会社の情報をChatGPTに入力しても大丈夫？情報漏えい・法的リスクを豊橋の弁護士が解説

ChatGPTなどの生成AIを、業務で利用する企業が増えています。

文章の作成や要約、企画書の整理、議事録の作成など、生成AIは業務効率化に役立つ一方、使い方によっては情報漏えいや個人情報保護法上の問題が生じる可能性があります。

例えば、次のような使い方に問題はないのでしょうか。

• 取引先から受け取った資料をChatGPTに読み込ませる
• 顧客名簿を入力して分析する
• 社内会議の議事録を要約させる
• 未公開の新製品情報を入力して企画書を作成する
• 契約書をアップロードして内容を確認する

結論からいうと、会社の資料を生成AIに入力することが、直ちにすべて違法になるわけではありません。

しかし、入力する情報の内容や生成AIサービスの利用条件によっては、個人情報保護法違反、秘密保持義務違反、営業秘密の漏えいなどの問題が生じる可能性があります。

この記事では、企業がChatGPTなどの生成AIに社内資料を入力する際の法的リスクと、情報漏えいを防ぐための対策について、豊橋の弁護士が解説します。

会社の資料をChatGPTに入力することは違法？

会社の資料をChatGPTなどの生成AIに入力すること自体を、一律に禁止する法律があるわけではありません。

ただし、どのような資料でも自由に入力できるわけではありません。

重要なのは、入力する情報の種類と、利用する生成AIサービスがその情報をどのように取り扱うかです。

例えば、公開済みの商品情報を使って紹介文を作成する場合と、顧客の個人情報や未公開の技術情報を入力する場合では、検討すべきリスクが異なります。

企業が生成AIを利用する際には、少なくとも次の点を確認する必要があります。

1. 入力する資料に個人情報や機密情報が含まれていないか
2. 生成AIサービスが入力情報を学習などに利用するか
3. 入力情報の保存・利用・第三者への提供に関する条件はどうなっているか
4. 取引先との秘密保持契約や社内規程に違反しないか
5. 利用目的やアクセス権限が適切か

これらを確認せず、従業員が個人の判断で業務資料を入力することは避けるべきです。

リスク① 顧客情報の入力が個人情報保護法違反になる可能性

特に注意が必要なのが、顧客や従業員の個人情報です。

例えば、顧客名簿、従業員の評価資料、採用応募者の履歴書などには、個人情報が含まれています。

個人情報保護委員会は、生成AIサービスに個人情報を入力する際の注意点を公表しています。

個人情報取扱事業者が個人情報を含むプロンプトを入力する場合には、特定した利用目的の達成に必要な範囲内であることを確認する必要があります。

また、本人の同意を得ずに個人データを入力し、そのデータが回答の生成以外の目的で取り扱われる場合には、個人情報保護法に違反する可能性があると注意喚起しています。

そのため、生成AIサービスの提供事業者が、入力された個人データを機械学習に利用しないことなどを十分に確認する必要があります。

個人情報と個人データは区別して考える

個人情報保護法上は、「個人情報」と「個人データ」を区別して考える必要があります。

個人情報とは、生存する個人に関する情報で、氏名などによって特定の個人を識別できるものなどをいいます。

一方、個人データとは、個人情報データベース等を構成する個人情報をいいます。

例えば、検索できる形で管理された顧客名簿の情報は、個人データに該当する場合があります。

また、生成AIサービスへの情報の送信が、個人データの取扱いの委託に当たるのか、第三者提供に当たるのかなどによっても、必要な対応が異なります。

そのため、サービス提供事業者が入力情報をどのように利用・管理するのかを確認し、利用目的、第三者提供の制限、委託先の監督、安全管理措置などの観点から、適法性を検討することが重要です。

