ChatGPTやMicrosoft Copilot、Geminiなどの生成AIは、資料の要約、メールの作成、プログラムコードの確認など、さまざまな業務で利用されるようになりました。
一方、仕事を効率化しようとした従業員が、顧客情報や社内資料を個人向けの生成AIへ入力してしまう事案も発生しています。悪意を持って情報を持ち出したのではなく、通常業務を早く進めるための操作が、結果として情報管理上の問題につながる点が、従来の情報漏洩とは異なる特徴です。
生成AIから情報が外部へ伝わる経路は、利用者による入力だけではありません。AIサービスのバグ、データベースの設定不備、共有リンクの仕様、プロンプトインジェクションなど、利用者が注意するだけでは防ぎきれない問題もあります。
本記事では、第三者への漏洩が確認された事案だけでなく、外部サービスへの機密情報の送信、認証なしで閲覧できる状態、共有機能による意図しない公開を含めて「情報漏洩事例」として整理しています。
CyberCrewのホワイトハッカーが、実際に公表・報道された5つの事例をもとに、生成AIで情報漏洩が起こる原因と、企業が優先して実施したい対策を解説します。
法人向けプランと個人向けプランの違い、すでに情報を入力してしまった場合の確認方法、自社サービスへAIを組み込む場合のセキュリティについても、2026年8月3日時点で確認できる情報に基づいて紹介します。
なお、情報漏洩は事前の対策が重要となっており、脆弱性診断やペネトレーションテストが有効です。CyberCrewでは、複数名のホワイトハッカーが在籍し、攻撃者が実際に狙うポイントから現場感のあるテストでリスクを評価します。まずは無料でご相談ください。
TABLE OF CONTENTS
AIによる情報漏洩とは
AIによる情報漏洩とは、生成AIサービスの利用や、AIを組み込んだシステムの不具合・攻撃を通じて、本来公開されるべきではない情報が外部へ伝わることです。
従来の情報漏洩では、不正アクセス、マルウェア感染、メールの誤送信などが主な原因として挙げられてきました。生成AIでは、それらに加えて、従業員が業務効率化を目的として機密情報をプロンプトへ入力する「入力事故」が起こります。
例えば、プログラムの不具合を修正するために社内ソースコードを貼り付ける、会議の要約を作るために顧客名入りの議事録をアップロードする、といった操作です。本人は情報を漏らそうとしているのではなく、通常業務を早く進めようとしています。
IPAが公表した「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向け脅威として初めて選出され、3位となりました。1位はランサム攻撃、2位はサプライチェーンや委託先を狙った攻撃です。
AIの利用を全面的に禁止すれば、問題を解決できるとは限りません。会社のパソコンから利用できなくしても、従業員が個人のスマートフォンや私用アカウントを使えば、企業側から利用状況を把握しにくくなります。
重要なのは、生成AIを使わせるか禁止するかという二択ではなく、使用を認めるサービス、入力してよい情報、利用するアカウント、共有方法、ログ管理を明確にすることです。
生成AIによる情報漏洩の事例5選
ここでは、生成AIに関連して情報が外部へ伝わった、または外部から閲覧できる状態になった5件の事例を紹介します。
5件の漏洩経路は、それぞれ異なります。
- 従業員による外部AIへの入力
- AIサービス側のバグ
- データベースの公開設定不備
- SNS型の共有機能
- 共有URLの検索エンジンへの登録
2023年の事例では、機密情報の入力やシステムのバグが中心でした。2025年以降は、攻撃やバグがなくても、共有機能の使い方やサービス仕様によって会話が公開される事例が確認されています。
OpenAIの事例は当事者による公式発表、DeepSeekの事例は問題を発見したセキュリティ企業による調査報告を参照しています。サムスン電子、Meta AI、Grokについては、企業による詳細な公式報告ではなく、複数の報道機関による取材・調査をもとに記載しています。
①サムスン電子｜社内情報をChatGPTへ入力し、業務利用を一時制限
発生時期： 2023年3月
外部送信経路： 従業員が業務情報をChatGPTへ入力
入力された情報： 半導体設備に関するソースコード、歩留まり・不良設備に関するプログラム、社内会議の内容
その後の対応： 入力文字数の制限、社内調査、会社端末・社内ネットワークでの生成AI利用の一時制限
主な出典： 韓国『The Economist』、Bloomberg
サムスン電子の半導体部門では、2023年3月11日から従業員によるChatGPTの利用を認めました。
ところが、利用開始から20日もたたないうちに、社内情報をChatGPTへ入力した事案が3件確認されました。
韓国『The Economist』の当時の報道によると、1件目では半導体設備の計測データベースに関係するソースコードを入力し、エラーの修正方法を質問していました。
2件目では、不良設備の把握や歩留まりに関係するプログラムコードを貼り付け、最適化を依頼しました。3件目では、録音した社内会議を文字起こしし、ChatGPTへ入力して議事録を作成させています。
サムスン電子は緊急措置として、1回の質問で入力できる容量を1,024バイトへ制限しました。
