私物PC・クラウド・生成AIへの入力という新しい漏えい経路

かつて典型的だったUSBメモリや紙に加え、現在は私物端末、個人クラウド、メッセージアプリ、生成AIサービス等も情報漏えいの重要な経路です。会社の管理外へ情報が移る場合、情報セキュリティ上のリスクだけでなく、営業秘密としての管理や契約上の義務との関係も確認する必要があります。

経路1：私物PC・私物スマートフォン

私物端末に業務情報が保存されると、退職時の回収・削除確認、家族等との共有、紛失等の管理上のリスクが高まります。ただし、私物端末を利用したという事実だけで営業秘密の秘密管理性が直ちに否定されるわけではありません。BYODを認める場合は、会社データの保存領域、MDM等の管理手段、持出し・同期のルール、退職時の削除・確認手続を定め、従業員が秘密情報の取扱いを認識できる状態を作ります（第23講）。

経路2：個人クラウド・個人メール

Google Drive・Dropbox・iCloud・個人のGmailへの業務ファイルの保存・転送は、最も一般的な持ち出し経路です。会社のメールから個人メールへの転送、会社PCのブラウザから個人クラウドへのアップロードは、ログを取っていなければ痕跡が残りません。対策は、①個人クラウド・個人メールへの業務情報の送信・保存を規程で禁止する、②会社PCからの外部ストレージ・ウェブメールへのアクセスを技術的に制限またはログ記録する（DLP・CASB等）、③メール送信ログ・プロキシログの保存期間を確保する、ことです。ログの保存は、持ち出しが発覚したときの証拠（第22講）にもなります。

経路3：メッセージアプリ

LINE・個人のSlack・Discordなどで業務のやりとりが行われると、取引先との連絡内容・顧客情報・添付ファイルが個人アカウントに蓄積されます。退職後もその情報は退職者の手元に残り、会社は削除を確認できません。対策は、業務上のやりとりを会社が管理するツール（会社契約のビジネスチャット）に限定し、私的アプリでの業務連絡を禁止することです。

経路4：生成AIへの入力

最も新しく、最も見落とされている経路です。従業員が、顧客名簿の分析・契約書の要約・ソースコードのデバッグのために、業務情報を外部の生成AIサービスに入力する行為には、二つのリスクがあります。

第一に、外部サービスへの提供・開示の問題です。生成AIサービスは、入力データの保存期間、学習利用の有無、管理者による閲覧可能性、秘密保持義務、利用地域等がサービス・契約・設定によって異なります。秘密保持義務を負わない外部事業者のサービスへ営業秘密を入力すれば、秘密管理性等に影響する可能性があります。他方、社内環境や企業向け契約など、データの取扱いが異なるサービスもあるため、「生成AIなら必ず外部サーバーに保存される」と一律に扱わず、利用規約・契約・技術構成を確認します。

第二に、秘密管理性への影響です。2025年改訂の「営業秘密管理指針」は、生成AIから営業秘密と同じ情報が生成・出力されたという一事だけで、当該情報を秘密管理している管理単位の秘密管理性が直ちに否定されるわけではないとの考え方を示しています。他方、情報が企業外の第三者へ提供される態様では、秘密管理性が否定される場合もあり得ます。生成AI利用規程があることは秘密管理意思の認識可能性を支える事情になりますが、規程があれば必ず秘密管理性が維持され、規程がなければ必ず失われるという関係ではありません。

実務上は、①利用を認めるサービス・アカウントを定める、②入力してはならない情報を具体化する、③利用規約・データ保持・学習利用・秘密保持義務等を確認する、④必要に応じてログ・承認・教育等を設ける、といった管理が考えられます。生成AIを全面禁止するか、企業向けサービスに限定して許容するかは、情報の性質・業務上の必要性・サービスの仕様等に応じて決めます。

共通する原則 ― 「経路を塞ぐ」より「経路を決める」

すべての経路を技術的に塞ぐことはできません。会社にできるのは、業務情報が通る経路を「会社が管理するもの」に指定し、それ以外の経路の使用を規程で禁止し、違反を検知・記録できる状態にすることです。それによって、持ち出しが起きた場合に「会社の管理下にあった情報が、規程に反して持ち出された」という立証の構造が成立します。

生成AI利用規程を整備する場合は、単に「秘密情報を入力しない」と書くだけでなく、利用可能なサービス、アカウント、入力禁止情報、外部送信の扱い、個人情報・第三者秘密の取扱い、利用規約確認、例外承認等を、自社の実際の利用方法に合わせて具体化します。規程と技術的設定・教育が矛盾しないようにすることも重要です。

実務ポイント

・私物端末・個人クラウド・メッセージアプリ・生成AIは、会社が把握できない場所へ情報を移す。

・生成AIへの入力は、サービス・契約・設定によって第三者提供や秘密管理性への影響が異なる。規程の有無だけで結論は決まらない。

・経路を塞ぐのではなく、会社が管理する経路を指定し、それ以外を禁止・記録する。