生成AIに個人情報を入力してしまったときの対応方法｜まず行う3ステップ

生成AIに個人情報や機密情報を誤って入力してしまったことに気づくと、誰でも動揺します。しかし、慌てて操作を重ねるより、決まった順序で対応するほうが、被害を広げずに済みます。

この記事は、入力する前の判断基準ではなく、すでに入力してしまった後に何をすべきかに絞って解説します。まず落ち着いて行う3つの初動対応、生成AIサービス側でできる削除・設定変更、個人情報保護委員会への報告が必要になるケース、社内・取引先への伝え方を紹介します。

なお、個別の事案が法的な報告義務に該当するかどうかは、本記事では判断しません。判断に迷う場合は、弁護士や個人情報保護の専門家に相談してください。

まず落ち着いて行う3つの初動対応

気づいた直後は、次の3つの順番で対応してください。

1. 事実を記録する
2. サービス側で削除・設定変更をする
3. 報告が必要かどうかを判断する

1. 事実を記録する

いつ、どのサービスで、どのような情報を、どの範囲まで入力したかを、わかる範囲でメモに残してください。同じ会話にさらに情報を書き足したり、削除を焦って別の操作を重ねたりする前に、まず事実を確定させることが重要です。

2. サービス側で削除・設定変更をする

利用したサービスに削除機能がある場合は、対象の会話やファイルを削除してください。共有リンクを作成していた場合は、無効化も忘れずに行ってください。具体的な操作方法は次の見出しで解説します。

3. 報告が必要かどうかを判断する

自分や自社だけで抱え込まず、社内の報告窓口や、必要であれば専門家に相談し、個人情報保護委員会への報告が必要なケースに該当するかを確認してください。該当条件は本記事の後半で紹介します。

生成AIサービス側でできる削除・設定変更

ChatGPTを例にすると、次の操作ができます。

• 該当のチャットにカーソルを合わせ、メニューから「チャットを削除」を選ぶと、その会話を削除できます。削除したチャットは画面からすぐに消え、例外を除いて30日以内にシステムから永久削除される予定と案内されています。ChatGPTでチャットを削除・アーカイブする方法｜OpenAI Help Center
• 設定画面の「データコントロール」から、入力内容をモデルの学習に使わせない設定（オプトアウト）に変更できます。

ここで重要な注意点があります。ChatGPTでは、削除したチャットは画面からすぐに消え、匿名化済みの場合やセキュリティ・法的義務による保持が必要な場合などを除き、30日以内にシステムから完全に削除される予定と案内されています。設定変更が過去のデータへどう適用されるかは、サービスごとの規約や保持方針も確認してください。「削除すればその場ですべて消える」とは考えず、削除後も報告要否の確認を続けます。

利用しているサービスがChatGPT以外の場合、チャット削除や学習利用設定の有無、削除までの期間はサービスごとに異なります。利用中のサービスのヘルプページや管理画面で確認してください。

個人情報保護委員会への報告が必要なケース

個人情報を生成AIへ誤入力したことが、直ちに個人情報保護委員会への報告対象になるとは限りません。入力した情報が事業者の扱う「個人データ」に当たるか、利用サービスとの契約やデータの取扱いがどうなっているか、外部から閲覧できる状態だったかなどを確認する必要があります。

個人情報保護委員会は、個人データの漏えい等が発生し、個人の権利利益を害するおそれがあるときは、同委員会への報告と本人への通知が必要になる場合があるとしています。漏えい等報告・本人への通知の義務化について｜個人情報保護委員会

報告の対象になりうる主な条件は次のとおりです。

条件	内容
要配慮個人情報を含む場合	病歴、犯罪歴など特に配慮が必要な情報が含まれる場合。1人分の漏えいでも対象になりうる
財産的被害のおそれがある場合	クレジットカード情報など、不正利用により金銭的被害が生じうる場合
不正の目的によるおそれがある場合	不正アクセスなど、悪意ある行為によって生じた場合
1,000人を超える場合	対象人数が1,000人を超える漏えい等、またはそのおそれがある場合

報告には期限があり、発覚後おおむね3〜5日以内の速報、30日以内（不正目的による場合は60日以内）の確報が必要とされています。これらの基準に、企業規模による特例は設けられていません。

上記はあくまで一般的な基準であり、個別の事案がどの条件に該当するかは、状況によって判断が分かれます。判断に迷う場合は、自己判断で終わらせず、専門家へ相談してください。生成AIサービスの利用に関する注意喚起も、あわせて確認しておくと参考になります。生成AIサービスの利用に関する注意喚起等について｜個人情報保護委員会

社内・取引先への報告と再発防止

一人で判断を抱え込まず、社内で決まっている報告窓口（上司、情報システム担当、個人情報保護の担当者など）へ、事実確認として報告してください。責めるための報告ではなく、被害を最小限にするための報告だと、あらかじめ社内で共有しておくことも重要です。

再発を防ぐには、今回の誤入力がなぜ起きたかを振り返り、入力してよい情報の範囲や、確認する体制を、社内ルールとして明文化してください。まだルールがない場合は、この機会に最低限の項目だけでも決めることをおすすめします。

生成AIへの誤入力に関するよくある質問

自分自身の個人情報を入力してしまった場合も、同じ対応でよいですか？

チャットの削除や設定確認など、サービス側でできる対応は共通します。ただし、個人情報保護委員会への報告義務は、個人情報取扱事業者が扱う個人データと事案の状況をもとに判断されます。「自分自身の情報だから対象外」とだけで決めず、事業として扱っていた情報かどうかも含めて確認してください。

チャットを削除すれば、情報は完全に消えますか？

ChatGPTでは、削除した会話は画面からすぐに消え、例外を除いて30日以内にシステムから完全に削除される予定と案内されています。他のサービスでは保持期間や例外が異なるため、利用したサービスの最新方針を確認してください。

上司や顧客には、すぐに伝えるべきですか？

事実確認ができ次第、早めに社内の報告窓口へ伝えることをおすすめします。顧客への連絡が必要かどうかは、報告義務の該当性や被害の内容によって変わるため、社内で判断したうえで対応してください。

繰り返さないために、何をすればよいですか？

今回どのような情報を、なぜ入力してしまったのかを振り返り、入力してよい情報の範囲を具体的に決めてください。社内で使うルールとして共有しておくと、同じ誤りを防ぎやすくなります。

まとめ｜まず事実を書き出し、落ち着いて順番に対応する

生成AIに個人情報を入力してしまったときは、事実の記録、サービス側での削除・設定変更、報告要否の判断という3つのステップで、落ち着いて対応してください。個人情報保護委員会への報告が必要かどうかは、本記事の基準を参考にしつつ、判断に迷う場合は専門家へ相談してください。

まずは、誤入力の事実（日時・サービス・内容・範囲）を、すぐにメモへ書き出すことから始めてください。