生成AI業務利用で起こる情報漏えいリスクとAI利用ルール整備の実務：プロンプトインジェクション対策まで

2026.07.29

この記事のまとめ

生成AIを業務で使う際の情報漏えいリスクは、攻撃者側の問題とは別に、従業員が入力する情報や利用環境から生じる論点として整理する必要があります。IPAの情報セキュリティ10大脅威2026では、AIの利用をめぐるサイバーリスクが組織向け脅威の3位に初選出され、対応の優先度が高まっています。要点は次のとおりです。

個人データを含む情報の入力は個人情報保護法上の第三者提供にあたる場合がある
個人利用のAIを業務に持ち込むシャドーAIが大きな漏えい経路になる
プロンプトインジェクションは出力形式の制御などで頑健性を高められる
経営層の関与とアジャイル・ガバナンスで運用改善を回し続ける必要がある

生成AI業務利用で高まる情報漏えいリスクの全体像

IPA10大脅威2026で3位に初選出

生成AI情報漏えいリスクを語る出発点は、公的機関による脅威評価の位置づけです。

IPAが公表した情報セキュリティ10大脅威2026では、AIの利用をめぐるサイバーリスクが組織向けの脅威として初選出され、3位となりました（参照*1）。

初選出という事実は、生成AIの活用が実験段階から日常業務に広がったことの裏返しでもあります。組織側の対策は、攻撃を受けた際の防御だけでなく、利用行為そのものに潜むリスクへと視野を広げる必要があります。

業務側リスクと攻撃側リスクの違い

生成AIに関する脅威は、攻撃者がAIを悪用する側面と、業務でAIを使う側面に大別できます。

IPAの資料では、AIの悪用によるサイバー攻撃の容易化や手口の巧妙化と並んで、AIに対する不十分な理解による意図しない情報漏えいや権利侵害、生成結果を鵜呑みにすることで生じる問題が挙げられています（参照*1）。

攻撃側リスクは外部からの侵入や詐取への備えが中心となる一方、業務側リスクは従業員の入力内容やサービス選定、社内ルールの有無に起因します。両者は対策の主語が異なり、業務側は組織の運用設計で相当部分を制御できる領域です。同じ脅威分類の中でも、経営として整理すべき論点が分かれる点を意識する必要があります。

個人情報保護委員会が示す法的リスク

業務側リスクの中で重い論点が、個人データを生成AIに入力する行為の法的な扱いです。

生成AIサービスの提供者が入力情報を自らのAIの精度向上などのために学習データとして利用する場合、利用者が個人データもしくは保有個人情報を入力すると、利用者から提供者に個人データもしくは保有個人情報を提供したことになります。入力する情報がAIの学習データとして利用されることが予定されているときは、個人情報取扱事業者が個人データを第三者に提供する場合、個人情報保護法第27条および第28条に基づき、原則としてあらかじめ本人の同意を得なければなりません（参照*2）。個人情報保護委員会は、生成AIサービスが普及している状況を踏まえ、利用に関する注意喚起を行っています（参照*3）。

業務での生成AI利用は、単なる情報システムの設定問題ではなく、個人情報保護法の適用対象となる行為として設計する必要があります。契約条項と入力ルールを一体で確認することが、法的リスクを抑える出発点になります.

シャドーAIと機密情報入力の判断基準

シャドーAIが招く情報漏えい経路

生成AI利用における漏えい経路の中核が、組織の管理外で使われるシャドーAIです。

IPAによると、米国のAI企業の調査を引用し、業務において生成AIにデータをコピー&ペーストしてプロンプトとして入力している利用者が77%、そのうち82%が組織に管理されていないアカウントでした。従業員が個人的に利用しているAIサービスを業務に持ち込み、組織外への持ち出しが禁止されている業務データや資料をAIサービスに入力することが、情報漏えいにつながります（参照*1）。

シャドーAIとは、会社が正式に許可していない生成AIを、従業員が個人アカウントで業務に使ってしまう状態を指します。問題は、入力履歴も出力履歴も統制下にない点にあり、監査ログや削除依頼の窓口すら追跡できません。まず組織で使われているAIサービスを可視化し、認可済みと未認可の線引きを明確にすることが出発点になります。

