AIに情報を入れてしまった、と気づいたら最初にやること

こんにちは、コマルです。「AIに、うっかり社外秘やお客さんの情報を入れてしまった気がする」——もし今そう思っているなら、細かい説明はあとで大丈夫です。この記事の順番どおりに動けば、最初の30分でやるべきことが決まります。落ち着いて、上から順に進めてください。

慌てて画面を閉じたり会話ごと消したりすると、あとの判断材料が消えてしまいます。ChatGPT・Gemini・Copilotなど、どのAIでも最初にやることは同じです。事故そのものより、気づいてからの動き方で結果は大きく変わります。

ステップ1：まず、内容を記録する（消さない）

次の3つを、そのまま書き出すかコピーして残します。

• いつ：日付・時刻（だいたいで構いません）
• どこに：使ったサービス名・アカウント（会社用か個人用かも）
• 何を：入力した文章そのもの。コピーできない場合は画面のスクリーンショット

この3つがあれば、あとの相談や報告要否の判断にそのまま使えます。

マル

やばい、今すぐ会話を消して無かったことにしたい……。

タイガー

それ一番やっちゃいけないやつ。削除すると、あとで「実際に何を入れたか」を正確に思い出せなくなる。まず記録、削除はそのあとだよ。

ステップ2：その会話を止める

同じ会話に、さらに情報を重ねて入力しないようにします。「訂正しよう」と間違えた内容を説明すると、漏れる情報が増えるだけです。会話はいったん止めます。

マル

待って、先に「学習に使われない設定」にしとくべきじゃない？

タイガー

確認はあとでいいよ。今から設定を変えても、もう入力した時点のデータは戻らないから（設定の手順は「学習させない」設定の手順にまとめてある）。

ステップ3：何を入れたかを仕分ける

ステップ1で記録した内容を、次の3つに仕分けます。

1. 会社の機密（未公開の情報・見積り・取引条件・図面など）
2. お客さんや従業員の個人情報（氏名・連絡先・病歴などの機微な情報を含むか）
3. 実は公開情報だった（仕分けの結果、実害がないと分かることもあります）

マル

これ個人情報っぽいけど、正直微妙なライン……。

タイガー

迷ったら、いちばん重い分類——個人情報、それも機微な情報を含む——に寄せて次に進めば安全だよ。

マル

1人でやってる会社でも、誰かに報告した方がいいの？　相談する相手なんていないんだけど……。

タイガー

1人でも同じだよ。「誰に確認するか」を先に決めておくのが大事。Comaruも顧問税理士と、契約まわりの相談先を1つ決めてある。事故が起きてから探すと判断が遅れるからね。

ステップ4：決めている相談先に連絡する

顧問弁護士や税理士、取引先の窓口など、決めている相談先があれば連絡します。決めていなければこの機会に決めましょう。社員がいる場合は、上長や情報管理担当者に「いつ・どこに・何を入れたか」の3点を事実だけ伝えれば十分です。

マル

自分のミスだし、報告したら怒られそう……言い出しにくいよ。

タイガー

言うのが遅れるほど、対応の選択肢は減っていくよ。事実を先に伝えて、原因の整理はあとでいい。「◯月◯日、ChatGPTに◯◯のデータを入力してしまいました。今後の対応について相談させてください」——これだけで十分伝わる。

ステップ5：報告が必要かどうかを確認する

入れてしまった情報に個人データが含まれていた場合、個人情報保護委員会は、次の4つのいずれかにあたるときは委員会への報告と本人への通知が義務になるとしています（2026年8月時点）。

1. 病歴・健康診断結果など、要配慮個人情報が含まれる場合
2. クレジットカード番号・ログインID／パスワードなど、不正利用で財産的被害が生じるおそれがある場合
3. 不正アクセスやランサムウェアなど、不正の目的をもって行われたおそれがある場合
4. 民間事業者で、1,000人を超える人数の個人データが対象になる場合

報告の期限は2段階です。発覚から概ね3〜5日以内の速報、そして30日以内（不正の目的による場合は60日以内）の確報を行います。あわせて本人への通知も義務で、郵送・メール・自社サイトなど、状況に応じた方法で速やかに知らせます。

マル

会社の機密だけで個人情報が入ってなければ、この話は関係ないんだよね？

タイガー

そう、その場合はこの報告義務は関係ない（取引先への連絡は契約上必要になることがある）。ただ、要配慮個人情報や財産的被害のおそれに実際にあたるかの判定には専門知識が要る。ここは自己判断で「大丈夫」と決めず、顧問弁護士や個人情報保護委員会の窓口に確認してほしい。

まとめ：焦らず、順番どおりに

AIへの入力ミスは、誰にでも起こります。大事なのは「なぜ起きたか」を先に責めることではなく、まず記録し、会話を止め、何が入ったかを仕分け、決めている相談先に伝えるという順番を守ることです。個人情報が絡む報告義務は、無理に自分で結論を出さず専門家に確認すれば十分です。

そして、事故のあとに一番効くのは「事故が起きる前に決めておいたこと」です。相談先を1つ決めておく、入れてよい情報の線引きを共有しておく——1人の会社でも社員が複数いる会社でも、やることの中身は変わりません。違うのは「誰に伝えるか」だけです。

入力前に「どこまで入れていいか」を知りたい方はAIに入れていい情報はどこまで？、「入力＝第三者提供にあたるか」の法律面は個人情報保護法とAIの入力をご覧ください。社内ルールを整えたい場合は小さな会社の生成AI利用ルール、無料版なら「学習させない」設定の手順もどうぞ。

30分無料相談では、起きたことをお伺いしたうえで、報告要否の整理や再発防止の社内ルールづくりを一緒に進めます。ひとりで抱え込まず、お気軽にご相談ください。

参考（一次情報）：個人情報保護委員会 漏えい等の対応とお役立ち資料／個人情報保護委員会 漏えい等報告・本人への通知の義務化について

※本記事は一般的な情報提供であり、法的助言ではありません。報告義務に該当するかどうかの判断は個別の状況によって異なるため、実際の対応にあたっては顧問弁護士や個人情報保護委員会の窓口など、専門家にご確認ください。

この記事は、みなさんの“困る”を解決する猫の手「コマル」がお届けしました。 「うちの場合はどうなる？」は 30分無料相談 でどうぞ。