入力情報がAIの学習に利用されない設定であっても、それだけで個人情報保護法上の問題がすべて解消されるわけではありません。

なお、個人情報を入力しただけで、必ず個人情報保護法違反になるわけでもありません。実際の取扱いに応じた判断が必要です。

名前を消せば安全？

顧客名や従業員名を削除すれば、必ず安全になるわけではありません。

氏名がなくても、住所、勤務先、役職、取引内容などの情報を組み合わせることで、特定の個人を識別できる場合があります。

また、個人を識別できない状態に加工したとしても、取引先との秘密保持契約などによって入力が制限される場合があります。

個人情報を含む資料を利用する場合には、氏名だけでなく、個人を識別できる情報や、外部への提供が制限されている情報が残っていないか確認することが重要です。

リスク② 取引先の機密情報を入力すると秘密保持義務違反になる可能性

企業間の取引では、秘密保持契約（NDA）を締結していることがあります。

例えば、次のような情報です。

• 取引先から提供された技術資料
• 未公開の製品仕様
• 見積金額や価格交渉に関する資料
• 新規事業の計画
• 取引先の顧客情報

こうした資料を生成AIサービスに入力すると、契約内容やサービスの仕組みによっては、秘密保持義務違反が問題になる可能性があります。

ここで注意したいのは、生成AIサービスが入力内容を学習に利用しない設定であっても、それだけで秘密保持契約上の問題がなくなるわけではないという点です。

秘密保持契約では、秘密情報の第三者への開示や、契約目的以外での利用が制限されていることがあります。

そのため、入力情報が学習に使われないとしても、外部サービスへの送信自体が契約上許されるかを確認する必要があります。

特に、秘密保持の範囲を、秘密情報と明示したものに限らず広く認める契約となっている場合は要注意です。

また、秘密保持契約を締結していない場合でも、情報の取得経緯や当事者間の関係などによっては、秘密保持義務や情報管理上の問題が生じる可能性があります。

取引先から受け取った資料については、会社が承認した生成AIサービスであっても、契約上の利用範囲を確認することが重要です。

リスク③ 営業秘密の漏えいにつながる可能性

企業が保有する技術情報や営業情報の中には、不正競争防止法上の「営業秘密」に該当するものがあります。

営業秘密として保護されるためには、次の3つの要件を満たす必要があります。

• 秘密管理性：秘密として管理されていること
• 有用性：事業活動に有用な技術上または営業上の情報であること
• 非公知性：公然と知られていないこと

例えば、製造方法、設計図、独自の技術情報、非公開の顧客情報などが問題となり得ます。

こうした情報を、適切な管理がされていない生成AIサービスに入力すると、情報漏えいや営業秘密の管理上の問題が生じる可能性があります。

ただし、営業秘密を生成AIに入力したという事実だけで、直ちに不正競争防止法上の営業秘密としての保護が失われるわけではありません。

営業秘密に該当するかどうかは、秘密管理性・有用性・非公知性の要件を満たしているかによって判断されます。

また、営業秘密としての保護が失われない場合でも、秘密保持契約や社内規程への違反が別途問題となる可能性があります。

豊橋・東三河地域の製造業など、独自の技術やノウハウを扱う企業では、特に注意が必要な問題です。

リスク④ 契約書や他社の資料を入力すると著作権の問題も？

契約書、提案書、報告書、画像、マニュアルなどを生成AIに入力する場合には、著作権にも注意が必要です。

ただし、他人の著作物を生成AIに入力することが、常に著作権侵害になるわけではありません。

そもそも、契約書などの文書に含まれるすべての文章が、著作権法上の著作物として保護されるわけではありません。

著作物に該当するかどうかは、創作的な表現があるかなどによって判断されます。

著作権法30条の4が適用される場合とは？

著作権法第30条の4は、著作物に表現された思想や感情を享受することを目的としない利用について、一定の条件のもとで著作物の利用を認める規定です。

例えば、情報解析を目的とする利用が問題となる場合があります。

