ChatGPTの業務利用は禁止すべき？判断基準と、禁止しないための社内ルール

「社員がChatGPTに社内の資料を貼り付けているらしい」「取引先から、生成AIを業務で使っていないか確認された」。こうした話をきっかけに、ChatGPTの業務利用を禁止するかどうかを決めなければならなくなった担当者の方は多いのではないでしょうか。

結論から言うと、「全面禁止」か「自由に使ってよい」かの二択ではなく、情報の種類と契約の種類で線を引く方法があります。ChatGPTは、個人向けのプラン（Free・Plus・Pro）と法人向けのプラン（Business・Enterprise・Edu）で、入力した内容の扱いが公式に分けて説明されています。どのプランで、どんな情報なら入れてよいかを決めれば、禁止せずに使う選択肢も現実のものになります。

この記事では、業務利用が禁止される理由、公式が説明しているデータの扱い、国の機関や業界団体の考え方、禁止と許可の判断基準、社内ルールの作り方を順に説明します。内容は2026年10月時点の公式情報をもとにしています。プランの内容や仕様は変わることがあるので、契約や規程の改定の前には公式ページもあわせて確認してください。

業務利用が禁止される理由

ChatGPTの業務利用を禁止している会社の多くは、「ChatGPTが危険だから」ではなく、社員が何を入力してよいかが決まっていない状態を放置できないからという理由で禁止にしています。まず、禁止の理由として挙がりやすい点を整理します。

禁止の理由として挙がりやすい4つの点

このうち、1つ目から3つ目は「入力する側のルール」と「契約するプラン」で大きく減らせます。4つ目の誤った出力は、使う人が内容を確認する運用で防ぐものです。どれも、ChatGPTを使えなくすることでしか防げないわけではありません。

禁止だけでは解決しにくいこと

全面禁止は、社内のルールとしては分かりやすい方法です。一方で、禁止しても、個人のスマートフォンや自宅のパソコンから使われる可能性は残ります。業務の効率化が目的で使っている社員ほど、禁止の理由が納得できなければ、見えないところで使い続けやすくなります。

そうなると、会社は「使っていない」と思っているのに、実際には個人向けプランに社内の情報が入っている、という状態になりかねません。会社が把握できる形で使える環境を用意したほうが、情報の管理がしやすくなる場合もあります。どちらが自社に合うかは、後の章で判断基準を示します。

プランごとのデータの扱い

禁止か許可かを決める前に、ChatGPTが入力内容をどう扱うのかを公式の説明で確かめておきましょう。OpenAIのヘルプでは、個人向けのプランと法人向けのプランで、入力内容を学習に使うかどうかの初期の扱いが異なると説明されています。

つまり、会社の仕事で使うなら、個人向けのプランではなく、法人向けのプランを選ぶのが基本です。個人向けのプランしか使えない場合は、後で説明する設定と入力のルールで、リスクを下げることになります。

個人向けプランで学習をオフにする

個人向けのプランで学習に使われないようにするには、ChatGPTの設定を変更します。画面の表記は言語や更新によって変わるため、次の流れを目安にしてください。

1. ChatGPTにログインするWebまたはアプリでChatGPTを開き、業務で使っているアカウントでログインします。
2. 設定を開くプロフィールのメニューから「設定」を開き、データの管理にあたる項目（英語表示では「Data controls」）に進みます。
3. 「Improve the model for everyone」をオフにする日本語表示では訳された名称になっていることがあります。オフにすると、新しい会話が学習に使われなくなります。

OpenAIのヘルプでは、設定画面のほかに、プライバシーのポータルサイトから「Do not train on my content（私の内容を学習に使わない）」を選ぶ方法も案内されています。この設定はアカウントごとなので、社員が複数人いる場合は、全員が個別に設定する必要があります。会社として強制する仕組みは、個人向けのプランにはありません。

オフにしても残るもの

学習をオフにしても、入力した内容がまったく残らないわけではありません。次の点は知っておきましょう。

会社として見るべき点

ここまでの内容から、個人向けのプランを業務で使う場合の問題点は、機能の差よりも「設定を社員一人ひとりの判断に任せることになる」点にあります。設定を忘れる人、新しい端末でログインしたまま設定していない人が出ても、会社から確認する手段はありません。

顧客の情報や社外秘の情報を扱う業務なら、設定と入力のルールで頑張るより、最初から法人向けのプランを契約するほうが、管理の手間は小さくなります。

国・業界団体の考え方

禁止するかどうかを社内で説明するときは、国の機関や業界団体がどう言っているかを押さえておくと、根拠のある説明ができます。ここでは、公式に公開されている3つの資料を紹介します。

