ChatGPTの情報漏洩対策｜土木工事会社の生成AI社内ルール

ChatGPTなどの生成AIで起きる情報漏洩の多くは、社員が機密情報や個人情報をそのまま入力してしまうこと、そして会社が管理していない個人のアカウントで業務に使われることから起きます。 個人情報保護委員会は、生成AIに入力した個人情報が機械学習に使われ、ほかの情報と結びついて出力されるリスクがあると注意を呼びかけています。土木工事会社では、「入力してよい情報・いけない情報」を工事の書類に即して決め、会社が契約・設定を確認したアカウントだけを使うことが対策の中心になります。

この記事では、公的機関の注意喚起の要点、土木工事会社が入力してはいけない情報の早見表、社内ルールのひな形、漏れたかもしれないときの動き方をまとめます。ChatGPTのアカウント作成と、入力内容を学習に使わせない設定の手順はChatGPTの始め方、業務での使い方は土木工事のChatGPT活用5場面で解説しているので、この記事では情報漏洩の防ぎ方に絞ります。

公的機関は何を注意しているか

個人情報保護委員会の注意喚起（令和5年6月2日）

個人情報保護委員会の「生成AIサービスの利用に関する注意喚起等」は、事業者と一般の利用者それぞれに次のような点を挙げています。

対象	注意されていること（要旨）
事業者	個人情報を含むプロンプト（AIへの指示文）を入力する場合は、利用目的を達成するために必要な範囲内かを十分に確認する
事業者	本人の同意なく個人データを入力し、それが応答の出力以外の目的で扱われる場合は個人情報保護法に違反する可能性がある。提供事業者が個人データを機械学習に利用しないこと等を十分に確認する
利用者	入力した個人情報が機械学習に利用され、ほかの情報と統計的に結びついたうえで、正確または不正確な内容で出力されるリスクがある
利用者	提供事業者の利用規約やプライバシーポリシー等を十分に確認し、入力する情報の内容を踏まえて利用を判断する

AI事業者ガイドライン（第1.2版）

総務省と経済産業省の「AI事業者ガイドライン」第1.2版（令和8年3月）は、AIを業務で使う事業者に対し、AIのシステムやサービスに機密情報等を不適切に入力しないよう注意を払うことを求めています。別添では、個人情報や自社のノウハウ・知的財産などの機密情報がプロンプトとして入力され、AIの出力などを通じて流出するリスクがあること、社内のルールが整っていないと、会社の管理の外で従業員が業務以外の利用者向けの生成AIを業務に使い、リスクの高い使い方をするおそれがあることを指摘しています。

IPAの「情報セキュリティ10大脅威 2026」でも、組織編の3位に「AIの利用をめぐるサイバーリスク」が入りました。

土木工事会社が入力してはいけない情報の早見表

土木工事 業務改善Naviとして、公的機関の注意喚起を土木工事の書類に当てはめて整理したものです。○×は目安で、最終的には会社が確認した契約・設定と、発注者との取り決めで判断します。

情報	例	入力の目安	理由
作業員・社員の個人情報	作業員名簿、資格証の写し、健康診断の結果、緊急連絡先	×	個人情報。健康情報は要配慮個人情報にあたる場合がある
発注者から預かった資料	設計図書、特記仕様書、未公表の図面、3次元設計データ	要確認	契約書・特記仕様書の守秘の定めと発注者との取り決めによる
入札・積算の情報	入札前の積算額、見積単価、協力会社の見積書	×	漏れたときの損害が大きい。単価・金額はAIに決めさせる情報でもない
社内の経営情報	決算前の数字、人事評価、取引条件	×	会社の機密
施工の記録	個人名・測点を伏せた日報の文章、打合せのメモ	○（伏せてから）	固有名詞・個人名・金額を消せば下書きや要約に使える
公開されている情報	公表済みの基準・要領の一般的な内容、自社の公開情報	○	ただし出力の正しさは原文で確かめる

特に気をつけたいのは、画像やPDFをそのまま読み込ませる使い方です。写真の黒板に写った工事名、図面の表題欄、名簿の一部など、文章で入力するときより意識せずに情報を渡してしまいます。

