「業務にAIを使ってみたいけれど、社内の情報を入れて漏れたりしないだろうか」——そんな不安から一歩を踏み出せずにいる経営者の方は少なくありません。実際、従業員が良かれと思って顧客名簿や見積書をそのままAIに貼り付けてしまい、あとで「あれは大丈夫だったのか」と冷やっとする、という光景も現場では起きています。
情報セキュリティは、IT担当者がいない中小企業ほど「なんとなく怖いから触らない」で止まりがちです。ですが、ルールを先に決めてしまえば、AIは十分に安全に使えます。むしろ、ルールがないまま各自が自己流で使っている今の状態のほうが危険です。
この記事では、北海道（札幌圏）や全国の従業員数名〜100名規模の非IT中小企業の経営者に向けて、AIを導入する前に最低限決めておくべき情報セキュリティのルールを、専門用語を噛み砕いて整理します。要点を先にお伝えします。
- AIのセキュリティで最初に押さえるべきは「入れてよい情報／ダメな情報」の線引き
- 難しい技術対策より先に、社内ルール（運用）を1枚の紙にするほうが効果が大きい
- 無料版と法人向け（有料）プランでは「入力データが学習に使われるか」が違う
- 完璧を目指すより、「最低限の7項目」から始めるのが現実的
- ルールは一度作って終わりではなく、使いながら育てるもの
そもそも「AIの情報セキュリティ」とは何を指すのか
AIの情報セキュリティとは、生成AI（ChatGPTなどのチャット型AIや、社内に組み込むAI）を業務で使うときに、社内の機密情報や個人情報が外部に漏れたり、不正確な使われ方をしたりしないよう、入力・保管・権限のルールを決めて守ることです。
多くの方が「AIのセキュリティ＝高度なサイバー攻撃対策」とイメージしますが、中小企業でまず問題になるのはもっと手前の話です。具体的には次の3つに整理できます。
- 入力（インプット）のリスク：AIに貼り付けた情報が、外部のサービス側に渡ること
- 出力（アウトプット）のリスク：AIの回答をそのまま信じて、誤った情報や他社の権利を侵す内容を使ってしまうこと
- 権限・アカウントのリスク：誰でも全部の情報にアクセスできる状態や、退職者のアカウントが残っている状態
このうち、中小企業で事故が起きやすいのは圧倒的に「1. 入力」です。だからこそ、最初に決めるべきは高価なセキュリティ製品ではなく、「何を入れてよくて、何を入れてはいけないか」という社内の約束事なのです。
AIでできること・できないこと（正直な線引き）
過大な期待も、過剰な不安も、どちらも判断を誤らせます。まず前提を正直にお伝えします。
セキュリティ面でAI・ツール側ができること
- 法人向けプランでは、入力データをAIの学習に使わない設定にできる（後述）
- アクセスできる人・できる情報を、部署や役職ごとに分ける（権限管理）
- 「いつ・誰が・何を使ったか」の記録を残す
AI・ツール側だけでは防げない（＝人とルールで守るしかない）こと
- 従業員が無料版に機密情報を貼り付けてしまう行為
- 「これは入れていい情報か」の判断そのもの
- AIの回答が正しいかどうかの最終確認
つまり、技術で守れる部分と、ルール・教育で守るしかない部分があるというのが正直なところです。「AIを入れれば安全」でも「AIは危ないから使わない」でもなく、両輪で考えるのが正解です。ここを曖昧にしたまま「とりあえず全社で使ってOK」にするのが、いちばん危険なパターンです。
最低限おさえる情報セキュリティ7項目（チェックリスト）
中小企業がAI導入前に決めておきたい、最低限のルールを7つに絞りました。まずはこの7項目を1枚の紙（または社内チャットの固定メッセージ）にまとめることをおすすめします。
- 入れてよい情報／ダメな情報を決める：個人情報（氏名・住所・電話）、取引先の機密、未公開の数字、パスワードは入れない。一般的な相談・文章の下書きはOK、など線引きを明文化する。
- 使ってよいAIサービスを指定する：「会社が契約したこのサービスを使う」と決める。各自が勝手に無料ツールを使う"野良AI"を防ぐ。
- 法人向け（学習に使わない）設定を選ぶ：業務利用は、入力が学習に使われないプランを選ぶ。
- アクセス権限を分ける：全員が全情報を見られる状態にしない。役職・部署で必要な範囲に絞る。
- アカウントとパスワードを管理する：使い回しをやめ、退職・異動時にアカウントを止める手順を決める。
- AIの回答は"下書き"として人が確認する：特に社外に出す文章・数字・法律や医療に関わる内容は、必ず人の目でチェックする。
- 困ったときの相談先を決めておく：「判断に迷ったら誰に聞くか」を決める。迷ったら入力しない、を基本にする。
この7項目は、高価なシステムがなくても今日から始められます。逆に、ここが空白のままツールだけ導入しても、事故は防げません。
業種別に見る「気をつけどころ」
同じAI活用でも、業種によって守るべきポイントは変わります。自社に近いものからご覧ください。
