「この資料を入れてよいか」を、本人だけで決めない
会議の要約を作ろうとして、手元の資料をChatGPTへ添付する。その直前に、顧客名や担当者の連絡先が含まれていることに気付く。会社のルールを探しても、使ってよいサービスと確認先が分からない。ここでは、こうした場面を想定します。
最初に必要なのは、社員がその場で確認できる利用範囲です。会社が認めるサービスとアカウント、業務、入力できる情報、出力を確認する人をそろえます。判断できなければ入力を止め、窓口へ聞けるようにします。
この記事の管理方法と図はSHINJIDAIの提案です。特定企業の内部運用や支援実績を再現したものではありません。個別サービスの設定値や契約条件は、利用する時点の公式情報で確認してください。
10月23日の公表から、設定と社内の判断を分けて考える
パナソニック オペレーショナルエクセレンスは2026年10月23日、社内で利用を禁止していた外部生成AIサービスへ、従業員等の個人情報がアップロードされたと公表しました。同社は、当該サービスでデータの学習機能は無効だったと説明し、サービス側での一定期間の保持についても記載しています。
ここから自社の運用で確認したいのは、学習利用をオフにする設定と、会社が情報の入力を認める判断を別に扱えているかです。公表されていないサービス名や個人の意図、他社の被害を推測する必要はありません。
この公表にある保存期間や削除の説明は当該事案の条件です。すべての生成AIへ同じ期間や仕組みを当てはめたり、予定日を過ぎたことだけで削除完了を確認した扱いにしたりしません。
承認・入力情報・学習利用・保存条件の四つを確認する
会社の承認では、サービス名だけでなく契約や利用アカウント、対象部署と業務、承認した範囲を確認します。同じ名前のサービスでも、プランや接続する機能が違えば条件が異なる可能性があります。
入力情報では、目的に必要な範囲か、個人情報や取引先の秘密を含むか、利用目的や契約・権利の条件に合うかを確認します。個人情報保護委員会の2023年6月2日の注意喚起は、個人情報を入力する事業者に利用目的の範囲を確認することなどを示しています。学習設定の確認だけで、この判断を済ませることはできません。
学習利用の設定は、入力や出力がモデルの学習に使われる条件の確認です。一方、保存期間、削除、管理者や提供元がアクセスできる条件、外部への再送信は、それぞれ別の確認項目です。利用規約・プライバシーポリシー・契約と設定を対応させて記録します。
会社の承認
どの環境を、誰が、何の業務で使うか
入力する情報
必要性、利用目的、契約・権利、機密性を確認
学習利用
入力・出力の利用条件と実際の設定を確認
保存・削除・接続先
保持される場所・期間・権限・連携先を確認
使える例と、止めて聞く例を一組で決める
現場へ伝えるルールは、抽象的な「機密を入れない」だけで終わらせません。例えば、一般的な社内案内の構成を考える場合は、会社が認めた環境で、実名や非公開の事情を送らずに扱う、と業務と入力範囲を具体化します。公開資料にも著作権などの条件があるため、公開済みというだけでは承認しません。
一方、顧客の相談履歴、従業員情報、契約書の添付などは、入力前に会社の担当者へ確認する場面として示します。名前を伏せても他の項目から特定できることがあり、利用者だけで匿名化の十分さを決めないようにします。
窓口へ聞くときは、元資料をそのまま転送する前に、利用したい業務、情報の種類、候補のサービスとアカウント、必要な出力を伝えます。窓口の回答が来るまでは入力を保留し、担当不在時の連絡先も用意します。
- 使ってよいサービス・契約・アカウントと確認日を示す
- 認める業務と入力範囲、出力の確認担当を対で示す
- 迷う情報・新しい使い方は、入力前に止める
- 窓口と代わりの担当、回答を記録する場所を決める
承認は、対象・条件・期限を残して引き継ぐ
