生成AIに現場の文書を入れる前に点検する五つのこと

生成 AI に文書を入れる前に点検することは、五つあります。個人データが入っていないか、営業秘密を外に出していないか、サービスが入力を学習に使わないか、データがどの国に置かれるか、社内の誰でも見られる場所に入れていないか。一つでも答えられない文書は、答えが出るまで入れないのが安全側の判断です。

作業日報、不具合報告、検査記録、図面、見積書。現場の文書には、作業者の氏名や顧客の名前、取引条件のような、外に出せない情報が混ざっています。規制の全体像はAI規制と製造業の実務に書きました。この記事は、その中の「何を入れてよいか」を、文書を手元に置いて一つずつ確かめる形に直したものです。2026年10月13日時点で確認した公的な文書にもとづきます。法律の判断が要る場面では、専門家に相談してください。

1. 個人データが入っていないか

個人情報保護委員会は2023年6月2日の注意喚起で、事業者に二つのことを求めています。一つは、個人情報を含むプロンプトを入力するときは、特定してある利用目的を達成するのに必要な範囲内かを十分に確かめること。もう一つは、あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答を出す以外の目的で扱われる場合、個人情報保護法に違反する可能性があること。後者の場合は、サービスの提供者が個人データを機械学習に使わないことなどを、十分に確認するよう求めています。

現場の文書で見落としやすいのは次のものです。

• 作業日報や不具合報告の担当者名、サイン、社員番号
• 検査記録に残る顧客の担当者名や連絡先
• 事故報告や休業の記録に書かれた健康に関する情報
• 写真や動画に写り込んだ作業者の顔

入力する前に、名前を記号に置き換えるなどして個人データを外せるなら、この点検は軽くなります。外せない文書は、2から先の答えが決め手になります。

2. 営業秘密を外に出していないか

不正競争防止法は、営業秘密を、秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上または営業上の情報で、公然と知られていないもの、と定めています（第2条第6項）。製造業なら、図面、加工条件、配合、原価、取引先ごとの価格がこれに当たりえます。

条文は生成 AI を名指ししていません。そのため、AI サービスに入れたことで秘密として管理されている状態が崩れるかどうかは、条文だけでは決まりません。入力が相手の事業者に渡り、相手が別の目的で使えるのなら、秘密としての管理が弱くなる、というのが私たちの読みです（推測）。経済産業省は2025年3月に営業秘密管理指針を改訂して生成 AI に触れていますが、今回は原文を開けなかったので、その内容はここに書きません。法務に確認するときは、この指針の最新版を持っていってください。

実務では、秘密の度合いで文書を分けるのが現実的です。公開してよい資料、社内限りの資料、取引先との契約で守秘を負っている資料、競争上の核になる図面や加工条件。上の二つと下の二つでは、使ってよい AI の置き場所が変わります。

3. サービスが入力を学習に使うか

IPA（情報処理推進機構）が2024年7月に公表した「テキスト生成AIの導入・運用ガイドライン」は、クラウド型の生成 AI では入出力データが外部のサーバーに保存されるため、入力データを学習させないオプトアウトの申請などを検討する必要があるとしています。SaaS 型については、サービスや設定によって入出力データが提供者の生成 AI に学習される可能性があり、特に利用規約とセキュリティに留意するよう書いています。

同じ会社のサービスでも、契約の種類で扱いが違います。たとえば Anthropic の公式ページ（2026年8月18日の表示）は、同社の法人向けの製品と API では、既定では入力と出力を学習に使わないと説明しています。ただし、利用者が不具合報告の送信ボタンなどで会話を送った場合は、学習に使われうるとも書いています。個人向けのプランは別のページで扱われています。これは一例にすぎません。ほかの事業者のサービスは、それぞれの利用規約とプライバシーポリシーで確かめてください。

確かめる場所は三つあります。契約書や利用規約の学習に関する条項、管理画面の設定、そして更新の履歴です。規約は変わるので、確かめた日付を記録に残します。

4. データがどの国に置かれるか

個人情報保護委員会の FAQ（Q12-1）は、外国にある第三者に個人データを提供する場合、原則として本人の同意が必要だとしています。委託でも同じです。例外は三つあります。日本と同等の水準の制度がある国として規則で定める国にある場合、提供先が必要な体制を整えている場合、法令にもとづく提供などの場合です。同ページは2021年9月時点でEUと英国を挙げています。最新の一覧は規則で確かめてください。

一方、同委員会のFAQ（Q7-53）は、クラウドへの保存が第三者への提供に当たるかを、クラウド事業者がそのデータを取り扱うかどうかで判断するとしています。契約で取り扱わないと定め、アクセス制御もしている場合は、提供にも委託にも当たらないという整理です。生成 AI は入力を処理して答えを返すので、この「取り扱わない」には当たりにくいと私たちは読みます（推測）。委員会がそう明言した文書は、今回は確認していません。

IPA の指針には、もう一つ注意があります。PaaS 型のサービスで海外のリージョンを使うと、データベースが海外にあることから、データの格納が安全保障貿易管理（輸出管理）の対象になる可能性がある、というものです。輸出規制のかかる技術の図面や仕様を入れる場合は、置き場所の国まで確かめます。国内に置きたいなら、ローカルLLMは製造現場に置けるかで扱ったように、自社のサーバーで動かす道もあります。

5. 社内の誰でも見られる場所に入れていないか

外に出さなくても、社内で起きる問題があります。IPA の指針は、検索で補強する RAG の課題として、ベクトルデータベースに機密情報を入れると全ての利用者が参照できてしまうこと、利用者や部門ごとにデータを分けたり、参照するデータに閲覧権限をつけたりできない場合があることを挙げています。この場合に権限を分けようとすると、環境を複数作ることになり、費用が上がるとも書いています。

人事評価や顧客ごとの原価を含む文書を、全社向けの質問応答に入れてしまえば、質問の仕方しだいで誰にでも出ます。入れる前に、誰がその文書を見てよいかを決め、その範囲と AI の利用者の範囲が一致しているかを見ます。一致しないなら、範囲ごとに分けて入れるか、入れません。

誰が決め、どう記録するか

五つの点検は、文書の種類ごとに一度決めて表にしておくと、毎回の判断が要らなくなります。決める人は、情報システム担当と、その文書の持ち主である部門長の二人にするのが現実的です。個人データと契約が絡む文書は、総務や法務も加えます。

表には次の項目を残します。

現場の文書をデータに変える場合の手順は不具合報告と作業日報をデータに変えるにあります。そこでの最初の作業が、この表を埋めることです。サービスの規約は変わるので、半年に一度、確かめた日付を見直してください。