なぜAIの「セキュリティ」を重要視するのか
近年、ChatGPTやGeminiなどのAIが事務作業の効率を劇的に向上させています。メール作成、議事録の要約、Excel関数の生成など、その恩恵は計り知れません。
AI利用への抵抗感が生じる理由の一つが、情報セキュリティへの懸念です。
大学では、学生の個人情報（氏名、学籍番号、成績）、教職員の機密情報、研究に関する知的財産など、機密性の高い情報を扱います。
もし、これらの機密情報を外部のAIに入力し、情報漏洩が発生すれば、大学の信頼は失墜し、重大な危機に直面します。この問題をクリアしなければ、AIによる業務効率化は実現できません。
本記事では、文系・非エンジニアの大学職員が、情報漏洩のリスクを最小限に抑え、実務レベルでAIを安全に活用するための具体的なチェックリストと手順を解説します。
当ブログは現役大学職員の私が、AIツール（Gemini, ChatGPTなど）を活用し、事務業務改善をするためのAI活用ブログです。私自身、文系大学卒の非エンジニアの事務職員なので、専門用語は避けて読者の皆さんが分かりやすく、すぐ使える情報をお届けできるよう心がけています。
プロフィールの詳細は、以下をご覧ください。
AIサービス利用前の必須設定と機能チェック（実務レベル）
AIを業務で使うとき、最初に確認したいのは所属先の利用ルールです。個人アカウントの設定変更だけで安全になるわけではありません。所属先が認めたサービスを使い、入力してよい情報の範囲を守ることを最優先にしてください。
「データ学習」と「履歴保存」は分けて確認する
生成AIでは、入力内容をモデル改善に使うかどうかと、チャット履歴をアカウントに保存するかどうかは別の項目です。学習利用をオフにしても、サービス提供、安全対策、法令対応などのために一定期間データが保持される場合があります。
そのため、「学習をオフにしたから機密情報を入力してよい」とは考えず、利用規約・保存期間・削除方法まで確認しましょう。
ChatGPTの確認方法
- プロフィールメニューから「設定」を開く
- 「データコントロール」を開く
- 個人向けアカウントでは「すべての人のためにモデルを改善する」の状態を確認する
この項目をオフにすることはモデル改善への利用を止める設定であり、通常のチャット履歴を自動的にすべて消す設定ではありません。組織でChatGPT Business・Enterprise・Eduを利用している場合、業務データはデフォルトではモデル学習に使われませんが、保持期間や監査できる範囲はプランと管理者設定によって異なります。詳しくはOpenAIの公式情報を確認してください。
Geminiの確認方法
- Geminiのメニューから「設定とヘルプ」を開く
- 「アクティビティ」を開く
- 「Keep Activity（アクティビティの保存）」の状態を確認する
Googleの案内では、Keep Activityをオフにしても、サービス提供やフィードバック処理のため会話が最大72時間保存される場合があります。また、設定をオフにするだけでは過去のアクティビティは削除されないため、必要に応じて別途削除します。詳しくはGoogleの公式ヘルプを確認してください。
個人向けと組織向けではデータの扱いが異なる
| 利用環境 | 確認したいポイント |
|---|---|
| 個人向けChatGPT・Gemini | 学習利用、履歴保存、削除方法、接続アプリ、フィードバック送信時の扱いを自分で確認する |
| ChatGPT Business・Enterprise・Edu | 業務データはデフォルトではモデル学習に使われない。保持期間や監査機能は契約・設定を確認する |
| Google Workspace for Education | 対象環境では、許可なく組織外のモデル学習に使われず、人による確認も行われない。管理者設定と利用対象サービスを確認する |
| Microsoft Copilot | プロンプト、回答、Microsoft Graph経由のデータは基盤モデルの学習に使われない。履歴・監査・権限設定は組織側で確認する |
組織向けサービスでも、入力できる情報が無制限になるわけではありません。共有権限の設定ミス、接続アプリ、外部検索、保存期間なども含め、情報システム部門が認めた利用方法に従いましょう。Google WorkspaceはGoogle Workspace公式情報、Microsoft CopilotはMicrosoft公式情報で最新条件を確認できます。
ログ・保存期間・削除方法を確認する
組織向けサービス：利用履歴や監査情報を管理者が確認できる場合があります。ただし、確認できる内容は製品、契約、ライセンス、管理者設定によって異なります。「誰がいつ何を入力したかを必ず確認できる」とは限らないため、導入前に監査範囲を確認してください。
個人向けサービス：履歴削除は補助的な対策です。削除後も一定期間保持される場合があるため、最初から個人情報や機密情報を入力しないことを基本にします。
入力前に情報をマスキングする