説明用の架空例として、案内文の構成案を作る業務Aと、顧客との相談履歴を整理する業務Bを考えます。Aで承認を得ても、それをBへの許可として使い回さないようにします。サービスが同じでも、入力情報と目的が変わるからです。
承認の記録には、業務、情報の種類と最小範囲、利用環境、確認した規約・契約の版と日付、判断した担当、条件、見直す日を残します。個人情報や会話履歴の全文を承認台帳へ集めず、判断に必要な概要と権限のある参照先で管理する方法もあります。
担当交代やサービスの規約・機能変更、外部連携の追加があれば、見直す条件に当てはまるか確認します。期限が来たときに自動で更新せず、再確認が必要なものを見付けられるようにします。
既存の運用・設定、連携、RAGを順に比べる
まず、すでに使うサービスと契約、管理機能、現場の業務を調べます。既存の会社管理アカウントと利用ルール、必要な設定・教育で整えられるなら、その方法を検討します。新しいシステムを作ることが出発点ではありません。
社内データを外部へ送らずに前処理できるか、必要な項目だけを渡せるか、承認前に送信を止められるかなど、業務側の受け渡しも選択肢です。連携を作る場合は、何がどこへ送られ、失敗時に何が残るかを確かめます。
社内資料を継続して検索し、その内容を回答の参考にする必要があるときは、RAGも候補になります。RAGは検索した資料を回答に使う仕組みで、元資料の閲覧権限、検索結果を生成AIへ送る範囲、更新・削除、ログの扱いが設計対象です。「社内RAGだから安全」と決めず、データの流れと条件を検証します。
既存運用・契約・設定
- 使える業務と情報、窓口を明示
- 会社管理の環境と設定を点検
- 承認・教育・見直しを運用
必要な連携・RAG等の開発
- 入力を減らす前処理と送信制御
- 資料権限・出典・更新の対応
- ログ・削除・失敗時の確認
小さな業務で、移行と完成の条件を確かめる
最初は、対象部署と一つの業務を決めます。業務側は、入力してよい情報、確認する出力、判断権限と相談先を決めます。実装側は、合意した環境、権限、送信する項目、記録と通知などを形にします。法務や情報管理の判断が必要な箇所は、専門担当者の確認へつなげます。
移行時は、従来の使い方をいつ止めるか、保存済みの資料や連携をどう確認するか、未回答の利用申請を誰が引き継ぐかを整理します。個人アカウントの会話を一括で会社へ回収することを当然の条件にせず、権利や本人・会社の役割を確認します。
完成の確認には、未承認の業務、情報が混ざった添付、権限のない資料、削除済み資料、窓口不在、誤った出力を使います。入力を止める、適切な担当へ確認する、出力を修正してから使う、といった動きが成立するかを確かめます。
費用は、対象業務、既存契約の管理機能、連携先、資料権限と更新の状態、移行量、必要な履歴などで変わります。稼働後にルールを変える担当、サービス変更を確認する窓口、問い合わせ・保守の範囲も合意します。
- 使える業務が増えたかだけでなく、入力前に迷いを解消できたかを見る
- 未回答の利用相談と担当未設定を見付けられるか確かめる
- 出力の誤りを発見・訂正できるかを業務側と確認する
- 効果は同じ業務・対象・期間で測り、導入前に削減率を保証しない
誤って入力したときは、追加の送信を止めて担当へ知らせる
利用者が一人で削除操作だけをして終わりにせず、社内の定めた窓口へ速やかに報告する流れを用意します。まず追加の入力や共有を止め、いつ、どの環境で、どの種類の情報を扱ったかを必要な担当者へ伝えます。
確認のために機密のプロンプトや添付を全員へ転送すると、共有範囲が広がります。記録を扱う権限と方法を決め、サービス側の保存や削除、関係者への連絡・報告の必要性は担当者が確認します。削除完了や影響なしを利用者だけで断定しないようにします。
相談では、使いたい一つの業務と確認が止まる箇所から
「社員がそれぞれ使っていて把握できない」「ルールはあるが、添付してよい資料を判断できない」など、現在の一つの場面からご相談ください。機密資料を最初から送る必要はありません。
