演習で自社の実データを使わせてよいか

研修会社が決まった直後に、必ずと言っていいほど出てくる相談があります。「サンプルの題材だと、うちの仕事に置き換わらない。実際の資料で演習してもらえないか」。言い出すのはたいてい現場に近い方で、その感覚は正しい。汎用の題材でうまくいっても、月曜に自席へ戻った瞬間に手が止まる、という現象は実在します。

ところが、この相談を人事や情シスに持っていくと止まります。「外部の講師に、うちの資料をどこまで見せていいのか分からない」からです。止まる理由は、判断が難しいからではありません。渡すものを一括りにしているからです。

先に、当社にとって都合の悪いことから書きます。実データを使わないと効果が出ない、というのは嘘です。当社が実施している研修でも、実データを一切使わずに終える回はあります。実務に寄せる方法は他にもあり、そちらで足りる場面のほうがむしろ多い。ですから、この記事の最初の問いは「どう渡すか」ではなく「そもそも渡す必要があるか」です。研修会社の選び方そのものは法人向けAI研修の選び方｜「使えるようになる」研修を見抜く5基準に書きました。本記事は、選び終えたあとの話に限定します。

1｜「実データでないと届かない」のは、どの層か

まず判定です。受講者を3つに分けると、実データの要否がはっきりします。

全社員に一律で受けさせる研修であれば、多くの受講者が1段目にいます。この場合、実データを持ち出す必要はありません。逆に、選抜した数名を対象に業務へ組み込むための研修であれば、2段目・3段目に集中するので、実データに近い題材が要ります。全員か選抜かで設計が変わる話は生成AI研修は全員に受けさせるか、選抜にするか｜広げると薄まり、絞ると戻ってこないにまとめました。

判定を1問にするなら、こう聞いてください。「この研修が終わった翌週、受講者は何のファイルを開きますか」。答えが出てくる会社は、その資料の形に演習を寄せる価値があります。答えが出てこない会社は、まだ題材の問題ではありません。

2｜渡すものは3種類ある。法的な扱いが違う

ここからが本題です。「自社データ」と一言でまとめている中身は、実際には3つに割れます。この3つは、決めるべきことも、根拠となる法令も、決める人も違います。

止まっている会社の多くは、(3)を(1)や(2)と同じ重さで扱っています。逆に危ないのは、(1)を(3)のつもりで軽く出してしまうことです。最初にやるべきは、演習で使いたい資料が3つのどれなのかを1枚に書き出すことです。これだけで、話が前に進みます。

(1) 個人データ：委託か、第三者提供か

個人情報保護法は、個人データを本人の同意なく第三者に提供することを原則として制限しています（第27条第1項）。ただし同条第5項第1号は、利用目的の達成に必要な範囲内で個人データの取扱いを委託することに伴う提供は、第三者提供に当たらないと定めています。ここが実務の分岐点です。

ただし、委託であれば自由に渡せるという意味ではありません。委託した側には、第23条の安全管理措置に加えて、第25条の委託先の監督が残ります。個人情報保護委員会のガイドライン（通則編）は、この監督の中身として、適切な委託先の選定、委託契約の締結、委託先における取扱状況の把握を挙げています。つまり「渡してよいか」の答えは、渡す相手を選び、契約で縛り、状況を把握できているかどうかで決まります。

そして、ここで実務的にもう一段の論点があります。研修の演習は、そもそも「個人データの取扱いの委託」に当たるのか、という点です。委託と評価できる場面もあれば、そう整理しにくい場面もあり得ます。当社の理解では、この当てはめは資料の使い方と契約の書き方によって変わるため、一般論として断定できるものではありません。ですから当社は、個人データを演習に使いたいというご相談には、まず後述する「匿名化して渡す」方向をご提案し、それでも実データが必要な場合は、御社の法務または個人情報保護委員会の公表資料での確認をお願いしています。

(2) 営業秘密：外に出した瞬間に、守られなくなることがある

見落とされやすいのがこちらです。不正競争防止法第2条第6項は、営業秘密を「秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの」と定義しています。3つの要件——秘密管理性、有用性、非公知性——のすべてを満たす必要があります。

問題は1つ目です。秘密として管理されている状態を崩すと、その情報は営業秘密として保護されなくなり得ます。外部の講師に、秘密である旨の表示も、秘密保持の取り決めもないまま渡し、演習後に回収もしない。この扱いを続けた情報について、後から「これは営業秘密だった」と主張することは難しくなります。経済産業省が公表している「営業秘密管理指針」は、秘密管理性について、情報にアクセスする者が秘密として管理されていると認識できる措置が必要である旨を示しています。

