ChatGPTの情報漏洩対策｜会社で決めるセキュリティ5項目

「ChatGPTを仕事で使いたいけれど、会社の情報が漏れないか心配」
そんな中小企業の経営者・担当者に向け、設定と契約、使い始める前に決める5項目を解説します。
情報漏洩のリスクを減らす最初の防波堤は、学習への利用を止める設定と、API・法人契約を含めた利用環境の選択です。

学習への利用を止める設定を、オプトアウトといいます。
APIは、別のソフトからAIを呼び出す仕組みです。
ChatGPTの画面を使う場合と、APIを組み込んだ業務ツールを使う場合では、確認する契約や保存先が異なります。
まず設定と利用形態を確かめ、そのうえで入力する情報や共有先を決めましょう。

設定を先に確認したい方はオプトアウトの手順へ、社内ルールを作る方は5項目の確認へ進めます。

Hot Consultingの温井です。
東海地域を中心に、生成AIの研修と導入の伴走型コンサルティングをしています。
ということで、2026年10月18日に確認した公式資料をもとに、次の順で整理しました。

• Word連携やGPT-6で、仕事の何が変わったか
• 個人向け・API・法人契約と、学習利用の設定の違い
• 入力・共有・接続の確認と、会社で決める5項目
• 公開情報で試す手順と、研修で学ぶこと

自社の場合はどう進めればよいか知りたい方は、無料相談をご利用ください。

最新の動き（2026年10月）：Word連携とGPT-6

ChatGPTを文書や社内の仕事につなぐ機会が増えています。
新機能を使うときは、便利さに加え、どの文書を渡し、どの契約のアカウントで使うかを確認しましょう。

ChatGPT for Wordは、両側の管理者設定を確かめる

ChatGPT for Wordでは、Wordで開いた文書の要約や修正、メモからの下書き作成ができます。
Business向けには2026年9月17日に提供が発表されました。
OpenAIによるWord連携の案内では、Freeを含む全ChatGPTプランが対象です。
会社向けのBusiness・Enterpriseでも、実際の利用には契約と管理者設定の確認が必要になります。

ChatGPT側のWord利用設定と、Microsoft 365側のアドインの許可は別です。
OpenAI側では10月1日からWord利用を標準で有効にする案内がありますが、会社が変更している場合もあります。
公開情報を使った社員向け案内文の作成から試し、顧客情報を含む文書を使う前に担当者へ確認しましょう。

GPT-6に替わっても、情報管理は契約と設定で確認する

2026年10月7日には、Businessの対象環境でGPT-6を順次提供する発表がありました。
文字に図や操作できる要素を組み合わせるIntelligent UIも案内されています。
GPT-6の公式の提供条件では、Plus・Pro・Business・Enterpriseが対象です。
使える機能は、アカウントや管理者の許可、利用する画面によって異なります。

日本はChatGPTの対応国に含まれます。
ただし、Word連携やGPT-6が日本の全アカウントへ展開済みかは、一律には確認できません。
自社の画面と管理者設定を確認してください。
調査結果を図で整理するときも、モデル名だけで安全性を判断せず、渡す資料と共有先を確かめることが大切です。

ChatGPTのセキュリティは、設定とプランで防波堤をつくる

最初に、学習利用の設定と、会社が認める利用形態をそろえましょう。
オプトアウトやAPI・法人契約の選択は、情報漏洩のリスクを減らす最初の防波堤になります。
入力情報の学習利用を抑えることと、誰が情報を見られるかを管理することを、順に確認します。

個人向けの無料・Plus・Proは、オプトアウトを確認する

個人向けのChatGPTでは、会話をモデルの学習に使うかどうかを設定できます。
有料のPlus・Proでも、会社向けプランと同じ扱いだと思い込まず、設定を確かめましょう。
OpenAIのデータコントロールの案内では、次の手順を示しています。

1. アカウントメニューから「設定」を開く
2. 「データコントロール」を開く
3. 「すべての人のためにモデルを改善する」をオフにする

表示名は利用する言語や画面で異なる場合があります。
オフにすると、その後の新しい会話は学習に使われませんが、履歴には残ります。
回答への評価として会話を送る場合は、別の扱いがあるため、業務情報を含む会話の評価送信も社内で確認しましょう。