その後、Bloombergの報道によると、同社は会社所有の端末や社内ネットワークにおけるChatGPTなどの生成AI利用を一時的に制限しました。
この事例で確認されたのは、社内情報が企業の管理外にあるAIサービスへ入力されたことです。入力された情報を第三者が実際に閲覧したことや、モデル学習を経て別の利用者へそのまま出力されたことは、公表情報からは確認できません。
それでも、ソースコードや会議内容を外部サービスへ送信した時点で、機密情報の管理上は重大な問題になります。
②OpenAI｜バグで他ユーザーの会話情報と支払い情報が表示される
発生時期： 2023年3月20日
漏洩経路： ChatGPTが使用していたオープンソースライブラリのバグ
表示された情報： 他ユーザーの会話タイトル、一部のPlus契約者の氏名・メールアドレス・請求先住所・カード情報の一部
その後の対応： ChatGPTの一時停止、バグ修正、影響を受けた可能性があるユーザーへの通知
出典： OpenAI公式発表
OpenAIは2023年3月20日、ChatGPTを一時的に停止しました。
原因は、Redisへの接続に使用していたオープンソースライブラリ「redis-py」の非同期処理に関するバグです。
OpenAIの公式発表によると、一部の利用者の画面に、別の利用者のチャット履歴のタイトルが表示される状態になっていました。
会話全体が常に表示されたわけではありません。ただし、複数の利用者が同時期に操作するなど特定の条件が重なった場合、新しく作成された会話の最初のメッセージが、別の利用者の履歴へ表示された可能性もあると説明されています。
さらに、特定の9時間にChatGPTを利用したPlus契約者のうち、1.2％について、別の利用者の支払い関連情報が表示された可能性が判明しました。
対象となる情報は次のとおりです。
- 氏名
- メールアドレス
- 請求先住所
- クレジットカードの種類
- カード番号の下4桁
- 有効期限
カード番号全体が表示された事実はありません。
このredis-pyの競合状態には、CVE-2023-28858が割り当てられています。その後、不完全な修正に関係する問題がCVE-2023-28859として整理されました。
利用者側の設定では防げない事故でした。AIサービスを選ぶ際は、データの利用条件だけでなく、インシデント発生時の通知方法や、事業者の調査・復旧体制も確認する必要があります。
③DeepSeek｜認証なしのデータベースに平文のチャット履歴が露出
発生時期： 2025年1月に発見
漏洩経路： データベースの認証・公開設定不備
露出していた情報： 平文のチャット履歴、APIシークレット、バックエンド情報、運用メタデータ
その後の対応： WizからDeepSeekへ連絡し、公開状態を修正
出典： Wiz Research
クラウドセキュリティ企業のWizは2025年1月、DeepSeekの外部公開環境を調査し、認証なしでアクセスできるClickHouseデータベースを発見しました。
Wiz Researchの調査報告によると、調査開始から数分で、DeepSeekに関係する公開ポートを確認したとされています。
データベースには100万行を超えるログが保存され、次の情報へアクセスできる状態でした。
- 平文のチャット履歴
- APIシークレット
- バックエンドの詳細情報
- 内部APIのエンドポイント
- 運用に関するメタデータ
さらに、認証なしでSQLクエリを実行でき、データベース操作を行える状態だったと報告されています。
Wizは問題をDeepSeekへ連絡し、公開状態は速やかに修正されました。
なお、Wizは倫理的な調査を維持するため、列挙に必要な範囲を超える侵入的なクエリを実行していないと説明しています。また、Wiz以外の第三者が公開中のデータベースへアクセスし、情報を取得したかどうかは分かっていません。
AI特有の高度な攻撃ではなく、データベースを認証なしでインターネットへ公開していたという、基本的なセキュリティ設定の問題です。
④Meta AI｜共有機能の誤解で私的な相談が公開に
発生時期： 2025年6月に問題が報道
漏洩経路： Meta AIのDiscoverフィードへの共有操作
公開された情報： AIとの会話、画像、相談内容、ユーザー名、プロフィール写真
その後の対応： 公開前の警告・確認表示を追加
主な出典： BBC、WIRED、Business Insider
Meta AIのアプリには、ほかの利用者がAIと作成した内容を閲覧できる「Discover」フィードがあります。
2025年6月には、個人的な相談や画像がDiscoverフィードへ公開され、投稿者のユーザー名やプロフィール写真から、InstagramやFacebookのアカウントを特定できる事例が複数の報道機関によって取り上げられました。
公開された内容には、恋愛、家族、医療、法律上の悩みなど、通常であれば不特定多数へ見せないと考えられる相談も含まれていました。
ただし、Meta AIとの会話が自動的にすべて公開されるわけではありません。
会話はデフォルトでは非公開であり、利用者が「共有」を選択し、Discoverフィードへ投稿する複数段階の操作を行った場合に公開されます。
問題は、一部の利用者が「共有」を知人への送信や保存と理解し、公開フィードへの投稿だと十分に認識していなかった可能性があることです。
