ChatGPTの情報漏洩を防ぐ｜建設会社の生成AI社内ルール

ChatGPTなど生成AI（指示に応じて文章や画像を作るAI）の情報漏洩を防ぐには、「入力してよい情報」を区分し、会社が管理するアカウントで使い、利用規約で入力データの扱いを確かめることが基本です。 個人情報保護委員会は、事業者が個人データを含む指示文を入力し、その個人データが応答の出力以外の目的で扱われる場合は個人情報保護法に違反する可能性があるとして、提供事業者が機械学習に利用しないことなどを十分に確認するよう求めています。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。元請の建設会社は、発注者の建物の情報、協力会社の見積、作業員の個人情報を同時に預かっています。便利に使い始める前に、何を入れてはいけないかを会社として決めておく必要があります。施工管理での活用場面とプロンプトの型は建築工事のChatGPT活用5場面で紹介しているので、この記事では漏洩を防ぐ側に絞って整理します。

生成AIで情報が漏れる4つの経路

経路	起きること	建設会社での例
1. 入力した情報の扱い	入力内容がサービス側で保存され、設定や契約によっては機械学習に使われる	発注者名と所在地の入った近隣説明文を、そのまま入力して整えさせる
2. アカウントの管理	乗っ取りや共有リンクから、入力と出力の履歴が見られる	作業所の共有アカウントで使い、異動した人も履歴を見られる
3. 会社が知らない利用	個人のアカウントで業務の情報を入力し、会社が把握も削除もできない	担当者が自分のスマートフォンの個人アカウントで見積の比較をさせる
4. 出力の持ち出し	出力をそのまま社外に出し、誤りや他社の情報が混ざる	AIが整えた文書を確認せずに発注者へ送る

個人情報保護委員会の注意喚起は、一般の利用者に向けても、入力した個人情報が機械学習に利用されることがあり、正確または不正確な内容で出力されるリスクがあることを指摘しています。経路1への対策が最も知られていますが、実際には2と3の管理の穴から漏れることも多いため、4つを並べて対策を考えます。

元請が預かる情報の区分表

社内ルールの中心は、情報ごとに「入力してよいか」を決めた区分表です。元請の建設会社なら、次の4区分が目安になります。

区分	情報の例	生成AIへの入力
A. 公開済みの情報	公表された法令・標準仕様書の一般的な内容、自社のホームページの文章	入力してよい
B. 社内の一般的な情報	社内の手順書、名前を伏せた議事録、一般的な工法の説明	会社が認めたサービスで入力してよい
C. 加工すれば使える情報	是正指示、近隣への案内文、工程の連絡	発注者名・現場の所在地・会社名・個人名を「発注者」「A現場」「B社」のように置き換えてから入力
D. 入力しない情報	作業員名簿などの個人情報、健康診断の結果、協力会社の見積単価、実行予算、発注者の未公表の計画、建物の警備・入退室・セキュリティ設備の図面、契約で第三者への開示が禁じられた図書	入力しない

協力会社の見積単価は、協力会社にとっての営業上の秘密でもあります。元請が預かった他社の情報を外部のサービスに入れることは、相手の信頼を損ないます。また、健康診断の結果は要配慮個人情報（不当な差別などが生じないよう、取り扱いに特に配慮が必要な個人情報）に当たります（個人情報保護法施行令第2条）。安全書類の様式によっては健康状態に関する項目を集めている場合があるので、自社の書式を確かめてください。

設計図書や施工図については、発注者との請負契約や設計図書の取扱いの定めで、目的外の使用や第三者への開示が制限されていることがあります。図面を生成AIに読み込ませる使い方を検討するときは、まず契約の条件を確かめます。図面の読み取りにAIを使う場合の実力と限界は図面からの数量拾い出しにAIは使えるかで解説しています。

会社が管理するアカウントで使う

経路2と3への対策は、会社が管理するアカウントで使うことです。

• 会社として認めるサービスと契約の種類を決める: 入力データの扱い（機械学習に使われるか、保存期間、管理者が履歴を管理できるか）は、同じサービスでも契約の種類や設定で異なります。個人情報保護委員会も、利用者は提供事業者の利用規約やプライバシーポリシー等を十分に確認するよう求めています
• 1人1アカウント: 作業所の共有アカウントは作らない。共有すると、誰が何を入力したか分からなくなります
• 多要素認証をかける: 生成AIのアカウントにも、メールと同じ水準の守りが必要です（二段階認証・多要素認証とは）
• 退職・異動で止める: アカウントの停止と、履歴の扱いを手順に入れる

