AIに社外秘や個人情報を入力してしまったら｜削除する前にやること・社内報告・初動対応を解説【2026年9月最新】

2026年9月9日 02:47

送信ボタンを押したあとに気づく。顧客の名簿を貼り付けていた。契約書の全文を要約させていた。パスワードの入ったメモをそのまま渡していた。

心臓が縮む瞬間だと思います。まず履歴を消したくなるかもしれません。

消したくなる気持ちは分かります。ただ、何も記録せずに消すと、あとで「何が起きたか分からない」状態になります。まず追加の送信を止め、最低限の情報を残して社内窓口へ伝えてください。会社の手順で即時削除が決まっている場合は、その手順を優先します。

この記事では、AIに社外秘や個人情報を入力してしまった直後に、何をどの順番でやるかを整理します。対象は、会社の仕事で生成AIを使っている方と、その相談を受ける側の方です。予防の話は生成AI・ChatGPTの情報漏洩リスクと対策、入力する前の判断はクライアントから預かった個人情報を生成AIへ入力してよいかで扱っています。この記事は、その2本の「あと」を扱います。

なお、この記事は一般的な初動を整理したもので、個別の事案に対する法律上の判断ではありません。実際の報告や本人への通知は、自社の法務・個人情報保護の担当者、必要に応じて専門家へ確認してください。

この記事の要点

✅ 最初にやるのは削除ではなく、追加の入力を止めて、何を入れたかを記録し、決められた相手へ報告することです
✅ 入力した内容がどこにいつまで残るかは、製品と契約（個人用か会社用か）で違います。一律に「消せない」とも「消える」とも言えません
✅ 個人データの漏えい等に当たり、一定の4類型に該当する場合は、会社から個人情報保護委員会への報告が必要です。担当者だけで判断せず、すぐ社内窓口へ伝えます

送信した時点で、何が起きているのか

先に、誤解を1つほどきます。「AIに入力した＝AIがそれを覚えて、他の人に話す」わけではありません。

入力した内容は、回答を作るためにサービス提供会社へ送られます。その後に保存されるか、どのくらい残るか、AIの学習に使われるかは、製品、契約、設定、利用した機能によって変わります。個人のアカウントと、会社が管理する法人アカウントでも条件が違います。

だから「送信したら必ず学習される」とも、「削除ボタンを押せばすぐ完全に消える」とも言えません。法人向けサービスでは学習に使わない契約が一般的ですが、保存や監査のための記録は別に残ることがあります。学習、保存、社内ルール違反は分けて考えてください。

製品ごとの具体的な条件は、後の章で表にまとめます。ここでは「慌てなくてよいが、放置もしてはいけない」とだけ押さえてください。

最初の10分でやること

順番が大切です。上から順に進めてください。

1. 追加の入力と共有を止める。 そのチャットで続きを聞かず、回答をコピーして誰かに送るのも止めます。画面共有中なら共有を終了し、周囲から見えない状態にしてください。

2. 記録を残す。 日時、使ったサービス、アカウントが個人用か会社用か、入力した情報の種類、添付したファイル名、共有リンクの有無を書き出します。スクリーンショットや入力内容のコピーは、機密情報をさらに複製することがあります。会社指定の報告先や保存場所がある場合だけ使い、個人の端末やチャットへ転送しないでください。

3. 入れた情報の種類を確認する。 個人の氏名や連絡先か。マイナンバーや病歴のような特に重い情報か。パスワードやAPIキー（システム同士をつなぐための合い言葉）か。取引先の未公開情報か。種類によって、次の動きが変わります。

4. 決められた相手へ報告する。 上長、情報システム部門、セキュリティの窓口。会社にルールがあればそれに従い、なければ上長です。「自分で何とかしよう」と抱え込まないでください。

5. 会社の手順に従って削除する。 会話と、別に保存されたアップロードファイルは削除方法が異なる場合があります。社内手順で即時削除が決まっていれば従い、決まっていなければ最低限の記録を残して報告したうえで、窓口の指示を受けます。

6. 外への広がりを確認する。 回答を誰かに共有していないか、共有リンクを発行していないかを確認します。パスワードやAPIキーを入れた場合は、この順番を待たず、可能な限り早く無効化または変更してください。

報告するときは、次の形にすると伝わりやすくなります。機密情報の本文やパスワードそのものは貼り直さず、種類と保存場所だけを書いてください。

発覚した日時：
利用したAIサービス：
利用したアカウント：個人用／会社用
入力した情報の種類：顧客名簿、契約書、認証情報など
対象となる人数・ファイル名：
共有リンクや転送の有無：
すでに行った対応：
現在表示されている画面・エラー：

