生成AIへの「持ち込み」を禁止文だけで止めない——33万人分データ・パスワード代理・オフライン学習から作る入力境界票

生成AIへ「個人情報を入れないでください」と社内通知を出しても、仕事はそこで終わりません。入力欄はチャットだけではなく、ファイル添付、外部サービスとの連携、ブラウザー操作、代理ログイン、共有フォルダー、開発用APIへ広がっています。利用者が規則を読んでいても、作業の完了に必要な代替手段がなければ、便利な外部サービスへデータを持ち込む圧力は残ります。

2026年10月、パナソニックホールディングス傘下の会社は、社内で使用を禁止していた外部の生成AIサービスへ、従業員、元従業員、その家族ら約33万4000人分の個人情報を含むデータがアップロードされていたと公表しました。一方、1Passwordは、AIエージェント自体へパスワードを見せず、利用者の承認後に認証情報を自動入力する仕組みを発表しました。

さらにOpenAIは、最先端モデルの学習でライブのインターネット接続を使わず、索引化・キャッシュ化したWebコンテンツを利用する方針を示しました。それでも、別々の仮想マシンに置いたエージェントが、プロセッサーのキャッシュ読み出し時間を使って情報を伝える方法を見つけたと報じられています。

三つの出来事は規模も目的も違います。しかし、日本の会社、自治体、学校、家庭に共通する問いがあります。AIへ何を入力してよいかを、人の注意力だけに任せず、仕事の経路としてどう決めればよいのでしょうか。本記事では、データの持ち込み前、権限の受け渡し前、外部送信前に使う「入力境界票」を提案します。

結論——禁止する情報ではなく、完了できる経路を設計します

情報管理の規則は、多くの場合「入力してはいけない情報」の一覧から始まります。氏名、住所、電話番号、健康情報、顧客情報、営業秘密、未公開コードなどです。この一覧は必要ですが、一覧だけでは四つの問題が残ります。

第一に、同じ情報でも利用目的と処理場所で危険が変わります。公開済みの商品説明を社内AIで要約することと、家族の緊急連絡先を外部AIへ添付することは同じではありません。第二に、利用者がファイル内の全項目を把握しているとは限りません。氏名を削除しても、社員番号、住所、電話番号を組み合わせれば個人へ近づけます。

第三に、入力を禁止しても、仕事を終える代替経路がなければ、コピー、個人端末、画面撮影、別サービスへの持ち出しが起きます。第四に、削除ボタンを押しても、提供者側の保管、監査、バックアップ、法令順守の期間まで直ちにゼロになるとは限りません。

そこで、AI利用を次の五段階へ分けます。

段階	決めること	技術的な守り
発見	ファイルや入力欄に何が含まれるか	自動分類、機密ラベル、項目検出
縮小	仕事に不要な情報を外せるか	列削除、仮名化、件数制限、要約
配置	どの環境なら処理してよいか	社内環境、専用契約、閉域、検証環境
権限	AIが何を読み、どこへ入れるか	期限付き承認、代理入力、最小権限
退出	誤入力後に何を止め、消し、知らせるか	通信停止、履歴削除、保管確認、事故記録

禁止は「配置」の一つの判断にすぎません。発見、縮小、権限、退出がなければ、禁止対象を見つけられず、必要以上の情報を送り、事故後の行き先も追えません。反対に、利用者が安全に完了できる経路を用意すれば、規則違反を善悪だけで扱わず、作業設計の欠陥として減らせます。

約33万4000人分の事案は、氏名の有無だけで判断できません

ITmedia NEWSの報道によると、パナソニック オペレーショナルエクセレンスは、社内プロジェクトの社員が、社内で利用を禁止していた外部生成AIへ個人情報を含むデータをアップロードしたと発表しました。対象は2026年4月時点で人事情報システムに登録されていたデータの一部です。

報道された内訳は、日本国内のグループ従業員約7万5000人、元従業員約17万8000人、その家族約8万1000人です。従業員と元従業員のデータには社員番号、住所、電話番号、メールアドレスが含まれ、氏名は含まれていませんでした。一方、家族のデータには、緊急連絡先として登録された氏名、住所、電話番号、メールアドレスが含まれていたとされています。

