ替わり、端末が入れ替わり、会社が知らないところで使われるという、運用の経路です。8つの中で、会社の規模がそのまま効いてくるのがここです。

退職者・異動者のアカウントと、会社の手を離れる履歴

公式ヘルプ（ワークスペースからメンバーを外したときのデータの保持）には、メンバーを外すとワークスペースへのアクセスは即時に失われること、会話やデータが残るかどうかはプラン・機能・そのワークスペースの保存期間の設定によることが記載されています。

ここから、退職の手続きに入れるべき項目が決まります。アカウントを外すだけでは足りず、保存期間の設定を先に決めておく必要があります。無期限のままにしておけば、その人が戻ってきたときに中身が戻る一方で、会社としては保持し続ける情報が増えます。期間を決めれば、決めた時点から先は自動的に片づきます。どちらが正しいということはなく、決めていないことだけが問題です。

より深刻なのは、会社が契約していない場合です。社員が個人アカウントで業務に使っていた場合、退職と同時に、その履歴は会社の手の届かないところへ完全に移ります。外すことも、消すことも、中身を確認することもできません。取引先名や見積の根拠が入った会話が、退職者の個人アカウントに残り続けるということです。これを止められるのは、退職の手続きではなく、契約の形です。

退職・異動の手順に足す3行：①会社が配ったアカウントを外す（外す前に保存期間の設定を確認する）②本人に共有リンクの一覧を開いてもらい、業務に関するものを削除してもらう③個人アカウントで業務に使っていたものがあれば、その会話を削除してもらう。③は依頼するしかない領域なので、そもそも③が発生しない形（会社が入口を配る）に寄せるのが本筋です。

会社が把握していない利用（シャドーAI）の可視化

会社が把握していない利用は、禁止だけでは表に出ず、公認の入口を用意したほうが見えやすくなります。可視化の方法は、規模によって現実的な選択肢が変わります。専任がいない会社では、次の順で十分に形になります。

1. 聞く：匿名のアンケートで、業務で生成AIを使ったことがあるか、どのサービスか、どんな作業に使ったかを尋ねます。処罰しないと明言したうえで行うのが条件です。1回で、社内のおおよその実態が見えます。
2. 数える：会社が契約しているサービスの管理画面で、誰がいつ使ったかを見ます。契約していなければ、見る画面自体がありません。ここが、契約の有無で差が出る部分です。
3. 受け皿を出す：使われていた作業（議事録の要約、メール文面、資料の下書きなど）を、公認の入口でできる形にします。ここまで来て初めて、禁止が機能します。

アンケートの設問と、集計後に何をするかの流れは野良AIの実態と対策に整理しています。

DLPやIT資産管理ツールによる入力内容の監視と利用ログの取得

監視の仕組みは有効ですが、導入の順番を間違えると費用だけがかかります。DLP（データ損失防止。外部に出てはいけない情報の送信を検知・遮断する仕組み）やIT資産管理ツールは、社員の端末に導入して、どのサイトで何を送信したかを把握するものです。これがあれば、会社が契約していないサービスへの入力も検知できます。

一方で、これらは端末に何かを入れて、その通知を誰かが見る運用が前提です。私物の端末が業務に使われていれば、そこには入りません。通知を見る担当がいなければ、記録は溜まるだけです。社員10〜200名の会社でこの投資が効くのは、①業務に使う端末が会社の管理下にある、②通知を確認する担当が決まっている、の2つが満たされる場合です。満たされない段階では、公認の入口を1つ配って、その管理画面で誰がいつ何のAIを使ったかを見るほうが、手間の割に見える範囲が広くなります。

プラン別に、データの扱いはどう変わるか｜無料版・Plus・法人向け・APIの比較

プランの違いは、機能の多さよりも、会社が何を決められるかの違いとして見ると判断しやすくなります。ここでは、公式ヘルプのどのページに書かれている内容かを添えて並べます。個人向けの各プランの既定値は、公式に記載が確認できる範囲だけを載せています。

