会社でAIを使う前の必須チェックリスト【2026年版】機密情報・セキュリティ・社内ルール・プラン選びの5軸

「会社で AI を使えと言われたけど、機密情報を入れていいのか不安」——多くの非エンジニアが詰まる場所です。本記事では、ai-pedia 編集部が法務専門家への取材 で整理した 5軸20項目のチェックリスト を公開します。

結論：5軸20項目で安全運用

短く言うと：

軸	主なチェック項目
1. プラン選び	Free / Plus / Pro / Team / Enterprise の差を理解
2. 機密情報の扱い	個人情報・財務・未公開情報を匿名化
3. 学習オプトアウト	プラン規約で設定可能か確認
4. 社内ルール整備	利用ガイドライン・許可ツール
5. インシデント対応	漏洩時の連絡フロー

これら5軸を整えずに使い始めると、致命的トラブルが起きます。

セキュリティ前の30日プランは「会社でAIを使え」と言われた人の30日ロードマップ、ツール選びはAIツール選び方フローチャート、ナレッジ整備は社内AI活用ナレッジベースの作り方を参照。

軸1：プラン選び（最重要）

Free プランは業務利用 NG

最大の誤解が「ChatGPT Free でも会社で使える」という思い込み。実は Free プランは業務利用に重大なリスク があります。

Free の問題点

項目	Free	Plus 以上
データ学習	⚠️ デフォルトで学習に使われる可能性	✅ オプトアウト可能
利用上限	1日数回〜十数回	月数百〜数千回
エージェントモード	非対応	対応
カスタムGPT	利用のみ	作成・利用
商用利用	グレー	OK

推奨プラン早見表

利用シーン	推奨プラン	月額（個人）
個人練習・学習	Free	¥0
個人の業務効率化	Plus（ChatGPT）	¥3,000
本格業務利用	Plus + Claude Pro	¥6,000
チーム展開（5人〜）	Team プラン	¥3,750/人
大企業・機密多い	Enterprise	月数十万〜

詳細はAIツール選び方フローチャート、料金詳細はChatGPT エージェントモード料金完全比較・AIライティングツール料金比較を参照。

チェックリスト（プラン選び）

□ Free プランで業務関連情報を入力していないか
□ Plus / Pro 以上のプランで「データ学習オプトアウト」を有効化したか
□ チーム展開時は Team / Enterprise プランを選択したか
□ 法人プランで DPA（データ処理契約）を取得したか

軸2：機密情報の扱い

入力 NG・要注意・OK の3カテゴリ

❌ 絶対 NG（業務利用でも禁止）

- 取引先の個人情報（氏名・電話・住所）をそのまま
- 顧客の財務情報・口座番号
- 未公開の M&A 情報
- 未発表の新商品情報
- 社員の人事評価・給与
- 社内の重大な意思決定（解雇・撤退等）
- 弁護士特権の対象文書
- 監査関連の機密文書

⚠️ 要注意（匿名化すれば OK）

- 自社内の社員間メール（「○○さん」を「Aさん」に）
- 営業先の企業名（「□□ 株式会社」を「業界A社」に）
- 商談の議事録（金額・契約条件を抽象化）
- 商品の価格交渉情報
- 求人候補者の経歴

✅ OK（そのまま入力可）

- 公開済みの自社サイト・プレスリリース
- 公開済みの業界レポート
- 自分の業務メモ・スケジュール
- 一般的な業界知識の質問
- 公開された他社の競合分析
- 法律・規制の一般情報
- パブリックドメインのデータ

匿名化の実例

❌ 悪い例：
「株式会社ABCの田中部長から、来月の3,000万円契約について
返信メールを書いて」

✅ 良い例：
「取引先の役員から、来月の中規模契約について
ビジネスフォーマルなトーンで返信メールを書いて。
要件：丁寧な確認事項3点を含める」

固有名詞・金額・日付を抽象化すれば情報漏洩リスクは大幅に減ります。

チェックリスト（機密情報）

□ 個人情報を AI に直接入力していないか
□ 財務データ（金額・口座等）を匿名化したか
□ 未公開の M&A・新商品情報を一切入れていないか
□ 弁護士特権・監査機密を扱っていないか
□ 「これ入れて大丈夫？」を社内で確認するフローがあるか

