AIに貼る前の3問：生成AIへの個人情報アップロード事案から、自分の職場の「入れてよい・ダメ」仕分け表を作ってみよう

1. この記事で作るもの：AIに貼る前の区分表と3問チェック

「この顧客名簿、AIに貼って要約させても大丈夫だろうか」。

サンプル商会（架空の会社です）の事務担当、佐藤さん（架空の人物です）は、毎回ここで手が止まります。

迷って半日使ってしまうこともあれば、忙しさに負けて確認せずに貼ってしまうこともあります。

どちらも困ります。

前者は仕事が遅くなり、後者は後から取り返しがつきにくいからです。

佐藤さんの手元には、いま次の1枚の表があります。

そして、貼る直前に見るのは次の3問だけです。

3つとも「はい」なら貼る。

1つでも答えられなければ止める。

迷ったら「入れない」に倒す。

これだけです。

この記事で作るのは、この表と3問チェック、それに誤って入れてしまったと気づいたときの初動メモ（入力を止める／入れた内容と日時・サービス名を控える／上長や情報管理の担当に報告する）の3点です。

狙いは、生成AIに個人情報を入力してよいかの線引きを、自分の部署のデータの種類ごとに決めておくこと。

毎回その場で悩まなくて済む状態を作ります。

用意するのは、文書作成ソフトかメモ帳だけです。

契約も設定変更も要りません。

表計算ソフトがなくても、箇条書きと3行のメモで十分に作れます。

先に断っておきます。

ここで紹介する3区分・3問・初動メモは当ラボの編集上の提案であり、公式の基準でも法的助言でもありません。

会社に社内ルールがある場合はそちらが優先します。

判断に迷う場合は、会社の担当者や専門家に確認してください。

また、この記事は公表された事案を評価するものではなく、事案の適法性を判断するものでもありません。

公表内容から、自分の職場の仕分けに使える点だけを取り出し、手元の入れてよい・ダメの区分表を仕上げるところまでを扱います。

図: この記事で作る4つのものの流れです。

AIに貼るだけなのに、そんなに大ごとになるんですか？

まず、公表された事実を確認しましょう。評価はせず、自分の職場の仕分けに使える点だけを取り出します。

2. 公表された事案で確認できたこと

2026年10月23日、パナソニック オペレーショナルエクセレンス株式会社が、外部の生成AIサービスへの個人情報のアップロードについて公表しました（文書名「外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ」）。

同日に配信・掲載された報道（CNET Japan配信のYahoo!ニュース記事、フィッシングJP）でも同じ内容が伝えられています。

以下は、公表内容の要点と、これらの報道の内容が一致した範囲です。

出典は次のとおりです。

Access Denied

パナソニック、従業員が利用禁止の生成AIに個人情報をアップロードと発表 従業員ら約33万人分（CNET Japan） - Yahoo!ニュース

パナソニック オペレーショナルエクセレンスは10月23日、パナソニックグループの従業員や元従業員、その家族の個人情報を含むデータが、社内で利用を禁止している外部の生成AIサービスにアップロードされて

フィッシングJP

フィッシングJPは、フィッシングメール、偽通販サイト、不審なドメインやリダイレクト情報を収集・整理する情報データベースです。確認された事例やドメインの関連情報を掲載しています。

何が起きたか。

同社と子会社のパナソニック デジタル株式会社が進める人事情報システム導入プロジェクトで、プロジェクトのメンバーが、2026年4月時点で人事情報システムに登録されていたデータの一部を、利用を禁止していた外部の生成AIサービスにアップロードしていました。

外部からの不正アクセスではありません。

外部からの不正な操作によるものではなく、プロジェクトメンバーのルール違反に伴うアップロードだと説明されています。

対象になった人と、情報の項目は次のとおりです。

家族は、従業員・元従業員が緊急連絡先として登録していた人たちです。

なお、氏名が含まれていないという点は、公表内容の事実です。

ここから先は当ラボの見方ですが、氏名がなくても住所・電話番号・メールアドレスがあれば本人に連絡できてしまうため、自分の職場の仕分けでは「氏名がないから大丈夫」とは考えないことにします。

