生成AIに入力した社内情報は学習に使われるのか—「使われない」でも残る3つのリスク

「AIに入れた情報が学習に使われるらしい」——この話は広く知られるようになった。一方で、実際に自社がどうなっているかを確認した会社は多くない。同じサービスでも契約形態で扱いが変わるうえ、学習利用をオフにしても論点は残る。この記事では、確認すべき順序と、見落とされがちな3つのリスクを整理する。

「学習に使われる」とは何を指すのか

誤解されやすいので先に整理する。入力した内容が、そのまま他人の画面に表示される仕組みではない。学習に使われるというのは、入力内容がモデルの改善に利用されるということで、その結果として類似の表現が出力に影響する可能性がある、という話だ。

ただし実務上のリスクは、モデルへの影響よりも手前にある。入力データが事業者側のサーバーに一定期間保存され、そこにアクセスできる人がいる——ここが本体だ。学習利用の話だけを見ていると、この点を見落とす。

扱いが変わるのは「契約形態」

同じサービス名でも、どの契約で使っているかによって既定の扱いが違う。一般的な傾向はこうなる。

※各社の規約は改定されるため、上記は傾向。実際の判断は必ず現時点の規約と管理画面で確認してください。

注意したいのは、会社として法人プランを契約していても、社員が個人アカウントで使っていれば意味がないという点。契約の話と、実際に何が使われているかの話は別に確認する必要がある。

自社の状態を確認する4手順

1. 社内で使われているAIサービスを洗い出す。会社が契約しているものだけでなく、社員が個人で使っているものも含める。ここで実態と認識のズレが出る
2. それぞれの契約形態を確認する。無料か有料か、個人か法人か。請求先が個人カードになっているものは個人契約
3. 管理画面で学習利用の設定を見る。多くのサービスは設定画面にこの項目がある。組織全体に強制できるかも確認する
4. 自作ツールが使っているAPIの規約を確認する。ツール経由の入力は、チャット画面の設定とは別の扱いになる

「学習に使わない」でも残る3つのリスク

ここが本題。学習利用をオフにしても、次の3点は残る。

1｜保存期間

学習に使わない設定でも、不正利用の監視などの目的で入力データを一定期間保存するのが一般的だ。「学習に使わない」と「保存しない」は別の話。保存期間が何日か、期間経過後に確実に削除されるかを規約で確認する。

2｜事業者側のアクセス権

保存されているということは、事業者側でそれを見られる人がいるということ。誰が、どんな条件で閲覧できるのか。監査ログは残るのか。機密性の高い情報を扱うなら、ここまで確認する価値がある。

3｜再委託先

多くのAIサービスは、自社だけでインフラを持たずクラウド事業者を利用している。実際にデータが置かれる場所は、契約している会社と違うことがある。データの保存国も含めて、規約の「委託」「サブプロセッサー」の項目を見る。

現実的な線の引き方

すべてを確認してから使い始めるのは現実的でない。実務では、扱う情報のほうで線を引くほうが早い。

• 入れない：顧客の個人情報、未公開の財務数値、認証情報、契約条件。これらは設定にかかわらず入れない運用にする
• 加工して入れる：固有名詞を伏せる、数値を丸める。多くの業務はこれで足りる
• そのまま入れてよい：公開情報、一般的な業務文書のたたき台

この3分類を決めて共有するほうが、規約を全部読ませるより機能する。分類の作り方は生成AIの社内ルール、どう作る？にまとめてある。

まとめ

学習に使われるかどうかは、サービス名では決まらない。契約形態と設定、そして社員が実際に何を使っているかで決まる。そして学習利用をオフにしても、保存期間・アクセス権・再委託は残る。全部を調べ切るのは大変なので、扱う情報のほうを3分類して線を引くのが現実的な進め方になる。