個人のアカウントで使うことを一律に禁止しても、便利さに負けて隠れて使われるだけです。会社として使える環境を用意し、そこに業務の利用を集めるほうが、結果として漏洩を防げます。

【雛形】生成AIの社内ルール（A4一枚）

1. 使ってよいサービス: 会社が契約した〇〇のみ。個人のアカウントで業務の情報を入力しない
2. 入力してよい情報: 区分表のA〜Cのみ。Cは固有名詞を置き換えてから入力する
3. 入力しない情報: 区分表のD。迷ったら入力しない
4. 出力の確認: 社外に出す文書は、担当者が原資料と照合してから出す。数字・日付・法令・製品名は必ず確かめる
5. アカウント: 1人1アカウント、多要素認証を有効にする。共有リンクを社外に送らない
6. 事故の報告: 区分Dの情報を入力してしまったときは、隠さずにすぐ情報システム担当に報告する
7. 見直し: 年1回、使っているサービスの規約の変更と、ルールの守られ方を確認する

6の「すぐ報告」が機能しないと、個人データが含まれていた場合の判断が遅れます。個人データの漏えい等が起きたときの報告の考え方は情報漏洩の原因と対策で整理しています。

【チェックリスト】入力する前の3秒確認

確認すること	はいの場合
人の名前、生年月日、連絡先が入っていないか	削るか、仮名に置き換える
発注者・現場・協力会社が特定できる言葉が入っていないか	「発注者」「A現場」「B社」に置き換える
金額（見積単価・実行予算・契約金額）が入っていないか	入力しない
建物の警備や入退室に関わる情報が入っていないか	入力しない
会社が認めたサービスとアカウントで使っているか	いいえなら使わない

よくある質問

Q. 学習に使わない設定にすれば、何を入力しても大丈夫ですか。 A. 大丈夫とは言えません。機械学習への利用を止めても、入力内容がサービス側に保存されることや、アカウントの乗っ取り、共有の設定から見られることはあり得ます。区分Dの情報は、設定にかかわらず入力しないのが原則です。

Q. 作業員名簿の整理にAIを使いたいのですが、可能ですか。 A. 名簿には氏名や生年月日などの個人情報が含まれます。個人情報保護委員会は、個人データを含む指示文を入力する場合、利用目的の範囲内であることや、提供事業者が機械学習に利用しないこと等を十分に確認するよう求めています。外部のサービスに入力するのではなく、会社が管理するシステムの中で処理する方法を先に検討してください。

Q. 社員が個人のアカウントで使っていたことが分かりました。どうすればよいですか。 A. まず何を入力したかを本人に確かめ、区分Dに当たる情報があれば、サービスの履歴を削除し、必要に応じて報告の要否を判断します。そのうえで、会社として使える環境を用意し、ルールを周知します。叱責だけで終えると、次は報告されなくなります。

まとめ

生成AIの情報漏洩は、入力した情報の扱いだけでなく、アカウントの管理、会社が知らない利用、出力の持ち出しからも起こります。元請の建設会社は、発注者・協力会社・作業員の情報を預かる立場として、情報の区分表と会社が管理するアカウントの2つを先に用意してください。そのうえで使う場面を広げるほうが、結局は早く、安全に定着します。

出典・参考

• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（令和5年6月2日）: https://www.ppc.go.jp/files/pdf/230602_kouhou_houdou.pdf
• IPA（情報処理推進機構）「情報セキュリティ10大脅威 2026」（2026年1月29日）: https://www.ipa.go.jp/security/10threats/10threats2026.html
• 個人情報の保護に関する法律施行令 第2条（要配慮個人情報）（e-Gov法令検索）: https://laws.e-gov.go.jp/law/415CO0000000507
• 総務省・経済産業省「AI事業者ガイドライン」: https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html

※ 2026年10月14日時点で各資料を確認しています。