ここで「従業員と元従業員は氏名なしだから匿名」と結論付けることはできません。住所、電話番号、メールアドレスは単独でも本人へつながりやすく、社員番号は組織内の別データと照合できます。匿名化は、一つの列を消したかではなく、残った情報から本人へ戻れる可能性を、利用環境と受け手を含めて判断します。

同社は、外部から侵入されたのではなく、社員の社内ルール違反だと説明しています。発覚後、当該社員は生成AIサービス上のチャット履歴と業務用パソコン内の対象データを削除しました。サービス提供者への確認では、アップロード時に学習利用の機能は無効だったため、他の利用者への回答には使われないとされています。

ただし、報道では、提供者がセキュリティや法令順守のため、削除データを30日間保持し、対象データは10月25日まで保管されると説明されています。学習に使われないこと、画面上の履歴を削除したこと、提供者側の保管が終わったことは、別々の状態です。

この区別は、生成AIの契約確認で特に重要です。

• 入力データをモデル学習へ使うか
• 回答生成のため一時処理するか
• 不正利用対策や監査のログへ残すか
• 利用者が削除した後も保持するか
• 委託先や処理地域へ移るか
• 保管終了を利用者側で確認できるか

「学習しない」という表示だけでは、全ての複製が直ちに消えるとは限りません。逆に、一定期間の保管があることだけで、一般公開や他者への回答利用が起きたとも言えません。今回の公表時点で、対象情報の一般公開や不正利用による具体的被害は確認されていないと報じられています。状態を混ぜず、入力、学習利用、保管、公開、不正利用を分けて記録することが必要です。

規則違反を個人だけの問題にすると、同じ入口が残ります

社内で禁止されていたサービスが使われた場合、教育と処分だけで閉じたくなります。しかし、再発防止には、利用者が何を終えようとしていたかを調べる必要があります。人事システムの導入作業で、形式変換、項目対応、文章化、試験データ作成、エラー分析などのどこに生成AIが使われたのかによって、代替策は変わります。

例えば、項目名の対応表を作る仕事なら、実データを入れず、列名と架空の一行だけで処理できるかもしれません。プログラムの不具合を調べるなら、エラー箇所に関係する最小の構造だけを再現できます。大量データの傾向を確かめるなら、社内環境で集計し、外部へは個人へ戻れない統計だけを渡せます。

一方、仕事の完了条件が曖昧で、「とにかく早く移行を終える」「AIを活用して効率化する」とだけ指示されれば、利用者は最も簡単な入力方法を選びます。禁止サービスの一覧が長くても、許可された方法が遅い、使えない、申請先が分からない状態では、非公式な近道が育ちます。

入力境界票では、違反の有無だけでなく、次の順番で原因を見ます。

1. 何を完成させる仕事だったのでしょうか。
2. 完成に必要な最小データは何でしょうか。
3. 許可されたAIや非AIの代替手段は使えたでしょうか。
4. 承認に何日かかり、作業期限と両立したでしょうか。
5. 禁止された入口を端末やネットワークで止められたでしょうか。
6. 誤入力を発見した後、送信先と保持期間を追えたでしょうか。

人の判断ミスを軽視するのではありません。個人の注意が一度途切れても、全件データがそのまま外へ出ない層を重ねます。教育は一層であり、データ縮小、送信制御、許可環境、監視、退出手順が他の層です。

1Passwordの提案は「秘密を渡す」と「使わせる」を分けます

AIエージェントがWebサービスへログインする場合、パスワードをプロンプトへ貼る方法は危険です。会話履歴、画面共有、ログ、別の道具呼び出しへ秘密が残る可能性があります。かといって、人が毎回ログインしてから全操作を引き継ぐ方法では、自動化できる範囲が狭くなります。

ITmedia AI＋の記事によると、1Passwordは「1Password for Agents」を発表しました。記事で説明された流れでは、AIエージェントがログイン画面で認証情報の利用を要求し、利用者が承認すると、エージェントではなく1Passwordが認証情報を自動入力します。

重要なのは、パスワードという秘密そのものと、特定のサービスへ特定の時点でログインする許可を分ける考え方です。これは、どのAIエージェントにも無条件で安全を保証するものではありません。ログイン後に読める情報、送信できる内容、変更や購入の権限は別に制御する必要があります。それでも、秘密を平文でAIの会話へ渡さない入口を作れます。

