社員が社外秘を生成AIに入れてしまったあと、研修で何を変えるか｜処分の前に確かめることと、次の研修に足す演習

執筆：浅香 祐輔（Never Red株式会社）公開日：2026年9月24日　｜　最終更新日：2026年9月24日

社員が顧客の情報や社外秘の資料を、生成AIに入力してしまった。そういう事案が社内で起きたあと、情報システム・総務・人事・コンプライアンスの担当者には「研修をもう一度やってほしい」という指示が届くことがあります。当社への相談でも、この形で始まるものが少なくありません。

ただ、前回と同じ研修を全員にもう一度受けさせても、次の事案はあまり減りません。入力した理由が「ルールを知らなかった」のか、「社外秘だと思わなかった」のか、「ほかに使える道具がなかった」のかで、研修で変えるべき中身がまったく違うからです。

以下では、研修をやり直す前に事案から確かめることと、それに合わせて次の研修に足す演習を、研修を発注・設計する担当者の立場で整理します。事故そのものの調査手順や報告書の書き方は扱いません。

1｜研修をやり直す前に、事案から確かめる4つ

研修の中身を決める材料は、事案の中にあります。本人を責める前に、次の4つを確かめてください。聞き取りは処分のためではなく、原因を知るためだと本人に伝えておくと、話が出てきやすくなります。

(1) どのサービスに、どの設定で入力したか

会社が契約している法人向けのサービスか、個人の無料アカウントか。入力した内容がサービス提供者の学習に使われる設定だったか。これは研修の話というより、影響の大きさを判断するための情報です。研修の設計にも効いてきます。個人のアカウントで入力していたなら、原因は研修よりも道具の側にある可能性が高くなります。

(2) 本人はルールを知っていたか

AI利用のルールがあったか、あったとして本人に届いていたか。入社時に一度読ませただけ、社内ポータルに置いてあるだけ、という形だと、知らなかったという答えが返ってくることがあります。

(3) 知っていたなら、なぜ入力したか

急いでいた、同じ作業をほかの方法でやると時間がかかりすぎた、周りも使っていた。ここで出てくる理由が、次の研修で扱う場面そのものになります。

(4) ルールが判断できる書き方だったか

「機密情報を入力しないこと」とだけ書かれていて、何が機密に当たるかの例がないルールは珍しくありません。本人が「これは機密だと思わなかった」と答えたなら、問題は本人の注意力よりも、ルールの書き方にあります。

2｜事案の型ごとに、研修で変えることは違う

4つを確かめると、事案はおおむね次のどれかに当てはまります。

最初の2つは研修で変えられます。3つ目は研修だけでは変わりません。個人のアカウントで業務に生成AIを使う状態（いわゆるシャドーAI）は、会社として使ってよい道具と方針を示していないときに起きやすいことが、生成AIガイドラインに入れる項目と作り方でも触れている論点です。4つ目を研修の問題として扱うと、全員に同じ研修をやり直すことになり、ほかの社員には「疑われている」という印象だけが残ります。

3｜処分を決める前に押さえておくこと

事案が起きると、本人の処分をどうするかという話が研修より先に進みがちです。処分の可否や重さは、就業規則の定めと事案の中身によって判断が分かれるため、ここでは結論を書きません。社内の規程を確かめたうえで、必要に応じて弁護士や社会保険労務士に相談してください。

研修の設計の立場から一つだけお伝えすると、処分だけが目立つ形で事案が社内に伝わると、次に誰かが入力してしまったとき、報告が上がってこなくなるおそれがあります。入力してしまったことに本人が気づいた時点ですぐ報告できれば、サービス側での削除や設定の確認など、打てる手が残っています。次の研修では「入力しない」と同じ重さで「入力してしまったら、すぐ報告する」を教えるほうが、会社を守ることにつながります。

もう一点、入力した内容に顧客や従業員の個人情報が含まれていた場合は、研修とは別に、個人情報保護法上の漏えい等に当たるかどうかの判断が要ります。個人情報保護委員会は、要配慮個人情報の漏えい、財産的被害のおそれがあるもの、不正の目的によるもの、1,000人を超えるものといった一定の事態について、委員会への報告と本人への通知を求めています。当てはまるかどうかの判断は、研修の担当ではなく、社内の個人情報の担当部署と弁護士で行ってください。

