生成AIに入れていい情報・ダメな情報の線引き2026｜データ分類と持ち込み可否ルールの作り方

生成AIの利用ルールで、いちばん多く現場が詰まる場面があります。「この情報を、AIに入れていいのだろうか」という一瞬の迷いです。顧客の名前が入った問い合わせ文。まだ公表していない売上の数字。他社との契約書の一節。目の前の作業を速くしたいだけなのに、その都度、判断を迫られます。

この迷いを放置すると、二つのことが起きます。慎重な人は「念のため使わない」を選び、AIの効果が出ません。急いでいる人は「たぶん大丈夫」で貼り付け、情報漏えいの入口を作ります。どちらも、判断基準が現場に渡っていないことが原因です。

結論を先に言います。禁止事項を並べても、この迷いは消えません。必要なのは、データを区分し、送り先と掛け合わせて、現場が数秒で答えを出せる仕組みです。本記事は、その持ち込み可否ルールの作り方を、特定のツールに依存しない形でまとめます。

なぜ「入れていいか」の判断は現場で止まるのか

多くの社内ルールは、「機密情報を入力してはいけません」と書いて終わっています。一見、正しい文章です。しかし現場では役に立ちません。目の前の情報が「機密」に当たるのかどうかが、まさに分からないからです。

判断が止まる理由は、はっきりしています。基準が抽象的で、当てはめる作業が個人任せになっているからです。人によって「機密」の線が違えば、同じ情報が、ある人には可、別の人には不可になります。これでは、ルールがあってもない状態と変わりません。

目指すのは逆です。誰が見ても同じ答えにたどり着く、具体的な区分をあらかじめ用意しておく。現場がやるのは「当てはめる」だけという状態にすることです。

まず、データを4つの区分に分ける

情報を細かく分けすぎると、現場が覚えきれません。多くても4つに抑えます。会社の実態に合わせて言葉は変えて構いませんが、粒度はこのくらいが実用的です。

区分1：公開情報

すでに世の中に出ている情報です。自社サイトに載っている内容、公開済みのプレスリリース、一般に手に入る資料。外に出ても新たな損害が生まれない情報が、ここに入ります。AIへの入力に、原則として制約はいりません。

区分2：社内一般

公開はしていないが、漏れても致命傷にはならない情報です。社内の一般的な議事録、定型の業務手順、当たり障りのない社内連絡。「できれば外に出したくない」程度のものが該当します。送り先の条件しだいで、入力を認める余地があります。

区分3：機密

漏れると事業に実害が出る情報です。未公表の財務数字、開発中の製品情報、価格戦略、他社との契約内容。競合や取引先に渡れば、交渉や競争で不利になるものです。ここからは、送り先を厳しく問う必要があります。

区分4：規制・要保護

法律や契約で守り方が定められている情報です。個人情報、マイナンバー、健康や信条にかかわる情報、守秘義務の対象。扱いを誤ると、実害だけでなく法令違反や契約違反になるものです。原則として、外部のAIへの入力は認めない前提で設計します。

区分だけでは足りない：3つの掛け算

データの区分は、判断の半分にすぎません。同じ情報でも、どこへ送るかで、可否は変わるからです。区分に、次の3つを掛け合わせます。

送り先はどこか。自社が契約し管理しているAIなのか、個人が勝手に開いた無料サービスなのか。ここが最も効きます。会社が管理していない送り先には、区分2から上を入れさせないのが基本線です。

入力が学習に使われるか。送った情報が、提供元のモデルの学習素材に回るのかどうか。学習に使われない契約や設定になっているかで、認められる区分の上限が変わります。「学習に使わない」が保証されているかを、送り先ごとに確かめておきます。

出力を何に使うか。下書きの参考にするだけか、そのまま顧客へ出すか。外へ出す用途では、入力の可否とは別に、出力の確認という関門が必要になります。

この3つを毎回考えるのは重すぎます。だから「区分×送り先」の早見表を一枚作り、現場はそこを見るだけにします。考える作業を、平時に前倒しするわけです。

現場が数秒で判断できる仕組みにする

ルールは、覚えられて初めて守られます。分厚い規程を読ませても、忙しい現場は見ません。判断を、三段の問いに畳んでおきます。

一つ目。これは公開情報か。そうなら、原則そのまま使えます。二つ目。個人情報や規制対象を含むか。含むなら、外部AIには入れない。三つ目。会社が管理しているAIか。その他の情報は、この一点で可否が決まります。

この三問を、AIの入力画面のすぐ近くに置きます。ポスターでも、社内ツールの注意書きでも構いません。迷った瞬間に、視線を動かせば答えがある状態を作ることが肝心です。判断を記憶に頼らせないことが、ルールを生かします。

それでも迷う情報は必ず出ます。そのための逃げ道も用意します。「迷ったら入れずに、まず相談する」窓口を一つ決めておくのです。判断に詰まった人が黙って貼り付けてしまう事態を、これで防ぎます。

作った後に必ずやること

ルールは、配って終わりではありません。二つ、続ける作業があります。

具体例で示す。「機密とは何か」を言葉で説明するより、自社で実際にありそうな例を10個ほど並べ、それぞれどの区分かを示す方が、はるかに速く伝わります。抽象的な定義より、身近な具体例が現場を動かします。

境界の判断を貯める。「これはどっち?」という相談が来たら、その答えを記録し、早見表に足していきます。迷いの事例こそ、ルールを鍛える一番の材料です。同じ質問が二度来ないよう、判断を資産に変えていきます。

よくある失敗

禁止事項だけを増やす。「あれもダメ、これもダメ」と足していくと、現場は全体を怖がって使わなくなります。禁止の列挙ではなく、「何なら安全に使えるか」を示す方が、利用も安全も両立します。

区分を細かくしすぎる。7段階も8段階も作ると、当てはめる側が判断できません。現場が覚えられる数まで削ることが、結局いちばん守られるルールになります。

送り先を問わない。「機密は禁止」とだけ書き、会社が管理するAIかどうかを区別しないと、安全に使える場面まで塞いでしまいます。区分と送り先は、必ずセットで考えます。

作って放置する。AIの契約内容や設定は変わります。「学習に使わない」前提が、いつのまにか崩れていることもあります。送り先の条件は、定期的に確かめ直す必要があります。

まとめ

「この情報、AIに入れていいの?」という現場の一瞬の迷いは、放っておくと、使われないAIか、漏れるAIかのどちらかを生みます。分けるのは、禁止の量ではなく、判断のしやすさです。

やることは決まっています。データを4つに区分し、送り先と掛け合わせ、三問の早見表に畳んで、迷ったら相談できる窓口を置く。これだけで、現場は数秒で答えを出せるようになります。

まずは、自社で実際にありそうな情報を10個書き出し、それぞれ「どの区分で、どの送り先なら可か」を埋めてみてください。手が止まる情報が、そのまま次に決めるべきルールの空白です。

なお、個人情報や規制対象の具体的な扱いは、業種や契約によって異なり、変化も速い領域です。法令上の判断や、利用するAIの学習・データの扱いは、必ず専門家と提供元の公式情報で確認してください。本記事で示したのは、道具が変わっても残る、判断の骨組みです。