ホーム / ブログ / チャット・アシスタント

AIツール利用時のデータセキュリティ：チャットボットに貼ってはいけないもの

データを機密度で分類し、提供元のポリシーで確認すべき点と、個人や小規模事業者がAIをより安全に使うための実用的なルールを解説します。

編集：PickYourTool更新：2026-10-26読了目安 3 分

契約書をチャットボットに貼り付けて要約してもらうのはとても便利ですが、そのデータの行き先を知らないと、簡単にトラブルのもとになります。この記事はAIの利用をやめさせるために脅すものではなく、何を入れてよいか、何は入れてはいけないか、ツールを信頼する前に何を確認すべきか、という明確な線引きを手助けするものです。

「送信」を押したとき、データはどこへ行くのか

オンラインのAIサービスに内容を入力すると、その内容は処理のために提供元のサーバーへ送られます。サービスやプランによっては、提供元は次のことを行う場合があります。

• 会話履歴をあなたのアカウントに保存する。
• 品質向上や不正利用の調査のために、人間のレビュアーに一部の会話を見せる。
• 会話をモデルの学習に使う。ただし、このオプションをオフにするか、学習しないことを約束するプランを使う場合は除く。
• インフラの委託先（クラウド、ストレージ）にデータを渡す。

具体的な条件は、提供元ごと、無料・個人・法人のプランごと、アプリ経由かAPI経由かによって異なります。そのため、正確な答えは常に、この記事のような文章ではなく、あなたが使っているプランの現行のプライバシーポリシーと利用規約の中にあります。

データを三つのレベルに分ける

レベル1：公開。 すでにWebサイトに掲載された内容、プレスリリース、販売中の製品。自由に使えます。

レベル2：社内。 マーケティング計画、未送付の見積もり、業務手順、個人データを含まない社内メール。ポリシーを読み、データを学習に使うオプションがあればオフにし、不要な固有名詞を取り除いたうえで使いましょう。

レベル3：機密。 顧客や従業員の個人データ（氏名と電話番号、住所、身分証番号、銀行口座の組み合わせ）、健康情報、秘密保持条項のある契約書、独自のソースコード、APIキー、パスワードが含まれます。公開されているAIツールには入れないでください。どうしても必要な場合は、専門知識のある人が評価した法人向けプランまたは専用に構築したサービスだけを使いましょう。

ポリシーで確認すべき5つのこと

1. 学習：データはモデルの学習に使われるか、オフにできるか。
2. 保存：どれくらい保存され、どう削除され、本当にシステムから消えるのか。
3. 閲覧者：人間が会話内容を読むことはあるか、それはどんな場合か。
4. 所在地と移転：データはどこで処理され、国外へ移転されるか。
5. 認証と契約上の約束：法人向けプランに、データ処理契約（DPA）や独立したセキュリティ認証はあるか。

この5点すべてに明確な答えが見つからない場合は、そのツールをレベル2以上のデータにはまだ安全でないものとみなしましょう。

保存以外のリスク

AI利用時のセキュリティは、提供元が何を保存するかだけの問題ではありません。アプリケーションセキュリティの専門組織OWASPは、言語モデルを使うアプリケーション特有のリスクを挙げており、その中には次のものがあります。

• プロンプトインジェクション：Webページや文書に隠された内容により、モデルが攻撃者の指示に従ってしまう。アシスタントがメール送信やファイルの読み取りといった操作の権限を持つ場合は特に心配です。
• 回答を通じた機密情報の漏えい。
• 過剰な権限：AIエージェントに必要以上のアクセス権を与えること。
• 結果の過信：たとえば、AIが書いたコードを読まずに実行すること。

「エージェント」機能を持つツール（自分でWebを閲覧する、メールを送る、ファイルを操作する）では、最小限の権限だけを与える、テスト用アカウントを本番アカウントから分ける、元に戻せない操作の前に確認を求める、というのが安全の原則です。

個人と小規模事業者のための実用ルール

• 貼り付ける前に匿名化する。 実名を「顧客A」に、具体的な金額を範囲に置き換えます。
• アカウントを分ける。 仕事専用のアカウントを使い、二段階認証をオンにします。
• 履歴や学習をオフにする。 サービスが対応していて、履歴が不要な場合です。
• パスワード、APIキー、ワンタイムコードは、どのチャットボットにも入力しない。 たとえ「エラーの修正を頼むだけ」でもです。入れてしまったら、すぐにキーを変更してください。
• チーム向けに1ページのルールを書く。 何を許可し、何を禁止し、どのツールを承認するか。
• 拡張機能やサードパーティのアプリを確認する。 ブラウザの「AI」拡張機能の多くは、開くすべてのページを読む権限を求めます。
• 変更の通知が来たらポリシーを読み直す。 規約は時間とともに変わることがあります。

データが他の人に関わる場合

顧客や従業員の個人データを扱うなら、法的な義務が生じることがあります。たとえば、適法な根拠を持つこと、関係者に通知すること、国外への移転を制限することなどです。具体的なルールは国と業種によって異なります。ベトナムでは新しい個人データ保護法が2026年に施行され、ヨーロッパにはGDPRがあります。この記事は法的助言ではありません。事業で大量の個人データを扱うなら、弁護士またはコンプライアンスの専門家に相談してください。

機密データを誤って送ってしまったら

1. 会話を削除し、可能であればツールの履歴やメモリからも削除します。
2. パスワード、APIキー、トークンだった場合は、すぐに無効化して作り直します。
3. 何をいつ送ったかを記録します。
4. 顧客のデータだった場合は、責任者に知らせ、通知義務を確認します。
5. 再発しないよう、社内ルールを更新します。

まとめ

AIを安全に使うのに、セキュリティの専門家である必要はありません。データを分類し、使っているプランのポリシーを読み、できるものは匿名化し、秘密をチャットボットに入れないことです。重要な仕事には、書面での約束がある法人向けプランを選びましょう。最後に、どんなポリシーも変わりうることを忘れないでください。どんな約束よりも、あなたの慎重な習慣のほうが大切です。

この記事は一般的な参考情報であり、法律や専門家の助言に代わるものではありません。編集・アフィリエイト・レビューに関する方針もご覧ください。