社員が顧客情報を生成AIに入力していた！発覚後に会社がすべき対応を弁護士が解説

「営業担当者が、顧客リストをChatGPTに貼り付けてメール文面を作っていた」
「経理担当者が、取引先の見積書をそのままAIに読み込ませて要約させていた」

生成AIが業務に浸透するにつれて、こうした「会社が把握していないAI利用」が発覚するケースが増えています。

発覚した直後の対応を誤ると、個人情報保護法上の報告義務違反や、取引先との契約違反、社員とのトラブルなど、二次的な問題に発展するおそれがあります。

この記事では、社員による顧客情報の生成AI入力が発覚したときに、会社が取るべき対応を順を追って解説します。

1. 発覚直後にやるべきこと（最初の数日）

まずは「入力を止める」「消させない」

最初にやるべきことは、次の2つです。

• 該当する社員に、AIサービスへの入力を直ちにやめさせる
• 入力履歴（チャット履歴）を本人が削除しないよう指示する

「履歴を消せば済むのでは」と考えがちですが、先に消してしまうと、何を・どれだけ入力したのかを会社が確認できなくなります。後で説明する報告や取引先対応の判断材料がなくなってしまうため、まず履歴を保存（エクスポートや画面の記録）してから、削除や設定変更を検討する順番が安全です。

確認すべき事実

事実確認では、次の点を具体的に押さえます。

特に重要なのは「どのサービスを、どの設定で使っていたか」です。一般に、法人向けの契約プランでは入力データを学習に使わない仕様になっているものが多い一方、個人アカウントの無料版などでは、初期設定のままだと入力内容がサービスの改善に使われる場合があります。同じ「AIに入力した」でも、リスクの大きさはサービスと設定によって大きく変わります。

2. 個人情報保護法上、報告や本人への通知は必要か

「漏えい」にあたるかどうか

個人情報保護法では、個人データの漏えい等が発生し、一定の要件にあたる場合、会社は個人情報保護委員会への報告と本人への通知をしなければなりません。

報告が義務になるのは、主に次のいずれかにあたる場合です（おそれがある場合を含みます）。

• 要配慮個人情報（病歴など）が含まれる
• 不正に利用されると財産的な被害が生じるおそれがある（クレジットカード番号など）
• 不正な目的による漏えい等である
• 本人の数が1,000人を超える

ただし、社員が生成AIに個人データを入力した行為が、そもそも法律上の「漏えい」にあたるかどうかは、入力先のサービスの仕様（入力データを学習や他の目的に使うかどうか、事業者がデータをどう取り扱うか）によって判断が分かれうる問題です。一律に「入力した＝漏えい」とも、「AIだから問題ない」とも言い切れません。

報告には期限がある

報告義務がある場合、会社は事態を知った時点から概ね3〜5日以内に「速報」を、原則30日以内（不正な目的によるものは60日以内）に「確報」を、個人情報保護委員会に提出する必要があります。

「報告が必要かどうか社内で検討しているうちに期限が過ぎていた」という事態は避けなければなりません。判断に迷う場合は、早い段階で弁護士に相談することをおすすめします。

報告義務がなくても問題が残る場合がある

報告義務の要件にあたらない場合でも、それで問題がなくなるわけではありません。

個人情報保護委員会は2023年6月の注意喚起の中で、個人データを生成AIに入力する場合は、利用目的の範囲内かどうかを確認すること、また、入力したデータが応答の出力以外に機械学習などに使われる場合には、個人情報保護法に違反するおそれがあることに注意するよう求めています。

報告の要否とは別に、「利用目的の範囲を超えていないか」「本人の同意なく第三者に提供したことにならないか」という観点からも、状況を整理しておく必要があります。

2026年7月に改正個人情報保護法が成立し、本人への通知が不要となる場面を定める規定などが設けられました。施行は公布から2年以内の政令で定める日とされているため、現時点では現行法の規定に従って対応します。