入力してよい情報・避ける情報の分類

入力可否を判断するには、機密度に応じた分類が必要です。

京都大学が公開した生成AI利用の指針では、氏名、マイナンバー、パスポート番号や在留カード番号、顔写真など個人の識別性が極めて高い情報は、基本的に生成AIサービスに入力してはいけないとしています。理由として、これらの情報が流出・漏洩した場合の被害が極めて大きく、問題が起きた場合に取り返しがつかないことも多い点が挙げられています（参照*4）。町田市は、生成AIサービスを安全かつ効果的に活用するため、町田市生成AI利活用ガイドラインを定め、情報セキュリティを確保しながら業務で有効に活用するための基本的なルールや考え方をまとめました（参照*5）。

分類を設計するときは、識別性の高い個人情報、金融情報、連絡先情報、社外秘の営業情報などを段階分けし、それぞれに入力可否と代替手段を紐づける形が現実的です。従業員が迷った際の判断負荷を下げることが、ルールを機能させる鍵になります。

学習オプトアウト設定の徹底

入力情報が学習に使われる設定のままでは、社内ルールを整えても漏えい経路が残ります。

個人情報保護委員会は、生成AIサービスの提供者が入力情報を自らのAIの精度向上などのために学習データとして利用することとしている場合、利用者が個人データや保有個人情報を入力すると、利用者から提供者への個人データや保有個人情報の提供にあたるとしています（参照*2）。

オプトアウトとは、初期状態で有効になっている学習利用を、利用者側の設定で無効にする手続きです。契約プランや管理コンソールの設定で挙動が変わるため、導入時点だけでなく仕様変更のたびに再確認する運用が求められます。

プロンプトインジェクションの仕組みと対策

プロンプトインジェクションの定義と手口

生成AI固有の攻撃として、まず理解しておくべきものがプロンプトインジェクションです。

プロンプトインジェクションとは、生成AIに与える指示文(プロンプト)に、開発者の想定と異なる命令を紛れ込ませ、本来の制約を回避させたり、意図しない情報を出力させたりする攻撃手法を指します。デジタル庁は、生成AIを用いる際の指針として広島AIプロセスやAI事業者ガイドラインがあることを踏まえ、テキスト生成AI利活用におけるリスクへの対策ガイドブックの中で、テキスト生成AIとその利活用に焦点を当てて政府調達において考慮する点について、より具体的なリスクと対策を記載しました（参照*6）。

攻撃は、利用者が入力するプロンプトに紛れ込む形だけでなく、AIが読み込む外部データや検索結果に細工が仕込まれる形でも成立します。業務組み込みが進むほど、AIが参照する情報源そのものが攻撃面になる点を押さえる必要があります。

出力形式制御による頑健性向上

プロンプトインジェクションへの技術的な緩和策として、出力形式の制御があります。

デジタル庁の資料では、構造化された出力形式（json形式）に指定した例が示され、この例での生成物のjsonの内のsuggestionだけを最終的な出力としてサービス利用者に返すことで、プロンプトインジェクションにもより頑健になると整理しました。ただし絶対ではない点に注意が必要です（参照*7）。

この考え方は、AIの生成物すべてを利用者に見せるのではなく、想定した項目だけを抽出して返す設計に置き換えられます。攻撃者が余計な指示を注入しても、出力の窓口が特定の項目に絞られていれば、被害の範囲を制限できます。

AIエージェント時代の新たな攻撃面

生成AIが自律的に外部システムと連携するAIエージェントの登場で、攻撃面はさらに広がりました。

IPAが公開したAIセキュリティ関連情報では、2026年3月16日にAIエージェントによるスプレッドシートデータ流出脆弱、2026年5月22日にGoogle検索のプロンプトインジェクション脆弱性類似事象、2026年5月26日にMicrosoft「Copilot Cowork」からのファイル漏洩リスクが取り上げられました（参照*8）。

エージェント型では、AIがファイルや検索結果、他のアプリケーションを操作するため、注入された指示が実際のデータ持ち出しにつながる余地があります。導入前に、どの操作にどこまでの権限を与えるかを、業務単位で切り分けて設計する姿勢が欠かせません。

