AIに社内情報を入れると漏えいする？学習オフとクラウドの違い

「AIに社内情報を入れたら、外に漏れてしまうのでは」。
法人で生成AIの導入を考えるとき、気になる点だと思います。

一方で、Google DriveやSharePointには、すでに社内資料を保存している。
では、クラウドに資料を置くことと、AIに資料を読ませることは、何が違うのでしょうか。

私は、この不安は「AIだから危険か」という問いだけでは整理しきれないと考えています。
学習への利用、データの保存、共有・アクセス権を分けて確認すると、自社で判断すべきことが見えてきます。

※ 本記事は2026年10月13日に確認した各社の公式情報をもとにしています。対象サービス、契約プラン、設定によって条件は異なります。

AIへの入力は、そのままインターネットへの公開ではない

クラウド型AIに情報を入力することは、一般公開のページに掲載することとは異なります。
ただし、社外のサービス環境で情報を処理するという点は押さえておく必要があります。

Google Driveなどのクラウドストレージも、社外にデータを預ける点では共通します。
違うのは、主な用途と処理の範囲です。
保存・共有を中心とするストレージに対し、生成AIは入力や参照した資料を使って回答を作ります。
さらに、検索や外部アプリとの連携が加わる場合もあります。

したがって、「Driveを使っているから、どのAIにも同じ資料を入れてよい」とは言えません。
保存先に加えて、処理の目的、学習利用、保持期間、連携先まで確認する必要があります。

例えばGoogleは、Workspaceの顧客データを、許可なくWorkspace外の生成AIモデルなどの学習・改善に使わないと説明しています。
この説明を、個人向けGeminiや別契約のサービスにも一律に当てはめることはできません。
出典：Google WorkspaceのAIプライバシー

「学習に使われる」と「他人に見られる」を分ける

例えば、社内の開発マニュアルをAIに読ませる場面を考えてみます。
「学習利用がオンなら、他社の人が質問すると、そのマニュアルが出てくるのか」という疑問です。

モデルの学習は、アップロードしたファイルを、そのまま他人が検索できる文書庫に登録する仕組みとは別です。
学習利用の可否だけから「原文が他人に公開される」と判断するのは適切ではありません。
同時に、「学習だから情報が外に出る心配はない」と安全を保証することもできません。

ここで確認したいのが、利用するプランと条件です。
OpenAIは、個人向けのFree・Plus・Proでは内容を学習に利用する場合があり、データコントロールで停止できると説明しています。
一方、ChatGPT Business・EnterpriseとAPIの入力・出力は、既定ではモデル改善に利用されません。
出典：OpenAIのデータ利用方針

個人向けでは、学習利用を停止していても、回答への評価などのフィードバックを送ると、関連する会話全体が学習に使われる場合があります。
「設定を一度変えたから十分」と考えず、利用方法も含めて確認したい点です。

機密性の高い開発情報なら、個人の設定だけで利用を決めず、法人向けの契約条件と管理機能を確認し、組織として認めた環境で扱う。
これが判断の出発点になります。

学習オフでも、保存や権限の確認は必要

学習オフは、モデル改善への利用を制御するための設定です。
データの削除や、すべての保存停止を意味するわけではありません。

ChatGPTでは、学習利用をオフにしても通常の会話は履歴に残ります。
一時チャットも、一時チャットである間は学習に使われませんが、安全目的で最大30日保持される場合があります。
出典：ChatGPTのデータコントロール

APIも「学習に使われない」と「保存されない」は別です。
OpenAIは、不正利用監視ログを既定で最大30日保持し、法令や危害防止のため延長する場合があると説明しています。
機能によっては別途データが保存され、保存削減の仕組みにも適用条件があります。
出典：OpenAI APIのデータ管理

Microsoft 365のCopilotについても、プロンプト、回答、Microsoft Graph経由のデータは基盤モデルの学習に使われません。
一方で、やり取りの履歴は保存され、保持ポリシーの管理対象になります。
出典：Microsoftのデータ保護の説明

同じ公式資料では、Copilotが提示する組織内データは、利用者が閲覧権限を持つものに限られると説明されています。ここから運用上考えたいのは、もともとの共有範囲が広すぎれば、AIによってその資料を見つけやすくなるという点です。
AI連携前にSharePointなどの権限を見直す意味は、ここにあります。

学習オフにしても、アカウント乗っ取りや誤送信、共有リンクの設定ミスへの対策は残ります。
外部アプリやエージェントを使う場合は、その連携先の権限とデータ利用条件も別に確認します。

企業が決めておきたい、5つの確認事項

導入前に、次の5項目を社内で具体化しておくと、現場の判断が揃いやすくなります。

1. 扱う情報を分ける。公開情報、社内限定、機密、持ち出し禁止を区別し、AIに入力できる範囲を決めます。
2. 使うサービスと契約を決める。個人向け・法人向けの違いに加え、処理・保管場所、保持・削除条件、管理・監査機能を確認します。
3. 学習利用の条件を確認する。既定の扱い、管理者による制御、会話・ファイル・フィードバックの扱いを確認します。
4. 閲覧・共有権限を絞る。必要な人だけに権限を与え、多要素認証、退職・異動時の停止、共有リンクの管理を整えます。
5. 現場の利用ルールを作る。入力禁止情報、外部連携の申請、出力の確認、誤操作時の連絡先、定期的な見直しを決めます。

最初の試行なら、公開資料の要約など、機密情報を含まない作業から始められます。
効果と運用を確かめ、扱うデータの範囲を段階的に広げていく考え方です。

私は、AIへの不安を無理に消す必要はないと思っています。
その不安を「どの情報を、どのサービスに、誰の権限で、どんな条件で扱わせるのか」という確認事項に置き換えることが大切です。
自社の情報を扱える条件が決まれば、AI活用の可否も具体的に判断できます。

関連記事：生成AIが不安な社員に、まず必要なのは説明より小さな体験
関連記事：AIは嘘をつく？ハルシネーションを知り、仕事に活かす方法

この記事を書いた人

白石貴義合同会社GSK　代表

合同会社GSK代表。中小企業のためのAI業務設計パートナーとして、「ゼロを、1にする。」をコンセプトに、社内でAIが使われていない状態から、現場で使われる状態に変える支援をしています。ビジョンは「AIで仕事の抜け道を発見」。業務のヒアリングから設計、現場への定着まで、一緒に手を動かしながら伴走します。

• 2026年11月6日AIコラム中小企業のAI導入は何から？活用５段階とレベル２の始め方
• 2026年11月6日AIコラムAI活用は、まず手を動かす前に口を動かそう
• 2026年11月2日AIコラムAIは嘘をつく？ハルシネーションを知り、仕事に活かす方法
• 2026年11月2日AIコラムMuseに仕事を丸投げする前に知っておきたい3つの線引き