3. 取引先との契約（秘密保持契約）への影響

入力した情報が取引先から預かった秘密情報だった場合は、個人情報保護法とは別に、取引先との契約上の問題が生じます。

契約書のどこを確認するか

まず、取引先と締結している秘密保持契約（NDA）や業務委託契約の、次の条項を確認します。

• 目的外使用の禁止：「本件業務の目的以外に使用してはならない」
• 第三者への開示の禁止：AIサービスの提供事業者が「第三者」にあたるかどうか
• 漏えい時の通知義務：「漏えいのおそれがある場合は直ちに通知する」
• 損害賠償・違約金

AIサービスへの入力が契約上の「第三者への開示」にあたるかどうかは、契約の文言やサービスの仕様によって解釈が分かれうるところです。一方で、業務の遂行と関係のない目的で入力していた場合は、目的外使用として問題になる可能性が高くなります。

取引先への報告は「隠さない」が原則

契約に通知義務がある場合、報告を遅らせたり隠したりすると、それ自体が契約違反となり、取引先との信頼関係を大きく損ないます。後になって別の経路から発覚した場合、損害賠償の問題だけでなく、取引停止に発展することもあります。

一方で、事実関係が固まらないまま報告すると、必要以上に不安を与えたり、不正確な説明が後で問題になったりすることもあります。何を・いつ・どこまで説明するかは、契約内容を確認したうえで慎重に判断すべき場面です。

4. 社員への処分はどこまでできるか

処分の前に確認すること

問題を起こした社員を処分したいと考えるのは自然なことですが、懲戒処分をするには、次の点を確認する必要があります。

• 就業規則に、懲戒の根拠となる規定があるか（秘密保持義務違反、情報管理規程違反など）
• 会社が生成AIの利用ルールを定め、社員に周知していたか
• 処分の重さが、行為の内容や結果と釣り合っているか
• 本人に弁明の機会を与えたか

特に、会社が生成AIの利用ルールを何も定めていなかった場合、社員だけに重い責任を負わせるのは難しくなる可能性があります。「業務効率化のためによかれと思って使った」というケースも少なくありません。

処分の重さを誤ると、社員から処分の無効を争われるなど、新たな紛争の火種になりかねません。

5. 再発防止：「禁止」だけでは止まらない

発覚を機に「生成AIは全面禁止」とする会社もありますが、業務で便利なツールである以上、禁止するだけでは社員が個人のスマートフォンなどで隠れて使う、いわゆる「シャドーAI」を招くおそれがあります。

再発防止では、次のような仕組みを整えることが現実的です。

• ☑️会社として利用してよいAIサービスとプランを指定する（入力データが学習に使われない法人向けプランなど）
• ☑️入力してはいけない情報（個人情報、取引先の秘密情報など）を具体的に定める
• ☑️就業規則や情報管理規程に、AI利用に関するルールを明記する
• ☑️取引先との契約に、AI利用に関する取り決めを盛り込む
• ☑️定期的に社員研修を行う

社内のAI利用ルールづくりについては、「AI法全面施行。企業は「AIガバナンス」をどう整えるべきか」でも解説しています。

弁護士に相談すべきタイミング

次のような場合は、早めに弁護士に相談することをおすすめします。

• ・個人情報保護委員会への報告が必要かどうか判断がつかない
• ・取引先から預かった秘密情報が含まれていた
• ・取引先への説明の仕方に迷っている
• ・社員の処分を検討している
• ・同様の利用が社内で広がっていた可能性がある

報告の期限は短く、取引先への説明や社員の処分は、一度判断を誤ると取り返しがつきにくいものです。事実関係の整理の段階から弁護士が関わることで、報告・説明・処分を一貫した方針で進めることができます。

まとめ

• ✅発覚したら、まず入力を止めさせ、履歴を保存する（消させない）
• ✅入力した情報の中身、件数、サービスの種類と設定を確認する
• ✅個人情報保護委員会への報告が必要かは、要件と期限を踏まえて早めに判断する
• ✅取引先の秘密情報が含まれる場合は、契約の通知義務を確認し、隠さず対応する
• ✅社員の処分は、就業規則の根拠と社内ルールの有無を確認してから
• ✅再発防止は「禁止」だけでなく、使ってよいツールとルールを整える

高瀬総合法律事務所では、情報漏えい発生後の対応や、社内の情報管理体制の整備についてのご相談をお受けしています。「これは報告が必要なのか」という段階から、お気軽にご相談ください。