法人向けプランは既定で学習に使われない｜管理コンソール・SSO・監査ログの位置づけ

法人向けプランの価値は、学習に使われないことよりも、会社側に操作の口ができることにあります。公式ヘルプには、Business・Enterprise・Eduについて、既定ではモデルの学習に使わない旨が記載されています。ただし、これだけを理由に法人契約に切り替えても、個人アカウントでの利用が残っていれば、経路2・3・8は開いたままです。

会社側の口として公式ヘルプに記載があるのは、ワークスペースの管理者がWorkspace settingsのPluginsでプラグインの導入を管理でき、Appsでアプリごとのアクセスと権限を管理できることです。Enterprise・Eduでは保存期間を設定でき、メンバーを外したときのデータの残り方をその設定で決められることも記載されています。管理コンソール・SSO（社内のID基盤を使ったログイン）・監査ログといった言葉で語られる領域は、こうした管理者側の設定の総称です。

運用する担当がいる会社では、これらは有効な要件になります。専任がいない段階では、「誰がいつ使ったかが1つの画面で分かる」ところから確認すると、比較が進みます。プランごとの料金と機能の並びはChatGPTの法人プランの料金にまとめています。

API経由なら既定で学習に使われないという選択肢

APIは、自社のシステムからChatGPTの機能を呼び出す方法です。公式の案内では、API経由で送ったデータは既定ではモデルの学習に使われないとされています。画面を自社で用意するため、入力できる項目を絞る、送信前に個人情報を伏せる、利用者と日時を自社のログに残すといった制御を自分たちで設計できます。

ただし、社員10〜200名の会社にとって、APIは選択肢というより工事です。画面を作り、認証を付け、利用量を管理し、モデルの更新に追従する必要があります。開発を担える人がいない状態でAPIを選ぶと、作ったあとに誰も手を入れられない仕組みが残ります。開発部門がある会社、あるいは特定の業務に絞って組み込む場合には有力な選択肢になりますが、全社員が日常的に使う入口としては、運用の負担が見合わないことが多いのが実情です。

社内の利用ルール（AI利用ガイドライン）の策定と周知

ルールは、長さではなく、迷ったときに答えが出るかどうかで決まります。8つの経路に対応させると、A4で2枚ほどに収まります。以下は、経路との対応を崩さずに書いた場合の骨組みです。

1. 目的と対象：誰に適用されるか（役員・正社員・パート・業務委託・派遣）。私物端末での業務利用を認めるかどうかをここで書き切ります。
2. 使ってよいサービス：会社が配った入口を挙げ、それ以外は事前申請とします（経路6・8）。
3. 入れてよい情報・入れてはいけない情報：5種類の例示を載せ、判断に迷ったときの相談先を実名の部署で書きます（経路1）。
4. 設定の決めごと：学習に使わせない設定、多要素認証、ブラウザにパスワードを保存しないこと（経路1・5）。
5. 共有と記録の扱い：共有リンクを作ってよい相手、棚卸しの頻度、一時チャットを使う業務（経路2・3）。
6. 外部連携の申請：ストレージやメールの接続は申請制にします（経路4）。
7. 入退社・異動時の手順：アカウントを外す、共有リンクを消す、保存期間を確認する（経路8）。
8. 事故が起きたときの連絡先と初動：第一報を誰に入れるか、時間外は誰か（経路7と次章）。
9. 見直しの頻度：半年に1回、公式の記載を確認して更新する担当を決めます。

作成の手順と、社内への通し方はAI利用ガイドラインの作り方に沿って進めると早く済みます。

規程に入れる条文の言い回しサンプル

そのまま使える形にすると、社内の議論が短く終わります。自社の実態に合わせて、部署名と頻度を差し替えてください。

• 業務における生成AIの利用は、会社が指定したサービスに限る。指定外のサービス、ブラウザの拡張機能、公式に提供されていないアプリケーションの業務利用は、事前に総務部の承認を得た場合を除き行わない。
• 顧客から預かった情報、個人情報、秘密保持契約の対象である情報、および公表前の情報は、会社が指定したサービスであっても、所属長の承認なく入力しない。
• 会話の共有機能を用いて社外にリンクを発行する場合は、発行前に共有される範囲を確認し、発行した記録を所属部署で保管する。四半期ごとに共有リンクの一覧を確認し、業務上不要となったものを削除する。
• 生成AIサービスと社内のファイル共有サービスまたは電子メールを接続する場合は、接続先および権限の範囲を明記のうえ、事前に申請し承認を得る。
• 生成AIサービスのアカウントには多要素認証を設定する。認証情報をブラウザに保存しない。
• 退職または異動の際は、会社が付与したアカウントの停止に加え、本人が発行した共有リンクの削除を行う。
• 誤って情報を入力した、または想定外の範囲に共有したことに気づいた場合は、速やかに総務部に報告する。報告したことを理由に不利益な取り扱いは行わない。

