生成AIの機密情報漏洩リスク｜中小企業の87.7%が不安を抱える理由と今日からできる対策

生成AI 機密情報漏洩 中小企業の実態｜87.7%が不安を抱えながら使っている

生成AI 機密情報漏洩 中小企業というテーマで最新の調査データを見ると、「不安を感じながらも使い続けている」という中途半端な状態が浮かび上がります。ヤマネックス株式会社が2026年8月31日に公表した「中小企業の生成AI利用実態調査2026」によると、業務で生成AIを利用している中小企業のうち87.7%が、社外秘情報や顧客情報などの機密情報を入力することに強い不安を感じていると回答しました。

この調査は2026年7月、全国の中小企業に勤める従業員・エンジニア・独立系開発者114名と、中国地方5県のIT関連担当者150名を対象に実施されたものです。回答者の多くが日常的にChatGPTなどの生成AIを業務で使っている層であるにもかかわらず、9割近くが「入力していいのか」という迷いを抱えたまま作業を続けているという結果になります。

なぜ「不安なのに使う」状態が続くのか

「不安なのに使う」状態とは、リスクを認識していながら代替手段がないために生成AIの利用をやめられない状態を指します。同調査では、機密情報の漏洩に対して技術的な対策（自動検知・自動マスキングなど）を導入している企業はわずか11.4%にとどまり、33.3%は「特に対策をしていない」と回答しました。さらに74.6%、つまり約4社に3社が「利用ルールがない」または「ルールはあるが形骸化している」状態にあります。

背景には、生成AIの業務効果がすでに実感されているという事情があります。文章作成や要約、議事録整理といった業務で時間削減効果を体感した社員ほど、いったん使い始めると手放しにくくなります。一方で情報システム部門や経営層がガイドラインの整備に追いついておらず、「使うなとは言えないが、使い方も決めていない」という空白地帯が生まれています。社内ルール整備の具体的な進め方は生成AIの社内ルール整備ガイド｜中小企業が導入後に直面する運用課題と解決策でも詳しく解説しています。

顧客情報・取引先情報が特に危険な理由

顧客の氏名や連絡先、取引条件、見積金額といった情報は、生成AIに入力した瞬間に「自社の管理外」に出ていくリスクを伴います。多くの無料プランや個人アカウントでは、入力内容がサービス改善のための学習データとして利用される設定になっていることがあり、契約プランによって扱いが異なります。設定を確認せずに顧客リストや契約書の原文をそのまま貼り付けてしまうケースは、中小企業の現場で実際に起きています。

今日からできる4つの機密情報漏洩対策

機密情報漏洩対策とは、生成AIに入力する情報の範囲をあらかじめ線引きし、技術・ルール・教育の3方向から漏洩リスクを下げる取り組みです。大がかりなシステム投資がなくても、次の4つは今日から着手できます。

このうち最も費用対効果が高いのは「学習データ利用のオフ設定」と「入力禁止情報のリスト化」です。どちらも追加費用がほぼかからず、社内で1日あれば整備できます。逆に、対策をまったく行わずに放置すると、退職者が個人アカウントで顧客情報を扱っていたことが後から発覚する、といった事態にもつながりかねません。

「入力していい/悪い」の線引き例

線引きに迷う企業向けに、判断の目安を示します。

kotukotuが支援先で確認した実態

kotukotuが中小企業のAI活用を伴走支援する中でも、「ルールを作る前に、まず何を入力してよいか社員自身が分からない」という声を多く聞きます。ルールを整備するだけでも、社員が安心して生成AIを使える範囲が明確になり、結果として活用が広がるケースが目立ちます。不安を理由に生成AIの利用を制限しすぎると、かえって個人アカウントでの「隠れ利用」を助長してしまうため、禁止一辺倒ではなく「何ができるか」を示すルール作りが有効です。

よくある質問

Q1: 無料プランのChatGPTに顧客情報を入力するとどうなりますか？

A: 無料プランや個人向けプランでは、設定によって入力内容が学習データとして扱われる場合があります。まずは利用しているプランの設定画面で「モデルの学習に使わない」オプションが有効になっているか確認してください。不明な場合は、顧客の氏名や連絡先など特定個人が分かる情報は入力しないことが安全です。

Q2: 情報漏洩対策には、どのくらいの予算が必要ですか？

A: ヤマネックス社の調査では対策済み企業は11.4%にとどまっていますが、その多くが月額数千円程度のツール導入か、無料でできるルール整備から始めています。まずは「入力禁止情報のリスト化」と「学習データ利用のオフ設定」という無料〜低コストの対策から着手し、効果を見ながらマスキングツールなどへの投資を検討する順番がおすすめです。

Q3: すでに社員が個人アカウントでAIを使っています。今からルールを作っても遅くないですか？

A: 遅くありません。むしろ「使い方がバラバラ」な今こそルール整備の効果が大きいタイミングです。まずは現状把握（誰が何のツールを使っているか）から始め、禁止事項ではなく「安全に使える範囲」を明示する形でルールを共有すると、社員の抵抗感なく定着しやすくなります。

まとめ

生成AI 機密情報漏洩 中小企業というテーマにおいて、2026年8月時点の調査データが示すのは「9割近い企業が不安を感じながら、1割強しか対策していない」というギャップです。このギャップを埋めるために大きな投資は必要なく、学習データ設定の見直しと入力ルールの明文化という、費用のかからない対策から着手できます。

自社の生成AI活用が「個人任せ」になっていないか、どこから手をつければよいか判断がつかない場合は、kotukotuの無料相談で現状の棚卸しから一緒に整理することができます。ルール整備を先送りにせず、小さな一歩から始めてみてください。