研修の演習で、自社の実データを使わせてよいか

執筆：浅香 祐輔（Never Red株式会社）公開日：2026年9月8日　｜　最終更新日：2026年10月13日

生成AI研修の演習で、自社の実データを使ってよいか。これを判断する人事・情シス・研修担当の方に向けて、判断の順番と、研修会社との契約で決めておく項目をまとめました。

研修会社が決まった直後によく出るのが、「サンプルの題材だと、うちの仕事に置き換わらない。実際の資料で演習してもらえないか」という相談です。現場に近い方から出ることが多く、その感覚には理由があります。汎用の題材ではうまくできても、自席に戻ると手が止まる、ということは実際に起きます。

ところが、この相談を人事や情シスに持っていくと、「外部の講師に、うちの資料をどこまで見せていいのか分からない」で止まりがちです。止まる理由は、判断が難しいからというより、渡すものを一括りにしているからです。

最初にお伝えしておくと、実データを使わなければ効果が出ない、というわけではありません。実データを使わずに終える組み方もあります。実務に寄せる方法は他にもあり、そちらで足りる場面も多くあります。ですから最初の問いは「どう渡すか」ではなく、「そもそも渡す必要があるか」です。研修会社の選び方そのものは法人向けAI研修の選び方にまとめています。本記事は、選び終えたあとの話に限定します。

1｜実データが必要になるのは、どの受講者か

受講者を3つに分けると、実データの要否がはっきりします。

全社員に一律で受けさせる研修であれば、多くの受講者が1段目にいるはずです。この場合、実データを持ち出す必要はありません。逆に、選抜した数名を対象に業務へ組み込むための研修であれば、2段目・3段目の受講者が中心になるので、実データに近い題材が要ります。全員か選抜かで設計が変わる話は生成AI研修は全員に受けさせるか、選抜にするかにまとめました。

判定を1問にするなら、こう聞いてください。「この研修が終わった翌週、受講者は何のファイルを開きますか」。答えが出てくる会社は、その資料の形に演習を寄せる価値があります。答えが出てこない会社は、まだ題材を選ぶ段階ではありません。

2｜渡すものは3種類ある。法的な扱いが違う

「自社データ」と一言でまとめている中身は、3つに分かれます。この3つは、決めるべきことも、関係する法令も、決める人も違います。

止まっている会社では、(3)を(1)や(2)と同じ重さで扱っていることがあります。逆に危ないのは、(1)を(3)のつもりで軽く出してしまうことです。最初にやることは、演習で使いたい資料が3つのどれにあたるかを1枚に書き出すことです。これだけで話が前に進みます。

(1) 個人データ：委託か、第三者提供か

個人情報保護法は、個人データを本人の同意なく第三者に提供することを原則として制限しています（第27条第1項）。一方で同条第5項第1号は、利用目的の達成に必要な範囲内で個人データの取扱いを委託することに伴う提供は、第三者提供にあたらないと定めています。ここが実務の分かれ目です。

ただし、委託であれば自由に渡せるという意味ではありません。委託した側には、第23条の安全管理措置に加えて、第25条の委託先の監督の義務が残ります。個人情報保護委員会のガイドライン（通則編）は、この監督の中身として、適切な委託先の選定、委託契約の締結、委託先における取扱状況の把握を挙げています。「渡してよいか」は、渡す相手を選び、契約で取り決め、状況を把握できるかどうかで決まるということです。

もう一段の論点として、研修の演習が「個人データの取扱いの委託」にあたるのかという問題があります。委託と評価できる場面もあれば、そう整理しにくい場面もあり得ます。当社の理解では、この当てはめは資料の使い方と契約の書き方によって変わるため、一般論として断定できるものではありません。ですから、個人データを演習に使いたい場合は、まず後述する「置き換えて渡す」方向をおすすめします。それでも実データが必要な場合は、貴社の法務部門や個人情報保護委員会の公表資料で確かめてください。

