「ちょっと要約してもらおう」。仕事中、何気なくChatGPTに資料を貼り付けたことはありませんか。いま、その“何気ない一回”が世界中で大問題になっています。日本ではパナソニックグループで約33万4,000人分の個人情報が、会社が禁止していた外部の生成AIにアップロードされたことが10月23日に公表されました（パナソニック）。スウェーデンでは政府の職員パソコンでChatGPTとClaudeの遮断が10月26日に始まりました（BornCity）。
会社が認めていないAIを社員がこっそり使うことを「シャドーAI」と呼びます。この記事では、2つの最新ニュースからシャドーAIの正体をひもとき、ChatGPTに入れた情報がどこへ行くのか、あなたの使い方はOKかNGかが分かる10問クイズ、そして3分でできる安全設定まで、AIのプロの視点でまとめました。読み終えるころには、明日から胸を張ってAIを使えるようになっているはずです。
01パナソニックで何が起きたのか
公表したのは、パナソニックグループの間接業務を担うパナソニック オペレーショナルエクセレンス（以下、PEX）です。子会社のパナソニック デジタルと進めていた人事情報システムの導入プロジェクトで、プロジェクトのメンバーが、会社が利用を禁止している外部の生成AIサービスに、個人情報を含むデータをアップロードしていたことが分かりました（パナソニック）。
ポイントは、原因が社内の人による手作業のアップロードだったという点です。対象は、2026年4月時点で人事情報システムに登録されていたデータの一部で、人数は次のとおりです（パナソニック）。
1978年に退職した人のデータまで含まれていたことに、驚いた方も多いはずです。本人だけでなく、緊急連絡先として登録された家族の氏名や住所まで含まれていました。
AI事業者は「学習には使っていない」と回答
PEXはAIサービスの運営事業者に問い合わせ、次の回答を得たと公表しています。
ここに、シャドーAIの怖さが詰まっています。学習に使う機能は無効でしたが、削除したあとも30日間は事業者のサーバーに残っていました。PEXは、公開や不正利用の被害は確認されていないとしています（パナソニック）。それでも、会社が管理できない場所に33万人分のデータが一時的に置かれていたことは事実です。なお、使われたAIサービスの名前は非公表です。
02スウェーデン政府はなぜChatGPTとClaudeを遮断したのか
同じ10月23日、スウェーデンの公共ラジオ「Ekot」は、首相府と各省を含む政府官房（Regeringskansliet）が、職員のパソコンでChatGPTとClaudeを使えなくすると報じました（Computer Sweden）。遮断は10月26日の月曜日に始まっています（BornCity）。
| 項目 | 報道で伝えられた内容 |
|---|---|
| 対象 | 政府官房の職員のパソコンから、ChatGPTとClaudeへの直接の利用を遮断 |
| 理由 | 契約を結んでいないAIサービスの利用は情報セキュリティに影響しうる、とデジタル化担当の責任者が社内向けに説明。問題のある使い方もあったと報じられている（Computer Sweden） |
| 代わり | 承認済みのMicrosoft Copilotを使う。政府はCopilotの安全性を確認し、追加の対策をとった（BornCity） |
| 例外 | 政府が用意した内部のAIプラットフォームを通じて、一部の職員はChatGPTやClaudeのモデルを引き続き利用できる（BornCity） |
| 広がり | 税務庁などほかの機関でも同様の遮断が導入され、検討中の機関もある（Computer Sweden） |
注目したいのは、AIの活用は続けたまま、「契約して管理できる経路」に切り替えたという点です。止めたのは、誰が何を入れたかを組織が把握できない使い方です。ここに、シャドーAI対策の答えがあります。
03シャドーAIの正体：あなたの職場でも、5人に1人