個人情報保護委員会の注意喚起

個人情報保護委員会は、2023年6月2日に「生成AIサービスの利用に関する注意喚起等について」を公表しました。個人情報取扱事業者（会社など）向けの注意点は、次の2つです。

• 生成AIサービスに個人情報を含むプロンプトを入力する場合は、特定した利用目的を達成するために必要な範囲内であることを十分に確認する
• 本人の同意なく個人データを入力し、その個人データが回答の出力以外の目的で取り扱われる場合は、個人情報保護法に違反する可能性がある。入力する場合は、サービスを提供する事業者が個人データを機械学習に利用しないことなどを十分に確認する

この注意喚起は、ChatGPTの利用を禁止するものではありません。個人データを入力する場合の条件として、「機械学習に利用されないこと」の確認を求めています。前の章で見たとおり、法人向けのプランは既定で学習に使わないと説明されているため、プランの選び方がそのまま確認の材料になります。

AI事業者ガイドライン

総務省と経済産業省の「AI事業者ガイドライン」には、AIを業務で使う「AI利用者」向けの項目があります。第1.1版（2025年3月28日）では、次のような内容が示されています。

• AIシステム・サービスに、機密情報などを不適切に入力することがないよう注意を払う
• AIシステム・サービスに、個人情報を不適切に入力することがないよう注意を払う
• AI提供者が示すセキュリティ上の留意点を守る

2026年3月31日付で第1.2版も公表されています。この記事では、確認できた第1.1版の記載を紹介しました。会社の規程に引用する場合は、最新の版を確認してください。

日本ディープラーニング協会（JDLA）の資料

JDLAは、会社が生成AIの利用ルールを作るときの参考として、「生成AIの利用ガイドライン」のひな形を無料で公開しています。2023年5月に公開され、同年10月に第1.1版が出ています。条項だけの版と、簡単な解説がついた版があり、自社の業務に合わせて追加や修正をして使うことを前提にしています。

また、2026年2月には「法と技術の検討委員会報告書Ⅱ」を公開しています。JDLAの発表では、生成AIへの個人データの入力は一律に禁止されるものではなく、一定の条件のもとでは個人情報保護法上も適法にできる場合があるという整理が示されています。具体的な条件は報告書の全文で確認してください。

禁止か許可かの判断基準

ここまでの情報を踏まえて、自社に合った方針を選びましょう。選択肢は大きく3つあります。

判断のための4つの質問

どの方針が合うかは、次の質問に答えると見えてきます。

• 扱う情報に、個人情報や顧客の機密が多いか。多い場合は、法人プランか、入力の厳しい制限が必要です。
• 取引先との契約に、情報の第三者への提供を制限する条項があるか。ある場合は、生成AIへの入力がその条項にあたるかを、契約書で確認します。
• 法人プランの費用を負担できるか。利用する人数が少なければ、Businessは2名から契約できます（料金は次の章で説明します）。
• 利用状況を管理する担当者がいるか。いない場合は、まず少人数で試して、管理の仕方を決めてから広げます。

全面禁止を選ぶ場合の条件

全面禁止が適しているのは、機密性の高い情報を扱う業務が中心で、法人プランの導入や社内ルールの整備に、すぐには取り組めない場合です。このときは、禁止を「期限つき」にすることをおすすめします。

• 禁止する期間と、見直す時期を決めておく（たとえば、法人プランの検討が終わるまで）
• 禁止の理由を、社員に分かる言葉で説明する
• 使いたい社員が相談できる窓口を決めておく

理由の説明がないまま禁止すると、私物の端末で使われるなど、かえって把握できない使われ方につながりやすくなります。

入力してよい情報の線引き

許可する場合でも、「何を入れてよいか」を決めなければ、ルールとして機能しません。情報を3つの区分に分けると、社員が判断しやすくなります。次の表は一般的な目安です。自社の契約や規程に合わせて調整してください。

入力前に情報を伏せる方法

「条件つき」の情報は、そのまま貼り付けず、入力する前に伏せる作業を入れると安全になります。

• 会社名・人名・住所は、「A社」「担当者B」のような記号に置き換える
• 金額や数量は、実際の値ではなく、同じ桁数の仮の数字にする
• ファイルの全体ではなく、相談したい部分だけを抜き出す
• メールや契約書の署名部分、連絡先は削除する

