ChatGPT社内利用ルール無しの落とし穴3つ｜漏えいを防ぐ本音

社内でChatGPTが使われ始めた会社で、最初に聞こえてくるのはこの一言です。「これ、入れて大丈夫ですか？」——聞かれた側も明確な答えを持っていないので、その場の空気で「たぶん大丈夫」と返す。この1往復が1日に3〜5回、部署をまたいで起きているのに、どこにも記録が残らない。これが、ルールが無いまま社内でChatGPTを使っている会社のいちばん普通の風景です。

危ないのは、誰かが悪意で機密を貼り付けることではありません。全員が善意のまま、それぞれ違う基準で線を引いてしまうことです。この記事では、ChatGPTの社内利用にルールが無いまま進めた会社で実際に起きる落とし穴を3つに整理し、まず決めるべき3つの線引きと、自社だけで作ろうとすると止まる場所を整理します。

ルールが無いままChatGPTを使う会社で、いま起きていること

総務省の「令和7年版 情報通信白書」では、生成AIについて「積極的に活用する方針」「活用する領域を限定して利用する方針」と答えた日本企業の合計が2024年度調査で49.7%となり、2023年度調査の42.7%から7.0ポイント増えたと示されています。ただしこの49.7%は導入率ではなく、方針を決めている企業の割合です。同白書では企業規模別に見ると、中小企業では「方針を明確に定めていない」との回答が多く、およそ半数を占めるとされています（出典：総務省「令和7年版 情報通信白書」）。つまり、現場ではもう使われているのに、方針が決まっていない会社が半数近くある。その状態で起きるのが、次の3つです。

落とし穴1｜「入れていい情報」を、社員1人ひとりの感覚が決めている

ルールが無い会社では、判断基準が人数分だけ存在します。営業担当は取引先名を伏せれば大丈夫だと考え、経理担当は金額が入っていなければ問題ないと考え、人事担当は社員名を伏せれば安全だと考える。3人とも真面目に考えた結果、3つの違う基準が同時に走ります。

個人情報保護委員会は2023年6月に生成AIサービスの利用に関する注意喚起を公表し、個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合、あらかじめ特定した利用目的の達成に必要な範囲内であることを確認する必要があるとしています（出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」）。ここで問われているのは「入れたか入れていないか」ではなく、「必要な範囲かどうかを会社として確認できる状態か」です。個人の感覚に委ねている限り、その確認は構造的に成立しません。

そして実務でいちばん時間を食っているのは、漏えいそのものではなく確認待ちです。1回3〜5分の「これ入れていいですか」が1日に3〜5回、月20営業日で積み上がると、確認する側とされる側を合わせて月4.0時間前後が消えます。5人が同じことをしていれば月20.0時間の帯です。この時間は成果物を1つも生みません。

落とし穴2｜出てきた文章を、誰も検算しないまま社外に出す

2つ目は出口側です。ChatGPTは、事実関係が曖昧な部分でも自然な日本語で書き切ります。読みやすいほど、読んだ人は疑いません。提案書の数字、見積の前提条件、規約の引用、日付や社名の表記。この4か所は、生成された文章のなかで最も静かに間違う場所です。

私の経験では、ここで事故が起きる会社に共通しているのは「誰が最終確認するか」が決まっていないことです。ツールの精度の問題ではありません。1本の文書に対して、原本と突き合わせる担当が1人決まっていれば、10〜15分の確認で防げるものがほとんどです。決まっていないと、3人が「誰かが見ているはず」と考えて、結果的に0人しか見ないまま外に出ます。

実際、ChatGPTの読み取り精度そのものは実務に耐えます。私自身、業務委託契約書を貼り付けて「受託側に不利な条項を指摘して」と聞いたところ、損害賠償の上限が未設定であること、解除条件に不備があること、競業避止の範囲が広すぎることの3点を的確に指摘してきました。使えないから危ないのではなく、そこそこ使えるからこそ、検算のない運用が危ないのです。

落とし穴3｜全面禁止にした会社ほど、見えない場所で使われる

3つ目が、いちばん見落とされます。「危ないから当面禁止」と決めた会社で起きるのは、利用がゼロになることではなく、私物のスマートフォンや個人アカウントに移動することです。会社の管理外に出た瞬間、入力内容も、保存期間も、誰が何に使ったかも、一切追えなくなります。

全面禁止は「シャドーAI」を生むだけだと私は考えています。禁止する前と後で変わるのは利用量ではなく、可視性です。月に何件使われているか、どの部署が何に使っているかが分かる状態から、何も分からない状態へ移るだけ。しかも禁止した会社ほど、担当者は上司に相談できないので、事故が起きたときの発覚も遅れます。