したがって、営業秘密に当たる資料を演習で使うなら、秘密保持契約（NDA）と、資料への秘密表示と、演習後の回収・削除を、必ず3点セットで決めます。どれか1つでも欠けると、社内の管理体制のほうに穴が空きます。

(3) 社外に出したくないだけの資料：ここは社内の合意で決めてよい

3つ目は、法令の話ではありません。ですから、所管部署が納得すれば渡せます。にもかかわらず、ここでいちばん時間が溶けます。理由は決裁の経路が決まっていないからで、「情報漏えいのリスクが」という言い方で止まりますが、中身は「自分が決めてよいのか分からない」であることが多い。

当社がお勧めしているのは、演習で使う資料を1枚のリストにして、所管部署の担当者に○×を付けてもらう形です。全体方針を議論すると決まりませんが、ファイル単位なら決まります。

3｜契約書に書かせるのは、この3つ

研修会社を比べる実務の軸として、料金や講師の経歴と並べて、この3項目を必ず聞いてください。この3つに即答できない研修会社は、外部データを扱う運用ができていない可能性が高いと当社は考えています。

これに加えて、再委託の可否（講師が個人事業主で、さらに誰かに渡る経路があるか）と、研修中に受講者が入力した内容の扱いの2点も確認してください。後者は次の章で書きますが、見落とされやすい箇所です。教材そのものの権利や、終了後に社内で使い回せるかという論点は、これとは別の交渉項目になります。研修会社に何を数えさせるかという意味では、生成AI研修の相見積が比べられないのは、何を数えているからか｜講師料・教材費・運営費の分け方と同じ構造です。

4｜いちばん出ていくのは、講師の手元ではなく受講者の手元

ここまで「講師に何を渡すか」を書いてきましたが、当社の実務感覚では、実際に情報が外へ出る経路として多いのは、受講者が演習中に自分で貼り付けたものです。

研修の演習では、受講者は「自分の仕事で試したい」と考えます。そこで、手元にある実際のメール文面や見積の数字を、そのまま入力してしまう。これは悪意ではなく、むしろ研修が機能している証拠でもあります。しかし、使っているアカウントが個人の無料アカウントであれば、入力した内容がどう扱われるかは、そのサービスの提供条件に従うことになります。

ですから、実データの持ち込みを許すかどうかの前に、研修で使うアカウントと契約形態を先に決めてください。法人契約の環境で行うのか、個人アカウントで行うのかで、この論点の重さがまったく変わります。ここはChatGPT研修の前に決めるアカウントと契約｜個人アカウントのまま研修をやると何が残らないかに詳しく書きました。研修当日に配る禁止事項も、社内のルールがあればそこから引けます（生成AIの社内ルール(AI利用規程)の作り方｜入れてはいけない情報とひな形の考え方）。ルールが無い状態で研修を先にやると、受講者は「業務で使ってよい」というメッセージだけを受け取ります。

演習の素材を「これは入力してよい」と決めて事前に配っておくことは、当日の手の止まりを防ぐ準備の1つでもあります。端末・回線とあわせて前の週までに確かめる項目は生成AI研修の当日に手が止まる会社は、どこで詰まっているか｜端末・回線・社内の制限を、前の週までに確かめるに書きました。

5｜実データを出さずに、実務へ寄せる4つの方法

ここが本題の裏返しです。当社が実際に使っている順に並べます。上ほど手間が少なく、下ほど効果が高い。

1. 置き換える。社名・人名・金額・日付を差し替えます。文書の構造と長さは保つ。生成AIの演習で効くのは文書の形であって、固有名詞ではないことがほとんどです。4つのうち、これで足りる場面が最も多い。
2. 過去のもので、公開済みのものを使う。すでに社外に出したプレスリリース、提案書の公開版、採用サイトの文章。実際に自社が書いた文章なので、文体と語彙が自社のものになります。
3. 受講者が当日、自分の手元で開く。資料を事前に講師へ渡さず、受講者が自分の端末で開いて演習します。講師は画面を見ずに手順だけを指導する。この形なら、社外への提供そのものが発生しません。ただし進行が遅くなるので、少人数向けです。
4. NDAを結んで、範囲を絞って渡す。ここまで来て初めて実データです。渡すのは1〜2種類の書式に限定し、件数も絞ります。「全部見せたほうが早い」と考えたくなりますが、量を増やしても演習の質は上がりません。