- 店舗・BtoC（小売／飲食／美容）：口コミ返信やSNS投稿の文案づくりにAILを使う場面が多い業種です。お客様の氏名・来店履歴・クレーム内容などの個人情報を入れないのが最重要。文章の"型"を作らせるのは安全ですが、実在の個人が特定できる情報は伏せます。
- 製造・卸・現場：図面・原価・取引先との単価など、外に出ると競争上まずい情報が多い業種です。未公開の数字や取引条件は入れない。作業手順のマニュアル文章化など、公開しても困らない情報から始めるのが安全です。
- バックオフィス（経理・総務・人事）：給与・マイナンバー・従業員の個人情報という、最も機微な情報を扱う部署です。個人が特定できる情報は原則入れない。請求書の文面づくりや、社内規程のたたき台づくりなど、個人情報を含まない作業に絞ると安心です。
進め方（4ステップ）
「ルールを作る」と言われても、何から手をつけるか迷うものです。次の順番で進めると無理がありません。
ステップ1：現状を洗い出す（1週間） まず「今、社内で誰が・どのAIを・何に使っているか」を把握します。すでに各自バラバラに使っているケースが多く、ここを知らないままではルールが作れません。
ステップ2：7項目のルールを1枚にまとめる（数日） 前述の7項目をベースに、自社の言葉で「入れてよい情報／ダメな情報」を具体的に書きます。抽象的な規程より、「顧客名簿はNG」「議事録は個人名を伏せればOK」のような具体例が効きます。
ステップ3：使うサービスを1つに決めて設定する（数日） 会社として使うAIサービスを決め、学習に使わない設定・権限設定を行います。ここは設定項目が分かりにくいので、迷ったら詳しい人に確認します。
ステップ4：小さく始めて、使いながら直す（継続） まずは一部の業務・一部のメンバーから試し、出てきた疑問をルールに反映します。ルールは一度で完成させず、育てるものと考えてください。
よくある質問（Q&A）
Q. 無料版のAIを使うのは危険ですか？ A. 一概に危険とは言えませんが、無料版は「入力した内容がサービス改善（学習）に使われる」設定になっている場合があります。機密情報・個人情報を入れる業務利用には、学習に使われない法人向けプランをおすすめします。一般的な調べ物や文章の下書きなら、機密を入れない前提で無料版でも構いません。
Q. うちには専任のIT担当がいません。ルールなんて作れるでしょうか？ A. 作れます。むしろIT担当がいない会社ほど、難しい技術より「1枚の紙のルール」が効きます。専門的な設定部分だけ外部に相談し、運用は自社で回す、という分担が現実的です。
Q. 一度ルールを作れば、それで安心ですか？ A. 残念ながら、作って終わりにはできません。AIサービスの仕様も、社内の使い方も変わっていきます。半年に一度など、見直すタイミングを決めておくことをおすすめします。
Q. AIが間違った回答をした場合、責任はどうなりますか？ A. AIの回答をそのまま使って生じた結果の責任は、基本的に使った側（会社）にあります。だからこそ7項目目の「人が確認する」が重要です。特に社外に出す文章や数字は、必ず人の目を通してください。
費用対効果の考え方
セキュリティ対策は「守り」の投資なので、効果が見えにくく後回しにされがちです。ですが、次のように考えると判断しやすくなります。
- かかるコスト：法人向けAIプランの月額（1人あたり数千円程度〜）＋ルールを作る手間（初回のみ）
- 防げる損失：情報漏えいが起きた場合の顧客対応・信用の低下・場合によっては損害賠償
情報漏えいは、一度起きると金銭以上に「信用」を失います。特に地域に根ざした中小企業にとって、地元での評判は事業の土台です。月数千円と1枚のルールで、その土台を守れると考えれば、費用対効果は決して悪くありません。数字が読みにくい投資だからこそ、「起きたら何を失うか」から逆算するのがおすすめです。
まとめ：完璧より「最低限の7項目」から
AIの情報セキュリティは、高度なサイバー攻撃対策から考える必要はありません。中小企業でまず効くのは、「入れてよい情報／ダメな情報」を決め、使うサービスを1つに絞り、人が最終確認するという、シンプルな運用ルールです。
- 最初の一歩は、この記事の「7項目」を1枚の紙にまとめること
- 技術で守る部分（学習させない設定・権限）と、ルールで守る部分の両輪で考える
- 完璧を目指さず、小さく始めて使いながら育てる
「うちの業務で、どこまでAIに任せてよいのか」「学習させない設定がよく分からない」——そうした具体的な線引きこそ、伴走支援の出番です。DREEXYは、北海道（札幌圏）を中心に全国のオンライン対応で、御社の業務に合わせて「安全に使えるAIの入口」から一緒に設計します。まずは今のAIの使われ方を棚卸しするところから、お気軽にご相談ください。
AI導入そのものの全体像は、こちらの記事もあわせてご覧ください：中小企業の人手不足は「AI社員」で解決できる｜業務自動化の始め方