報道後、Meta AIには、投稿が一般公開されることや、個人情報・機密情報を含めないよう注意を促す確認表示が追加されました。
これは、不正アクセスやプログラムのバグがなくても、公開範囲を理解しにくい共有機能によって情報が外部へ出る可能性を示す事例です。
⑤Grok｜共有された会話37万件超が検索可能に
発生時期： 2025年8月に問題が報道
漏洩経路： 共有URLが一般公開され、検索エンジンからインデックス可能な状態になっていた
公開された情報： AIとの会話、入力された個人情報、画像、スプレッドシート、テキストファイル
その後の対応： Forbesの報道時点では多数のURLが検索可能。xAIによる詳細な公式説明は確認できず
出典： Forbes
xAIが提供するGrokでは、利用者が会話の「共有」ボタンを押すと、その会話を閲覧できる固有URLが作成されます。
Forbesの調査によると、作成された共有ページが一般公開され、Google、Bing、DuckDuckGoなどの検索エンジンからクロール・インデックスできる状態になっていました。
2025年8月の調査時点では、37万件を超えるGrokの会話が検索可能だったと報じられています。
利用者の画面には、共有リンクが検索エンジンへ掲載されることについて、明確な警告が表示されていなかったとされています。
検索可能になった会話には、仕事上の文章作成、健康や心理に関する相談、個人名、少なくとも1件のパスワードなどが含まれていました。
会話中にアップロードされた画像、スプレッドシート、一部の文書ファイルへアクセスできるケースも確認されています。
同じ時期には、ChatGPTでも、利用者が検索エンジンでの発見を許可した一部の共有会話がGoogleなどに表示される問題が注目されました。
OpenAIは、機密情報を意図せず公開するリスクが高いとして、会話を検索エンジンへ掲載できる実験的な機能を停止しました。
GrokとMeta AIの事例から分かるのは、「チャットが非公開か」だけでなく、共有リンクを作成した後に誰が閲覧できるのか、検索エンジンへ登録され得るのかまで確認する必要があるということです。
生成AIで情報漏洩が起こる原因と管理上のリスク
生成AIに関係する情報漏洩の原因と、業務利用時に管理すべきリスクは、次の6つに整理できます。
| 原因・リスク | 該当する主な事例 |
|---|---|
| 機密情報・個人情報の入力 | サムスン電子 |
| 入力データの学習利用 | 個人向け生成AIの利用条件として確認が必要 |
| AIサービス側のバグ | OpenAI |
| サーバー・データベースの設定不備 | DeepSeek |
| 共有機能・公開範囲の誤認 | Meta AI、Grok |
| プロンプトインジェクション | EchoLeakなどAI組込みシステム |
「機密情報を直接入力しなければ安全」とは限りません。
サービス側の不具合、データベースの設定、共有URLの公開範囲、AIが外部の文書を命令として読み取る攻撃など、複数の経路があります。
機密情報や個人情報の入力
生成AIへの「入力」は、チャット画面へ文章を貼り付ける操作だけではありません。
次の操作も、外部サービスへ情報を入力・送信する行為に含まれます。
- PDF、Word、Excelなどのファイルをアップロードする
- ソースコードやログを貼り付ける
- 音声を録音し、文字起こしさせる
- 画像や画面キャプチャをアップロードする
- メールやクラウドストレージをAIへ接続する
- APIを使って顧客情報をAIへ送信する
- 会議へAI議事録サービスを参加させる
サムスン電子の事例では、従業員が業務を効率化するため、ソースコードの修正、プログラムの最適化、議事録作成にChatGPTを使いました。
悪意のある持ち出しではありません。便利な機能を通常どおり使った結果、会社が管理できない外部環境へ情報が送信されました。
従業員へ「機密情報を入力しないでください」とだけ通知しても、自分が扱っている資料が機密情報に該当するのか判断できない場合があります。
会社側が、入力してはいけない情報と、利用を認める環境を具体的に示す必要があります。
入力データの学習利用
入力データの学習利用は、今回紹介した5件で実際の漏洩原因として確認されたものではありません。
ただし、入力情報がどの目的で使用・保存されるかを企業側で管理できなくなるため、業務利用時に確認すべき重要なリスクです。
個人向けの生成AIサービスでは、入力した会話がサービス改善やモデル学習へ利用される場合があります。取扱いは、サービス、アカウント、設定によって異なります。
ChatGPTの個人向けアカウントでは、「Improve the model for everyone」を無効にすると、その後の会話をモデル改善へ使用しない設定にできます。
一方、ChatGPT Business、Enterprise、APIなどのビジネス向けサービスでは、入力・出力をモデル学習へ使用しないことが標準の取扱いです。
今回紹介した5件は、入力した情報がモデル学習を経て、別の利用者への回答としてそのまま再現されたことを確認した事例ではありません。
サムスン電子の問題は外部サービスへの入力、OpenAIはシステムのバグ、DeepSeekはデータベースの設定、Meta AIとGrokは共有機能が原因です。