しかし、既存の著作物の創作的表現を生成AIに再現させる目的がある場合などには、同条が適用されないことがあります。

また、同条が適用される場合でも、著作権者の利益を不当に害することとなる場合は除外されます。

そのため、著作物を生成AIに入力する行為について、著作権法30条の4によって常に許されると考えることは適切ではありません。

さらに、生成AIに入力することとは別に、AIが作成した文章や画像を外部に公開する際にも、既存の著作物との関係で著作権侵害が問題となる可能性があります。

他社の資料については、著作権だけでなく、秘密保持義務や利用許諾の範囲も併せて確認することが重要です。

有料版のChatGPTなら会社の資料を入力しても安全？

「有料版なら情報漏えいの心配はない」と考えるのは適切ではありません。

生成AIサービスでは、契約プランや管理者設定などによって、入力情報の取扱いが異なることがあります。

確認すべきなのは、有料か無料かという区別だけではなく、実際のサービス内容と契約条件です。

例えば、次のような点です。

• 入力情報がモデルの学習に利用されるか
• 入力情報がどのように保存されるか
• 保存期間や削除に関する条件
• サービス提供事業者による情報へのアクセス
• 外部サービスとの連携や情報の共有範囲
• 管理者による利用制限やアクセス管理の機能

学習に利用されないことと、情報が一切保存・処理されないことは同じではありません。

また、学習に利用されないサービスであっても、個人情報保護法や秘密保持契約に基づく検討が不要になるわけではありません。

企業として利用を認める場合には、サービスの最新の利用規約やプライバシーポリシー、契約条件を確認する必要があります。

企業が生成AIを安全に利用するための5つの対策

生成AIを業務で活用する場合には、利用を全面的に禁止するか、自由に使わせるかという二者択一ではなく、リスクに応じたルールを整備することが重要です。

① 入力してよい情報と禁止する情報を明確にする

顧客の個人データ、取引先の秘密情報、未公開の技術情報などについて、入力の可否を定めます。

必要に応じて、情報の種類ごとに入力禁止、事前承認、利用可能といった区分を設ける方法も考えられます。

② 会社が承認した生成AIサービスを利用する

従業員が個人アカウントや未承認のサービスを業務で使用することを防ぎ、利用条件を確認したサービスを指定します。

サービスの選定時には、学習への利用、情報の保存、アクセス管理、外部サービスとの連携などを確認します。

③ 個人情報や機密情報を必要以上に入力しない

業務目的に必要な情報だけを使用し、可能な場合には個人を識別できる情報や機密部分を削除・加工します。

ただし、単純に氏名を削除するだけで十分とは限りません。

④ 従業員への教育を行う

どのような情報を入力してはいけないのか、問題が生じた場合に誰へ報告するのかを周知します。

生成AIを利用する際には、情報管理だけでなく、生成された回答に誤りが含まれる可能性があることも理解しておく必要があります。

⑤ 利用規程と事故発生時の対応を整備する

生成AIの利用目的、承認手続、禁止事項、利用記録の取扱い、事故発生時の報告方法などを社内規程に定めます。

また、入力してはいけない情報を誤って送信した場合に備え、社内の報告・調査・対応体制も整えておくことが重要です。

経済産業省・総務省が公表している「AI事業者ガイドライン」なども、社内ルールを検討する際の参考になります。

ただし、同ガイドラインは法律そのものではなく、記載された事項がすべて一律の法的義務となるわけではありません。

会社の機密情報を誤ってChatGPTに入力してしまったら？

誤って顧客情報や取引先の機密情報を入力した場合には、放置せず、速やかに社内の責任者へ報告することが重要です。

具体的には、次のような対応を検討します。

1. 何を、いつ、どのサービスに入力したかを確認する
2. 利用したアカウントやサービスの設定・契約条件を確認する
3. 情報の保存、利用、削除の可否について確認する
4. 個人情報保護法上の報告・本人通知の要否を検討する
5. 取引先への通知など、契約上必要な対応を確認する
6. 再発防止策を検討する

