知らなかったでは済まないAI利用のリスク　#4

ある日、社内でAI利用状況のアンケートを取った。

結果を見て、少し驚いた。
会社が定めていないサービスを使っているメンバーが、何人もいた。

本人に悪気はない。自分が使いやすかったから使っていただけ。
でも「そのサービス、入力した内容が学習に使われる設定になってるの知ってた？」と聞くと、「知らなかった」と答えた。

便利さと危うさは、いつもセットでやってくる。

AIが「なんとなくすごいもの」から「仕事で使う道具」に変わったとき、知っておかないといけないことがある。
この記事では、実際に起きているAIトラブルのリスクを3つに整理する。

情報漏洩リスク 入力した内容はどこへ行くのか

まず押さえたいのが「入力した内容がどこへ行くのか」という問いだ。

多くのAIサービスは、ユーザーが入力した内容をモデルの改善（学習）に利用する場合がある。 デフォルト（初期設定）では学習に使われる設定になっているサービスも存在する。

つまり、社外秘の数字・顧客情報・APIキー・設計書をそのまま貼り付けると、それが学習データとして使われる可能性がある。

冒頭のアンケートで発覚したのがまさにこれだった。
会社が契約している法人向けサービスにはデータ保護の設定が施されていたが、 個人が別途使っていた無料サービスにはそういった保護がなかった。

特に入力してはいけない情報

• 顧客の個人情報（氏名・住所・連絡先など）

• 会社の未発表情報・財務情報

• システムのAPIキー・パスワード・シークレット

• 法的に守秘義務がある情報（医療・法律・金融など）

「これくらい大丈夫だろう」という判断が一番危ない。
「世界中に公開される掲示板に書いている」という感覚を持つのが、一つの基準になる。

オプトアウトとローカルLLM 漏洩を防ぐための手段

「じゃあどうすればいいのか」という話をしたい。

オプトアウトを設定する

オプトアウトとは「学習に使わないでください」という意思表示の設定だ。

2026年時点の主要サービスの対応：

ChatGPT（個人利用） 設定画面の「データ管理」から、会話履歴をモデルの学習に使わない設定に変更できる。 過去の会話データも含めて除外したい場合は、プライバシーポータルから申請する方法がある。

ChatGPT Business・Enterprise 法人向けプランはデフォルトで入力データがモデルの学習に使われない仕様になっている。 個人プランとは根本的にデータポリシーが異なる点を理解しておきたい。

Claude・Gemini 法人プランはデータ保護が強化されている。無料・個人プランは各サービスのプライバシー設定を個別に確認すること。

ローカルLLMという選択肢

「そもそも外部サーバーに情報を送りたくない」という場合、ローカルLLMという方法もある。

ただし動かすにはそれなりのスペックのPCが必要で、導入ハードルはやや高い。 「高機密情報を扱う業務はローカルLLM、日常業務はクラウドサービス」という使い分けをしている企業も増えている。