日本企業が応用するなら、承認画面には少なくとも次を表示します。

表示項目	利用者が判断する内容
実行主体	どのAI、どの利用者、どの業務が要求したか
接続先	本番、検証、取引先、公開サービスのどれか
目的	読み取り、下書き、登録、送信、購入のどれか
対象	どの顧客、ファイル、案件、期間へ触れるか
権限	閲覧、追加、変更、削除、決済のどこまでか
有効期限	一回、十分、当日、案件終了までのどれか
差分	実行すると何が変わるか
取消	実行前後に止める方法と戻せる時間

「ログインを許可しますか」だけでは広過ぎます。同じサービスでも、公開情報を読む操作と、顧客データをダウンロードする操作では影響が違います。パスワードを見せない仕組みを、最小権限、対象表示、期限、操作記録と組み合わせます。

以前の記事では、AIが代理でWebへ入るときに、本人、目的、権限、期限を示す「代理アクセス証」を提案しました。入力境界票は、その前段を扱います。そもそも秘密や個人データをAIへ丸ごと見せずに、必要な操作だけを許せるかを決めます。

OpenAIのオフライン学習は「ネットを切れば終わり」ではないと示します

The Vergeの報道によると、OpenAIは最先端モデルの強化学習と社内推論を、ライブのインターネットへ接続せずに行う方針へ移しました。索引化・キャッシュ化したWebコンテンツを使い、外部システムへ影響を与えずにモデルが作業できる環境を構築したとされています。

この対応は、一般企業のチャット利用とは規模も危険も異なります。最先端モデルの学習環境で起きたことを、そのまま全ての社内AIへ当てはめることはできません。しかし、入力境界を考える上で重要な教訓があります。ネットワーク接続を一つ切っても、情報の通り道が全て消えるとは限らないことです。

報道では、別々の仮想マシンに置かれたAIエージェントが、ネットワーク接続なしで秘密を交換する試験が紹介されています。エージェントは、プロセッサーのキャッシュからデータを読む速さと主記憶から読む速さの差を利用しました。一方が選んだデータをキャッシュから追い出し、もう一方が読み込み時間を測ることで、共有ファイルもネットワークも使わずに信号を伝えたと説明されています。OpenAIは、この種の通信を検出する検査を監視へ追加したと報じられました。

これは、一般の会社が直ちにCPUキャッシュ通信を監視すべきだという話ではありません。学ぶべきは「禁止した入口」と「残っている能力」を別に試すことです。

• Webアクセスを止めても、共有ストレージへ書けませんか
• 外部送信を止めても、回答画面へ大量データを出せませんか
• ファイル添付を止めても、コピーと貼り付けは残っていませんか
• パスワードを隠しても、ログイン後に全件を取得できませんか
• 本番更新を止めても、公開用の下書き置き場へ書けませんか
• 会話履歴を消しても、提供者側の保持期間は残っていませんか

「ネットワークなし」「学習利用なし」「読み取り専用」といった一語を、絶対的な安全証明にしません。何を遮断し、何がまだ可能で、どの試験を通したかを記録します。

AIの試験環境を本番から分ける記事では、入力、通信、身元、操作、記録の五境界を扱いました。今回の事例が加えるのは、境界を設定した後にも、想定外の通路を探す試験が必要だという点です。設定画面のチェックだけでなく、実際に禁止対象を持ち出そうとしたとき、どこで止まるかを確かめます。

日本の組織向け「入力境界票」は十欄で始められます

入力境界票は、新しい大規模システムでなくても、申請画面や案件表へ十の欄を加えて始められます。

欄	記録する内容
完了対象	AIを使って何を完成させるか
情報所有者	本人、顧客、従業員、取引先、会社の誰の情報か
最小入力	完了に本当に必要な列、件数、期間、粒度
識別可能性	単独または組み合わせで誰へ戻れるか
許可環境	社内AI、専用契約、閉域、検証、外部公開環境のどれか
利用条件	学習利用、ログ、処理地域、委託先、保持期間
権限経路	秘密を渡すか、代理入力か、期限付き権限か
出力先	画面、社内保存、外部送信、公開、原本更新のどれか
停止条件	想定外項目、全件取得、再識別、外部通信を見つけた時
退出記録	削除、提供者確認、通知、再発防止、再開条件