一方、個人情報保護委員会の注意喚起では、本人の同意を得ずに個人データを生成AIへ入力し、そのデータが回答の生成以外の目的で取り扱われる場合、個人情報保護法に違反する可能性があると説明されています。
業務で個人データを入力する場合は、利用目的の範囲内であることに加え、AI事業者が学習など別の目的に利用しないことを確認しなければなりません。
生成AI側のバグ・不具合
利用者側が適切な設定を行っていても、生成AIサービスのプログラムやインフラに不具合があれば、情報がほかの利用者へ表示される可能性があります。
OpenAIの2023年の事例では、ChatGPTのモデルそのものではなく、Redisへの接続に利用していたredis-pyライブラリの非同期処理が原因でした。
特定の処理がキャンセルされた際、接続プールに別の利用者のデータが残り、その後のリクエストへ誤って返される可能性がありました。
利用者がこのバグを事前に防ぐことは困難です。
企業ができるのは、事業者のセキュリティ体制、事故時の通知、ログ提供、データ保持、契約上の責任を確認することです。
また、一つのAIサービスへすべての業務データを集中させず、入力する情報を必要最小限にすることで、事業者側の事故が発生した場合の影響を抑えられます。
サーバーやデータベースの設定不備・不正アクセス
生成AIサービスは、AIモデルだけで構成されているわけではありません。
一般的なWebサービスと同じように、データベース、API、認証システム、クラウドストレージ、ログ基盤などを使用しています。
DeepSeekの事例は、AIモデルへの特殊な攻撃ではなく、データベースが認証なしでインターネットへ公開されていたことが原因です。
どれほど高度なAIモデルを開発していても、公開ポート、アクセス制御、シークレット管理、ログ保管といった基本的な対策が不足すれば、情報漏洩は発生します。
AIサービスを選定するときは、生成精度や料金だけでなく、次の項目を確認してください。
- セキュリティに関する第三者認証
- 脆弱性報告窓口
- インシデント発生時の通知条件
- データの保存場所
- 通信時・保存時の暗号化
- データ保持期間
- 管理者によるログ確認
- 削除依頼への対応
- 再委託先の管理
公開情報だけでは判断できない場合は、サービス事業者へセキュリティチェックシートへの回答を依頼します。
共有機能・公開範囲の誤認
生成AIの共有リンクは、同僚や取引先へ回答を見せる便利な機能です。一方、共有先や公開範囲を誤解すると、会話そのものが外部へ公開されます。
Meta AIの事例では、利用者が共有操作を行った結果、会話が公開フィードへ投稿されました。Grokでは、共有URLが一般公開され、検索エンジンから発見できる状態になっていました。
共有時に確認すべき項目は次のとおりです。
- URLを知っている全員が閲覧できるか
- 特定のユーザーだけに制限できるか
- 有効期限を設定できるか
- 検索エンジンへ登録される可能性があるか
- 元の会話を削除すると共有ページも消えるか
- 受信者が会話を複製・保存できるか
- アップロードしたファイルも共有されるか
ChatGPTの共有リンクには、閲覧者を個別に指定する細かな権限制御や有効期限の設定がありません。リンクを知っている人は会話を閲覧できるため、機密情報を含む会話では作成しない方が安全です。
共有リンクを削除しても、閲覧者がすでに内容を保存・複製していた場合、その情報までは回収できません。
プロンプトインジェクション攻撃
プロンプトインジェクションとは、AIが読み取る文章やデータの中に不正な指示を紛れ込ませ、AIの本来の指示を上書きさせる攻撃です。
利用者がチャット画面へ攻撃文を入力する「直接型」だけでなく、メール、Webページ、PDF、検索結果などに攻撃者が指示を埋め込み、AIが自動で読み取る「間接型」があります。
例えば、社内メールを検索できるAIアシスタントでは、次のような流れで攻撃が成立する可能性があります。
- 攻撃者が、見た目には通常の文章に見えるメールを送信する
- メール内に、AI向けの隠れた指示を含める
- 従業員がAIへ「最近のメールを要約して」と依頼する
- AIが攻撃者のメールを検索結果として読み込む
- AIがメール内の不正な指示を命令として解釈する
- AIが、本来外部へ出してはいけない社内情報を送信する
実例として、Microsoft 365 Copilotで確認された「EchoLeak」があります。
EchoLeakは、CVE-2025-32711として登録されたMicrosoft 365 Copilotの情報漏洩脆弱性で、CVSS基本値は9.3です。
細工したメールを受信させることで、利用者がリンクをクリックしたり、攻撃者の指示を直接入力したりしなくても、Copilotが内部情報を外部へ送信する可能性がありました。
Microsoftはサーバー側で問題を修正しており、利用者側で更新作業を行う必要はありません。公開情報上、実際に悪用された事実も確認されていません。
プロンプトインジェクションは、プロンプトへ「機密情報を出力しない」と書くだけでは防げません。
AIがアクセスできるデータと機能を必要最小限にし、外部送信や重要操作の前に人の承認を求め、攻撃を想定したテストを継続する必要があります。