シャドーAIとは、会社が認めていないAIツールを、社員が業務で使うことです。悪意があるケースはまれで、ほとんどは「早く仕事を終わらせたい」という真面目な動機から始まります。だからこそ広がりやすいのです。
情報セキュリティ会社のエルテスが2026年1月に会社員と公務員300人に行った調査では、次の結果が出ています（エルテス）。
| 質問 | 結果 |
|---|---|
| 業務で生成AIを使っている | 34.3% |
| そのうち、会社が許可していないツールを使っている | 少なくとも約5人に1人 |
| 非公開の情報を入れることに抵抗がある人のうち、実際に入れたことがある | 64.1% |
| 勤め先に生成AIの社内規程が「ない」 | 45% （「わからない」も26.7%） |
入れた情報で最も多かったのは業務メールの本文、次が企画書や提案書などの社内文書でした（エルテス）。「抵抗はあるけれど、つい入れてしまう」。これがシャドーAIの実態です。そして社内のルールがなければ、社員はそもそも何がいけないのかを知る機会がありません。
04ChatGPTに入れた情報は、どこへ行くのか
ここからは、ChatGPTを例に、入力した情報の行き先を公式の説明で確かめます（OpenAI ヘルプ）。大切なのは、「学習に使われるか」と「保存されるか」は、それぞれ別に考えることです。
| プラン | モデルの学習 | 保存と管理 |
|---|---|---|
| 無料版・Plus・Pro （個人向け） | 初期設定では学習に使われる。設定でオフにできる | 自分で削除するまで履歴に残る。削除すると30日以内に完全削除（OpenAI ヘルプ） |
| 一時チャット | 学習に使われない | 履歴に表示されないが、安全上の理由で最大30日間保持されることがある（OpenAI ヘルプ） |
| Business・Enterprise （会社向け） | 初期設定で学習に使われない | 会社の管理者が保持期間を設定でき、利用状況を管理できる（OpenAI） |
パナソニックの件と重ね合わせると、よく分かります。学習に使われない設定でも、削除から30日間はサーバーに残る。個人向けのアカウントでは、その情報を会社が把握する手段がない。会社が契約したプランなら、管理者が保持期間を決め、誰が何を使ったかを確かめられます。スウェーデン政府が「契約のある経路」に切り替えた理由も、ここにあります。
OpenAIのヘルプには、学習をオフにしていても、回答に「いいね」「よくないね」などのフィードバックを送ると、その会話全体が学習に使われることがあると書かれています（OpenAI ヘルプ）。仕事の会話では、評価ボタンを押さないのが安心です。
05あなたの使い方はOK？NG？ 10問クイズ
ここで腕試しです。会社のルールで生成AIの利用が認められている前提で、次の使い方がOKかNGかを考えてみてください。答えはそれぞれの問題を押すと開きます。
公開されているニュース記事を貼って、要点を3行にまとめてもらう
OK誰でも読める公開情報なので、入れても困る人がいません。AIの得意分野です。
自分で書いた企画書の文章を、読みやすく直してもらう
条件付き社名や取引先名、売上の数字などを「A社」「◯億円」と伏せればOK。発表前の新商品の情報は入れないのが鉄則です。
取引先から届いたメールをそのまま貼って、返信文を作ってもらう
NG相手の氏名や連絡先、取引の内容がそのまま入ります。調査でも「業務メールの本文」が最も多く入力されていました。要点だけを自分の言葉で伝えて、返信の下書きを頼みましょう。
顧客名簿のExcelを読み込ませて、住所の表記をそろえてもらう
NGパナソニックの件と同じ形です。個人情報の一覧は、会社が認めた環境以外に出さないのが原則です。表記をそろえる作業は、Excelの関数や会社の公認ツールで行いましょう。
会議の録音を、個人のスマホの文字起こしAIアプリに入れる
NG会議には参加者の発言や社内の事情が詰まっています。個人のアプリは会社の管理の外にあり、典型的なシャドーAIです。
部下の人事評価コメントを、やわらかい表現に書き直してもらう