禁止でも放任でもない第三の選択肢が、線引きです。使ってよい範囲を先に決めて、その中では堂々と使ってもらう。範囲の外は明確に止める。これは規程を分厚くする話ではなく、むしろ逆で、判断に迷う場面を減らして現場を軽くする話です。

線引きを決めた会社と決めていない会社で、半年後に何が変わるか

線引きの効果は、事故が起きなかったことでは測れません。起きなかったものは数えられないからです。代わりに数えられるのは、毎月必ず発生している6つの作業にかかる時間です。

確認待ちの月4.0時間が、月1.0時間の帯に入る

これ入れていいですかが消えるのは、答えが1枚に書いてあるからです。入れてよい情報と入れない情報が業務名で並んでいれば、確認は月1.0時間前後まで落ちます。差は月3.0時間、年36時間。5人規模なら年180時間の帯です。上の比較表のとおり、確認待ち・検算・二重チェック・教え直し・設定確認・トラブル調査の6項目を合計すると、月18.0時間が月7.5時間に移る試算になります。

ただし、検算の時間だけは削りません。月5.0時間を月3.0時間に圧縮はしますが、ゼロにはしない。ここを削った会社が、落とし穴2に落ちます。削ってよい時間と、絶対に残す時間を分けるのが線引きの本体です。

ルールが無い会社は、半年で使われなくなる

もう1つ、見落とされがちな差があります。定着です。私の経験では、ルールがなければ半年で使われなくなります。理屈は単純で、判断を都度個人に押し付ける仕組みは疲れるからです。3回に1回「これ聞いていいのかな」と迷えば、4回目からは使わなくなります。

導入したツールを放置すれば使われなくなり、導入時点のツールをそのまま使い続ければ、それはそれで陳腐化します。生成AI周辺は3〜6か月単位で仕様が変わる領域なので、決めたルールも年2回程度は見直す前提で作るのが現実的です。

到達点は、公表事例が示している

線引きが機能した先に何があるかは、公表されている事例から読み取れます。リンクアンドモチベーションでは、515名の全社員で生成AIの利用率100%を達成し、1日1回以上利用する社員が96%、年間3,000時間の削減と業務時間の前年比25%減を公表しています。パナソニックコネクトでは社内AIの全社展開により2024年度に年間44.8万時間の削減を公表しています。いずれも数百名から数千名規模の話ですが、構造は同じです。使ってよい範囲が全員に見えている会社ほど、利用率が上がっています。

まず決めたい3つの線引きと、その中身

ここで多くの会社が、20ページの規程を作ろうとして止まります。私は、いきなり完璧を目指さなくていいと考えています。まず3つだけ決めて共有する。それで実務は回り始めます。ルールは導入の妨げではなく、安全に使うための土台です。

線引き1｜入れてよい情報と、絶対に入れない情報を業務名で並べる

抽象語で書くと機能しません。「機密情報は入力禁止」と書いても、何が機密かで3人が3通りに解釈するからです。自社の業務名で並べるのが要点です。たとえば「社外向けメールの下書き」「議事録の要約」「求人票のたたき台」は入れてよい側、「取引先名と金額が入った見積原本」「社員の評価コメント」「未公表の決算数値」は入れない側、という粒度まで落とします。

最初に並べるのは、入れてよい側5件・入れない側5件の計10件で十分です。10件を1枚にして配れば、現場の迷いの8割は消えます。残り2割は「判断がつかないときは聞く」でよく、その窓口を1人決めておきます。

線引き2｜出力を検算して、誰の名前で外に出すかを決める

2つ目は責任の所在です。生成された文章をそのまま社外に出す場合、最終的に責任を持つのは書いた人ではなく、名前を出す人です。ここを1文で決めます。「社外に出す文書は、担当者が原本と数字・日付・社名の3点を突き合わせたうえで、部門長の名前で出す」。この1文があるだけで、0人しか見ていない状態は構造的に起きなくなります。

検算の対象は3〜4か所に絞ってください。全文を読み直すルールにすると、10分で終わるはずの確認が30分になり、2週間で守られなくなります。数字・日付・固有名詞・引用元。この4点だけを必ず見る、と決めるほうが続きます。

線引き3｜アカウントの種類と、学習・保持の設定を確認する

3つ目は設定です。個人アカウントか会社契約かで、データの扱いは変わります。OpenAIのヘルプセンターでは、モデル学習への利用はデータコントロールの設定から無効にでき、削除した会話は30日以内にシステムから完全に削除されると案内されています（2026年8月時点。最新の条件はOpenAI公式ヘルプで確認してください）。