生成AIによる情報漏洩が企業に与える影響
生成AIによる情報漏洩が起きた場合、影響は入力した従業員だけにとどまりません。
企業として原因調査、取引先への説明、法的な報告、サービスの停止、利用ルールの見直しなどを行う必要があります。
経営層へ説明するときは、「信用への影響」「事故対応コスト」「競争力の低下」という3つに分けると整理しやすくなります。
顧客や取引先からの信用を失う
顧客情報や取引先から預かった資料を生成AIへ入力した場合、取引先から情報管理体制について説明を求められる可能性があります。
確認されるのは、入力した情報だけではありません。
- なぜ個人向けAIを業務で利用できたのか
- 会社に利用ルールはあったのか
- 入力内容を管理・監視できていたのか
- 同様の利用者がほかにいないか
- データの削除を確認できたのか
- 再発防止策をいつ実施するのか
自社が開発したAIサービスから情報が漏れた場合は、製品そのものの安全性を問われます。
事故後に設定やプログラムを修正しても、取引先が契約更新や新規発注の判断で、セキュリティ体制を慎重に評価する可能性があります。
調査・復旧・賠償に多額のコストがかかる
情報漏洩による費用は、損害賠償だけではありません。
事故が発覚した直後から、次の作業が必要になります。
- 入力・共有された情報の特定
- AIサービスの利用ログ確認
- 従業員への聞き取り
- サービス事業者への照会
- 外部専門会社による調査
- 顧客・取引先への連絡
- 問い合わせ窓口の設置
- 社内ルールとシステム設定の変更
- 必要に応じた本人通知・行政報告
個人データの漏洩またはそのおそれが生じ、個人情報保護法上の報告対象に該当する場合は、個人情報保護委員会への報告や本人通知も必要になります。
事故後に複数部門がこれらの作業を並行して進める負担は、賠償金の金額だけでは測れません。
通常業務の停滞、外部専門家への費用、顧客対応の人員まで含めて、経営上のリスクとして評価する必要があります。
開発中の技術やノウハウが競合に渡る
生成AIへ入力される情報は、個人情報だけではありません。
ソースコード、研究開発資料、製品仕様、原価、営業戦略、未公開の事業計画など、企業の競争力に直結する情報も対象になります。
サムスン電子の事例では、半導体設備や歩留まり、不良設備の分析に関係するプログラムが入力されました。
半導体分野では、製造効率や不良率の改善が、製品価格、供給能力、競争力へ直接影響します。
第三者による閲覧が確認されていなくても、企業が管理できない外部環境へ技術情報を送信したこと自体が、営業秘密管理上の問題になります。
ソースコードを入力するときは、会社名や顧客名を削除するだけでは不十分です。コードの構造、コメント、内部URL、認証情報、独自アルゴリズムから、システムや企業が推測される可能性があります。
生成AIの情報漏洩を防ぐ対策
生成AIの情報漏洩対策は、従業員が今日から実施できるものと、組織として環境を整えるものに分かれます。
優先順位は次のとおりです。
- 入力してはいけない情報を決める
- 学習・履歴・共有設定を確認する
- 暫定的な社内ルールを公開する
- 業務用の法人向け環境を用意する
- AIを組み込んだシステムを技術的に検証する
すべてを一度に完成させる必要はありません。まず、個人向けAIへ顧客情報や機密情報が入力される状態を止めることから始めます。
機密情報や個人情報は入力しない
「機密情報を入力しない」という指示だけでは、現場が何を入力してよいか判断できません。
少なくとも、次の情報は、会社が承認していない個人向け生成AIへ入力しないよう明示してください。
入力を禁止したい情報
- ID、パスワード、APIキー、秘密鍵
- 顧客・取引先の氏名、住所、メールアドレス、電話番号
- 従業員・応募者の個人情報
- マイナンバー、金融情報、健康・医療情報
- 公開前のソースコード
- システム構成、ログ、脆弱性情報
- 契約書、見積書、請求書
- 顧客名が含まれる議事録
- 未発表の製品・サービス情報
- 経営計画、M&A、人事情報
- 秘密保持契約のもとで受領した情報
匿名化する場合も、氏名を削除するだけでは不十分です。
会社名、役職、日時、案件名、金額、地域などの組み合わせによって、本人や取引先を特定できる場合があります。
AIへ入力する必要がある場合は、会社が承認した法人向け環境を使い、利用目的、データ保持、学習利用、共有範囲を確認してください。
学習にデータを使わせない設定へ切り替える
個人向け生成AIを利用する場合は、最初にモデル改善へのデータ利用と、会話の共有設定を確認します。
管理画面や項目名は変更されることがあるため、操作時点の公式ヘルプも確認してください。
ChatGPTの設定
ChatGPTでは、次の手順でモデル改善への利用を無効化できます。
- プロフィールアイコンを開く
- 「Settings」を選択する
- 「Data Controls」を開く
- 「Improve the model for everyone」をオフにする
オフにした後も会話は履歴へ表示されますが、その後の会話はモデル改善に使用されません。設定は、同じアカウントで利用するWeb版とモバイル版へ反映されます。
Temporary Chatは履歴に表示されず、モデル改善にも使用されません。現在のOpenAIの案内では、Temporary Chatはシステムから30日後に削除され、不正利用の監視目的に限って確認される場合があります。