企業が整備すべきAI利用ルールとガバナンス

経営層に求められるAIガバナンス構築

AI利用ルールは、現場任せではなく経営の関与のもとで設計する必要があります。

金融庁のAIディスカッションフォーラムの議事要旨では、AIガバナンスについて、攻めの利活用と守りのガバナンスをうまく両立させることの重要性、リスクベースのアプローチの必要性、継続的なモニタリングと改善の必要性、経営の主体的な関与の重要性が挙げられました（参照*9）。デジタル庁は、AI関連技術の発展とAIの活用の官民における急速な進展を受け、政府の様々な業務への生成AIの利活用促進とリスク管理を表裏一体で進めるため、経済産業省や総務省などと協力してガイドラインの検討を行いました（参照*10）。

経営層が主体的に関与する意味は、利用停止と推進の判断を、事業への影響と一体で下せる体制を作る点にあります。守りだけでも攻めだけでもなく、両者を同じテーブルで議論する仕組みが土台になります。

利用規程・ペナルティ・相談窓口の設計

ガバナンスの方針を現場で機能させるには、具体的な規程と運用の仕組みが必要です。

IPAの資料は、シャドーAI回避のためのAIサービス利用の検討、未許可・未認可のAIサービス利用の禁止、AIガバナンスおよびサービス利用規定の整備、AI事業者ガイドラインなどの参照・準拠、個人アカウントにおける業務利用の制限、規程違反時の対応であるペナルティの明確化、外部サービス利用時のオプトアウト設定の徹底、AIサービス契約時の約款の確認、トラブルの発生に備えた専門家や相談窓口の確保を挙げました（参照*1）。

列挙された項目は、単独ではなく組み合わせて初めて効果を発揮します。特にペナルティと相談窓口は表裏一体で、罰則だけを強めると隠蔽を招き、窓口だけを整えても抑止が効かなくなります。

従業員教育とアジャイル・ガバナンス

ルールを整えたあとに残る課題は、技術と手口の変化に追随し続ける運用です。

金融庁のフォーラムの議事要旨では、AIガバナンスにおいて事前に固定化した手続きやルールを設けるのではなく、運用と評価のサイクルを回すと同時に継続的な改善を行うアジャイル・ガバナンスの重要性が指摘されました（参照*9）。

アジャイル・ガバナンスとは、あらかじめ完成形を作り込むのではなく、運用しながら評価と修正を短い周期で繰り返す考え方です。従業員教育も一度のeラーニングで終わらせず、実際に起きた事例や新しい脆弱性情報を教材に組み込みながら更新する形が現実的です。ルール、教育、監査の三点を同じサイクルで見直すことが、生成AI情報漏えいリスクへの備えになります。

おわりに

生成AIの業務利用は、攻撃者側の脅威とは別に、入力行為そのものが情報漏えい経路になるという新しい論点を突きつけました。IPAが組織向け脅威の3位に初選出したことは、この課題が実務の優先順位に組み込むべき段階へ進んだことを示しています。

個人データ入力の法的整理、シャドーAIの可視化、学習オプトアウト、プロンプトインジェクションへの出力制御、そして経営層が関与するアジャイル・ガバナンス。これらを一体の仕組みとして設計し、運用の中で更新し続けることが、生成AI情報漏えいリスクに備えるAI利用ルールの実務になります。

お知らせ

生成AI情報漏えいリスクの理解は、インフラエンジニアにとって今後の案件選定の基準となります。業務範囲や必須スキルの棚卸しを通じてセキュリティ要件を明確にすることで、リスク認識を持った案件の選別が可能になるからです。また、クライアント企業のAIガバナンス成熟度を評価する視点を持つことで、より安全で継続性の高い案件へのアクセスが期待できます。フリーランスとして信頼性を高め、キャリア価値を向上させるためにも、セキュリティ要件の整理を行いましょう。

cyseekではフリーランスのITエンジニア向けの案件をご紹介しています。案件に関する新着情報は、以下のリンクからご覧いただけます。

参照

cyseekはサイバーセキュリティ人材向けの案件紹介サービスサイトです。

サイバーセキュリティ業界に精通したエージェントが求人紹介、年収交渉、キャリアアップの実現など、採用課題の整理から稼働後のフォローまでトータルにサポートするほか、保有するノウハウを活かしフリーランスやサイバーセキュリティ人材に向けたコラムを発信しています。