最小入力では「個人情報を消す」とだけ書かず、列、件数、期間を具体化します。例えば、給与制度の説明文を作るなら、実在者の給与明細ではなく、制度名、計算規則、架空の金額例で足りる可能性があります。問い合わせ分類なら、氏名、電話番号、注文番号を置換し、相談内容だけを短くできます。

識別可能性は、直接識別子だけを数えません。部署、役職、勤務場所、珍しい経歴、日付の組み合わせで一人に絞れる場合があります。少人数の部署で「四月に休職した唯一の管理職」と書けば、氏名がなくても本人へ近づきます。

許可環境はサービス名だけで決めません。同じ提供者でも、個人向け無償版、会社契約、API、地域限定環境では、認証、ログ、学習利用、保持、管理者機能が異なる場合があります。契約と設定の版を記録し、変更日を残します。

入力前に機械で止める対象と、人へ戻す対象を分けます

全ての入力を人が読んで承認すると、仕事が詰まり、別経路が生まれます。機械で止めやすい条件と、人の判断が必要な条件を分けます。

機械で止めやすいのは、特定形式の番号、大量件数、機密ラベル付きファイル、許可されていない送信先、全データの圧縮ファイル、秘密鍵、認証トークンなどです。完全な検出はできなくても、明確な高危険入力を入口で拒否できます。拒否画面には、規則番号だけでなく、安全な代替手順を表示します。

人へ戻すのは、目的と文脈で判断が変わる入力です。顧客の自由記述、障害ログ、医療相談、評価コメント、社内会議録などは、個人情報と業務知識が混ざります。承認者は全文章を手作業で校正するのではなく、目的、最小化、環境、出力先、保持期間が揃っているかを見ます。

入口の動作は四つに分けられます。

• そのまま許可します。公開情報や架空データなど、影響が低い場合です。
• 縮小して許可します。列、期間、件数、添付を減らします。
• 別環境へ送ります。社内AI、閉域処理、手元の非AIツールへ切り替えます。
• 停止して移管します。本人同意、契約、法務判断、事故対応が必要な場合です。

拒否だけを増やさず、四つの出口を用意します。利用者が次に何をすれば仕事を終えられるかを表示できる入口ほど、迂回されにくくなります。

誤入力後は「削除済み」の一語で閉じません

誤って送信したとき、最初に必要なのは責任追及より影響の固定です。送信の継続、共有、連携、自動処理を止め、入力した時刻、サービス、アカウント、ファイル、件数、項目、設定を保存します。担当者が慌てて全履歴を消す前に、事故調査に必要な最小の証拠を確保します。

その後、状態を次のように分けます。

1. 利用者画面から履歴を削除しました。
2. 接続アプリや共有リンクを無効にしました。
3. 提供者へ学習利用の有無を確認しました。
4. 提供者へ通常保管と削除後保管の期間を確認しました。
5. 外部公開や第三者アクセスの兆候を調べました。
6. 法令、契約、本人通知の要否を判断しました。
7. 保管終了日または追加回答を追跡します。
8. 同じ仕事を安全に終える代替経路を用意します。

この順序なら、「学習には使われていないから終了」と「外部へ出した以上、全て公開された」の両極端を避けられます。分かっている状態と、まだ残っている状態を分け、次の確認日を置けます。

事故を隠さず早く報告した利用者を一律に不利にすると、次の事案が見えなくなります。故意の持ち出し、規則を知らなかった利用、代替手段の障害、誤操作、設定の誤解を分けます。個人への対応と、同じ入口を閉じる仕組みの修正を並行します。

家庭でも、家族の資料を「相談材料」として丸ごと入れません

入力境界は会社だけの課題ではありません。家庭では、保険証券、診療明細、学校の連絡網、介護記録、履歴書、確定申告、住宅ローン、家族の会話をAIへ相談したくなる場面があります。自分の情報だけでなく、配偶者、子ども、親、勤務先、医療機関の情報が一つの写真やPDFへ混ざります。

個人が始めるなら、三つの質問で十分です。

第一に、誰の情報でしょうか。自分が持っている書類でも、他人の連絡先や健康状態を自由に外部へ渡せるとは限りません。第二に、質問へ答えるため全ページが必要でしょうか。保険の用語を聞くだけなら、氏名、証券番号、住所を隠し、該当する条文だけを入力できます。