共有リンクは、次の手順で確認できます。
- 「Settings」を開く
- 「Data Controls」を選択する
- 「Shared links」の「Manage」を開く
- 不要なリンクを削除する
ChatGPTの共有リンクは、URLを知っている人であれば会話を閲覧できます。閲覧者を個別に指定する細かな権限制御や有効期限の設定はないため、機密情報を含む会話では作成しないでください。
Geminiの設定
個人向けGeminiでは、最初に「Keep Activity」の状態を確認してください。
有効な場合は、会話や共有したファイルなどがGoogleアカウントのGemini Apps Activityへ保存されます。
設定を変更する場合は、Geminiで「Settings & help」から「Activity」を開き、「Turn off」または「Turn off and delete activity」を選択します。
Keep Activityを無効にした場合も、サービス提供やフィードバック処理のため、会話がアカウントとともに最大72時間保存される場合があります。
社内マニュアルへ画面キャプチャを掲載する場合は、作成日を記載し、半年に一度を目安に画面と手順を見直してください。
AIを使うときの社内ルールをつくる
社内ルールには、利用を禁止する内容だけでなく、安全に利用する方法を記載します。
最低限、次の項目を定めてください。
- 利用を認めるAIサービス
- 使用する会社アカウント
- 入力禁止情報
- ファイルアップロードの可否
- 外部サービス連携の可否
- 生成物の事実確認
- 生成コードのレビュー
- 著作権・ライセンスの確認
- 共有リンクの利用条件
- AIを利用した成果物の承認方法
- 事故・誤入力時の報告先
- ログの確認・保存方法
最初から全業務に対応する完璧な規程を作ろうとすると、法務、情シス、現場、経営層の調整に時間がかかり、ルールがない状態が続きます。
まずは暫定版として、次の4点だけでも公開します。
- 利用を認めるサービス
- 入力してはいけない情報
- 業務用アカウントの指定
- 誤って入力した場合の報告先
運用を始めた後、現場から相談された利用例をもとに改訂する方が、実効性のあるルールになります。
全面禁止だけを通知すると、個人のスマートフォンや私用アカウントで利用する「シャドーAI」が増え、会社から利用状況を確認できなくなる可能性があります。
禁止する場合も、文章要約やアイデア整理などを安全に行える代替環境を用意することが重要です。
業務では法人向けプランを利用する
個人向けサービスと法人向けサービスでは、入力データの学習利用、管理機能、契約上の取扱いが異なります。
代表的な違いは次のとおりです。
| 利用環境の例 | モデル学習への利用 | 組織管理 | 主な注意点 |
|---|---|---|---|
| ChatGPT個人向け | 設定でオプトアウト可能 | 基本的に個人管理 | 従業員ごとに設定が異なる |
| ChatGPT Business・Enterprise | 標準では学習に使用しない | 管理者機能、認証・アクセス制御 | 保持期間等は契約プランで異なる |
| 個人向けGemini Apps | Activity等の設定確認が必要 | 個人管理 | 個人アカウントの設定に依存 |
| Google Workspace上のGemini | 許可なくWorkspace外のモデル学習へ使用しない | 管理者による制御 | 個人向けGeminiとの区別が必要 |
| Microsoft 365 Copilot | プロンプト・回答等を基盤モデルの学習へ使用しない | Microsoft 365の管理・監査機能 | ライセンスとテナント設定を確認 |
OpenAIは、ChatGPT Business、Enterprise、APIなどのビジネスデータを、標準ではモデル学習へ利用しないと説明しています。
Googleも、Workspace内のデータを、許可なくWorkspace外の生成AIモデルや大規模言語モデルの学習へ使用しないとしています。
Microsoft 365 CopilotとCopilot Chatのプロンプト、回答、Microsoft Graphから参照したデータも、基盤モデルの学習には使用されません。
ただし、法人向けプランは情報漏洩を自動的に防ぐものではありません。
次のリスクは、法人向けプランでも残ります。
- 過剰なアクセス権限
- 利用者による誤入力・誤共有
- 外部アプリやコネクターへの送信
- 管理者設定の不備
- プロンプトインジェクション
- サービス側のバグ
- 契約プランによる保持・監査機能の違い
会社が法人向けプランを契約しても、従業員が個人アカウントを使い続けていては管理できません。
法人契約とあわせて、個人版の業務利用を制限し、会社アカウントで利用できる環境を案内してください。
AIを組み込んだシステムの脆弱性を診断する
自社サービスへAIを組み込んでいる場合は、従業員向けルールだけでは情報漏洩を防げません。
診断では、次のような技術的な問題を検証します。
- プロンプトインジェクション
- システムプロンプトの漏洩
- 他ユーザーの会話・データへのアクセス