その後の対応として、2026年9月29日に個人情報保護委員会へ報告したと記載されています。

発覚後の対応と再発防止は、6章でまとめて紹介します。

公表内容からは確認できないこともあります。

使われた生成AIサービスの名称、アップロードの経緯や動機、社内ルールの条文は確認できません。

ただし、公表されていないだけで、なかったということではありません。

確認できない部分を推測で埋めずに読むのが安全です。

あわせて、個人情報保護委員会は「生成AIサービスの利用に関する注意喚起等」（2023年6月2日付）を出しています。

案内ページとPDFは次のとおりです。

生成AIサービスの利用に関する注意喚起等について ｜個人情報保護委員会

個人情報保護委員会のホームページです。生成AIサービスの利用に関する注意喚起等について掲載しています。

この中では、個人情報を含む内容を生成AIに入力する場合に、次の点を確認するよう求めています。

これは2023年6月2日付の注意喚起であり、今回の事案についての判断を示したものではありません。

この事案から自分の職場に持ち帰れる点を一つだけ挙げるなら、当ラボの編集上の提案として「何を入れないかを、データの種類ごとに具体的に決めておく」です。

「禁止されたAIを使わない」という掛け声だけでは、手元のデータがどの種類にあたるかは分かりません。

「社員番号や住所を含むものは入れない」のように種類で決めておけば、その場で判断しなくて済みます。

なお、この事案の原因や再発防止策の効果については公表内容からは判断できないため、ここでは扱いません。

3. 手順①：自分の職場のデータを書き出して3区分に仕分ける

用意するものは、表計算ソフトかメモ帳、紙とペンでも構いません。

費用はかかりません。

まずは区分表の列を決めます。

列は4つ

手順1：自部署で触れるデータを10個書き出す 思いつくまま、10個ほど書き出します。粒度は「顧客の連絡先一覧」「見積書」「打ち合わせの議事メモ」程度の大きさで十分です。このとき、実際の中身（人名・金額・連絡先）は書き写さず、「顧客の連絡先一覧」のような名前だけを書きます。書き出し用のメモ自体に中身を移してしまうと、そのメモが新たな持ち出し注意の対象になるためです。

手順2：分かるかどうかを書き、区分を付ける

3つの区分の意味は次のとおりです。

氏名がなくても「入れない」側で考える 2章で見た公表事案では、従業員・元従業員の項目に氏名が含まれていない一方、社員番号・住所・電話番号・メールアドレスが含まれていました。氏名がなくても、住所・電話番号・メールアドレスがあれば、その人に連絡できてしまいます。

そこで、この記事では編集上の提案として、氏名の有無だけで判断せず、氏名がなくても住所・電話番号・メールアドレスが含まれるなら「入れない」側に置くという基準を取ります。社員番号も同じ考え方です。社内で人を特定できる番号なので、「入れない」側で扱います。

迷ったら厳しい側にする 「入れてよいか、加工すれば可か」で迷ったら「加工すれば可」に、「加工すれば可か、入れないか」で迷ったら「入れない」に置きます。厳しくしておく分にはあとから緩められますが、緩く見積もったあとに取り消すことはできません。

区分表は、会社のルールを置き換えるものではなく、日々の判断で迷わないための手元の早見表です。

会社に規程がある場合はそちらを優先してください。

図: 区分表の列の書き分けです。

氏名が入っていなければ、貼っても大丈夫ですよね？

氏名がなくても、住所や電話番号があれば本人に連絡できてしまいます。当ラボの考え方として「入れない」側に置きます。

4. 手順②：貼る直前の3問と、加工して使う方法

区分表で「入れてよい」「加工すれば可」と付いたデータでも、貼る直前に次の3問を確認します。

1枚のメモに収まる長さなので、区分表の余白や別の紙に書いておくと使えます。

問1：本人や取引先が分かる情報が含まれていないか 「入れてよい」と思っていても、コピーした範囲の端に顧客名や担当者名が入っていることがあります。貼ろうとしている文全体を、貼る直前に見ます。

問2：このAIサービスは、会社で使ってよいと決まっているか 当ラボの提案として、会社が「使ってよい」と決めたサービス以外は使わない、を前提にします。禁止されているサービスには入れません。2章で見た事案も、会社が利用を禁止していた外部の生成AIサービスへのアップロードでした。区分表の余白に、使ってよいサービス名（決まっていなければ「未確認」）を書いておけば、この問いは数秒で終わります。

問3：利用規約・プライバシーポリシーと設定で、入力内容の扱いを確認したか 個人情報保護委員会の2023年6月2日付「生成AIサービスの利用に関する注意喚起等」は、一般の利用者向けとして、入力された個人情報が機械学習に利用されることがあるリスクを踏まえて判断すること、サービスの利用規約やプライバシーポリシー等を十分に確認し、入力する情報の内容等を踏まえて利用を適切に判断することを求めています。あわせて、個人情報取扱事業者向けには、生成AIサービス提供事業者がその個人データを機械学習に利用しないこと等を十分に確認することも挙げています。日付を添えているのは、この文書の後の改訂や追加の注意喚起の有無をここでは確認していないためです。最新の状況は、2章で紹介した委員会の案内ページで確かめてください。

