顧客の氏名や連絡先、従業員の情報、取引先から預かった資料などを、生成AIのチャットに貼り付けてしまったと気づいたとき。焦ってあれこれ操作するより、順番を決めて動くほうが、その後の対応が楽になります。この記事では、気づいた直後から社内に報告するまでの初動を、順に整理します。
なお、法令上の報告が必要かどうか、本人や取引先に連絡するかどうかといった判断は、この記事では扱いません。それは会社の担当部署や専門家が判断することです。ここでは、その判断に必要な材料をそろえて渡すところまでを目標にします。
初動の全体の流れ
- その会話に入力を続けない
- 何を入力したかを記録する
- 社内の手順を確認する（削除の前に）
- 履歴・共有リンク・メモリーなどを削除する
- 学習への利用・データ保持の設定を確認する
- 上長・情報管理担当へ報告する
勤務先に情報漏えいや事故対応の手順がある場合は、そちらを優先します。以下は、そうした手順がない場合や、手順を確認するまでの動き方として読んでください。
1. その会話に入力を続けない
まず手を止めます。
- 同じ会話に、追加の情報やファイルを貼らない。
- AIに「今の内容は忘れて」と頼んでも、入力済みのデータが削除されるとは限りません。削除は、画面上の操作やサービスの手続きで行うものと考えてください。
- 会話の共有リンクを作っていたら、それ以上は送らない。すでに送った相手がいれば、誰に送ったかを控える。
- 同じ内容を、別のAIツールで試し直さない。
2. 何を入力したかを記録する
削除すると、何を入力したかを後から確かめられなくなることがあります。削除する前に、次の項目を記録します。
| 項目 | 記録する内容の例 |
|---|---|
| 日時 | 入力した日時、誤りに気づいた日時 |
| サービス | サービス名、Web版かアプリか、プラン（個人向けの無料・有料、法人契約など） |
| アカウント | 会社支給のアカウントか、個人のアカウントか |
| 情報の種類 | 氏名、住所、電話番号、メールアドレス、顧客番号、取引条件など |
| 範囲 | 何人分・何件か、本文に貼ったか、ファイルを添付したか |
| 誰の情報か | 顧客、取引先、従業員、自分自身など |
| その後の操作 | 共有リンクの作成、ほかのアプリとの連携、出力したもののダウンロードの有無 |
| 当時の設定 | 学習への利用を許可する設定がオンだったか、オフだったか（わかる範囲で） |
記録するとき、個人情報そのものを別のメモやメールに書き写さないでください。「顧客一覧の一部、30件分の氏名と電話番号」のように、種類と件数を書けば報告には足ります。画面のスクリーンショットには個人情報も写ります。撮るかどうか、撮った画像をどこに置くかは、担当者の指示に従ってください。
3. 社内の手順を確認する（削除の前に）
会話の削除は、多くの場合取り消せません。会社によっては、状況を確認するために、削除する前の状態を見ておきたいと判断することもあります。
- 生成AIの利用ルールや情報セキュリティの規程に、誤って入力したときの手順が書かれていないか確認する。
- 手順に「まず報告」とあれば、削除より先に上長や情報管理担当へ一報し、削除してよいか確認する。
- 担当者とすぐに連絡が取れず、手順にも定めがない場合は、2の記録を済ませてから削除する。削除した時刻も記録に加えておく。
4. 履歴・共有リンク・メモリーなどを削除する
入力した内容が残っているかもしれない場所を、一つずつ確認します。画面の構成はサービスやバージョンによって違います。見つからないときは、そのサービスのヘルプで「会話の削除」「共有リンク」「メモリー」などを検索してください。
- 会話：該当する会話を履歴から削除する。
- 共有リンク：会話の共有リンクを作っていた場合、リンクの管理画面があるサービスなら、そこからも消えているか確認する。
- メモリー・パーソナライズ機能：会話の内容を覚えて次回以降に使う機能がある場合は、記憶された項目に入力した情報が含まれていないか確認する。含まれていれば削除する。
- アップロードしたファイル：プロジェクトやファイル保管の機能に、添付したファイルが残っていないか確認する。
- 連携先：ほかのアプリと連携していた場合、そちら側に内容が送られていないか確認する。
画面から削除しても、サービス側ですぐに消えるとは限りません。削除後にデータがどのくらいの期間保持されるかは、各サービスのプライバシーポリシーやヘルプに書かれていることが多いので、該当する箇所を確認して報告に添えます。法人契約で管理者がいる環境では、管理者側にログが残っている場合もあります。その扱いは情報管理担当に任せます。
5. 学習への利用・データ保持の設定を確認する
多くのサービスには、入力した内容をモデルの改善に使うかどうかを選ぶ設定があります。名前はサービスによって違い、「データコントロール」「プライバシー」「モデルの改善」などの項目の中にあることがあります。
- 入力したとき、その設定がオンだったかオフだったかを記録する。
- 今後に備えて、設定を会社のルールに合わせて見直す。
- 設定の変更が、すでに入力した内容にも及ぶかどうかは、サービスの説明で確認する。「今オフにしたから大丈夫」と自分で結論を出さない。
- 法人向けのプランでは、既定の扱いが個人向けと違う場合があります。契約内容の確認は情報管理担当に任せます。
6. 上長・情報管理担当へ報告する
報告は早めに、事実と推測を分けて行います。気まずくて報告を遅らせると、できたはずの対応が間に合わなくなることがあります。
報告の例：
件名：【報告】生成AIへの個人情報の誤入力について
○○さん
本日、生成AIのチャットに個人情報を誤って入力しました。
現時点でわかっていることを報告します。
・入力日時：○月○日 14時10分ごろ（14時25分に気づきました）
・サービス：（サービス名）、（プラン名）、会社支給のアカウント
・入力した情報：顧客一覧の一部、30件分の氏名と電話番号（本文に貼り付け）
・共有リンク：作成していません
・実施した対応：14時40分に該当の会話を削除しました。メモリー機能に該当する記録はありませんでした
・学習への利用の設定：入力時はオンでした（14時45分にオフに変更）
・わかっていないこと：削除後、サービス側でデータが保持される期間
今後の対応についてご指示をお願いします。
報告のメールやチャットにも、個人情報そのものは書きません。「おそらく学習には使われていない」のような見立てを書くときは、推測であることをはっきり書きます。
自分だけで判断しないこと
次の点は、記録と報告をしたうえで、会社として判断してもらいます。
- 情報の本人や、情報を預かった取引先に連絡するかどうか
- 個人情報保護委員会など、外部への報告が必要かどうか
- 取引先との契約に、事故が起きたときの通知の取り決めがあるかどうか
個人事業主などで社内に報告先がない場合は、情報を預かった取引先との契約や取り決めを確認してください。必要に応じて、取引先の担当者や弁護士などの専門家に相談します。
避けたい対応
- 誰にも伝えずに会話を削除して、それで終わりにする
- 記録する前に削除して、何を入力したかわからなくなる
- 報告の文面に、入力した個人情報をそのまま貼る
- AIに「忘れて」と頼んだことで、対応済みとする
- 確認していないのに、「漏れていない」「学習されていない」と伝える
落ち着いたら振り返る
対応が一段落したら、どの操作で入力してしまったのかを振り返り、社内で共有します。たとえば、コピーした範囲が広すぎた、添付するファイルを取り違えた、といった点です。入力前の確認のしかたや伏字の付け方は、社内の利用ルールとあわせて見直してください。