最後の1行を必ず入れてください。報告した人が責められる運用では、事故は必ず隠されます。隠された事故は、報告期限の起算点である「知った時点」を後ろにずらし、結果として会社の対応を遅らせます。

社員教育・研修で安全な使い方を定着させる

研修は、禁止事項の読み上げではなく、手を動かす時間にすると定着します。30分で組むなら、配分は次のとおりです。最初の5分で、8つの経路の表を配って、心がけで止まるのは一部だけだと共有します。次の10分で、全員がその場で設定を触ります。学習に使わせない設定、多要素認証、共有リンクの一覧を開いて件数を数える、の3つです。次の10分で、自分の業務でよく使う依頼文を1つ書き、入れてはいけない情報が混ざっていないかを隣の人と交換して確認します。最後の5分で、迷ったときの相談先と、報告しても責められないことを伝えます。

年1回の集合研修だけでは、入社した人が抜けます。入社時の説明資料に1枚だけ加えること、そして半年に1回、共有リンクの棚卸しの日を全社の予定に入れることが、実務では続けやすい形です。研修の教材として使えるチェック項目は生成AIのセキュリティチェックリストにまとめています。

公的ガイドライン（AI事業者ガイドライン・個人情報保護委員会の注意喚起）との関係

公的な文書は、社内規程を書くときの下敷きとして使えます。個人情報保護委員会は、2023年6月2日に「生成AIサービスの利用に関する注意喚起等について」を公表しています。事業者に向けた内容は2点です。1点目は、生成AIサービスに個人情報を含むプロンプトを入力する場合、特定された利用目的を達成するために必要な範囲内であることを十分に確認すること。2点目は、あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性がある、というものです。

この2点目は、社内ルールの表現に直接効きます。違反すると断定されているわけではなく、違反することとなる可能性がある、という書き方です。したがって社内では、「個人データを入力してはいけない」と一律に書くよりも、「利用目的の範囲内か」「本人の同意の有無」「入力した先で出力以外の目的に使われないか」の3点を確認する手順として書くほうが、原文に忠実で、実務にも合います。3点目の確認は、この記事の経路1（学習への利用の設定）と経路7（サブプロセッサー）の話につながります。

社内規程の章立ての下敷きにできる公的文書としては、所管省庁が公表している指針もあります。版や項目番号は更新されるため、引用する場合は公表元のページで最新のものを確認してください。

全面禁止ではなく、ルールを決めて使う

全面禁止は、実行できる会社と、できない会社がはっきり分かれます。できるのは、業務端末が完全に管理されていて、外部のサイトへのアクセスを制限でき、私物端末での業務が発生しない会社です。この条件を満たさない会社で禁止を宣言すると、起きるのは利用の停止ではなく、報告の停止です。使った人が言い出せなくなり、入力した内容も、作った共有リンクも、会社からは確認できません。

禁止か許可かの二択で考えると、この袋小路から出られません。第3の選択肢は、会社が使ってよい入口を1つ用意して、そこに集めることです。集まれば、誰がいつ何に使ったかが見え、設定は会社側で一度決めれば済み、退職時には止められます。次の章で扱う初動も、集まっている状態のほうが圧倒的に速く動けます。

漏らしてしまったあとの初動｜報告が要るかどうかの判断線と期限

初動でやることは、止める、数える、判断する、の3つです。平時は後回しになりがちですが、実際に起きたときに担当者が探すのはこの情報です。先に手順を紙にしておけば、当日の判断は要りません。