(2) 営業秘密：外に出すと、守られなくなることがある

見落とされやすいのがこちらです。不正競争防止法第2条第6項は、営業秘密を「秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの」と定義しています。秘密管理性・有用性・非公知性の3つの要件をすべて満たす必要があります。

問題は1つ目です。秘密として管理されている状態を崩すと、その情報は営業秘密として保護されなくなる可能性があります。外部の講師に、秘密である旨の表示も秘密保持の取り決めもないまま渡し、演習後に回収もしない。こうした扱いを続けた情報について、後から「営業秘密だった」と主張するのは難しくなります。経済産業省の「営業秘密管理指針」は、秘密管理性について、会社の秘密管理の意思が管理措置によって従業員等に明確に示され、その認識可能性が確保される必要がある旨を示しています。

営業秘密にあたる資料を演習で使うなら、秘密保持契約（NDA）、資料への秘密表示、演習後の回収・削除の3点をそろえて決めます。どれか1つでも欠けると、社内の管理体制に穴が空きます。

(3) 社外に出したくないだけの資料：社内の合意で決めてよい

3つ目は法令の話ではないので、所管部署が納得すれば渡せます。それでも、ここで時間がかかることがよくあります。決裁の経路が決まっていないためで、「情報漏洩のリスクが」という言い方で止まっていても、中身は「自分が決めてよいのか分からない」である場合があります。

当社がおすすめしているのは、演習で使う資料を1枚のリストにして、所管部署の担当者に○×を付けてもらう形です。全体の方針を議論すると決まりにくくても、ファイル単位なら決まります。

3｜研修会社との契約に入れる3つの項目

研修会社を比べるときは、料金や講師の経歴と並べて、次の3項目を確認してください。明確な答えが返ってこない場合は、外部のデータを扱う運用が整っていない可能性があります。

これに加えて、再委託の可否（講師が個人事業主で、さらに誰かに渡る経路がないか）と、研修中に受講者が入力した内容の扱いも確認してください。後者は次の章で扱います。教材そのものを研修後に社内で使い回せるかは別の交渉項目で、研修の教材は、終わったあと社内で使い回せるかで整理しています。

4｜情報が出ていく経路は、講師より受講者の手元にある

ここまで「講師に何を渡すか」を書いてきましたが、情報が外へ出る経路として注意が要るのは、受講者が演習中に自分で貼り付けるものだと当社は考えています。

受講者は「自分の仕事で試したい」と考え、手元にある実際のメール文面や見積の数字をそのまま入力することがあります。悪意ではなく、研修が機能している証拠でもあります。しかし、使っているのが個人の無料アカウントであれば、入力した内容の扱いはそのサービスの提供条件に従います。個人情報保護委員会は2023年6月の注意喚起で、個人データを含むプロンプトを入力し、応答の出力以外の目的で取り扱われる場合には法令違反となる可能性があるとして、提供事業者が機械学習に利用しないこと等を十分に確認するよう求めています。

ですから、実データの持ち込みを許すかどうかの前に、研修で使うアカウントと契約の形を先に決めてください。法人契約の環境で行うのか、個人アカウントで行うのかで、この論点の重さが大きく変わります。決め方はChatGPT研修の前に決めるアカウントと契約に、入力のリスク全般は生成AIのセキュリティリスクと対策にまとめています。社内ルールがない状態で研修を先に行うと、受講者は「業務で使ってよい」というメッセージだけを受け取るおそれがあります。

演習の素材を「これは入力してよい」と決めて事前に配っておくことは、当日に手が止まるのを防ぐ準備にもなります。端末・回線とあわせて前の週までに確かめる項目は生成AI研修の当日に手が止まる会社は、どこで詰まっているかに書きました。