規約などで見る点のうち、「入力した内容が学習に使われるか」は、この注意喚起が挙げている観点です。

当ラボの追加の提案として、「入力履歴が残るか・消せるか」も合わせて見ておくと、気づいたときの初動（6章）で迷いにくくなります。

これは注意喚起に書かれている項目ではありません。

具体的な設定画面の操作はサービスごとに変わり、内容をここで断定できないため扱いません。

自分の使うサービスの規約と社内ルールで確かめてください。

なお事案では、公表した会社が「アップロード時にAI学習に利用する機能は無効だった」と説明していますが、これはその事案についての説明です。

別のサービスや設定が同じであるとは限りません。

1つでも答えられなければ貼らない 3問のどれかが「いいえ」または「わからない」なら、その場では貼らず、上長か情報管理の担当に確認します。確認して分かったことを区分表と3問メモに書き足せば、次からは同じところで止まらずに済みます。

「加工すれば可」の加工のしかた 置き換えの例を示します。

ここで大事なのは、置き換えたあとに元へ戻せそうかどうかです。

仮名にしても、社名・部署・時期・金額の組み合わせで取引先や本人が特定できそうなら、「入れない」に戻します。

また、どの実名をどの仮名にしたかの対応メモはAIに貼らず、手元に置きます。

対応表を一緒に貼ってしまえば、加工した意味がなくなるためです。

この2つがそろえば 自分の職場の区分表と、貼る直前の3問。この2つがあれば、貼るかどうかの判断は「表を見る→3問を数える」という手順に戻せます。毎回ゼロから迷う代わりに、決めておいた表と3問に立ち返って判断できる状態になります。

名前を伏せれば、何でも貼れますか？

いいえ。伏せても元に戻せそうなら「入れない」に戻します。次の記入例で確かめましょう。

5. 具体例：佐藤さんの区分表と3問チェック

ここからは、すべて架空の会社と人物による記入例です。

実在の企業・人・データではなく、実際の公表事案の当事者の状況を推測するものでもありません。

設定（架空）：サンプル商会は従業員20人ほどの商社で、佐藤さんは事務を担当しています。取引先に送る文書の下書きや社内の案内文づくりに生成AIを使ってみたいと考え、まず自分の机の周りにあるデータを10個書き出しました。使う道具は表計算ソフトか文書作成ソフト、またはメモ帳だけです。

そして、3区分「入れてよい／加工すれば可／入れない」に振り分け、「加工すれば可」のものには加工の方法を書き添えました。

3問チェックの記入例：佐藤さんは「取引先A社とのメールのやり取りを要約してもらう」場面を想定し、次の1枚を用意しました。

問3の結果は、サービスごとに違います。

どのサービスが入力内容をどう扱うかを、この記事が決めるものではありません。

自分の職場で許可されたサービスの規約で確認してください。

図: 区分表の記入例です。

会社名はすべて架空で、概念図です。

もし、間違えて貼ってしまったら、どうすればいいですか？

一人で抱えず、止めて、控えて、報告します。順番は次のメモにまとめました。

6. 気づいたときの初動メモと、確認リスト

初動メモ（編集上の提案）：入れてはいけない情報を貼ってしまったと気づいたときのため、次の4つを1枚に書いておきます。順番に動くと、その場で判断に迷いません。

画面の操作手順や設定の内容はこの記事では扱いません。

サービスの設定は会社のルールと担当者の指示で確認してください。

公表事案で行われたこと（事実として）：2026年10月23日に公表されたお知らせでは、発覚後に、アップロードしたメンバーが生成AIサービスのチャット履歴と業務用PC内の対象データを削除し、2026年9月29日に個人情報保護委員会へ報告したと記載されています。再発防止として、個人情報の取り扱いルールと生成AIサービスの利用管理の見直し、関係者への教育・啓発の強化が挙げられています。出典は、2章に載せたパナソニック ホールディングスの公表ページ（2026年10月23日公表）です。

ただし、自分の会社で個人情報保護委員会への報告が必要かどうかは、この記事では判断できません。

担当者や専門家に確認してください。

相談の材料として、2章で紹介した個人情報保護委員会の2023年6月2日付「生成AIサービスの利用に関する注意喚起等」を担当者と一緒に読む方法もあります。

仕上げの点検（4項目）：

迷ったときの戻り方：区分で迷ったら、厳しい側（入れない側）に倒します。加工しても元の情報に戻せそうなら入れません。迷った理由はメモに残し、情報管理の担当か上長に聞きます。聞く相手が決まっていない職場なら、まず誰に聞くかを決めるところから始めます。

最後に：この区分表と3問、初動メモは社内ルールの代わりではありません。会社にすでにルールがあればそれが優先です。ルールがない、または古くなっていると感じたときは、この表をたたき台にして、情報管理の担当や上長と見直すための下書きとして使ってください。

この記事が少しでも参考になったら、AI実用ラボをフォローしていただけるとうれしいです。初心者にも分かりやすいAI活用情報をこれからもお届けします。