生成AIの情報漏洩対策とは？中小企業の65%が「個人任せ」——リスクと社内ルールの作り方を統計で解説

生成AIを業務で「積極的に活用する方針」を示す企業は、2024年度で49.7%に達しました（総務省「令和7年版情報通信白書」2025年7月公表）。使う企業が増えている一方で、社内のルール整備は追いついていません。中小企業では、会社としての導入がないまま「使用は個人の判断に任せている」企業が64.9%にのぼります（商工中金「中小企業の生成AIの利用にかかる調査」2026年3月31日公表）。生成AIの情報漏洩は、入力した情報が学習に使われる・アカウントが乗っ取られる・出力に他者の情報が混じる、という主に3つの経路で起きます。この記事でわかることは次の3点です。①情報漏洩が起きる3つの経路と対策 ②調査によって数字が割れる理由 ③社内ルールを作る具体的な手順とよくある失敗パターン。

生成AIの情報漏洩リスクとは——3つの経路で整理する

「生成AIで情報が漏れる」と一言で言っても、起きている現象は一様ではありません。整理すると、主に3つの経路に分けられます。

IPA（情報処理推進機構）が2026年1月29日に発表した「情報セキュリティ10大脅威2026」（組織編）では、1位ランサム攻撃による被害、2位サプライチェーンや委託先を狙った攻撃に続き、「AIの利用をめぐるサイバーリスク」が3位として初めて選出されました。さらに7位には「内部不正による情報漏えい」が入っています。生成AIの利用が広がったことで、外部からの攻撃だけでなく、社員の何気ない入力操作そのものがリスクの入口になっている、という状況が公的機関の脅威ランキングにも反映された形です。

なぜ今なのか——使う企業は増えたのに、ルールが追いつかない

生成AIを業務で「積極的に活用する方針」を示す企業は、2023年度の42.7%から2024年度は49.7%に増えました（総務省調査）。約半数の企業が会社として前向きな姿勢を示すところまで来ています。一方で、中小企業に絞ると景色が変わります。商工中金の調査（有効回答3,892社、調査基準日2026年1月1日、2026年3月31日公表）では、会社主導の導入と個人利用の推奨を合わせた「積極活用層」は31.1%（約3割）にとどまり、残りの64.9%は「会社での導入はなく、使用は個人の判断に任せている」状態です。

つまり、企業全体では約半数が前向きな方針を掲げているのに、中小企業の現場では約3社に2社が「使うか使わないか、どう使うかを個人任せにしている」状態にある——このギャップこそが、情報漏洩リスクが積み上がっている理由です。方針を掲げることと、現場でルールが機能することは別問題だと捉える必要があります。自社が「個人任せ」の状態にあるか気になる方は、無料のAI導入診断で現在地を確認できます。

数字がズレる理由——「導入率は◯%」と一本化しないのが正確

ここまで複数の数字を並べてきましたが、実は「生成AIの利用率」を語る調査の数字は、母集団と定義次第で大きく変わります。ここを整理せずに「導入率は◯%」と一本化してしまうと、実態を見誤ります。

この3つの数字がズレる理由は、大きく3つの違いに整理できます。第一に母集団の違いです。総務省の個人利用26.7%は「個人としてAIを使ったことがあるか」を聞いた数字で、企業の中の一社員としての利用も含まれます。一方、企業向けの49.7%や商工中金の31.1%は「会社の中で」という枠組みで聞いています。第二に定義の違いです。総務省の企業側の数字は「積極的に活用する方針」＋「活用する意思」という、まだ方針表明の段階も含む広い定義です。商工中金の31.1%は「会社としてパッケージ・エージェントを導入」に加えて「個人利用を推奨」まで含めた積極活用層という、やや異なる切り口の定義です。第三に調査時期と対象規模の違いがあり、総務省は企業全般、商工中金は中小企業に絞った調査という違いもあります。

だからこそ、この記事では「生成AIの導入率は◯%」と単一の数字にまとめることをせず、個人の利用経験（26.7%）、企業の方針表明（49.7%）、中小企業の積極活用（31.1%）を、それぞれ別の指標として扱っています。数字を見るときは、まず「誰を対象に」「何を導入とカウントしているか」を確認することが、正確な理解の第一歩です。

中小企業の現場でよく起きること

調査の数字の背景には、現場で実際に起きている具体的な出来事があります。私たちが中小企業の現場に入って感じるのは、リスクの多くが「悪意」からではなく「情報の出所を誰も縛っていない」ことから生まれているという点です。

情報漏洩を防ぐ社内ルールの作り方——5ステップ

調査結果と現場の経験を踏まえると、社内ルールづくりは次の5ステップで進めるのが定石です。拠り所になるのは、総務省・経済産業省「AI事業者ガイドライン（第1.2版・2026年3月31日公表、初版は2024年4月）」と、個人情報保護委員会の注意喚起（2023年6月2日）です。

費用面では、無料版は入力が学習に使われる場合がある一方、法人プラン・学習オプトアウト設定を選べば、月額数千円程度から情報の扱いをコントロールできるサービスもあります（例えば、という前提での一般論です。実際の費用はサービスとプランごとに異なるため、契約前に必ず個別に確認してください）。金額を断定せず、まず「学習に使われない設定があるか」を確認する姿勢が重要です。

よくある失敗・NGパターン

社内ルールを作る過程で、実際によく見かける失敗パターンを4つ挙げます。

• ①一律禁止で「隠れAI利用」が増える。会社が使用を許可しないと決めても、便利さを知った社員は個人アカウントで使い続けます。商工中金の調査で64.9%を占める「会社導入なし・個人任せ」の中には、こうした禁止の反動としてのシャドーAIも含まれていると考えられます。会社が把握できない場所での利用は、むしろリスクを高めます。
• ②個人アカウント任せで、利用履歴が会社に残らない。誰が・いつ・何を入力したかが記録されず、問題が起きても後から検証できません。法人アカウントへの一本化は、管理コストだけでなく事後検証の観点でも重要です。
• ③「全部OK」にして、機密・個人情報まで入力してしまう。ルールを作らないまま使用だけ許可すると、顧客情報や契約内容を無自覚に入力してしまうケースが起きます。個人情報保護委員会の注意喚起が示す通り、入力前に目的の範囲内か・学習に使われないかを確認する習慣が抜け落ちます。
• ④ツールを導入して満足し、ルールも研修も整備しない。法人プランを契約しただけで対策完了とみなし、社内ルールの文書化や研修を後回しにするケースです。総務省の調査で企業の方針表明が49.7%まで進んでいるにもかかわらず、現場のルール整備が追いついていない背景には、この「導入=対策完了」という誤解があります。

社内ルール整備の相談は無料相談から承っています。

よくある質問

まとめ——次の行動

生成AIを業務で使う企業は増え、方針を示す企業は2024年度で49.7%に達しました（総務省）。一方で中小企業の64.9%は会社としての導入がなく、個人の判断に使用を任せています（商工中金）。この「使う人は増えたのに、ルールが追いつかない」ギャップこそが、IPAの脅威ランキングでAI利用リスクが初めて3位に入った背景です。情報漏洩を防ぐ道は、一律禁止でも放任でもなく、入力してよい範囲を決め、法人プランや学習オプトアウト設定を確認し、ルールを文書化して研修する——という地道な整備にあります。AIに社内ツールを使わせる場面が増えるほど、動くデータの量そのものが増えていきます。AIと社内の道具をつなぐ共通規格「MCP」についての記事もあわせてお読みください。なお、社内ルール整備や情報管理の見直しは、デジタル化・AI導入補助金の伴走支援の対象になり得る場合もあります。