伏せる作業が面倒で、結局そのまま貼り付けてしまう場合は、その業務は法人プランで扱うか、AIを使わない業務として整理するほうが現実的です。

法人向けプランで確認すること

法人向けのプランを選ぶ場合は、「学習に使われないこと」だけでなく、管理機能や契約も確かめておきましょう。2026年10月時点で、OpenAIの料金ページに載っている内容は次のとおりです。

料金は国や通貨によって異なることがあり、機能も更新されます。契約の前に、公式の料金ページで最新の内容を確認してください。

データの保管場所

Enterprise・Eduでは、保存されるデータ（会話、入力した内容、アップロードしたファイル）を、日本を含む指定した地域で保管する設定が公式に案内されています。追加の費用はかからないとされています。

注意点もあります。アカウント情報や請求情報は対象外で、AIが回答を作る処理（推論）を特定の地域内で行う設定は、2026年10月時点で米国と欧州のみとされています。「データが日本国内に保管される」ことと、「処理もすべて日本国内で行われる」ことは同じではないので、取引先や社内の規程で求められている条件を確認しましょう。

契約と認証

OpenAIは、法人向けのサービスについて、SOC 2 Type 2の監査やISO/IEC 27001などの認証を取得していると公式に説明しています。詳しい報告書は、OpenAIのトラストポータルから、契約している顧客が入手できます。また、個人データの取り扱いについて、データ処理契約（DPA）を結ぶことも案内されています。

これらは提供事業者自身の説明です。取引先から確認を求められたときは、報告書や契約書の写しを提示できるよう、契約の段階で入手方法を確認しておきましょう。

導入前のチェックリスト

• 入力内容が学習に使われない設定になっているか（プランの既定と、組織の設定）
• 社員のアカウントを、会社が管理できるか（SSOや管理者の権限）
• 会話の履歴を、どのくらいの期間保管するか（保持期間の設定ができるか）
• データの保管地域が、取引先や社内規程の条件を満たすか
• データ処理契約（DPA）や、セキュリティの報告書を入手できるか
• 退職者のアカウントを、誰がどのように停止するか

社内ルールの作り方

禁止する場合も、許可する場合も、方針を紙一枚にまとめて社員に伝えることが大切です。ここでは、最初のルールを作るまでの流れを説明します。

1. 使われている状況を確認する社員が実際にChatGPTを使っているか、どんな業務で使っているかを、アンケートや聞き取りで確かめます。叱るためではなく、必要な機能を知るために聞くことを伝えます。
2. 情報を区分する自社が扱う情報を「入力してよい」「条件つき」「入力しない」に分け、具体例を書き出します。
3. 使う環境を決める全面禁止にするか、法人プランを契約するか、個人向けプランを条件つきで認めるかを決めます。
4. ルールを文書にするJDLAのひな形などを参考に、自社の業務に合わせて項目を書きます。A4で1〜2枚に収まる程度にとどめます。
5. 周知して、見直す社員に説明し、質問を受ける窓口を決めます。3か月から半年ごとに、実際の運用に合っているかを見直します。

ルールに入れる項目

「誤って入力した場合の報告先」は、見落とされやすい項目です。入力してしまったことを責められると思うと、社員は報告しなくなります。早く報告した人を責めないことを明記すると、被害の拡大を防ぎやすくなります。

規定の書き方の例

「条件つきで許可する」場合の文面の例です。自社の状況に合わせて書き換えてください。

会社が契約した生成AIサービス（ChatGPT Business）に限り、業務での利用を認める。個人のアカウントや、会社が契約していない生成AIサービスに、業務の情報を入力してはならない。顧客・従業員の個人データ、認証情報、取引先から預かった機密情報は入力しない。出力内容は、利用者が事実を確認したうえで使用する。判断に迷う場合は、情報システム担当に相談する。

ルールの詳しい書き方や、項目ごとの考え方は、別の記事で解説しています。

導入の進め方や、社内の体制づくりから相談したい場合は、次の記事も参考にしてください。

よくある質問

まとめ

ChatGPTの業務利用は、禁止か自由かではなく、プランと情報の線引きを決めて、会社が把握できる形で使えるかどうかの問題です。まずは社内の利用状況を確かめ、扱う情報を区分するところから始めると、方針を決めやすくなります。

INTERCREATE JAPANでは、AIの業務活用について、利用ルールの整理から、社内で使い続けられる仕組みづくりまでをお手伝いしています。自社の業務に合った方針の決め方でお悩みの場合は、お気軽にご相談ください。