社内ルールのひな形

社内ルールは、1枚に収まる量にすると守られやすくなります。

項目	決めること（例）
使ってよいサービスとアカウント	会社が契約・設定を確認したサービスの、会社のアカウントだけ。私用のアカウントで業務の情報を扱わない
設定	入力内容を学習に使わない設定・契約になっているかを会社が確認する
入力してはいけない情報	上の早見表の×の情報。要確認の情報は上長に相談する
伏せ方	個人名、会社名、工事名、測点、金額を記号に置き換えてから入力する
出力の扱い	下書きとして使い、数値・条文・固有名詞は原本で確かめる。提出前に人が確認する
相談先	迷ったら社内の推進役（キーマン）に聞く
見直し	提供元の規約・機能が変わったら見直す（半年〜1年ごと）

AIガイドラインが指摘する「会社の管理の外での利用」を防ぐには、禁止するだけでなく、会社として使ってよい環境を用意することが近道です。社員が便利さを知っているのに会社が何も用意しないと、私用のアカウントでこっそり使われることになりがちです。導入の段取りは中小企業のAI導入手順にまとめています。

漏れたかもしれないときの動き方

状況	やること
個人情報を入力してしまった	入力した内容・日時・サービス・アカウントを記録し、責任者に報告する。個人情報保護委員会への報告が必要かを判断する
発注者から預かった資料を入力してしまった	契約・特記仕様書を確かめ、監督職員への連絡を検討する
私用のアカウントで業務に使っていたことが分かった	何を入力したかを本人と確かめ、会社のアカウントへ切り替える
サービスのアカウントが乗っ取られた	パスワードを変え、多要素認証を設定し、会話の履歴に機密がないかを確かめる

個人情報の漏えい等の報告が必要になる場合と期限は情報漏洩の原因と対策の記事で扱います。生成AIのアカウントにも二段階認証を設定しておくと、乗っ取りによる会話履歴の流出を防ぎやすくなります。

使う前のチェックリスト

No.	確認すること	できていれば
1	会社として使ってよいサービスとアカウントを決めた	☐
2	入力内容を学習に使わない設定・契約を確認した	☐
3	入力してはいけない情報を、土木の書類の例つきで文書にした	☐
4	図面・写真・名簿の画像を読み込ませるときのルールを決めた	☐
5	発注者の資料の扱いを契約書・特記仕様書で確認した	☐
6	AIのアカウントに多要素認証を設定した	☐
7	入力してしまったときの報告先を決めた	☐

よくある質問

Q. 学習に使わない設定にすれば、何を入力しても大丈夫ですか。 A. そうとは限りません。個人情報保護委員会は、個人情報を入力する場合は利用目的の範囲内かを確認することも求めています。発注者の資料は契約上の守秘の定めがあるかも確かめる必要があります。

Q. 社員が私物のスマートフォンでChatGPTを使うのを止められません。 A. 禁止だけでは防ぎにくいので、会社のアカウントを用意し、入力してよい情報の線引きを示すほうが効果的です。社用端末の管理はMDMの記事も参考にしてください。

Q. 施工計画書の下書きにAIを使うのは情報漏洩になりますか。 A. 工事名・発注者名・測点・数量などを伏せ、工法の一般的な説明や章立ての下書きに使う範囲なら、リスクを抑えて使えます。使い方の例は土木工事のChatGPT活用5場面をご覧ください。

まとめ

• 生成AIの情報漏洩は、機密や個人情報の入力と、会社の管理外のアカウントでの利用から起きる
• 個人情報保護委員会とAI事業者ガイドラインは、入力する情報の確認と、提供事業者の規約・学習利用の確認を求めている
• 土木工事では、作業員名簿・入札前の積算・発注者の資料が特に注意すべき情報
• 禁止だけでなく、会社として使ってよい環境とルールを用意する

出典・参考

• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」令和5年6月2日（個人情報取扱事業者における注意点、一般の利用者における留意点）
  https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」令和8年3月31日（AI利用者のセキュリティ確保）
  https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_1.pdf
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）別添（付属資料）」令和8年3月31日（機密情報の流出リスク、企業の管理外での生成AIの利用）
  https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_3.pdf
• 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」2026年1月29日（組織編）
  https://www.ipa.go.jp/security/10threats/10threats2026.html

お問い合わせはこちら →