- 権限のない社内文書の検索
- 外部URLやメールを経由した間接攻撃
- AIによる危険なツール・APIの実行
- アップロードファイルのアクセス制御
- APIキー・シークレットの露出
- 入出力ログの過剰保存
- モデルやガードレールの回避
プロンプトに「機密情報を出力しないでください」と書くだけでは、安全性を判断できません。
攻撃者が指示を言い換えたり、文書やWebページの中に命令を埋め込んだりすると、想定外の動作をする可能性があります。
実際の入力、ファイル、検索結果、外部連携を使った攻撃を試し、重要情報へ到達できないかを検証する必要があります。
AI利用で情報が漏れていないか確認する方法
個人で確認できる方法は、大きく3つあります。
一つ目は、業務で使用するメールアドレスが既知のデータ侵害に含まれていないかを確認する方法です。
Have I Been Pwnedでは、メールアドレスが過去に確認されたデータ侵害へ含まれているかを検索できます。
結果が表示されなかった場合も、すべての情報漏洩が登録されているわけではないため、安全を完全に証明するものではありません。
二つ目は、生成AIサービスのアカウントとログイン状況の確認です。
サービスにログイン端末、セッション、外部連携アプリなどを確認する機能がある場合は、見覚えのない端末、地域、ログイン日時がないかを確認します。
不審な状況があれば、パスワード変更、多要素認証の設定、既存セッションの無効化、外部連携の解除を行ってください。
三つ目は、共有リンクの棚卸しです。
ChatGPTなど、共有URLを作成できるサービスでは、設定画面から過去の共有リンクを確認し、不要なものを削除します。
元の共有リンクを削除しても、相手がすでに内容をコピーした場合や、自分の履歴へ取り込んだ場合、その情報までは削除できません。
個人で確認できるのは、自分のアカウント、共有リンク、既知の漏洩情報までです。
従業員が個人アカウントで利用しているAI、会社ドメインの認証情報、ダークウェブで流通するスティーラーログなどを組織全体で把握するには、法人向けAIの管理ログ、CASB・SSE、端末やネットワークの監視、外部漏洩調査などを組み合わせる必要があります。
生成AIの情報漏洩対策ならCyberCrew
生成AIの情報漏洩対策は、利用ルール、外部漏洩の監視、AIシステム自体の技術的な検証を組み合わせる必要があります。
情報漏洩対策には、脆弱性診断やペネトレーションテストが有効です。CyberCrewでは、複数名のホワイトハッカーが在籍し、攻撃者が実際に狙うポイントから現場感のあるテストでリスクを評価します。まずは無料でご相談ください。
大規模言語モデル（LLM）ペネトレーションテスト
自社サービスへChatGPT APIやオープンソースLLMなどを組み込んでいる場合は、大規模言語モデル（LLM）ペネトレーションテストで、実際の攻撃成立可否を検証します。
主な検証対象は次のとおりです。
- 直接・間接プロンプトインジェクション
- システムプロンプトの漏洩
- アクセス権限の回避
- 他ユーザー情報へのアクセス
- 機密情報の抽出
- 外部ツール・APIの不正実行
- ガードレールや出力制限の回避
- アップロード機能・RAG基盤のリスク
OWASP Top 10 for LLM Applicationsなどの脅威モデルを参考に、自動スキャンだけでは確認しにくいAI固有の挙動を、ホワイトハッカーが手動で検証します。
ダークウェブモニタリング
ダークウェブモニタリングでは、会社ドメインのメールアドレス、パスワード、認証情報、企業に関係する漏洩データが、ダークウェブや犯罪者コミュニティで流通していないかを調査します。
AIサービスの認証情報は、AI事業者からではなく、従業員端末へ感染したインフォスティーラーや、別サービスで使い回していたパスワードから漏れる場合があります。
なお、ダークウェブモニタリングで確認するのは、外部へ流出・流通した認証情報や企業データです。
従業員がどのAIへ何を入力したか、どの共有リンクを公開しているかを直接確認するものではありません。AIの利用状況は、法人向けAIの管理ログ、CASB・SSE、端末・ネットワーク監視などで把握します。
セキュリティ設計・運用支援
AIを業務で利用する際は、ツールの選定だけでなく、次の設計が必要です。
- 利用者と権限
- 入力可能な情報
- データ保持期間
- ログの保存と監視
- 外部サービス連携
- 事故発生時の対応
- AIを組み込んだアプリケーションの構成
- 委託先・AI事業者との責任分界
全面禁止ではなく、安全に利用できる環境を整えるため、自社の利用方法や保有データに合わせて、優先度の高い対策から整理します。
生成AIの利用ルールだけを作りたい場合と、AIを組み込んだサービスを技術的に評価したい場合では、必要な支援が異なります。導入状況、データの種類、外部連携の有無を確認したうえで、適切な対策を選ぶことが重要です。
AIの情報漏洩に関するよくある質問
AIの情報漏洩について、発生する原因、入力してはいけない情報、ChatGPTの安全な設定、事故発生後の対応、無料版と法人向けプランの違いを解説します。
サービスごとにデータの利用条件や管理機能が異なるため、実際に利用する時点の規約、プライバシーポリシー、管理画面も確認してください。