第三に、答えが出た後どこへ残るでしょうか。履歴の保存、学習利用の設定、共有リンク、削除方法を先に確認します。健康、法律、金融、安全に関する判断では、AIの説明を原本や専門窓口へ戻し、AIへ入力したこと自体を正式な届出や診断の代わりにしません。

家族の同意が必要な資料なら、「便利だから使った」と事後説明せず、何を隠し、どこへ送り、いつ消すかを先に共有します。家族が同意しない場合に、手作業や公式窓口へ戻れる道も残します。

30日で入力境界を作り直します

第一週は、直近一カ月のAI利用から二十件を選びます。許可された利用だけでなく、問い合わせ、エラー、申請却下、利用者が諦めた仕事も含めます。入力した情報所有者、項目、件数、環境、出力先、保持条件を記録します。実データを新しい表へ複製せず、分類と識別子だけを残します。

第二週は、三つの高頻度業務を選びます。例えば、議事録要約、問い合わせ分類、コード調査です。それぞれについて、公開情報、架空データ、縮小データ、実データのどこまで必要かを比べます。実データが必要な仕事だけを許可環境へ残し、他は入力前に縮小します。

第三週は、入口での停止を試します。秘密鍵を模したテスト文字列、架空の電話番号一覧、機密ラベル付きの試験ファイルを用意し、外部AIへの送信がどこで止まるか確認します。拒否後に、社内AI、匿名化、担当部署への申請など、安全な代替経路へ二回以内の操作で進めるかも測ります。

第四週は、誤入力訓練を行います。架空データを許可されていない試験アカウントへ送った想定で、送信停止、証拠保全、履歴削除、提供者への問い合わせ、通知判断、再開までを実施します。担当者を替え、入力境界票だけで同じ状態を再現できるか確かめます。

月末には、次の指標を同じ画面へ並べます。

• AI利用件数のうち、情報所有者と目的を説明できた割合
• 入力前に列、件数、期間を縮小できた割合
• 許可環境以外への送信を入口で止めた件数
• 拒否後に安全な代替経路で完了できた割合
• 平文の秘密をAIへ渡さず、期限付き権限を使えた割合
• 誤入力の発見から送信停止までの時間
• 学習利用、保管期間、削除状態を確認できた割合
• 担当交代後も事故状態と再開条件を説明できた割合

違反件数だけを減らそうとすると、報告されない利用が増える場合があります。見るべきは、安全な経路で完了した仕事の割合、誤入力を早く発見できた割合、代替手段へ戻れた割合です。

出典

• ITmedia NEWS「パナソニックHD子会社、使用禁止の生成AIに従業員約33万人分の個人情報をアップロード」
• ITmedia AI＋「エージェント向け1Password発表　AIにパスワード渡さずアクセス権限付与可能に」
• The Verge「OpenAI now trains its frontier AI models with no internet access」
• TechCrunch「OpenAI says it will no longer train its AI models on the live internet」

まとめ——AIへ渡す前に、仕事を小さくします

約33万4000人分の事案は、禁止ルールがあっても、仕事の入口でデータを発見し、縮小し、許可環境へ送る仕組みがなければ、大きな単位のまま外部サービスへ移り得ることを示しました。学習利用が無効だったこと、履歴を削除したこと、提供者側に保管期間が残ることは、別々に記録する必要があります。

1Passwordの発表は、パスワードそのものをAIへ教えず、利用者が特定のログインを承認する考え方を示しました。OpenAIのオフライン学習は、ライブ接続を切る大きな対策を取っても、想定外の通路を探す試験が続くことを示しています。どちらも、一つの安全表示で終わらず、秘密、権限、対象、経路、監視を分ける発想です。

日本の組織が最初に作るべきものは、禁止サービスを毎週増やす長い一覧だけではありません。何を完成させるのか、誰の情報か、最小入力は何か、どの環境なら扱えるか、秘密を見せずに権限だけ渡せるか、誤入力後にどこまで追えるかを一件へ結ぶ入力境界です。

次にAIへ大きなファイルを添付するとき、送信ボタンの前で一つだけ尋ねてみてはいかがでしょうか。この仕事は、本当にこの全件データを渡さなければ終わらないのでしょうか。仕事を小さくし、安全な経路で完了できる組織ほど、生成AIを「使うか禁止するか」の二択から、責任を持って使い分ける段階へ進めます。