SHINJIDAIは業務の課題整理と解決策の提案から、設計・開発・導入まで伴走します。このテーマでは、使いたい業務、入力情報、既存環境、承認と確認の役割を整理し、運用・設定で整える範囲と、必要な連携やRAG等の開発を比較して提案します。
合意した実装では、送信する範囲、資料の権限、更新、履歴、誤った出力や担当交代まで業務で使えるかを検証します。法的な個別判断や事故対応の専門支援は、役割と対象を分けて確認します。
業務の課題整理から、設計・開発・導入まで
生成AIの利用範囲と、入力前の確認をそろえる
SHINJIDAIにご相談ください。
- 社員ごとの利用で、どこへ何を入力してよいか曖昧になっている
- ルールはあるが、現場の相談と承認の記録がつながらない
- 既存環境を活かし、必要な連携・RAGの範囲を決めたい
課題の整理から伴走業務・入力情報・利用環境・承認の役割を確認し、運用・設定・連携・RAG等の開発を比較します。合意した権限・送信範囲・履歴を実装し、未承認の利用や更新・削除、担当交代まで検証します。
最初は業務と判断に迷う情報の概要から。機密資料や利用履歴の全文は初回の必須資料ではありません。
契約・法務の個別判断や事故の専門対応は、業務設計・実装と役割を分けて対象を確認します。
ID・パスワードや顧客データは、フォームに記載しないでください。
課題整理から導入までの進め方を見る出典
パナソニック オペレーショナルエクセレンスの2026年10月23日公表と、個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日）2〜3ページを、2026年10月26日に確認しました。事案の説明は同社の公表時点の範囲です。
利用範囲の記録、業務A・B、図と運用例はSHINJIDAIの独自整理です。第三者の図・ロゴ・実画面を転載していません。2026年9月15日公開の本記事を、入力前の確認、保存条件、承認範囲とRAGの説明について改訂しました。
よくある質問
学習に使わない設定なら、顧客情報を入力してよいですか？
その設定だけでは判断できません。会社が認めるサービス・契約・アカウントか、入力する目的と情報の範囲、取引先との約束、保存や削除などの条件を確認します。個人情報の取扱いは必要に応じて法務・個人情報保護の担当者と確認します。
社員の個人アカウントを使わせなければ十分ですか？
会社の管理する環境へそろえることは一つの対策ですが、入力する情報や業務、権限、外部連携、出力の確認も必要です。会社のアカウントであれば何でも入力可能、というルールにはしません。
会社の生成AIサービスを契約するまで、全業務を止めるべきですか？
一律には決まりません。会社が現状で認める業務と情報、利用環境を確認します。未承認の入力を続けず、一般的な文章の構成案など、業務データを送らずに検討できる作業から整理する選択肢もあります。公開情報にも利用条件があるため、公開済みなら無条件に使えるとは扱いません。
匿名化したつもりの資料なら入力できますか？
名前を消しただけでは、他の項目や文脈から特定できる場合があります。加工方法と残す情報、利用目的、提供先、権利や契約の条件を会社の担当者が確認します。匿名化済みという自己申告だけで承認済みにしません。
社内資料はRAGにすれば安全ですか？
RAGは資料を検索し、その内容を回答の参考にする仕組みです。資料の保存先、検索で取得した部分の送信先、元資料の権限、ログ、更新・削除の反映を設計する必要があります。導入するだけで情報管理が保証されるわけではありません。
ルールの相談では、社内資料や利用履歴を送る必要がありますか？
初回は、利用したい業務、使っているサービス、判断に迷う情報の種類と社内の役割の概要から相談できます。機密資料や履歴の全文は必須ではありません。必要な調査や実装は、対象・方法・担当・費用の範囲を合意して進めます。