最初の60分でやること

1. 入力を止める：同じ作業をしている人がいれば、まず手を止めてもらいます。1人の操作ミスに見えても、同じ手順書を見て同じことをしている人がいます。
2. 何を入れたかを記録する：本人の記憶が新しいうちに、入力した内容・日時・使ったサービス・アカウントの種類（会社の契約か個人か）を書き取ります。画面のスクリーンショットは、二次的な持ち出しにならない場所に保存します。
3. 消せるものを消す：会話の削除、共有リンクの削除、アップロードしたファイルの削除。前述のとおり、アーカイブは削除ではなく、ライブラリのファイルはチャットを消しても残ります。
4. 広がっていないかを見る：共有リンクを作っていたか、外部連携を有効にしていたか、その会話をコピーして他所に貼っていないか。ここまでが、社内で止められる範囲です。
5. 誰に報告するかを確認する：社内の連絡先に加えて、顧客から預かったデータであれば、委託契約に定めた通知の義務が発生することがあります。契約書の該当条項を先に開きます。

個人情報保護委員会への報告が要るかどうかの判断線と期限

報告の要否は、個人情報保護委員会が示している漏えい等報告の対象に当てはまるかどうかで判断します。対象は4類型です。要配慮個人情報を含む場合、財産的被害のおそれがある不正利用の場合、不正の目的をもって行われたおそれがある場合、そして1,000人を超える漏えい等またはそのおそれがある場合です。期限は、速報が概ね3〜5日以内、確報が発覚から30日以内（不正の目的をもって行われたおそれがある場合は60日以内）とされています。

この期限は、数えられる状態になっていることを前提にしています。何件分のデータが入力されたのか、どの項目が含まれていたのかが分からなければ、速報も書けません。会社の契約でアカウントを配っていれば、少なくとも誰がいつ使ったかは管理画面から辿れます。個人アカウントでの利用では、本人の記憶だけが手がかりになります。3〜5日という時間の使い方が、契約の形で大きく変わるということです。

公表された事案に見る、現実的な進み方

国内で、会社の名前を出して公表された事案もあります。RIZAP株式会社は2026年9月3日に、従業員が特定保健指導管理システムのデータ集計の作業中に、会社が業務利用を許可していない外部の生成AIサービスに対象データを誤ってアップロードしたことを公表しました。対象は2026年1月1日から8月19日に登録されたデータで、含まれる情報は、保険証の記号番号・メールアドレス・氏名・生年月日・性別・住所（一部）・電話番号（一部）に加え、要配慮個人情報として特定保健指導の支援形態と疾患情報とされています。判明のきっかけは、本人の自己申告でした。

同社は、アップロードから24時間以内にデータを削除し、生成AIの事業者以外の第三者による閲覧の可能性はないこと、学習に利用された可能性もないことを確認したとしています。個人情報保護委員会への報告は2026年8月21日に完了したとされています。なお、公表文にサービス名の記載はありません。

この事案から読み取れることは3つあります。第1に、判明のきっかけが本人の自己申告だったこと。報告できる空気があったから、24時間以内の削除につながっています。第2に、許可されていないサービスが使われたこと。会社が用意した入口が業務に足りていたかどうかが問われる部分です。第3に、要配慮個人情報が含まれていたことです。前述の4類型の1つ目にあたり、報告の対象になります。業種によっては、日常の業務データがそのまま要配慮個人情報にあたります。自社のデータがどの類型に該当し得るかは、事故が起きる前に一度確認しておく価値があります。