軸3：学習オプトアウト設定

学習オプトアウトとは

ユーザーがアップロードしたデータを AI ベンダーが今後の学習に使わない 設定。これを 必ず有効化 します。

ツール別オプトアウト設定方法

ChatGPT Plus / Pro

設定（Settings）
→ Data Controls
→ Improve the model for everyone を OFF

Claude Pro

Settings
→ Privacy
→ Help improve Claude を OFF

Notion AI

ワークスペース設定
→ AI
→ Use my data to improve AI を OFF

法人プランは規約レベルで保証

Team / Enterprise プランは 規約上学習しない ことが明示されています。法人導入時は必ず：

• DPA（Data Processing Agreement）を取得
• 法務部門の承認
• 契約書原本を内部保管

詳細はAI議事録セキュリティ・コンプラ完全ガイドも参照。

チェックリスト（学習オプトアウト）

□ 利用中の全ツールで学習オプトアウト設定を有効化したか
□ 法人プランで DPA を取得したか
□ 月次でオプトアウト設定が維持されているか確認しているか
□ 新しいツールを試す前にオプトアウトを設定したか

軸4：社内ルール整備

最低限必要な4つのルール

ルール1：利用許可ツール（ホワイトリスト）

✅ 利用 OK
- ChatGPT Plus 以上
- Claude Pro 以上
- Notion AI（既存契約のみ）
- 自社特定の法人契約ツール

❌ 利用 NG
- Free プラン全般
- 出処不明の AI ツール
- 中国系 AI ツール（規制関連リスク）
- 個人開発者の試作ツール

ルール2：機密情報の入力ルール

□ 個人情報は匿名化必須
□ 財務データは抽象化必須
□ 未公開製品情報は禁止
□ 取引先名は仮名化推奨

ルール3：成果物の確認ルール

□ AI 生成物は必ず人間がレビュー
□ 重要文書（契約・法的文書）は専門家確認
□ 公開前に最低1人のチェック
□ 出典・参考リンクの正確性確認

ルール4：違反時の対応

□ 違反発覚時の連絡先（情シス・法務）を明記
□ 軽微な違反：教育・改善
□ 重大な違反：処分検討
□ 機密漏洩：社内インシデント対応フロー発動

社内ルールの作り方

詳細手順は社内AI活用ナレッジベースの作り方で解説していますが、基本的な流れ：

1. 現場のキーマンが叩き台を30分で作る
2. 情シス・法務に1週間でレビュー依頼
3. フィードバック反映 → 公開
4. 月次で見直し

完璧版を半年待つより、叩き台で公開 → 走りながら改善が王道。

チェックリスト（社内ルール）

□ 利用許可ツールのホワイトリストがあるか
□ 機密情報の入力ルールが文書化されているか
□ AI 生成物の確認フローが決まっているか
□ 違反時の連絡先・対応フローが明確か
□ 月次でルール見直しの仕組みがあるか

軸5：インシデント対応

万が一漏洩したら

即時対応（漏洩発覚〜1時間）

1. 該当ユーザーのアカウントを即座に停止
2. AI ベンダーのインシデント窓口に連絡
3. 影響範囲の初期把握
4. 上司・情シス・法務に第一報

24時間以内

1. 詳細調査（何のデータが・誰に・どこへ）
2. 関係者（漏洩した情報の本人）への通知
3. 監督官庁への報告（個人情報保護委員会等）
4. 社内インシデント対応チーム招集

1週間以内

1. 全社員への通知（再発防止のため）
2. 取引先への報告（必要に応じ）
3. 再発防止策の文書化
4. 社内ルールの見直し

チェックリスト（インシデント対応）

□ AI ツール各社のインシデント連絡先を控えてあるか
□ 情シス・法務の緊急連絡先が分かるか
□ 監督官庁への報告手順が分かるか
□ 過去のヒヤリハットを蓄積しているか
□ 月1回のインシデント対応訓練を実施しているか