APIや法人契約は、初期状態での学習利用の扱いが違う

OpenAI APIと、ChatGPT Business・Enterpriseの業務データは、既定ではモデルの学習に使われません。
「既定」とは、特に設定を変更していない初期状態のことです。
APIは、社内ツールや外部の業務ソフトからAIを使うときの選択肢になります。
APIを使っている製品でも、製品の運営会社が入力内容を保存する場合があるため、提供者の条件も確認します。

OpenAI APIのデータ管理の説明では、学習利用と保存を別に扱っています。
APIを選ぶだけで保存が一切なくなるわけではなく、機能や契約によって保存の条件が異なります。
利用者が明示的にデータ共有へ同意する場合などの扱いも、会社として確認してください。

ChatGPTの画面を社員で使う会社は、利用者を組織で管理できるBusinessなどを検討します。
業務ソフトへ組み込みたい場合はAPIを検討し、必要な管理機能に応じてEnterpriseの条件も比べましょう。

防波堤をつくった後も、保存先と共有先を確かめる

学習への利用を止めても、履歴やファイルの保存、同僚への共有は別に確認します。
入力した情報が学習に使われることと、そのまま他人へ公開されることも同じではありません。
会社が確かめたいのは、何に使われ、どこへ保存され、誰が見られるかです。
学習利用の条件が整ったら、実際の仕事で情報が動く場面を確認しましょう。

例えば、社内用の会話を外部へ共有すれば、学習利用とは別の経路で情報を渡します。
業務ソフトにAPIを組み込む場合も、そのソフトの履歴や権限を確認します。
設定とプランの防波堤に、社員の確認手順を組み合わせることで、会社として扱える範囲を決めやすくなります。

生成AIの情報漏洩は「入力・共有・接続」で確かめる

ChatGPTで情報を扱う場面を、入力・共有・接続の3つに分けると、確認する場所が見えてきます。
これは仕事の流れに沿った整理であり、すべてのリスクを3種類に限定する分類ではありません。

入力：貼り付ける文章と添付ファイルを確認する

入力前には、その資料を会社が認めた環境で処理してよいかを確認します。
文章を貼り付ける場合だけでなく、ファイルの添付やWord連携でも同じです。
表計算ファイルの別のシート、文書のコメント、画像の中に、不要な顧客情報が残っていないかも見ます。
名前を消すために、未確認の原文を先にChatGPTへ送る順番にはしないでください。

最初の練習には、公開済みの商品説明や、実在の顧客を元にしない練習データが使えます。
資料を利用する権利も確認したうえで、仕事に必要な部分だけを渡しましょう。
迷った資料は入力せず、社内の担当者へ確認します。

共有：個人向けと会社向けで、リンクを開ける人が違う

個人向けアカウントの共有リンクは、リンクを知っている人が開けます。
Business・Enterpriseの共有リンクは、元のワークスペースの対象メンバーに制限されます。
ワークスペースとは、会社が利用者を管理する組織用の作業場所です。
OpenAIの共有リンクの説明で、対象と共有内容を確認できます。

共有プレビューでは、会話の範囲と、添付ファイルや画像が含まれるかを確認しましょう。
個人向けの会話リンクは作成・更新時の内容ですが、会社向けの会話リンクには後から加えた内容も含まれる場合があります。
不要になったリンクの管理と、共有先が保存した複製の扱いも、別に考える必要があります。

接続：参照する資料と、実行してよい作業を確認する

外部サービスを接続するときは、つなぐアカウントの権限と、利用できる操作を確認します。
資料を探すための接続でも、対応する機能によっては作成・更新などの操作ができます。
接続時の許可画面と、接続先のアカウントが持つ閲覧権限を確認しましょう。
OpenAIの接続機能の管理者向け説明も、この違いを整理しています。

資料の範囲を絞れない場合は接続を保留し、公開資料だけで試す方法があります。
取引先への送信や共有範囲の変更は、人が確認すると決めましょう。
外部の文書に紛れた指示が、AIの動作を誘導することもあるためです。
接続先へ渡る情報には、その提供者の利用条件も適用されます。