なぜ削除が最初ではないのか

削除を急ぐと、2つの問題が起きます。

1つ目は、何を入れたかが分からなくなることです。報告を受けた側は「どの情報が、どこまで出たか」を知る必要があります。消してしまうと、本人の記憶だけが頼りになり、記憶は時間とともに曖昧になります。

2つ目は、会社として残すべき記録が消えることです。個人データが含まれていた場合、会社は事実関係を調べ、場合によっては外部へ報告する義務があります。その調査の材料を、本人が善意で消してしまうことがあります。

削除は必要です。ただし、記録と報告のあとに、指示に従って行う。この順番だけは守ってください。

何を入れたかで、急ぐ対応が変わる

同じ「入力してしまった」でも、中身によって対応の重さが違います。判断の目安を示します。

最後の行だけは例外です。パスワードやAPIキーは、削除の順番を待たずに先に無効化または変更してください。記録には秘密の文字列そのものを転記せず、対象となるシステムやキーの名称を残します。

自社の情報の分類が決まっていない場合は、AIガイドライン作成完全ガイドで扱っている区分の考え方が使えます。

マイナンバーを含む特定個人情報には、個人情報保護法とは別の報告基準もあります。含まれていた場合は、通常の個人情報と同じ感覚で判断せず、担当部署へ明確に伝えてください。

製品ごとに、どこにいつまで残るのか

各社の公式ページで確認できる条件を並べます。個人用と会社用で条件が違う点に注意してください。いずれも2026年9月時点の公式記載で、変わることがあります。

この表から、初動で押さえるべきことが3つ見えます。

学習に使われないことと、保存されないことは別です。 法人向けサービスの多くは、入力や回答を既定でモデル学習に使いません。ただし、会話履歴、監査記録、法令対応の保存までなくなるわけではありません。

個人用アカウントで仕事の情報を入れていた場合は、その事実も報告します。 個人向けGeminiでは、サービス改善などのため人が確認した一部の会話は、アカウントとのひも付けを外したうえで最長3年間保持されます。履歴から削除しても、この確認済みデータは同時に消えません。

削除ボタンを押した瞬間に、すべての保存領域から消えるとは限りません。 画面から消える時期と、バックエンドや監査用の保存領域から消える時期が違うためです。会話とは別に保存されたファイルもあります。削除後の扱いは、管理者からサービス提供会社へ確認する必要があります。

APIは、同じ会社のサービスでも別条件です。たとえばOpenAI APIのデータ管理表では、通常の不正利用監視ログは最長30日ですが、Responses APIの保存設定やFiles APIなどには別の期間が示されています。「APIなら一律30日で消える」とは判断できません。

会社で使っているAIの契約条件を、自社の言葉で整理しておきたい方は、AIworkerのサービス資料をご覧ください。

▶️ サービス資料のダウンロード（資料請求）

会社として、外部へ報告が必要になる場合

ここは個人ではなく会社の判断です。担当者は「そういう義務がある」と知っておき、判断は法務や情報システム部門に委ねてください。

まず、AIへ入力したことが個人データの「漏えい等」またはそのおそれに当たるかを確認します。会社が承認したサービスへ、適切な契約と管理のもとで入力した場合まで、すべてが直ちに漏えいになるわけではありません。反対に、個人アカウントや未承認サービスへの入力は、詳しい確認が必要です。

そのうえで、個人情報保護委員会が示す次の4類型に該当する場合は、個人情報保護委員会への報告対象になります。

要配慮個人情報とは、人種、信条、病歴、犯罪の経歴など、扱いに特に配慮が必要な情報のことです。これは1件でも対象になり得ます。

期限は、個人情報保護委員会のFAQに明記されています。

速報：発覚から「速やか」に。概ね3〜5日以内
確報：30日以内。不正な目的のおそれがある事態は60日以内
原則として本人への通知も必要。通知が難しく、本人の権利利益を守るための代替措置を取る場合などには例外があります

3〜5日という目安は短く、担当者の手元で止めるほど会社が調査できる時間は減ります。だから早い社内報告が必要です。「たいしたことはない」と担当者だけで判断しないでください。

