AI Security NEWS編集部 · 2026年4月27日

ChatGPT・Copilot利用で情報漏洩が起きる仕組みと防止策

生成AIツールの普及が急速に進む中、ChatGPTやMicrosoft Copilotを業務で活用する企業・個人が増えています。しかし利便性の裏側には、見落とされがちな情報漏洩リスクが潜んでいます。2023年には韓国のサムスン電子で、エンジニアが社内の機密コードをChatGPTに入力し、情報漏洩につながったとされる事例が広く報道されました。本記事では、なぜAIツールの利用が情報漏洩を引き起こすのか、その仕組みと具体的な防止策をわかりやすく解説します。

---

なぜAIツールへの入力が「漏洩」につながるのか

ChatGPTやCopilotに文章や質問を入力すると、そのデータはインターネット経由でサービス提供会社のサーバーに送信されます。この時点で、入力した情報は自分のデバイスの外に出ていることになります。

主な情報漏洩経路は以下のとおりです。

• AIの学習データへの利用: 一部のサービスでは、ユーザーの入力内容がモデルの改善・再学習に使用される設定になっている場合があります。
• サービス側のデータ保存: 入力したプロンプトはサーバーに一定期間保存されることがあり、セキュリティインシデントが発生した場合に第三者に渡るリスクがあります。
• 意図しない出力への混入: 複数ユーザーのデータが処理される環境では、別ユーザーへの回答に自分の入力内容が混入してしまう「クロスコンタミネーション」のリスクも理論上存在します。

---

特に危険な「入力してはいけない情報」とは

業務でAIツールを使う際、以下のような情報を入力することは非常に危険です。

• 個人情報: 顧客の氏名・住所・電話番号・メールアドレスなど
• 機密文書・社外秘資料: 未発表の製品情報、契約書、財務データ
• 認証情報: パスワード、APIキー、アクセストークン
• 医療・法務情報: 患者情報、訴訟関連資料
• ソースコード（機密性が高いもの）: サムスンの事例でも問題となったように、独自のアルゴリズムや内部システムのコード

「ちょっと要約してもらうだけ」という軽い気持ちでのコピー&ペーストが、重大なセキュリティ事故につながる可能性があります。

---

ChatGPTとCopilotそれぞれのデータ取り扱い

ツールによってデータポリシーは異なります。正しく理解しておくことが重要です。

ChatGPT（OpenAI）

OpenAIの無料プラン・Plus（個人向け）では、デフォルトでチャット履歴がオンになっており、入力内容がサービス改善に利用される場合があります。ただし設定からチャット履歴をオフにすることで、学習への利用を回避できます。また、企業向けの「ChatGPT Enterprise」や「ChatGPT Team」プランでは、入力データが学習に使用されない契約が結ばれています。

Microsoft Copilot

Microsoftは商用向けの「Copilot for Microsoft 365」において、入力データをAIの学習に使用しないと明言しています。一方、個人向けの無料版Copilotについては、利用規約とプライバシーポリシーを個別に確認する必要があります。Microsoft 365の商用ライセンスユーザーであれば、より強固なデータ保護のもとで利用できます。

ポイント: 無料プランと有料・企業向けプランでは、データの取り扱いが大きく異なります。業務利用には必ず企業向けプランを使用しましょう。

---

企業が取るべきセキュリティ対策

組織としてAIツールの情報漏洩リスクを管理するための対策を紹介します。

1. AIツール利用ポリシーの策定

• 業務での使用を許可するツールと禁止するツールを明確にリスト化する
• 入力してはいけない情報のカテゴリを定義し、全社員に周知する
• 違反した場合の対応手順を定める

2. 承認済みツール・プランへの限定

• 個人向け無料プランの業務利用を禁止し、企業向けプランに統一する
• IT部門が承認したAIツールのみを使用するルールを設ける

3. 技術的なアクセス制御

• 社内ネットワークから未承認のAIサービスへのアクセスをファイアウォールでブロックする
• DLP（データ損失防止）ツールを導入し、機密情報の外部送信を検知・遮断する

4. 定期的な教育・トレーニング

• 情報セキュリティ研修にAIツールのリスクに関する内容を組み込む
• 具体的な事例（サムスンのケースなど）を使った実践的な教育を行う

---

個人ユーザーが今すぐできる防止策

個人レベルでも実践できる対策があります。

• 入力前に「これは公開しても問題ないか」を自問する: 公開情報のみを扱う意識を持つ
• 個人情報はマスキングする: 名前や住所などは「Aさん」「〇〇市」などに置き換えてから入力する
• チャット履歴をオフにする: ChatGPTでは設定 → データコントロールから変更可能
• プロンプトを定期的に削除する: 履歴に残った機密情報を都度削除する習慣をつける
• 公式のプライバシーポリシーを確認する: ツールのデータ取り扱い方針を定期的にチェックする

---

法的・コンプライアンスリスクも見逃せない

情報漏洩は技術的な問題だけでなく、法的責任にも直結します。

• 個人情報保護法: 顧客の個人情報をAIサービスに無断で入力した場合、個人情報保護法違反となる可能性があります。
• GDPRへの抵触: EU圏の顧客データを扱う場合、GDPR（欧州一般データ保護規則）に違反するリスクがあります。
• 営業秘密漏洩: 不正競争防止法における営業秘密の漏洩に該当するケースも考えられます。

違反した場合、罰則や損害賠償請求、企業の信頼失墜といった深刻な結果を招く可能性があります。

---

まとめ

ChatGPTやCopilotは業務効率を大幅に向上させる強力なツールですが、入力する情報の種類と量には細心の注意が必要です。本記事のポイントを振り返ります。

• AIツールへの入力データはサーバーに送信・保存され、学習に使われる場合がある
• 個人情報・機密情報・認証情報の入力は絶対に避ける
• 無料プランと企業向けプランではデータポリシーが大きく異なる
• 企業はポリシー策定・技術的制御・社員教育の三本柱で対応する
• 個人はマスキング・履歴削除・設定変更で自衛できる
• 情報漏洩は法的リスクにも直結する

生成AIの恩恵を安全に受けるために、まず自組織・自身の利用ルールを今一度見直してみてください。セキュリティ対策は「面倒なもの」ではなく、AIを使い続けるための必須の前提条件です。