ここで確認するのは3点だけです。どのアカウントで使っているか、学習利用の設定がどうなっているか、履歴がどこにどれだけ残るか。この3点を部署ごとに1回確認すれば、月0.5時間程度の維持で済みます。逆に、この確認をしないまま線引き1と2だけ決めると、土台が抜けたまま運用することになります。

アカウントを会社側に寄せるかどうかを、費用面で迷う会社も少なくありません。有料プランの水準はChatGPT Plusで月額20ドル（約3,000円）、他社の同等プランもおおむね月額20ドル前後です。仮に10人分を会社契約に寄せても月3万円前後、2つのサービスを併用しても月6万円前後の帯に収まります。一方で、私物アカウントに散らばったまま運用した場合、入力内容も履歴も追えないので、事故が起きたときの調査だけで月2.0時間が消えます。金額よりも、見えないことのコストのほうが高くつく構図です。

3つが回り始めたら、5項目に広げる

3つで2〜3か月回してから、5項目に広げます。追加するのは「相談窓口」と「見直しの時期」の2つです。国が示す考え方も参照点になります。総務省と経済産業省の「AI事業者ガイドライン」は2026年3月にVer1.2が公表され、本編・付録に加えてチェックリストや概要版も用意されています（出典：総務省「AI事業者ガイドライン」）。自社の3項目を作ってから読むと、どこが足りないかが分かる読み方ができます。順番が逆だと、ガイドラインの分量に押されて何も決まらないまま数か月が過ぎます。

自社だけでルールを作ろうとすると止まる3つの壁

ここまで読むと「3項目なら自社でできそうだ」と感じるはずです。実際、決めること自体は難しくありません。BoostXの生成AI伴走顧問の現場で繰り返し見えてきたのは、止まる場所が会社の規模や業種によらずほぼ同じだという点です。私が支援した会社でも、つまずくのは決めるところではなく、決めた後の3か所でした。

壁1｜テンプレートを写すと、自社の業務名が1つも出てこない

ネット上の利用規程テンプレートは、どれも「機密情報」「個人情報」「知的財産」という抽象語で書かれています。写した瞬間、線引き1で必要な「自社の業務名で並べる」が失われます。結果、配っても現場の判断は1つも変わりません。5〜10件の具体例を自社の言葉で書き出す作業は、社内の業務を知っている人にしかできず、そこに1〜2日分の工数がかかります。

壁2｜決めた翌週から運用されない

2つ目が最大の壁です。禁止事項だけを並べたルールは読まれません。「入れてよい側」が先に書かれていて、しかも自分の担当業務が例示されている文書だけが読まれます。配布して終わりにすると、3週間で元の状態に戻ります。定着させるには、配布後2〜4週で1回、実際の使い方を見て文言を直す工程が要ります。

壁3｜法令とガイドラインの更新に追従できない

3つ目は継続の壁です。AI事業者ガイドラインはVer1.0が2024年4月、Ver1.01が2024年11月、Ver1.1が2025年3月、Ver1.2が2026年3月と、およそ半年から1年ごとに更新されています。各AIサービス側の仕様変更も加えると、年2回の見直しは最低ラインです。この見直しを誰が担当するかを決めていない会社では、1年後に「去年作った1枚」が誰にも参照されない状態になります。

この3つの壁は、知識が足りないから起きるのではありません。決めた後を回し続ける担当が社内にいないから起きます。生成AIコンサルティングのような外部の関与が効くのは、まさにこの「決めた後」の部分です。

ビフォーアフター：ChatGPTの社内利用がここまで変わる

Before：判断を個人に預けたままの1か月

Before側で消えているのは月18.0時間ですが、本当の損失は時間ではありません。使ってよいか分からないものは、誰も改善しようとしないという点です。1年間この状態が続けば、確認待ちだけで年48時間、6項目の合計では年216時間が積み上がります。

After：範囲の中で堂々と使える1か月

After側では、6項目の合計が月7.5時間、年90時間の帯に入ります。差は月10.5時間・年126時間の試算です。加えて、月に何件使われたかが数えられる状態になるので、次に何を任せるかの判断ができるようになります。数えられない状態から、数えられる状態へ移ること自体が成果です。

違いを生んでいるのはツールではなく運用設計

BeforeとAfterで、使っているツールは同じChatGPTです。契約プランも同じで構いません。違うのは、入れてよい情報が業務名で書かれているか、検算の4点と担当が決まっているか、アカウントと設定が確認されているか、という運用設計の3点だけです。ここは機能の問題ではないので、ツールを乗り換えても解決しません。「うちはまだBefore寄りだ」「Afterに近づけたい」と感じた方は、次のセクションをご覧ください。

よくある質問

公開日：2026年8月