企業法務弁護士監修済
Q.社員がChatGPTに社内の機密情報を入力して業務に使っていました。会社はどう対処すべきですか？個人情報保護法の報告の要否、営業秘密・取引先への影響、社員の処分と再発防止
A.
まず入力した内容・サービス・設定を確かめます。本人の同意なく入力した個人データが学習などに使われると個人情報保護法違反のおそれがあり、規則7条の事態なら委員会への報告と本人通知が必要です。処分は就業規則の根拠と相当性を踏まえ、利用ルールの整備を急ぎます。
詳しく見る ▶
社員がChatGPTなどの生成AIに社内の機密情報を入力していたと分かったら、まず「何を・いつ・どのサービスに・どの設定で」入力したかを確かめます。本人の同意なく入力した情報に顧客などの個人データが含まれ、それが応答の出力以外の目的（AI事業者の機械学習など）に使われる場合は、個人情報保護法に違反するおそれがあると個人情報保護委員会が注意を促しています。漏えい等にあたり、要配慮個人情報を含むなど一定の場合に該当すれば、委員会への報告と本人への通知が必要です（個人情報保護法26条）。あわせて、営業秘密としての管理や取引先との秘密保持契約への影響を確認し、社員の処分は就業規則の根拠と相当性を踏まえて判断します。
こんな場面で問題になります
・営業担当者が、顧客名と商談内容を貼り付けて提案書をAIに作らせていた。
・開発者が、社外秘のソースコードをAIに入力してバグを直していた。
・人事担当者が、社員の評価コメントや病歴を含む面談記録をAIで要約していた。
・取引先から預かった契約書の案を、個人のアカウントで翻訳させていた。
1. まず事実を確かめます
最初に必要なのは、慌てて処分を決めることではなく、事実の確認です。次の点を、本人への聞き取りと記録で確かめます。
・入力した情報の中身（個人データか、技術情報か、取引先の情報か）と量
・入力した日時と回数、使ったサービスの名前
・会社が契約した法人向けプランか、社員個人のアカウントか
・入力内容がサービス提供者の学習に使われる設定だったか、履歴を削除できるか
・出力結果を、社外の誰かに送ったか
サービスの種類や契約内容によって、入力した情報の扱いは大きく変わります。利用規約とプライバシーポリシー、管理画面の設定を確認し、画面の記録を残しておきます。
2. 個人データが含まれていた場合
個人情報取扱事業者は、個人情報の利用目的をできる限り特定し（個人情報保護法17条1項）、本人の同意なく、その目的の達成に必要な範囲を超えて取り扱ってはなりません（同法18条1項）。また、個人データの漏えい、滅失または毀損の防止など、安全管理のために必要かつ適切な措置を講じる義務があります（同法23条）。
個人情報保護委員会は、2023年6月2日の「生成AIサービスの利用に関する注意喚起等」で、事業者向けに次の点を挙げています。
・個人情報を含むプロンプトを入力する場合は、特定された利用目的を達成するために必要な範囲内であることを十分に確認すること。
・あらかじめ本人の同意を得ないで個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性がある。そのため、AI事業者が個人データを機械学習に利用しないことなどを十分に確認すること。
3. 委員会への報告と本人への通知が必要になる場合
個人データの漏えい等のうち、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときは、委員会に報告し（個人情報保護法26条1項）、本人に通知しなければなりません（同条2項）。規則で定める事態は、次のいずれかです（個人情報保護法施行規則7条）。
・要配慮個人情報（病歴など）が含まれる個人データの漏えい等が発生し、または発生したおそれがある
・不正に利用されると財産的被害が生じるおそれがある個人データ（クレジットカード番号など）の漏えい等が発生し、または発生したおそれがある
・不正の目的をもって行われたおそれがある行為による漏えい等が発生し、または発生したおそれがある