業界別の注意点

金融機関

追加リスク：金融庁の監督指針・FISC ガイドライン

推奨：データ国内保管必須 → さくらAI議事録 / JAPAN AI SPEECH 系。詳細はAI議事録セキュリティ・コンプラ完全ガイド。

医療機関

追加リスク：個人情報保護法医療特例条項・医療情報安全管理ガイドライン

推奨：HIPAAレベル管理可能なツールに限定。患者情報は AI 投入禁止が原則。

法律事務所

追加リスク：弁護士業務上の守秘義務

推奨：Claude Pro（長文得意）+ 弁護士最終確認。AI 生成物は 下訳のみ に限定。詳細はAI翻訳の業務活用完全ガイド。

製造業（特許関連）

追加リスク：特許出願前情報の漏洩

推奨：未出願技術情報は一切入れない。R&D 部門は別途厳格なルール。

公的機関・自治体

追加リスク：政府情報システムのためのセキュリティ評価制度（ISMAP）

推奨：ISMAP 認定ツールのみ利用可。さくらAI議事録など国内保管系優先。

よくある「やらかし」5選

やらかし1：Free プランで取引先情報を学習させてしまった

事例：営業担当が ChatGPT Free に「○○ 株式会社の田中様への提案メール」を依頼。

結果：取引先名が AI 学習データに使われた可能性。社内監査で問題化。

回避策：Plus 以上のプランに切替。固有名詞は仮名化。

やらかし2：契約書誤訳で訴訟リスク

事例：法務担当が AI 翻訳をそのまま契約書に採用。法律用語の解釈ミスで条項が変質。

結果：取引先と争い、訴訟リスクに発展。

回避策：契約書翻訳は 下訳のみ に AI 利用、最終版は弁護士確認。詳細はAI翻訳の業務活用完全ガイド。

やらかし3：人事評価データを AI に投入

事例：人事担当が「社員の評価をまとめて」と Free プランに投入。

結果：個人を特定できるデータが学習されるリスク。

回避策：人事データは原則 AI 利用不可。匿名化前提で Pro 以上。

やらかし4：機密会議の録音を AI で文字起こし

事例：取締役会の録音を Free の文字起こしツールに投入。

結果：機密情報の漏洩リスク。

回避策：機密会議は法人プラン + DPA 取得済みツール。詳細はAI議事録セキュリティ・コンプラ完全ガイド。

やらかし5：競合製品の中身を AI に分析させた

事例：マーケ担当が NDA 締結済みの競合資料を AI に分析依頼。

結果：NDA 違反、賠償請求リスク。

回避策：NDA 対象資料は AI 投入禁止。公開情報のみで分析。

完全チェックリスト：契約前 20 項目

【プラン選び（4項目）】
□ Free プランで業務情報を入れていないか
□ 学習オプトアウト可能なプラン（Plus 以上）か
□ 法人プランで DPA を取得したか
□ チーム展開を見据えて Team / Enterprise を検討したか

【機密情報（4項目）】
□ 個人情報を AI に直接入力していないか
□ 財務データを匿名化したか
□ 未公開の経営情報・新商品情報を入れていないか
□ NDA 対象データを AI 投入していないか

【学習オプトアウト(3項目)】
□ 利用中の全ツールでオプトアウト設定済みか
□ 月次でオプトアウト設定の維持確認しているか
□ 新ツール追加時にオプトアウトを設定する習慣があるか

【社内ルール(5項目)】
□ 利用許可ツールのホワイトリストがあるか
□ 機密情報の入力ルールが文書化されているか
□ AI 生成物の確認フローが決まっているか
□ 違反時の連絡先・対応フローが明確か
□ 月次でルール見直しの仕組みがあるか

【インシデント対応(4項目)】
□ 各 AI ツールのインシデント連絡先を控えているか
□ 情シス・法務の緊急連絡先が分かるか
□ 監督官庁への報告手順が分かるか
□ 過去のヒヤリハットを蓄積しているか

20項目すべてチェックついたら、安全に AI 活用できる体制が整っています。

まとめ

• 5軸20項目 のチェックで安全運用
• Free プランは業務利用 NG、Plus 以上必須
• 機密情報は3カテゴリ（NG / 要注意 / OK）に分類
• 学習オプトアウトを全ツールで設定
• 社内ルールを叩き台で公開 → 改善
• インシデント対応フローを事前準備

「会社で AI 使え」と言われた人がやってはいけないのは「ルールなしで突入」すること。本記事のチェックリストで、まず安全圏を確保してから本格運用に入ってください。

セキュリティ整備後の 30日プラン は「会社でAIを使え」と言われた人の30日ロードマップ、ツール選定 はAIツール選び方フローチャート、ナレッジベース は社内AI活用ナレッジベースの作り方、業務別プロンプト は業務別AI活用プロンプト50選を参照してください。

業界別の詳細はAI議事録セキュリティ・コンプラ完全ガイド・AI画像生成の商用利用完全ガイド・AI翻訳の業務活用完全ガイド もあわせてどうぞ。