「AIに入れた＝即座に報告義務」ではありません。何を、何人分、どんな経路で入れたかで分かれます。ただし、その判断を担当者一人でしないでください。

やってはいけないこと

初動で見かける失敗を挙げます。

黙っておく。時間が経つほど記憶が曖昧になり、会社が調査や報告に使える時間も減ります。

自分で全部消して終わりにする。前の章で書いたとおり、記録が失われます。

同じチャットで「今の入力は忘れて」と頼む。AIに頼んでも、サーバーの保存は消えません。削除は設定画面から行うものです。

回答を先に誰かに送る。回答の中に、入力した機密が形を変えて含まれていることがあります。共有は止めてください。

個人アカウントで入れたことを隠す。会社用と個人用では条件が違うので、どちらで入れたかは報告の要点です。隠すと、判断が誤ります。

起きてから決めるのでは、遅い

この記事を読んでいる方の多くは、まだ何も起きていないはずです。今のうちに決めておくべきことが3つあります。

報告の窓口。誰に言えばよいかが決まっていない会社では、担当者は黙ります。上長でも情報システム部門でも構わないので、1か所に決めて周知してください。

記録の型。日時、サービス、アカウント、内容、ファイル名。この5つを書く欄を用意した1枚のフォーマットがあれば、慌てていても埋められます。

早く報告したことを責めない。失敗を隠したくなる雰囲気があると、会社が知るのも対応を始めるのも遅れます。操作ミスそのものと、発覚後の報告は分けて扱うと、現場から情報が上がりやすくなります。

社内ルールの作り方はAIガイドライン作成完全ガイド、社員向けの研修は生成AIセキュリティ研修のカリキュラム例で扱っています。情報システム部門や法務へ提出する項目は生成AI導入のセキュリティ審査チェックリストにまとめています。

よくある質問（FAQ）

Q. 削除すれば、なかったことになりますか？

なりません。削除しても裏側の保存領域から消えるまで時間がかかり、契約や法的な事情で保持される場合もあります。また、削除の前に記録と報告が必要です。

Q. 会社用のCopilotに入れました。学習に使われますか？

Microsoft 365 Copilotは、プロンプト・回答・社内データをAIの学習に使わないと公式に明記しています。ただし、学習に使われないことと、入れてよかったことは別です。社内ルールに従って報告してください。

Q. 個人のChatGPTに会社の資料を入れました

会社用の契約とは条件が違うため、そのこと自体を報告してください。削除した会話は原則30日以内の完全削除が予定されますが、すでに個人と切り離されている場合や、セキュリティ・法令上の理由で長く保持される場合があります。設定によってはモデル改善に利用される可能性もあります。

Q. 入れたのは自分の部署の資料だけです。報告は必要ですか？

会社のルールによります。個人データや取引先の情報が含まれていなくても、社内の機密区分によっては報告が必要です。自分だけで軽いと決めず、会社の窓口へ確認してください。

Q. 3〜5日という期限は、誰が数えますか？

報告対象事態を知った日を基準に、会社が法務や個人情報保護の担当者と確認します。現場で気づいた方は、日数を自分で計算して結論を出すより、気づいた日時を記録してすぐ報告してください。

Q. パスワードを入れてしまいました

削除より先に、そのパスワードを変えてください。同じパスワードを他のサービスでも使っているなら、そちらも変えます。そのうえで記録と報告をします。

Q. 取引先から預かった資料でした

自社の判断だけでは足りません。取引先との契約に、外部サービスへの入力や再委託の制限がないかを確認し、必要なら取引先へも報告します。判断の考え方はクライアントから預かった個人情報を生成AIへ入力してよいかで整理しています。

「起きたとき」まで含めて設計する｜AIworkerの支援

入力してしまったときの初動は、ルールを書いて配るだけでは動きません。窓口が決まっていて、記録の型があり、報告した人が守られる。この3つが揃って初めて、現場は最初の10分を正しく使えます。

AIworkerは、利用ルールの整備だけでなく、社員向けの研修、情報システム部門との窓口設計、起きたときの手順の整備まで支援しています。配って終わりにせず、現場に入って一緒に回すことを重視しています。

AIネイティブX研修｜「やってしまった」の練習をする

入力してよい情報の区分だけでなく、実際に入れてしまった場面を想定した演習を行います。記録の書き方、誰に報告するか、削除の順番を、研修の中で一度通しておきます。

AIネイティブX伴走｜窓口と手順を、回る形にする

報告の窓口、記録の型、各製品の契約条件の整理を、情報システム部門や法務と一緒に整えます。担当者が変わっても手順が残る形にします。

業務AIプロ｜そもそも機密を入れなくて済む仕組みにする

繰り返し発生する業務では、人が毎回機密情報を貼り付ける工程そのものを、権限とログを含めた仕組みに置き換えられる場合があります。対象を絞って構築し、成功例を横に広げます。

「窓口も手順も決まっていない」という段階でも、今使っているAIと契約の状況を伺いながら、最初に決めることを一緒に整理できます。