生成AIへの機密情報入力｜上司の許可だけでよい？社内資料と取引先資料の判断基準

取引先から受け取った資料をAIで要約したいときは、受領時の利用条件と、AIサービス側の取扱いを照合します。社内の上司が了承していても、取引先との合意事項が未確認のままということがあります。社内規程や契約、AIサービスの取扱条件のどこを確認するかを整理します。

この記事の内容

01資料の管理者と利用条件

最初に、その資料を誰が管理しているかを確認します。自社の原価表なら管理する部署、取引先の仕様書なら受領時の契約や依頼条件を確認できる担当者です。自分が閲覧できることと、外部サービスへ渡してよいことは同じではありません。

たとえば、取引先が見積作成のために図面を送ってきたとします。その図面をAIへ入力してよいかは、AIサービスの安全性だけでは決まりません。目的外利用、第三者への開示、再委託や外部サービスの利用について、合意した範囲を確認します。

契約から判断できなければ、社内の契約担当者を通じて取引先へ確認します。営業担当者の判断で、学習されないから問題ないと扱うのは避けてください。確認に必要なのは、サービス名、入力する資料の範囲、処理の目的です。

ポイント取引先資料は、自社の上司の承認だけで入力条件が決まるとは限りません。資料を受け取った際の契約や個別の合意を確認します。

資料の種類だけで入力の可否を決めず、契約書や個別の依頼で定めた利用条件を読みます。以下は、契約担当者が確認する箇所の例です。条項の名称や書かれ方は契約によって異なるため、単語を見つけただけで判断を終えないようにします。

確認する箇所	AI利用に当てはめる問い
資料の利用目的	見積作成のために受け取った図面を、どの処理に使おうとしているか
第三者への開示	外部のAI提供者への送信が、合意した開示先や条件に含まれるか
委託・再委託や外部サービス	外部サービスを使う際に事前承諾や通知が必要か
保存・複製と返却・削除	AI側に残る資料や出力について、契約の条件を満たせるか
加工物や成果物	原文の要約や、仕様を抜き出した文章にも取扱条件が及ぶか

秘密保持契約があるという事実だけでは、予定している使い方を認める合意があるかまでは分かりません。基本契約と、今回の発注書や依頼メールの条件が異なる場合もあるため、対象案件の文書をそろえて確認します。

社内資料を含む禁止範囲の基本的な考え方は、生成AIの利用制限｜全面禁止でよい？禁止する情報と認める業務の決め方で扱います。顧客や従業員の情報が含まれる場合は、生成AIへの個人情報入力｜名前を消せば大丈夫？法令の確認と社内ルールの決め方の確認も必要です。

資料を扱う側とサービスを管理する側が、同じ条件を見て確認します。AIの契約や仕様を調べる際の一般的な注意点は、IPA「情報セキュリティ10大脅威2024 解説書」でも取り上げられています。

条件が合わないときは、問題になる機能を使わずに業務ができるかを検討します。要約だけを認める場合に、会話の共有や外部アプリの接続まで一括して許可する必要はありません。必要な制限ができない場合は、その資料の利用を保留します。

契約や利用するサービスの条件が変わった際は、管理担当者が利用可否を見直します。

機密情報を扱う際は、資料を受け取ったときの条件と、予定するAI処理を照合します。取引先資料では、利用目的、開示先、外部サービスの利用、保存や削除の条件を確認します。契約やサービスの条件に変更があれば、利用可否を見直します。

表示がないだけでは判断できません。未公表の価格や取引条件など、内容から取扱いの確認が必要な資料があります。区分が分からなければ、作成した部署や資料の管理者に確認します。

要約に機密の内容が残っているかを確認します。原文を短くしただけで、開示してよい情報に変わるわけではありません。元資料に適用される契約と、要約に残した情報の両方を見ます。

ひとつの資料に両方が含まれることはありますが、確認事項は分けます。個人情報には利用目的や第三者提供などの確認が必要です。入力前の見方は生成AIへの個人情報入力｜名前を消せば大丈夫？法令の確認と社内ルールの決め方を参照してください。

出典・参照資料（2026年9月11日確認）