・本人の数が1,000人を超える漏えい等が発生し、または発生したおそれがある
AIへの入力が、そもそも「漏えい等」にあたるかは、サービスの仕組みと契約内容によって判断が分かれます。報告が必要かどうかは、事実を整理したうえで、早い段階で判断することが大切です。
4. 営業秘密と取引先の秘密への影響
不正競争防止法で保護される営業秘密は、秘密として管理されている、事業活動に有用な技術上または営業上の情報で、公然と知られていないものです（不正競争防止法2条6項）。一度の入力で直ちに保護を失うとは限りませんが、社内で入力が黙認されていた、ルールがなかったという状態が続くと、「秘密として管理されていた」と言いにくくなるおそれがあります。
取引先から預かった情報を入力していた場合は、その取引先との秘密保持契約を確認します。目的外使用の禁止、第三者への開示の禁止、漏えい時の通知義務などの条項があれば、対応の期限と方法がそこで決まります。
5. 入力した社員への対応
社員本人には、まず事情を聞き、何をしたかを記録します。懲戒処分をするには、就業規則に根拠があることが前提になります。常時10人以上の労働者を使用する会社は、制裁の定めをする場合、その種類と程度を就業規則に記載しなければなりません（労働基準法89条9号）。そのうえで、処分が行為の性質・態様その他の事情に照らして客観的に合理的な理由を欠き、社会通念上相当と認められない場合は、権利の濫用として無効になります（労働契約法15条）。
業務を早く進めるために使っていた、会社に利用のルールがなかった、という事情があれば、重い処分は相当性を欠くと判断されやすくなります。ルールの整備が遅れていたなら、処分より先に全社への周知と再発防止を進めるほうが現実的です。
6. 海外のAIサービスを使う場合
多くの生成AIサービスは、海外の事業者が提供しています。個人データを外国にある第三者に提供する場合は、原則として、あらかじめ外国にある第三者への提供を認める旨の本人の同意が必要です（個人情報保護法28条1項）。同意を得るときは、その外国の個人情報保護制度などの情報を本人に提供しなければなりません（同条2項）。
AIへの入力が「提供」にあたるか、委託や自社の利用にとどまるかは、サービス提供者が入力データをどう取り扱うかで変わります。外資系企業の日本法人で、親会社が選んだAIツールを使う場合も、日本の個人情報保護法の観点から契約内容を確認しておく必要があります。
7. 社内のAI利用ルールに入れておく項目
再発防止の中心は、使ってよい範囲をはっきりさせることです。ルールには、少なくとも次の項目を入れておくと、社員が判断に迷いにくくなります。
・使ってよいサービスと契約形態：会社が契約した法人向けプランに限るのか、個人アカウントの利用を認めるのか。
・入力してはいけない情報：顧客や社員の個人データ、要配慮個人情報、取引先から預かった情報、未公表の財務情報やソースコードなど。
・例外の手続：どうしても入力が必要な場合に、誰の承認を得るか。
・出力結果の扱い：誤りが含まれ得ることを前提に、社外に出す前に人が確認すること。個人情報保護委員会の注意喚起も、応答結果に不正確な内容が含まれるリスクを指摘しています。
・違反した場合の扱い：就業規則の懲戒規定との関係を示しておく。
ルールは作るだけでなく、全社員に周知して研修を行い、確認した記録を残すことで、営業秘密の「秘密として管理されている」状態を説明しやすくなります。
今すぐできること
・入力した情報、日時、サービス名、アカウントの種類、学習利用の設定を記録する。
・可能であれば、サービス上の入力履歴の削除や学習利用の停止の設定をする。
・個人データが含まれていれば、規則7条の4つの事態にあたるかを確認する。
・取引先の情報であれば、秘密保持契約の通知義務と期限を確認する。
・社内で使ってよいAIサービス、入力してはいけない情報、承認の手順を定めたルールをつくる。
・ルールを全社員に周知し、研修と同意の記録を残す。
弁護士に相談すべきタイミング
・要配慮個人情報や1,000人を超える顧客データが入力されていた。