Q. なぜAIで情報漏洩が起こるのですか？
主な原因とリスクは、情報の入力、学習利用、サービス側のバグ、データベースの設定不備、共有機能の誤認、プロンプトインジェクションです。
AIは単独で動作しているわけではありません。クラウド、データベース、認証、共有機能、外部サービス連携などによって構成されています。
利用者が機密情報を直接入力しなくても、サービス側の不具合や、公開された共有リンク、AIが読み取った外部文書の不正な指示によって、情報が外部へ出る可能性があります。
詳しくは「生成AIで情報漏洩が起こる原因と管理上のリスク」を確認してください。
Q. AIに入力してはいけない情報は何ですか？
認証情報、顧客の個人情報、未公開のソースコード、議事録、契約書、未公開の経営情報は、承認されていないAIへ入力しないでください。
具体的には、パスワード、APIキー、顧客名簿、健康情報、給与情報、未発表製品、原価、M&A、人事評価などが該当します。
入力できる情報の範囲は、使用するAIサービスの契約と社内ルールによって変わります。
法人向け環境で学習利用が行われない場合でも、業務上必要のない個人情報や機密情報を無制限に入力してよいわけではありません。目的に必要な最小限の情報へ絞ってください。
Q. ChatGPTで情報漏洩しない方法はありますか？
学習利用を無効化し、履歴と共有リンクを管理し、業務では法人向けプランを使用してください。
個人向けChatGPTでは、「Settings」「Data Controls」から「Improve the model for everyone」をオフにできます。
共有リンクを作成した場合は、「Data Controls」の「Shared links」から不要なリンクを削除します。
機密性のある業務では、標準で入力・出力を学習に使用しないChatGPT BusinessやEnterpriseなどの法人向け環境を使用し、個人アカウントの業務利用を避けてください。
ただし、設定を変更しても、誤共有、過剰権限、外部アプリ連携、サービス側のバグまで防げるわけではありません。
Q. 実際に情報が漏洩してしまった場合はどう対応すべきですか？
隠さず、社内の情報システム部門、法務部門、上司などへ速やかに報告してください。
最初に、入力した情報、利用したサービス、アカウント、日時、共有リンクの有無、アップロードしたファイルを記録します。
その後、共有リンクの停止、パスワード変更、セッション無効化、サービス事業者への照会を行い、影響範囲を確認します。
個人データが含まれ、法令上の報告対象となる場合は、個人情報保護委員会への報告や本人通知が必要になる可能性があります。
報告しにくいからと黙っていると、調査開始が遅れ、共有リンクや不正アクセスが残り続けるおそれがあります。誤入力そのものより、隠したことで被害が拡大する方が、企業と本人の双方にとって大きな問題になります。
Q. 無料版と法人向けプランで安全性は違いますか？
学習利用の取扱い、管理機能、契約条件が異なるため、業務利用では法人向けプランを原則とすべきです。
個人向けサービスでは、利用者自身が学習利用や履歴の設定を行う場合があります。従業員ごとに設定が異なり、会社が利用状況を確認できないこともあります。
法人向けプランでは、入力・出力を学習に使わない取扱い、管理者によるアカウント管理、SSO、監査ログ、保持期間の制御などが提供される場合があります。
ただし、法人向けプランを契約するだけで、情報漏洩がなくなるわけではありません。権限、共有設定、外部連携、ログ、入力ルールを組織側で管理する必要があります。
まとめ｜できるところから生成AIの情報漏洩対策を始めよう
生成AIに関係する情報漏洩の原因と管理上のリスクは、次の6つです。
- 機密情報や個人情報の入力
- 入力データの学習利用
- AIサービス側のバグ
- サーバー・データベースの設定不備
- 共有機能・公開範囲の誤認
- プロンプトインジェクション
利用者が注意するだけでは防げない原因もあります。
OpenAIではライブラリのバグによる表示問題、DeepSeekでは認証なしのデータベース公開、Meta AIとGrokでは共有機能を通じた公開が発生しました。
企業が優先して実施したい対策は、次の5つです。
- 入力してはいけない情報を具体的に決める
- 学習利用・履歴・共有リンクの設定を確認する
- 暫定版でもよいので社内ルールを公開する
- 業務では管理可能な法人向けプランを使用する
- AIを組み込んだシステムを攻撃者の視点で診断する
すべてを一度に実施する必要はありません。
まず、個人向けAIへの顧客情報、認証情報、ソースコードの入力を止め、会社が認めるサービスと、誤入力時の報告先を明確にしてください。
その後、法人向け環境、アカウント管理、ログ監視、AIシステムのペネトレーションテストへ対策を広げます。
自社の生成AIシステムにプロンプトインジェクションや情報漏洩のリスクがないか確認したい場合は、CyberCrewの大規模言語モデル（LLM）ペネトレーションテストをご確認ください。
外部へ流出した認証情報や企業データを確認したい場合は、ダークウェブモニタリングで、現在確認できる外部漏洩情報を調査できます。
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
