ChatGPTの情報漏洩はなぜ起きる｜空調工事会社の社内ルール

結論: 漏れる経路は「入力」「アカウント」「共有」の3つ

ChatGPTなどの生成AI（文章や画像を作るAIのこと）から情報が漏れる経路は、大きく3つです。入力した情報がサービス側で学習などに使われること、会社が把握していない個人のアカウントで業務の情報を扱うこと、アカウントの乗っ取りや共有機能の操作ミスで会話の履歴が他人に見えることです。

個人情報保護委員会は、生成AIに入力された個人情報が機械学習に利用されることがあり、他の情報と結びついたうえで、正確または不正確な内容で出力されるリスクがあると注意喚起しています。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。使うこと自体を禁止するより、使ってよいサービス・入力してよい情報・アカウントの管理を決めるほうが現実的です。

ChatGPTの業務での使い方と、個人情報保護委員会の注意喚起に沿った基本の入力ルールは、ChatGPT活用入門にまとめています。この記事では、そこから一歩進めて、漏れる経路と空調工事会社に固有の「入れてはいけない情報」、社内ルールの作り方を扱います。

経路1: 入力した情報がサービス側で扱われる

生成AIのサービスによっては、利用者が入力した内容を、サービスの改善やAIの学習に使うことがあります。個人情報保護委員会は、事業者が本人の同意なく個人データを含む指示文（プロンプト）を入力し、それが応答の出力以外の目的で扱われる場合は個人情報保護法に違反する可能性があるとして、サービス提供事業者が機械学習に利用しないことなどを十分に確認するよう求めています。一般の利用者に対しても、利用規約やプライバシーポリシーを十分に確認するよう求めています。

対策は、サービスごとに「入力内容を学習に使うか」「使わない設定にできるか」「法人向けの契約で扱いが変わるか」を確認し、会社として使ってよいサービスと設定を決めることです。仕様は変わるため、確認した日付を記録しておきます。

経路2: 会社が把握していないアカウントで使う

会社が使い方を決めていないと、社員は個人のアカウントや無料版で業務の文章を作り始めます。この状態では、どのサービスに何を入れたのか会社が把握できず、学習に使わない設定になっているかも分かりません。退職した社員の個人アカウントに、顧客とのやり取りの履歴が残ることもあります。

空調工事会社では、見積の送付文や点検報告書の所見を、外回りの合間にスマホで下書きする場面が想定されます。便利だからこそ、個人のアカウントで使い始める前に、会社のアカウントと使い方を用意します。

経路3: アカウントの乗っ取りと共有機能

生成AIのアカウントには、過去の会話の履歴が残ります。パスワードを使い回していてアカウントに入られれば、履歴に残った顧客名や見積の文面も見られます。会社のアカウントには二段階認証を設定し、パスワードはサービスごとに別のものにします。

また、サービスによっては会話を他人に見せるための共有機能があります。共有の範囲を誤ると、意図しない相手に内容が見える場合があります。共有機能を使ってよい場面を、社内ルールで決めておきます。

空調工事会社で入力してはいけない情報

個人情報だけが危ないわけではありません。空調工事会社の仕事には、個人情報ではないが漏れると顧客の建物の安全に関わる情報が多くあります。

情報	例	扱い	置き換え方
入館・解錠の情報	通用口の暗証番号、キーボックスの番号	入力しない	文書に必要なら「（入館方法は別途）」と書き、人が記入する
中央監視・遠隔監視の設定	管理画面のURL、IPアドレス、管理用パスワード	入力しない	不要。設定の相談は保守ベンダーに直接行う
顧客の担当者の個人情報	氏名、携帯番号、メールアドレス	原則入力しない	「管理会社のご担当者様」に置き換える
建物の特定情報	建物名、住所、テナント名	原則入力しない	「事務所ビルA（地上8階）」のように伏せる
見積金額・原価	機器の仕入値、値引き額	入力しない	金額の欄を空けて文面だけ作らせる
点検・工事の写真	銘板、制御盤の内部、屋上の機器配置	入力しない	写真から読み取った機種名などを、人が伏せて文章で伝える
図面・施工図	平面図、系統図	社内ルールで許可したサービスだけ	許可がなければ入力しない

写真は見落としがちです。銘板の写真には製造番号が、屋上の写真には周辺の建物が写り込み、建物が特定できることがあります。報告書の文章を整えたいときは、写真ではなく、伏せた状態の文章だけを入力します。

生成AIの社内ルール雛形

社内ルールは、禁止事項だけを並べると誰も使わなくなります。使ってよいことと、守ることをセットで書きます。

区分	ルール
使ってよいサービス	会社が指定したサービスとプランだけを使う。指定外のサービスで業務の情報を扱わない
設定	入力内容を学習に使わない設定（または契約）を確認し、確認日を記録する
アカウント	会社のアカウントを使い、二段階認証を設定する。退職時は停止する
入力禁止	上の表の「入力しない」情報。迷ったら入力しない
置き換え	顧客名・建物名・金額は記号や空欄に置き換えてから入力する
出力の確認	数値・法令・機種の仕様は、原典やメーカー資料で確かめてから使う
共有	会話の共有機能は使わない。必要な場合は管理責任者の許可を取る
相談先	判断に迷ったときの相談先（管理責任者の氏名）を書く

ルールは作った日と見直す日を決めておきます。生成AIのサービスは機能や規約の変更が早いため、半年に1回は「使ってよいサービス」の欄を見直します。

導入の順番

1. いま社員が使っているサービスを聞き取る（責めずに聞く。隠れて使われるのが一番困る）
2. 使ってよいサービスとプランを決め、学習に使わない設定を確認する
3. 上の雛形をもとに社内ルールを1枚にまとめ、朝礼などで説明する
4. 業務でうまくいった指示文を社内で共有する

効果が出やすい業務や指示文の型は、空調設備業のAI活用事例も参考にしてください。

まとめ

• 生成AIからの情報漏洩は、入力情報の扱い、会社が把握していないアカウント、乗っ取りと共有機能の3つの経路で起きます
• IPAの10大脅威2026では、AIの利用をめぐるサイバーリスクが組織向け3位に初めて入りました
• 空調工事会社では、入館情報・中央監視の設定・点検写真など、個人情報以外にも入力してはいけない情報があります
• 禁止だけでなく、使ってよいサービスと置き換え方をセットにした社内ルールを作ります

出典・参考

• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日、PDF）（（1）個人情報取扱事業者における注意点、（3）一般の利用者における留意点）
• IPA「情報セキュリティ10大脅威 2026」（組織向け3位「AIの利用をめぐるサイバーリスク」）

生成AIサービスの仕様や規約は変わることがあります。利用前に各サービスの利用規約・プライバシーポリシーを確認してください（最終確認：2026-10-14）。

関連リンク

• 空調工事会社のChatGPT活用入門｜業務5選と入力ルール
• 空調設備業のAI活用事例
• 情報漏洩の原因と対策
• パスワード管理の社内ルール