4｜次の研修に足す3つの演習

事案の型が「知らなかった」「社外秘だと思わなかった」だった場合、次の研修には説明よりも演習を足します。当社の研修は座学3割・実習7割で組んでおり、事案のあとの研修では次の3つを中心にしています。

(1) 入力してよいかの判定演習｜自社の資料で行う

見積書、議事録、顧客からのメール、社内の人事資料、公開前の製品資料など、自社で日常的に扱う資料の種類を並べ、それぞれ「そのまま入力してよい」「伏せれば入力してよい」「入力しない」のどれかを、グループで判定してもらいます。一般的な例ではなく自社の資料で行うのが要点です。事案で実際に入力された資料の種類も、伏せた形で混ぜておきます。

判定が割れた資料が、ルールに判定例を書き足すべき箇所です。研修の成果として、割れた資料の一覧を担当部署に戻すところまでを演習に含めてください。グレーの事例を使った演習そのものの組み方は、コンプライアンス研修と生成AIでも扱っています。

(2) 伏せて使う練習｜同じ成果を、情報を渡さずに得る

「入力するな」とだけ教えると、社員は生成AIを使うのをやめるか、隠れて使うかのどちらかになりがちです。そこで、顧客名を「A社」に、金額を「X円」に置き換えるなど、固有の情報を伏せたまま同じ作業を生成AIにさせる練習を入れます。事案で本人がやろうとしていた作業（メールの下書き、議事録の要約など）を題材にすると、「伏せても用は足りる」ことが体感で分かります。

(3) 入力してしまったときの初動｜誰に、何を伝えるか

入力してしまったと気づいた場面を想定し、誰に、何を（どのサービスに、いつ、どの情報を入力したか）伝えるかを、実際に報告の文面を書いて練習します。会話履歴を自分の判断で消す前に報告する、という順番もここで教えます。報告先と手順は会社ごとに違うので、研修の前に担当部署で決めておいてください。

5｜研修の対象と形も見直す

• 全員に同じeラーニングを配り直すより、事案が起きた業務に近い部署から実習を行う。同じ種類の資料を扱う部署ほど、判定演習の効き目が大きくなります。
• 管理職には「部下から報告を受けたとき」の演習を別に用意する。報告を受けた上司が叱ることから始めると、(3)の初動の練習が無駄になります。上司が最初に何を聞き、どこへ上げるかを決めて練習しておきます。
• 会社が用意したサービスの設定を、研修の中で画面で見せる。学習に使われない設定になっているか、どのアカウントで使うかを、口頭の説明で済ませないようにします。

6｜研修だけでは変わらないこと

研修で見つかった判定の割れは、ルールに書き戻さなければ次の入社者には届きません。条文の構成や判定例の入れ方はAI利用規程の作り方を、ルール・道具・研修を組み合わせた対策の全体像は生成AIのセキュリティリスクと情報漏洩を防ぐ対策をご覧ください。研修は、ルールと道具がそろっている状態で初めて効きます。

ノセカエでご提案できる範囲

• 事案の型に合わせて、判定演習・伏せて使う練習・初動の練習の素材を貴社向けに作ります。事案の内容は、社名や個人が分からない形でうかがえば足ります。
• 1回あたり最大20名、お申し込みから最短2週間で開催できます。研修後1か月は受講者からの質問にお答えし、AI利用規程のひな形もお渡しします。
• 事案の調査、個人情報保護法上の報告が必要かどうかの判断、処分の判断はお受けできません。弁護士や社内の担当部署で判断していただく領域です。
• 研修費に助成金が使えるかは、研修の形と会社の条件によります。提携社労士が対象になるかを無料で診断します。

まとめ

社外秘が生成AIに入力されたあとの研修は、同じものを全員にやり直すのではなく、事案から「なぜ入力したか」を確かめ、その型に合わせて中身を変えるものです。研修で変えられるのは「知らなかった」「社外秘だと思わなかった」の2つで、ほかに手段がなかった場合は道具の用意が先になります。次の研修には、自社の資料での判定演習、伏せて使う練習、入力してしまったときの初動の3つを足してください。

この記事を書いた人

浅香 祐輔（Never Red株式会社 代表取締役）

大手コンサルティングファーム（アクセンチュア／アビーム）出身。DX・業務改革・SAP導入が専門で、50名超のチームでPMを担当。法人向け生成AI研修「ノセカエ」の講師を務める。

講師プロフィール　・　運営会社の情報