・委員会への報告や本人への通知が必要かどうか、判断がつかない。
・取引先から、情報の取扱いについて説明や損害賠償を求められた。
・入力した社員の処分を検討しているが、就業規則の定めがあいまいだ。
・海外の親会社が導入したAIツールを、日本でもそのまま使う予定だ。
よくあるご質問
Q. ChatGPTに入力しただけで、情報漏洩になりますか？
サービスの種類と設定によります。入力内容がサービス提供者の学習などに使われる設定なのか、法人向けプランで学習に使われない契約なのかで、評価が変わります。まず利用規約と設定を確認し、記録を残してください。
Q. 必ず個人情報保護委員会に報告しなければなりませんか？
報告が義務になるのは、個人データの漏えい等のうち規則7条の事態にあたる場合です（個人情報保護法26条1項）。要配慮個人情報が含まれる、本人が1,000人を超えるなどの場合が典型です。該当しない場合でも、社内での記録と再発防止は必要です。
Q. 入力した社員を懲戒解雇できますか？
懲戒には就業規則の根拠が必要で、処分の重さは行為の性質や事情に照らして相当でなければ無効になります（労働契約法15条）。会社に利用ルールがなかった場合や、業務のために使っていた場合は、重い処分は認められにくくなります。
Q. 社内でAIの利用を全面的に禁止すべきですか？
全面禁止は、私物の端末で隠れて使われる原因になることがあります。使ってよいサービスと入力してはいけない情報を明確にし、法人向けの契約で管理するほうが、情報を守りやすい場合が多いといえます。
Q. 法人向けプランなら、個人データを入力しても問題ありませんか？
法人向けプランでも、利用目的の範囲内か（個人情報保護法18条）、安全管理措置が十分か（同法23条）を確認する必要があります。提供者が外国にある場合は、外国にある第三者への提供の規律（同法28条）との関係も確認します。
FREE CONSULTATION
企業法務のご相談は、初回30分無料です
- ・日本・ニューヨーク州の弁護士 阿部祐介が担当します
- ・オンライン（Zoom等）・来所（東京・大手町）どちらも可
- ・日本語・英語のどちらでもご相談いただけます
※ 本記事は法律の一般的な知識を提供するものであり、個別の法律相談に代わるものではありません。具体的な法的問題については、弁護士にご相談ください。
関連するQ&A
Q. 取締役は個人として損害賠償責任を負いますか？会社に対する責任・取引先など第三者に対する責任と、責任を軽くする仕組みを経営者向けに解説
Q. 株主間契約（SHA）に法的拘束力はありますか？効力が及ぶ範囲と、定款に入れるべき条項の見分け方
Q. 退職後の競業避止義務はどこまで有効ですか？就業規則・誓約書の有効性の判断基準、違反されたときの対応、外資系企業の英文書式の注意点
Q. 取引先との契約を途中で解除できますか？合意解除・解除条項・債務不履行による解除の要件と、解除前に確認すべきことを経営者・法務担当者向けに解説
Q. 日本で商標を登録するには？特許庁に納める費用・先に出願した者が優先されるルール・海外企業の手続を、事業者向けに解説
関連コラム
生成AIの出力を日本で商用利用できるか｜著作権法30条の4と出力段階のリスク
生成AIの出力物を日本で商用利用してよいかを、企業の担当者向けに著作権法から整理。学習段階を対象とする30条の4とそのただし書、出力段階の侵害判断（類似性と依拠性）、学習データと依拠性の関係、AI生成物に著作権が生じる条件、侵害した場合の差止め・損害賠償・刑事罰、社内で今すぐできる対策をまとめます。
外国企業の日本進出｜駐在員事務所・支店・子会社の選び方と契約の準拠法
外国企業が日本に進出するときの3つの形（駐在員事務所・支店・子会社）の違いを、会社法の条文に沿って整理します。登記前の継続取引の禁止、日本における代表者、株式会社と合同会社の違い、契約の準拠法と裁判管轄、外為法の届出、在留資格「経営・管理」の2025年10月の基準改正まで、進出前に確認すべき点をまとめました。