ChatGPT以外の生成AIでも、同じ順番で確認する

GeminiやClaudeを使う場合も、学習利用・保存・共有・接続先を順に確認できます。
ただし、設定の名前や契約条件までChatGPTと同じとは考えず、各社の公式説明を見ます。
同じ製品名でも個人向けと会社向けで条件が違う場合があるため、会社が実際に契約するプランを特定することが出発点です。

この記事の設定手順を、そのまま別のサービスへ当てはめることは避けましょう。
確認する観点を共通にし、答えは使うサービスごとに確かめる、と分けると整理しやすくなります。
複数のAIを使う会社では、サービス名と確認日を並べて残しておきます。

ChatGPTを会社で使う前に決めるセキュリティ5項目

設定と契約を確認したら、社員が作業前に判断できる5項目をそろえましょう。
専任のIT担当者がいない会社でも、経営者と実際に使う社員で、確認する役割と相談先を決めることから始められます。

1．利用するプランと、DPAを含む契約条件

会社として使うのが個人向け、API、Business・Enterpriseのどれかを特定し、契約条件を確認します。
個人データを扱うときに確認したいのが、DPA（データ処理補足契約：Data Processing Addendum）です。
DPAは、預けた個人データを誰が、何の目的で、どの条件で扱うかを定める補足契約です。
安全管理や再委託、契約終了時の返却・削除などの約束を確認します。

OpenAIのDPAは、対象となるサービス契約に組み込まれる文書です。
そのため、必ず別の書面へ署名するものと決めつけず、自社の契約への適用を確認しましょう。
GDPR（EUの個人データ保護規則）などに関わる条件も含まれます。
契約上の約束と、実際の設定・使い方を合わせて確かめることが大切です。

まず利用者とプランを一覧にし、申込時の契約条件や注文書を、契約を管理する人と読みます。
不明な場合は、提供者へ「この契約にはDPAが適用されますか」と確認しましょう。
APIを使う外部製品では、その製品の提供者との契約も確認の対象です。

2．入力できる情報と、入力前に確認する情報

社員が扱う資料を挙げ、使える情報と、確認が必要な情報を分けましょう。
「機密情報を入れない」だけでは、社員ごとの判断が分かれます。
公開資料は利用する権利を確かめ、顧客資料や社内文書は、目的と契約、会社の許可を確認してから使います。
パスワードなど、仕事の依頼に不要な認証情報は入力しません。

オプトアウトや法人契約を選んだことだけで、取引先の資料を自由に使えるとは判断しないでください。
取引先との約束や、資料を預かった目的も関係します。
社員が迷った場合は、入力前に止めて担当者へ相談する、と決めておきましょう。

3．利用者のアカウントと、管理者が確認すること

まず社員が使うプランと用途を集め、ルールが決まるまでは公開情報での練習などに範囲を限定します。
原則として1人ずつアカウントを割り当て、会社用と個人用の使い分けを決めましょう。
入力前にアカウントメニューなどの表示を見て、会社のワークスペース名が選ばれているかを確認します。
退職や担当変更の際に、誰が利用停止や接続先の権限変更を行うかも決めましょう。

Businessのデータ管理の公式説明では、利用者の会話が他のメンバーへ自動で共有されるわけではないとしています。
管理者になれば全員の会話を自由に読める、と考えることも避けましょう。
利用者管理や共有を制限する機能は、契約プランと設定ごとに確認します。

4．共有する相手と、接続先で許可する操作

共有してよい相手と、接続してよいサービスを決めます。
会話の共有だけでなく、出来上がった文書をメールで送る場合も対象です。
社内用と社外用の資料を分け、送信前に内容を確認する担当者を決めましょう。
外部サービスとの接続では、必要な資料へアクセスできる範囲に絞ります。

読む・書き換える・送るといった操作ごとに、人が確認する段階を決めます。
機能が使えることと、会社がその操作を任せてよいことは別の判断です。
最初は資料の検索や下書き作成にとどめ、確認できた作業から使う範囲を広げる方法があります。

