AIへの入力禁止、会社のパソコンだけ守ればいい？私物スマホが抜け道になっていませんか

会社のパソコンではChatGPTへの顧客情報の入力を禁止している。だから情報管理は大丈夫。そう考えていませんか？

社員30人ほどの会社で見落としやすいのが、社員の私物スマホからの生成AI利用です。

今回は、営業担当者が外出先でChatGPTを使う場面を例に、会社がどこまでルールを決めるべきか、具体的に考えます。

会社のパソコンでは禁止。でも、スマホでは？

こんな場面を想像してください。

営業担当者が取引先との打ち合わせを終え、帰りの電車に乗っています。

上司への報告を早く済ませたい。でも、会社のパソコンを開くのは面倒です。

そこで私物スマホからChatGPTを開き、打ち合わせ内容を入力します。

「この内容を上司向けに簡潔にまとめて」

AIが数秒で報告文を作ってくれます。担当者はその文章をコピーし、上司に送信します。

便利な使い方に見えますよね。

しかし、入力した文章に取引先の名前、商談金額、契約条件が含まれていたらどうでしょう。

会社のパソコンでは禁止されている情報を、私物スマホから外部のAIサービスへ送ってしまったことになります。

問題はスマホを使ったこと自体ではなく、会社が管理すべき情報を、許可されていない方法で外部へ送ったことです。

「会社のパソコンは管理している」が通用しない理由

会社のパソコンなら、一定の管理ができます。

利用できるWebサイトを制限したり、ソフトウェアのインストールを管理したり、アクセス記録を確認したりできます。

もちろん、これらを設定している会社に限った話です。

一方、私物スマホには同じ管理が及ばないことがあります。

例えば、社員が個人のGoogleアカウントやAppleアカウントでChatGPTなどを利用している場合です。

会社側が利用状況を把握できず、入力内容を確認することも難しくなります。

ここで注意したいのは、個人アカウントだから必ずAIの学習に使われる、というわけではないことです。

入力情報がモデルの改善に利用されるかどうかは、サービス、契約プラン、設定などによって異なります。

ただし、学習への利用を無効にしていても、それだけで会社の情報を入力してよいとは限りません。

情報の保存、サービス提供事業者による取り扱い、アクセス権限、会社との契約条件など、別の確認事項が残るからです。

会社が確認していないサービスへ商談情報を送る行為には、依然としてリスクがあります。

社員はルールを破ろうとしているとは限らない

私は、ここが特に重要だと考えています。

私物スマホでAIを使う社員が、必ずしも悪意を持っているわけではありません。

むしろ、仕事を早く終わらせたいと考えていることもあります。

先ほどの営業担当者も、顧客情報を持ち出そうとしたわけではありません。

上司への報告を効率化したかっただけです。

そこで会社が「AIに顧客情報を入力してはいけません」とだけ伝えていたら、どうなるでしょう。

社員によっては、会社のパソコンで使わなければ問題ない、と受け取る可能性があります。

また、顧客名を削除すれば問題ない、と考える社員もいるでしょう。

しかし、会社名を消しても、商談内容や金額、地域、製品名などの組み合わせから取引先を推測できる場合があります。

社員個人の判断だけに任せると、情報を守る基準が人によって変わってしまいます。

必要なのは、利用を一律に禁止することではなく、利用する端末やアカウントが変わっても判断できるルールです。

ルールは「どの端末か」ではなく「何を送るか」から考える

では、営業担当者の報告業務を例に、会社はどう決めればよいでしょうか。

最初に整理したいのは、次の違いです。

• 利用する端末： 会社のパソコンか、私物スマホか
• 利用するサービス： 会社が承認したAIか、個人で登録したAIか
• 入力する情報： 公開情報か、社外秘の情報か
• 利用する目的： 一般的な文章作成か、実際の商談情報の整理か