個人情報保護委員会への報告は必要？

個人データを誤って生成AIに入力した場合でも、必ず個人情報保護委員会への報告や本人への通知が必要になるわけではありません。

報告・通知義務が生じるかどうかは、個人データの漏えい等が発生したか、またはそのおそれがあるか、さらに法令上の報告対象事態に該当するかによって判断されます。

例えば、要配慮個人情報を含む個人データの漏えい等や、不正利用によって財産的被害が生じるおそれのある漏えい等は、報告対象となり得ます。

また、一定の件数を超える個人データの漏えい等や、不正の目的をもって行われたおそれのある漏えい等についても、報告が必要になる場合があります。

誤入力が判明した場合には、入力した情報の内容やサービスの取扱条件を速やかに確認し、法令上の報告・通知義務や取引先への連絡の要否を検討することが重要です。

入力履歴を削除すれば問題は解決する？

入力履歴を削除したとしても、サービス提供事業者側に保存された情報がすべて削除されたとは限りません。

また、削除によって、すでに生じた契約違反などの問題が当然に解消されるわけでもありません。

問題が発生した場合には、事実関係を正確に把握し、必要な法的対応を検討することが重要です。

よくある質問

Q．ChatGPTに会社の資料を入力することは違法ですか？

一律に違法となるわけではありません。ただし、個人情報や機密情報が含まれる場合には、個人情報保護法や秘密保持契約などの問題が生じる可能性があります。入力する情報とサービスの利用条件を確認する必要があります。

Q．顧客名を削除すればChatGPTに入力しても大丈夫ですか？

氏名を削除しただけでは十分とは限りません。他の情報と組み合わせることで個人を識別できる場合があります。また、個人を識別できなくても、契約上の秘密情報に該当する場合があります。

Q．ChatGPTの有料版なら機密情報を入力できますか？

有料版であることだけでは判断できません。利用するサービスの契約条件、学習への利用、保存方法、アクセス管理などを確認する必要があります。会社の承認や秘密保持契約上の確認が必要になる場合もあります。

Q．取引先の契約書をChatGPTで要約してもよいですか？

契約書の内容や秘密保持義務、利用するサービスの条件によって判断が異なります。取引先の秘密情報が含まれる場合には、事前の確認が必要です。

Q．会社の情報を誤って入力した場合はどうすればよいですか？

速やかに社内の責任者に報告し、入力した情報、利用したサービス、情報の取扱いなどを確認してください。必要に応じて、法令上の報告義務や取引先への対応を検討します。

まとめ｜生成AIの業務利用には情報管理のルールが必要

ChatGPTなどの生成AIに会社の資料を入力することが、直ちにすべて違法となるわけではありません。

しかし、顧客の個人情報、取引先の秘密情報、未公開の技術情報などを入力する場合には、法的リスクが生じる可能性があります。

特に重要なのは、入力する情報の種類、サービスの利用条件、秘密保持契約、社内ルールを確認することです。

生成AIを業務で活用する企業では、利便性だけでなく、情報漏えいを防ぐための管理体制を整備することが求められます。

豊橋・東三河で企業の生成AI利用や情報管理についてお悩みの方へ

弁護士法人柴田・中川法律特許事務所では、企業活動に伴う法律問題についてご相談を承っています。

生成AIの業務利用に関する社内ルールの整備、個人情報の取扱い、秘密保持契約、情報漏えいが発生した場合の対応などは、企業の業種や利用するサービスによって検討すべき内容が異なります。

豊橋・東三河地域で生成AIの業務利用や情報管理に関する法律問題についてお悩みの企業の方は、ご相談ください。

参考資料

• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」
• 経済産業省・総務省「AI事業者ガイドライン（第1.2版）」
• 経済産業省「営業秘密管理指針」
• 文化庁「AIと著作権に関する考え方について」
• IPA（独立行政法人情報処理推進機構）「AI利用者のためのセキュリティ豆知識」

ご相談予約はこちらのページからどうぞ。

鈴木 淳也

弁護士