5．誤入力や判断に迷ったときの連絡先

誤って入力したときや、共有先を間違えたときに、すぐ連絡する担当者を1人決めます。
担当者が不在のときの相談先も用意しましょう。
会社側で判断できない契約・設定の疑問は、サービス提供者や必要な専門家へ確認します。
社員が問題を隠さず、早く状況を共有できる運用にすることが大切です。

社内で話し合う際は、次の5行に決めた内容を残せます。
未確認の項目は「未確認」と書き、扱う情報や操作の範囲を広げる前に確かめてください。
確認した人と日付も一緒に記録しましょう。

ChatGPTの情報漏洩対策でよくある質問

会話を消せば、誤入力した問題は解決しますか？

会話の削除だけで、情報が渡ったすべての場所への対応が終わるとは判断できません。
OpenAIの会話とファイルの保存に関する説明でも、保存場所による扱いの違いを案内しています。
共有先が保存した複製や、接続先のサービスにある情報についても、個別の確認が必要です。

まず社内の担当者へ連絡し、使ったアカウントと操作した時刻を伝えましょう。
何を入力し、どこへ共有したかを、分かる範囲で記録します。
記録のために機密情報の全文を別の大勢へ送り直すことは避け、担当者の指示に沿って対応してください。

名前を伏せれば、顧客の資料を入力できますか？

名前を置き換えるだけでは、入力してよいかを決められません。
日時や取引内容などの組み合わせで相手が分かる場合があり、名前以外にも外部提供を認められていない情報が含まれるためです。
個人情報保護委員会の注意喚起も参考に、利用目的やサービスの条件を確認します。
この注意喚起は2023年6月2日の資料です。

使い方を練習する段階では、公開情報や、自分で作った練習データを選べます。
実際の顧客資料が必要なときは、使う部分を絞り、入力前に会社の担当者へ確認しましょう。
DPAや学習利用の条件と、資料を利用する許可を合わせて確かめることが大切です。

まとめ：公開情報で試し、研修で確認の手順を学ぶ

最初は1つの仕事で、入力前と出力後を確認する

ChatGPTの情報漏洩対策は、設定とプランの防波堤をつくり、会社の確認手順を重ねることから始められます。
最初は公開済みの商品説明を短くするなど、1つの仕事を選びましょう。
入力前に使う資料を確かめ、出来上がった文章の事実と、共有してよい内容かを人が見直します。

困ったことを記録し、会社が使ってよい範囲を見直します。
IPAの中小企業向けガイドラインも参考に、確認する役割を決めて進めてください。
契約や設定を変えたときは、ChatGPTのデータコントロールも再確認しましょう。

情報管理と業務活用を、同じ研修で練習する

当社の研修では、オプトアウトの設定や、API・法人契約の違いも詳しくお伝えしています。
情報をどう扱うかを理解し、仕事で使う際の確認手順と合わせて学ぶことを大切にしています。

コース1：生成AIビジネス活用研修（営業事務・バックオフィス業務のDX）では、第1回に「顧客情報・取引データを扱う業務の情報管理とリスク対策」を扱います。
業務を想定した演習でも、入力前と共有前に何を確かめるかを考えます。
社内の情報を自由に入力するのではなく、講師が用意する題材で、使い方と確認の手順を学ぶ研修です。

社員向けの「生成AIビジネス活用研修」の内容と受講料は、研修ページでご覧いただけます。

研修で学んだ確認手順をもとに、自社の契約や利用ルールは会社の担当者が決定します。
どこから取り組むか迷う場合は、使いたい仕事と現在のプランを整理し、無料相談で進め方をご相談ください。

皆さんの会社では、どの設定・契約で、どの資料をChatGPTに渡すかが決まっていますか？

• 自社の場合はどう進めればよいか知りたい方は、無料相談をご利用ください。
• 社員向けの「生成AIビジネス活用研修」の内容と受講料は、研修ページでご覧いただけます。
• 業務の洗い出しからツール選び、定着まで伴走する AI導入コンサルティングの内容とプラン料金は、コンサルティングページでご覧いただけます。