最も安全な対策は、個人情報や機密情報をAIに入力しないことです。所属先のルールで認められた範囲に限り、氏名・学籍番号・組織名・正確な金額などを、作業に不要な情報として置き換えます。
| 目的 | NGな入力例 | マスキング例 |
|---|---|---|
| 個人情報を含む文書の要約 | 「学生の山田太郎（学籍番号: 20XX-999）からの休学願を要約して。」 | 「学生【A】から提出された【書類種別】を要約して。」 |
| 内部文書の校正 | 「次期中期計画策定委員会の議事録を校正して。」 | 「【会議A】の議事録を校正して。」 |
| 予算文書の作成 | 「総額3,500万円の予算案について文章を整えて。」 | 「【金額A】の予算案について文章を整えて。」 |
【実践のポイント】
氏名を記号に変えただけでは、所属、役職、日付、珍しい事例などの組み合わせから本人を推測できる場合があります。置き換え後の文章を読み直し、不要な間接識別情報も削除してください。
マスキングは、所属先の許可やサービスの安全性確認に代わるものではありません。元のファイルをそのままアップロードせず、必要最小限の抜粋で試しましょう。
誤って機密情報を入力したときの対応
- 所属先の情報セキュリティ担当部署へ速やかに報告する
- サービス上の会話・アップロードファイル・共有リンクを確認し、ルールに従って削除または無効化する
- 入力した情報の種類、対象者、入力日時、利用サービスを記録し、担当部署の指示に従う
自分だけで「履歴を削除したので問題ない」と判断せず、学内のインシデント対応手順を優先してください。
情報漏洩を防ぐ！セキュリティ・チェックリスト10項目
個人の設定だけでなく、組織全体としてAI利用を安全にするために、以下の10項目をチェックし、ガイドラインに組み込みましょう。これは、AIの導入を止めるためではなく、安全な利用を促進するためのチェック項目です。
- [ ] 1. 利用ツールの承認プロセス
利用を許可するAIツールを限定し、承認を学内規定に明記しているか - [ ] 2. 入力データ限定ポリシー
機密レベルに応じたAI入力の可否を定めているか
（例：公開情報のみ可、個人情報含む文書は不可） - [ ] 3. 部署ごとの利用責任者
部署ごとにAI利用の責任者を設置しているか - [ ] 4. 利用ログの定期監査
製品・契約で確認できる監査情報の範囲を把握し、学内ルールに沿って定期確認する体制があるか - [ ] 5. AI利用のための専用環境
組織契約のAI、適切に構成したクラウド環境、オンプレミス環境などを用途とリスクに応じて検討しているか - [ ] 6. 生成された情報のファクトチェック
AIが生成した情報を必ず人間が確認するルールが徹底されているか - [ ] 7. 職員への定期研修
AIセキュリティに関する全職員向け義務研修を実施しているか - [ ] 8. 不正アクセス対策
組織の認証方針に従い、多要素認証、SSO、条件付きアクセスなど必要な対策を設定しているか - [ ] 9. ベンダーの契約内容確認
利用するAIベンダーのデータ利用目的・保管場所・セキュリティ認証を確認したか - [ ] 10. 緊急時対応計画
誤入力時の報告先、履歴・ファイル・共有リンクの確認、影響調査の手順を明確に定めているか
さらに安全に使いたい場合は
組織全体でAIを導入する場合は、情報システム部門に相談し、大学のルールに合ったサービスを選びましょう。法人向けのAIサービスでも、データの保存方法や安全対策はサービスによって異なります。導入前に、入力した情報がどのように扱われるのかを確認することが大切です。
まとめ：安全に使えてこそ、AIは本当の武器になる
AIは私たちの仕事を奪うものではなく、面倒な事務作業から解放してくれる強力なツールです。しかし、その利便性と引き換えにセキュリティを疎かにしてはいけません。本記事でご紹介した対策を振り返ると、やるべきことは非常にシンプルです。
今日からすぐできること
- 所属先が認めたAIサービスを使い、学習利用・履歴保存・削除方法をそれぞれ確認する
- 個人情報・機密情報はAIに入力しない
- 所属先の許可がある場合でも、氏名などを置き換え、間接的に本人を特定できる情報が残っていないか確認する
組織として整えること
- 利用できるAIツールと入力してよい情報の範囲を明確にする
- チェックリスト10項目をガイドラインに組み込む
- 職員への周知・研修を定期的に実施する
「AIを使っていいのかわからない」という状態が続くほど、業務効率化の機会は失われていきます。セキュリティの基本を押さえた上で、まず小さな一歩を踏み出しましょう。
最初の一歩としておすすめなのは、職場のGoogle WorkspaceやMicrosoft 365など、所属先が認めている環境でAIを使うことです。
職場で提供されるAI機能は、個人アカウントよりも業務利用に配慮された設定になっている場合があります。ただし、入力内容の扱いは契約内容や管理者設定によって異なるため、必ず所属先のルールを確認しましょう。
安全な使い方を知った上でAIを活用することが、事務職としての業務効率化への確実な第一歩です。
👉 次に読むなら