ほとんどの案件は1と2で足ります。3と4が要るのは、業種特有の書式が業務の中心にある場合——たとえば建設の施工計画、医療の記録、金融の審査資料のように、書式そのものが仕事の骨格になっている場合です。

6｜決める順番

最後に、実務の順番でまとめます。この順で進めると、たいてい2週間以内に決着します。

1. 受講者がどの層かを決める。1段目中心なら、以下は不要です。汎用題材で組んでください。
2. 演習で使いたい資料を、ファイル単位でリストにする。方針の議論をしない。ファイルの名前を並べる。
3. 1件ずつ、(1)個人データ・(2)営業秘密・(3)それ以外に振り分ける。迷ったものは上に寄せる。
4. (3)は所管部署の○×で決める。ここは即日で終わります。
5. (1)(2)が残ったら、まず「置き換え」で足りないかを検討する。足りるなら、契約の交渉は不要になります。
6. それでも実データが要るなら、NDA・秘密表示・回収削除の3点セットと、持ち帰り／保存期間／再利用の3項目を契約に落とす。
7. アカウントと契約形態を確定してから、当日を迎える。受講者の手元の入力は、ここでしか止められません。

ノセカエの場合と、正直に申し上げること

• 当社は、実データを前提とした演習をご提案の初期段階では行いません。まず置き換えで組み、それで届かない部分が特定できてから、範囲を絞って実データをお預かりする形にしています。最初から全部お預かりするほうが講師は楽ですが、御社の決裁が重くなります。
• お預かりした資料は、研修終了後に削除します。他社向けの教材や事例には使いません。使用したい場合は、匿名化の方法をお示ししたうえで、事前に承諾をいただく形にしています。
• 個人データを含む資料は、原則としてお預かりしません。置き換えたうえでお渡しいただくか、受講者の手元で開いていただく形をご提案しています。当社が個人データの取扱いを受託する形にすると、御社の監督義務が発生し、確認いただく項目が増えるためです。
• 「実データを使ったほうが効果が高い」とは申し上げません。高くなるのは、上の判定で2段目・3段目にいる受講者に限られます。1段目が中心の研修で実データを使うと、内容の議論が始まって手が止まるのを何度も見ています。

まとめ

演習で自社の実データを使わせてよいか。この問いは、そのままでは答えが出ません。2段階に分けてください。

1段目は、そもそも要るのか。受講者が未経験中心なら要りません。業務で使えていない層、精度で困っている層が中心なら要ります。

2段目は、渡すものを3つに割ること。個人データは個人情報保護法の話で、委託に伴う提供は第三者提供に当たらない一方（第27条第5項第1号）、委託した側の監督責任は残ります（第25条）。営業秘密は不正競争防止法の話で、秘密管理性を崩すと保護されなくなり得るため、NDA・秘密表示・回収削除を3点セットで決めます（第2条第6項）。それ以外は法令ではなく社内の合意なので、ファイル単位の○×で決まります。

そして、研修会社に確認するのは3つです。持ち帰りの可否、保存期間、再利用の可否。ここに再委託の可否と、受講者が入力した内容の扱いを足せば足ります。

実務に近づけるほど、先に決めておくことが増える。ですが、増える項目は数えられます。数えられるものは、2週間で決まります。

※本記事は、記載時点で公表されている法令および公的機関の公表資料に基づく一般的な整理であり、個別の事案における取扱いや適否を判定するものではありません。参照した資料は、個人情報の保護に関する法律第23条・第25条・第27条（e-Gov法令検索）、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、不正競争防止法第2条第6項（e-Gov法令検索）、経済産業省「営業秘密管理指針」です。制度は改正されることがあるため、細目は各資料の最新版をご確認ください。研修の演習における資料の提供が個人データの取扱いの委託に当たるかどうかは、資料の使い方と契約内容によって評価が変わり得るため、本記事では一般論としての断定を避けています。個別の当てはめについては、御社の法務部門または弁護士にご確認ください。生成AIツールの提供条件・プラン・入力内容の取扱いは提供事業者により随時変更されるため、各提供事業者の最新の公表内容をご確認ください。助成金の対象・要件・金額は制度改正により変更され、コースによっても異なります。個別の申請について支給や採択の結果を保証するものではなく、具体的な可否は管轄の労働局または社会保険労務士にご確認ください。労働社会保険諸法令に基づく申請書等の作成・提出代行は社会保険労務士の業務であり、当社では行いません。