会社の資料をAIに入れても大丈夫？判断ポイントを解説

「会議資料を要約したい」「提案書を直してほしい」「社内PDFから必要な数字だけ抜きたい」。仕事でAIを使い始めると、会社の資料をそのままアップロードしたくなる場面がかなり増えます。

そこで気になるのが、会社の資料をAIに入れて大丈夫なのかという問題です。

先に結論を言うと、会社資料だから一律にNGでも、Businessプランだから何でもOKでもありません。見るべきなのは、資料の機密度、会社や顧客とのルール、使っているAIの契約、保存・共有・連携の条件です。

結論：アップロード前に5つだけ確認する

迷ったら、次の順番で見ます。

1. 会社のルールで、そのAIを仕事に使ってよいか

2. 資料に何が入っているか

3. 個人向けか、会社管理のBusiness / Enterprise系か

4. 学習利用だけでなく、保存・管理者アクセス・共有・外部連携はどうか

5. 資料全体を渡さず、必要部分だけに減らせないか

この5つでかなり整理できます。

「学習に使われない」という一文だけで判断しないのがポイントです。

まず会社のルールと契約が最優先

AI側のプライバシー設定を見る前に、最初に確認したいのは自社ルールです。

たとえば、

• 生成AIの利用自体が許可されているか

• 使用してよいサービスが指定されているか

• 個人アカウントでの業務利用が禁止されていないか

• 顧客とのNDAや契約で外部サービスへの提供が制限されていないか

• 個人情報や機密情報の取り扱いルールがあるか

を見ます。

ここはAIサービスの設定より上に来ます。

サービス側が「モデル学習には使いません」と案内していても、会社や顧客との契約で外部クラウドへの入力が禁止されていれば、その資料を入れてよいとは言えません。

「技術的に入力できる」と「業務上入力してよい」は別です。

次に、資料の機密度を分ける

全部の会社資料を同じ扱いにする必要はありません。

ざっくり4段階に分けると判断しやすくなります。

表は横にスクロールできます

資料の例	リスク感	AIへ渡す前の考え方
公開済みの会社案内・Web掲載文	低め	通常利用しやすい
一般的な社内資料・公開前の下書き	中程度	会社指定アカウントやルールを確認
顧客資料・NDA資料・人事・売上・個人情報	高い	承認済み環境、契約、保持条件まで確認
パスワード・秘密鍵・APIキー・認証情報	非常に高い	原則そのまま入力しない。別の安全な方法を使う

たとえば「月次会議の議事録」でも、担当者名と一般的なタスクだけなら扱いやすいことがあります。

一方で、未発表の買収情報、顧客の個人情報、契約単価、認証情報まで入っているなら話は変わります。

ファイル名ではなく、中身を見るのが大事です。

個人向けと法人向けは分けて考える

ここはかなり重要です。

OpenAIは、ChatGPT Business、Enterpriseなどの組織向けサービスやAPIについて、組織の入力・出力をデフォルトではモデルの学習や改善に使わないと案内しています。

AnthropicはClaude for WorkやAPIなどの商用サービスについて、入力・出力を原則モデル学習に使わないと案内しています。ただし顧客が明示的に参加・利用を許可した場合や、フィードバックを送った場合などは別条件が適用されるため、契約・設定・送信内容を確認します。

Google Workspaceでも、対象となるWorkspace環境では、プロンプトやWorkspaceコンテンツ、生成結果を、顧客の許可なく組織外の生成AIモデル学習に使わず、許可なく人間によるレビューにも使わないと説明しています。

これは仕事利用では大きな違いです。

ただし、ここで「法人向けなら何を入れても安全」とはなりません。

学習利用は、データ管理の一項目にすぎないからです。

「学習しない」以外に何を見る？

会社資料を扱うなら、次も確認します。

1. 保存期間

モデル学習に使われなくても、会話やアップロードファイルがサービス上に保存されることはあります。

Anthropicの商用製品でも、Claude for Workのように会話履歴を使う製品では、継続利用のためにチャットやコーディングセッションが保持されます。Enterpriseでは保持期間を管理できる機能もあります。

「学習しない」と「保存しない」は別です。

2. 管理者から見える範囲

会社管理のワークスペースでは、組織の管理者がアカウントやデータを管理できる場合があります。

たとえばClaude for Workでは、組織のPrimary Ownerがユーザーデータのエクスポートを通じて、会話履歴やアップロードファイルなどへアクセスできる場合があると案内されています。