社内ルールを事前に確認する

AIを使い始める前に、以下を確認しておくことをすすめる。

• 会社にAI利用ガイドラインが存在するか

• 使おうとしているサービスが会社の承認済みリストに含まれるか

• 入力してはいけない情報の種類が明示されているか

「ルールがないから何でも使っていい」とは限らない。 ガイドラインがない場合でも、情報の性質ごとに自分で判断する習慣を持っておきたい。

著作権リスク AIが作ったものは「誰のもの」か

「AIが作った文章や画像は自由に使っていいの？」 仕事でAIを使い始めると、必ずこの疑問にぶつかる。

日本の著作権法の考え方（2026年時点）

文化庁の整理では、2段階に分けて考えるのが基本だ。

学習段階（AIがデータを読み込む段階）

著作権法の規定上、「享受目的でない」学習のためのデータ利用は広く認められている。 つまり、AIが既存の著作物を学習すること自体は、現状では広く許容されている。

生成・利用段階（AIが作ったものを使う段階）

ここからが重要だ。 生成されたコンテンツが既存の著作物に「依拠」して類似している場合、著作権侵害のリスクが発生する。

そして重要なのが「AIが作ったから私は無関係」とはならないという点だ。 著作権侵害が起きた場合、責任を負うのはAIを使った企業・個人、つまり「使った人」だ。

AIが生成した著作物の「著作権」は誰のものか

もう一つよく出る疑問が「AIが作った文章や画像に著作権はあるのか」だ。

現状の日本の著作権法では、
AI単体が生成したコンテンツには著作権は発生しないとされている（人間の創作的な関与が認められる場合を除く）。

つまり、自分が作ったAI生成の文章は法的に保護されにくい。
一方で、他人が使ったAIが作った文章を「著作権侵害だ」と訴えることも難しい。

法整備がまだ追いついていない領域なので、商用利用の際は特に慎重な判断が必要だ。

実務上の対策

著作権リスクを下げるための習慣として、以下を意識しておくといい。

AIが生成したテキストは「たたき台」として使う

そのまま使うのではなく、自分の言葉で加筆・修正・再構成する。 これが「人間の創作的関与」につながり、リスクを下げる。

画像生成は学習データのポリシーを確認する

「どのデータを学習に使っているか」を明示しているサービスを選ぶのが基本だ。 商用利用可能かどうかも各サービスの利用規約で確認すること。

「確認せずにそのまま出す」をやめる

全部ゼロから作る必要はない。でも、
AIの出力物を人間が確認・編集してから使うという一手間が、大半のリスクを回避してくれる。

制作物のセキュリティ AIが書いたコードの盲点

「AIはコードも書いてくれる」——これは本当にありがたい機能だ。
でも、「動くコード」と「安全なコード」は別物だという点を知っておきたい。

AIが生成したコードには、以下のようなリスクが潜むことがある。

• 入力値のチェックが不十分など、セキュリティ上の脆弱性

• 古いバージョンのライブラリやパッケージへの依存

• パッケージインストール時のウイルス混入（npm install 等を使う場合）

「AIが書いたから安全」という思い込みは危険だ。 生成されたコードを本番環境で使う前には、内容を理解しているエンジニアがレビューするプロセスが重要になる。

この話はシリーズ後半の「バイブコーディング」回で詳しく扱う。
プログラミング経験がほぼない人向けに、コード生成から確認・運用まで一連の流れを書く予定だ。

政府・企業の動向 規制はどこへ向かっているか

「規制の話は難しそう」と感じるかもしれないが、大枠だけ知っておくと判断の軸になる。

日本の動き

2025年、日本では「AI推進法」が施行された。 名前のとおり、規制を強めるというより「AIをうまく活用しながら安全性も確保する」という方向性だ。

経済産業省と総務省はAI事業者向けのガイドラインを策定。
企業には「AI利用方針の整備」「従業員への教育」「利用サービスの管理」などが求められつつある。

冒頭に書いたアンケートで「会社が承認していないサービスを使っていた」という問題は、こういった流れの中で重要度が増している話だ。

EUの動き

世界で最も包括的なAI規制とされる「EU AI法（EU AI Act）」は2024年8月に施行され、2026年8月から本格適用が始まった。

AIのリスクを4段階（禁止・高リスク・低リスク・最小リスク）に分類し、リスクに応じた義務を課す仕組みだ。 EUへサービスを提供する日本企業も対象になりうるため、グローバルに事業を展開している場合は特に確認が必要だ。

アメリカの動き

アメリカは「規制より競争力強化」を優先する方向で動いてきた。 連邦レベルでの包括的なAI規制法は存在せず、州ごとの対応や業界ガイドラインが中心となっている。

職場のAIルールは「確認してから使う」

規制の話は遠い話に聞こえるかもしれないが、職場で最も身近に影響するのは「社内ルール」だ。

大企業では「使っていいAIサービスのリスト」「入力してはいけない情報の基準」が整備されつつある。 中小企業ではまだルールが整っていないところも多い。

ルールがある場合は従う。ルールがない場合は、情報の性質を自分で判断する。

「ルールがないから自由にやっていい」ではなく、
「ルールがないから自分が考えないといけない」という意識を持っておきたい。

「知ること」がリスクを下げる唯一の方法

3つのリスクを整理した。

• 情報漏洩：入力する情報を選ぶ。オプトアウトを設定する。会社のルールを確認する

• 著作権：AIの出力をそのまま使わない。商用利用は各サービスの規約を確認する

• 制作物のセキュリティ：生成されたコードを確認なしで使わない

「怖いから使わない」では、もうこの時代に追いつけなくなる。

でも「便利だから何も考えず使う」は、思わぬトラブルを招く。

知った上で使う。これが唯一の正解だ。

最初は面倒に感じるかもしれない。でも習慣になれば、何も考えずに確認するようになる。 車を運転するとき「シートベルトをしなきゃ」と意識しなくなるように。

AIを使う上での「シートベルト」を、今のうちに装着しておいてほしい。

「知らずに使っていた」と気づいたことがある方、ぜひコメントで教えてください。 この記事が役に立ったらスキを押してもらえると励みになります。