5｜実データを出さずに、実務へ寄せる4つの方法

当社がおすすめする順に並べます。上ほど手間が少なく、下ほど実務に近づきます。

1. 置き換える。社名・人名・金額・日付を差し替え、文書の構造と長さは保ちます。生成AIの演習で効いてくるのは文書の形で、固有名詞ではないことが多いためです。これで足りる場面もあります。
2. 公開済みの過去の文書を使う。すでに社外に出したプレスリリース、提案書の公開版、採用サイトの文章。自社が書いた文章なので、文体と語彙が自社のものになります。
3. 受講者が当日、自分の手元で開く。資料を事前に講師へ渡さず、受講者が自分の端末で開いて演習します。講師は画面を見ずに手順だけを指導するので、社外への提供そのものが発生しません。ただし進行が遅くなるので、少人数向けです。
4. NDAを結んで、範囲を絞って渡す。ここで初めて実データです。渡すのは1〜2種類の書式に限定し、件数も絞ります。量を増やしても演習の質は上がりにくいものです。

多くの場合は1と2で足ります。3と4が要るのは、建設の施工計画、医療の記録、金融の審査資料のように、書式そのものが仕事の骨格になっている場合です。

6｜決める順番

実務の順番でまとめます。方針の議論から始めず、この順で進めると決まりやすくなります。

1. 受講者がどの段階にいるかを決める。1段目中心なら、以下は不要です。汎用の題材で組んでください。
2. 演習で使いたい資料を、ファイル単位でリストにする。
3. 1件ずつ、(1)個人データ・(2)営業秘密・(3)それ以外に振り分ける。迷ったものは重い側に寄せます。
4. (3)は所管部署の○×で決める。
5. (1)(2)が残ったら、まず「置き換え」で足りないかを検討する。足りるなら、契約の交渉は不要になります。
6. それでも実データが要るなら、NDA・秘密表示・回収削除の3点と、持ち帰り・保存期間・再利用の3項目を契約に入れる。
7. アカウントと契約形態を確定してから、当日を迎える。受講者の手元での入力は、ここでしか止められません。

ノセカエでの実データの扱い

• 最初から実データを前提にした演習を組むことは、おすすめしません。まず置き換えで組み、それで届かない部分が特定できてから、範囲を絞って実データをお預かりします。最初から全部お預かりすると、貴社の決裁が重くなるためです。
• お預かりした資料は、研修終了後に削除します。他社向けの教材や事例には使いません。使いたい場合は、匿名化の方法をお示ししたうえで、事前に承諾をいただきます。
• 個人データを含む資料は、原則としてお預かりしません。置き換えたうえでお渡しいただくか、受講者の手元で開いていただく形をご提案しています。当社が個人データの取扱いを受託する形になると、貴社の監督義務が生じ、確認いただく項目が増えるためです。
• 「実データを使ったほうが効果が高い」とは限りません。効果が上がるのは、上の判定で2段目・3段目にいる受講者です。1段目が中心の研修で実データを使うと、内容の議論が始まって手が止まることがあります。

海外拠点の社員が同じ演習を受ける場合は、個人データを国外に移すことへの規制など、国内とは別の確認事項が加わります。拠点ごとの扱いは海外拠点の社員にも、同じ生成AI研修を受けさせるかにまとめています。

まとめ

演習で実データを使ってよいかは、まず「必要か」を受講者の段階で判定し、次に渡すものを個人データ・営業秘密・それ以外の3つに分けて考えます。個人データは委託であっても監督の義務が残り、営業秘密はNDA・秘密表示・回収削除をそろえないと保護を失うおそれがあります。研修会社には、持ち帰りの可否・保存期間・再利用の可否を確認し、受講者が使うアカウントを先に決めておいてください。

この記事を書いた人

浅香 祐輔（Never Red株式会社 代表取締役）

大手コンサルティングファーム（アクセンチュア／アビーム）出身。DX・業務改革・SAP導入が専門で、50名超のチームでPMを担当。法人向け生成AI研修「ノセカエ」の講師を務める。

講師プロフィール　・　運営会社の情報