これは悪いことではありません。企業管理として必要な機能です。

ただ、「自分とAIだけの完全な個人空間」とは限らないことは知っておく必要があります。

3. 共有リンク

チャットそのものがモデル学習に使われなくても、共有リンクを外部へ送れば別の情報漏えい経路になります。

誰がリンクを作れるのか、社外へ共有できるのか、後から無効化できるのかを確認します。

4. 外部アプリ・コネクタ

AIからDrive、Gmail、Slack、GitHubなどへ接続する場合、アクセスするデータの範囲が広がります。

さらに、第三者サービスへデータが送られる機能では、そのサービス側のプライバシーポリシーも関係します。

AI本体だけ安全でも、接続先まで同じ条件とは限りません。

資料は「丸ごと入れる」必要がないことも多い

ここが実務ではかなり使えます。

AIに必要なのが提案書の文章だけなら、顧客名、担当者名、金額、連絡先を削って本文だけ渡せることがあります。

議事録なら、

• 氏名を「担当者A」にする

• 顧客名を伏せる

• メールアドレスや電話番号を削る

• 契約金額をレンジへ変える

• 必要なページだけ抜き出す

といった方法があります。

ソースコードでも、問題の関数だけを出せるなら、本番の環境変数やAPIキーまで渡す必要はありません。

AIに必要な情報だけ渡す。

これはサービス選びより先にできる、かなり強い対策です。

具体例1：社内会議の議事録

一般的なタスク整理が目的なら、会社が許可したAI環境で、個人情報や未公開の重要情報を減らしたうえで使う方法があります。

逆に、人事評価、健康情報、未発表の経営判断などが入っているなら、同じ「議事録」でも扱いを上げます。

具体例2：顧客の提案書

公開情報をもとにした文章部分の校正なら比較的扱いやすいです。

ただし、顧客名、予算、担当者情報、契約条件、非公開の事業計画が入っていれば、NDAや顧客との契約、会社の生成AIルールを確認します。

必要なら固有名詞を伏せてから使います。

具体例3：ソースコード

コードも資料と同じです。

公開リポジトリのコードと、顧客案件の非公開コードでは扱いが違います。

特に、

• APIキー

• 秘密鍵

• データベース接続情報

• 本番環境の認証情報

• 顧客固有のロジック

は分けて考えます。

コードレビューをAIへ頼むからといって、リポジトリ全体を無条件に渡す必要はありません。

一時チャットなら会社資料を入れていい？

一時モードは便利ですが、それだけで許可になるわけではありません。

ChatGPTのTemporary Chatは通常の履歴に表示されず、新しいメモリを作らず、モデル改善にも使われません。ただし安全目的などでコピーが最長30日保持される場合があります。GPTのアクションなどで第三者へ送るデータは、その第三者のポリシーも確認します。

個人向けGemini Appsでは、Keep Activityをオフにした会話や一時チャットはモデル学習に使われない条件があります。一方、サービス提供や安全保護のため最長72時間保持される場合があり、フィードバックを送ると別の取扱いになることがあります。

つまり、

一時モード＝データが一切処理・保持されない

ではありません。

会社資料で使えるかどうかは、やはり会社のルールと資料の機密度が先です。

「安全なAI」を1つ選べば解決する？

サービス名だけでは決まりません。

同じChatGPTでも個人向けとBusiness系では条件が違います。Claudeもconsumerとcommercialでポリシーが分かれています。Geminiも個人向けGemini Appsと対象Workspace環境では扱いが異なります。

さらに、保持設定、管理者設定、共有、コネクタ、契約内容で変わります。

そのため、この記事では「ChatGPTが一番安全」「Claudeなら会社資料を入れてよい」のような順位は付けません。

会社資料を入れる前のチェックリスト

最後に、実務用に短くします。

1. このAIは会社で利用許可されている？

2. 顧客との契約やNDAに反しない？

3. 資料に個人情報・機密情報・認証情報はある？

4. 個人アカウントではなく、承認された業務用環境を使える？

5. 入出力はモデル学習に使われる？

6. データはどのくらい保持される？

7. 管理者・共有リンク・外部アプリから見える範囲は？

8. 必要部分だけに削れる？匿名化できる？

この中で分からない項目があるほど、機密度の高い資料は一旦止めた方が判断しやすいです。

AIものさし編集部の判断

会社の資料をAIに入れてよいかは、「AIが安全か」だけでは決まりません。

資料の中身、会社や顧客とのルール、契約しているプラン、保持・共有・連携まで含めて判断します。

公開済みの文章と、NDA対象の顧客資料を同じ扱いにしない。

個人向けAIと会社管理のワークスペースを同じものとして扱わない。そして、必要のない情報は最初から渡さない。

この3つを押さえるだけでも、かなり整理しやすくなります。

迷った資料を止める3分判定

AIへ渡す前に、①会社で承認されたAI・アカウントか、②顧客契約やNDAが外部処理を許すか、③個人情報・未公開情報・認証情報を含むか、④必要な範囲だけ切り出せるかを確認します。①②が不明、または③の高機密情報の扱いが未承認なら、アップロードを止めて管理者・法務へ確認。続行条件がそろったら、不要な氏名・ID・金額・秘密情報を削り、会社指定環境に必要ページだけ渡します。「学習しない」という表示だけでは続行条件を満たしません。

自分の条件なら？

「この資料をそのまま入れてよいか、匿名化すべきか、業務用プランへ分けるべきか」を整理したい場合は、AIものさしのかんたん診断で資料の機密度・利用人数・必要な管理機能から候補を比較できます。