経路別チェックリスト｜社内配布用の8項目

ここまでの内容を、そのまま印刷して配れる形にします。経路の番号と対応しているので、埋まらない行が、いま開いている経路です。

• 1. 入力：入れてよい情報の線引きが紙になっている個人情報・顧客データ・契約書・ソースコード・未公開情報の5種類に、自社固有の情報を足してA4で1枚。学習に使わせない設定を全員が済ませ、高評価・低評価のボタンとサポートへの問い合わせも入力と同じ扱いにしている。
• 2. 共有リンク：一覧を開いて数えた日が決まっている四半期に1回、Settings、Data controls、Shared links、Manage を開いて件数を数える日をカレンダーに入れている。社外に渡したリンクは、削除前に一声かける手順になっている。
• 3. メモリ・履歴：一時チャットを使う業務が名前で決まっている都度の判断に任せず、業務名で指定している。アーカイブは削除ではないこと、ライブラリのファイルは別管理であることを全員が知っている。
• 4. 外部連携：接続は申請制になっているストレージやメールの接続、アプリの有効化は事前申請。許可の段階（Always ask から Allow all actions まで）のどれを既定にするかを決めている。
• 5. アカウント：多要素認証が全員分終わっている設定を一斉に行う時間を取り、完了者の一覧を総務が持っている。ブラウザにパスワードを保存しない運用が周知されている。
• 6. 端末・拡張機能：業務に使う端末を把握している私物端末での業務利用の可否が決まっている。拡張機能と非公式アプリの可否の基準（提供元の明示・データの扱いの記載・公式ドメインでのログイン・要求される権限）を配っている。
• 7. 提供側：告知を受け取る担当が決まっている提供元からの連絡を受け取る担当者と、サブプロセッサー一覧・保存先・準拠法を契約前に確認する手順がある。顧客との委託契約の再委託条項と突き合わせている。
• 8. 人と運用：退職・異動の手順に生成AIの行があるアカウントの停止、保存期間の設定の確認、共有リンクの削除が手順書に入っている。会社が把握していない利用を一度アンケートで数えている。

会社として公認の入口を1つ配る、という第3の選択肢

8つの経路のうち6つは、会社が入口を1つ用意するだけで、同時に狭くなります。禁止するか、個人アカウントのまま気をつけさせるかという二択に、もう1つ足すという考え方です。

入口を1つにすると、経路ごとに何が変わるかを並べます。経路1の学習の設定は、本人ごとの操作ではなく会社側で一度決める形になります。経路2の共有の範囲は、会社の契約の中に閉じます。経路4の外部連携は、会社が接続先を決められます。経路5と6は、配ったアカウントの範囲で多要素認証や端末の条件を揃えられます。経路8は、退職のときに会社の操作で止められます。残る経路3と7は入口を1つにしても消えませんが、少なくとも「誰がいつ使ったか」が1つの画面で分かる状態になるため、事故が起きたときに数えられます。

もう1つの効果は、判断の回数が減ることです。どのサービスを使ってよいか、どの設定にすべきか、この拡張機能は入れてよいか。これらを社員一人ひとりに判断させ続ける運用は、専任のいない会社では続きません。入口が1つなら、判断は導入時に一度で済みます。

選ぶときの観点は、機能の多さではなく、次の4つに絞ると早く決まります。第1に、誰がいつ何に使ったかが1つの画面で分かること。第2に、学習への利用の扱いが、会社側の設定として明記されていること。第3に、退職・異動のときに会社側で止められること。第4に、社員が実際に使いたい作業（要約、文面づくり、資料の下書き）がその入口で完結し、他所に流れないこと。第4を外すと、入口を配ったのに使われない状態になり、シャドーAIは減りません。法人向けのサービスを横に並べて比べる場合は法人向け生成AIサービスの比較が出発点になります。

よくある質問｜無料版と法人版の違い、入力してしまった場合の対処

まとめ

ChatGPTの情報漏洩対策は、入力の注意喚起から始めて、そこで止まってしまうことが多い領域です。実際には、共有リンク、メモリと削除、外部連携、アカウント、端末と拡張機能、提供側の不具合とサブプロセッサー、そして人と運用という、本人の心がけでは閉じない経路が並んでいます。8つの経路を表にして、何が出るか、誰が止めるか、どう止めるかを割り当てるところまで進めれば、対策は具体的な作業に変わります。

社員10〜200名で専任の担当がいない会社なら、順番は3手で足ります。会社として公認の入口を1つ配ること、共有リンクとメモリの扱いを決めること、退職・異動の手順に生成AIの行を足すこと。この3手で、8つの経路のうち6つが同時に狭くなります。監視の仕組みや細かな権限管理は、この3手が回り始めてからで間に合います。

そして、事故が起きたときに数えられる状態を作っておくことが、報告期限を守れるかどうかを分けます。設定の名称や保存期間の扱いは更新されるため、半年に1回、公式の記載を確認して社内の手順書を更新する担当を決めておくことをおすすめします。