この4つは、それぞれ別の判断項目です。

会社のパソコンでも、未承認のAIに顧客情報を入力すれば問題になり得ます。

反対に、私物スマホでも、一般公開されている情報だけを使い、会社が許可した方法でAIを利用するなら、許容できるケースはあります。

つまり、私物スマホを全面的に禁止することが唯一の正解ではありません。

ただし、会社が端末の安全性を確認できない場合は、業務情報を扱うAI利用を私物スマホでは禁止する判断も合理的です。

大切なのは、端末・サービス・情報の組み合わせで、許可する範囲を明確にすることです。

営業報告なら、どこまでAIに入力していい？

ここで具体的に考えてみましょう。

営業担当者が、取引先との打ち合わせを上司に報告する場面です。

会社として未承認の個人向けAIサービスは、顧客情報を含む業務利用を認めない方針とします。

この前提なら、次のように区別できます。

入力を認める例

「営業報告を、結論・確認事項・次の行動の順で書くための見出しを作ってください」

この文章には、取引先固有の情報が含まれていません。

AIに文章の構成だけを考えてもらい、実際の商談内容は社内の承認された環境で人が記入できます。

入力を認めない例

「株式会社〇〇との商談で、見積金額は800万円。先方の担当者は△△さんで、来月の契約を希望しています。これを報告文にしてください」

こちらは、実際の商談情報を外部サービスへ送ることになります。

入力内容を短くしても、情報の性質は変わりません。

注意したいのは、会社名や担当者名を伏せるだけでは十分とは限らない点です。

「地方の医療機関向けシステムを800万円で提案中」と書いただけでも、会社の事業規模や案件の特徴によっては対象を推測できる可能性があります。

匿名化したつもりでも、取引先や案件を特定できる情報が残っていないか確認が必要です。

社内ルールは、長い規程より「迷わない一文」から

社員30人ほどの会社で、いきなり分厚いAI利用規程を作る必要はありません。

まずは、営業担当者が外出先で迷わない一文を決めましょう。

例えば、次のようなものです。

社内向けAI利用ルールの例

私物スマホ・会社支給端末を問わず、会社が承認していない生成AIサービスに、顧客情報・商談内容・見積金額・契約条件などの非公開情報を入力しない。

AIで文章を作成する場合は、実際の顧客情報を含まない一般的な文章構成の作成に限る。

実際の商談情報を使う場合は、会社が許可したサービス・端末・利用方法に従う。

この文章なら、社員が私物スマホを利用したときも判断できます。

また、会社が承認したAIサービスを導入した場合には、その利用条件を別途定められます。

ただし、文章を作って配るだけでは不十分です。

「どこまでが商談情報なのか」「名前を消せば使えるのか」といった疑問が出る可能性があるためです。

そこで、実際に起きそうな場面を使って確認することをおすすめします。

今日できるのは、禁止事項を増やすことではない

まず、会社のAI利用ルールを次の4つの質問で確認してください。

• 端末： 私物スマホからの利用について書かれているか
• アカウント： 個人アカウントと会社承認アカウントの扱いを区別しているか
• 入力情報： 顧客名だけでなく、商談内容や見積金額も対象になっているか
• 利用方法： 禁止するだけでなく、代わりにどう報告文を作ればよいか示しているか

すべての質問に答えられるなら、少なくとも営業報告に関する判断基準は整理できています。

答えられない項目があれば、そこがルールを見直す出発点です。

もう一つ、経営者や管理者に確認してほしいことがあります。

「私物スマホで営業報告をAIにまとめてもいいですか？」

この質問を社員から受けたとき、管理者全員が同じ回答をできるでしょうか。

ある管理者は「顧客名を消せばいい」と答え、別の管理者は「絶対に使うな」と答える。

これでは、社員はどちらに従えばよいのか迷います。

社員の判断を責める前に、会社として判断基準をそろえる必要があります。

AIを禁止する場所ではなく、情報の行き先を管理する

生成AIの利用を管理するとき、会社のパソコンは対策を考えやすい場所です。

しかし、社員がAIを使う場面は、会社のパソコンの前だけではありません。

営業先からの帰り道、自宅、移動中の電車。

スマホがあれば、どこでもAIに質問できます。

だからこそ、会社の情報管理も「会社の端末を守れば終わり」という考え方だけでは足りません。

守るべきなのはパソコンそのものではなく、会社や顧客の情報です。

その情報を、誰が、どのサービスへ、どの条件で送ってよいのか。

ここを決めておけば、社員が新しいAIサービスを見つけても、判断の基準を共有できます。

今日やることは一つだけです。

社内のAI利用ルールに「私物スマホ・個人アカウントからの利用」が含まれているか確認する。

書かれていなければ、まず営業報告の場面から、先ほどのルールを参考に一文を追加してみてください。

もっと具体的な手順とテンプレートが必要な方へ

私物スマホ・個人アカウント・入力情報の許可範囲を整理し、社員が迷わず判断できる社内ルールへ落とし込む手順があります。

こうしたルールの作成から社内への周知まで、社内で回

この記事の続きを、社内で回せる形にまとめました

この記事で扱った話の続きとして、問い合わせ・Excel・研修・採用・SNSにそのまま使えるプロンプトとテンプレ、社内のAI利用ルール雛形、使い始める前の安全チェック、30日の導入計画までを1本にまとめました。

【保存版】社員30人までの会社が生成AIを毎日の業務に載せる8ステップ（500円）

→ https://note.com/arista_inc/n/n7c6f6fb980b2