NG人事評価は、本人にとって最も知られたくない情報の一つです。氏名を消しても、内容から誰か分かることがあります。
プログラムのエラー文を貼って、原因を聞く
条件付きエラー文そのものは問題になりにくい一方、APIキーやパスワード、社内サーバーの住所が混ざりやすいのが落とし穴です。貼る前に必ず消しましょう。
会社が契約したChatGPT Businessで、社内資料を要約する
OK会社が管理できる環境で、会社のルールの範囲で使うのが正解の形です。それでも、扱う資料の範囲は社内ルールに従いましょう。
学習をオフにしたから、個人のアカウントに社外秘の資料を入れる
NG学習オフでも、会話は履歴に保存され、削除しても最大30日はサーバーに残ります。そして何より、会社がその使い方を把握できません。パナソニックの件も、学習機能は無効でした。
一時チャットなら、何を入れても安全
NG一時チャットは履歴に残らず、学習にも使われません。それでも画面に「安全上の理由から、このチャットのコピーを最長30日間保持する場合があります」と表示されるとおり、サーバーには一定期間残ります。
いくつ正解できたでしょうか。判断の軸はシンプルで、「その情報が外に出たら、困る人がいるか」です。困る人が一人でも思い浮かんだら、伏せるか、会社の公認ツールを使いましょう。
063分でできるChatGPTの安全設定と、3つの習慣
会社でChatGPTの個人アカウントの利用が認められている方や、副業・個人の仕事で使う方に向けて、いますぐできる設定をまとめました。
- 「モデル改善に協力する」をオフにする
画面左下のアカウントから「設定」→「データコントロール」を開き、「モデル改善に協力する」をオフにします。これで、新しい会話は学習に使われなくなります（OpenAI ヘルプ）。
- 人に見せたくない相談は「一時チャット」で
新しいチャットの画面の右上にある「一時チャット」を押すと、履歴に残らず、メモリにも記録されないチャットになります（OpenAI ヘルプ）。
- 仕事の会話では評価ボタンを押さない
前の章のとおり、フィードバックを送った会話は学習に使われることがあります。
- 要らなくなった会話は削除する
アーカイブは一覧から隠す機能で、データは残ります。削除した会話は30日以内に完全に消されます。チャットとは別に「ライブラリ」に保存されたファイルは、そちらでも削除が必要です（OpenAI ヘルプ）。
- 「共有リンク」を確かめる
同じ「データコントロール」の「共有リンク」で、過去に作ったリンクを一覧で確かめ、不要なものを消せます。
- 伏せ字で書く：人の名前は「Aさん」、会社は「B社」、金額は「◯万円」。それでもAIの答えの質は十分に保てます。
- 会社の公認ツールを先に使う：会社がCopilotやChatGPT Businessなどを用意しているなら、まずそちらを使いましょう。
- 迷ったら、入れる前に聞く：上司や情報システムの担当に一言確認するだけで、33万人分の事故は防げます。
07もし、うっかり貼ってしまったら
入れてはいけない情報を入れてしまったと気づいたら、隠さず、早く動くことが何より大切です。
- その会話を削除する
「•••」から「削除」を選びます。ファイルを添付した場合は「ライブラリ」も確かめます。
- すぐに上司や担当部署へ報告する
いつ、どのサービスに、何を入れたかをメモして伝えます。報告が早いほど、会社は打てる手が増えます。
- 会社の判断に従う
個人情報が関わる場合、会社には法律にもとづく対応が求められることがあります。自分だけで判断せず、会社の指示に従いましょう。
個人情報保護委員会によると、個人データの漏えいなどが起きて、本人の数が1,000人を超える場合や、要配慮個人情報が含まれる場合、財産的な被害のおそれがある場合、不正の目的によるおそれがある場合は、会社は委員会への報告と本人への通知が必要になります（個人情報保護委員会）。速報はおおむね3〜5日以内、確報は30日以内（不正の目的によるおそれがある場合は60日以内）が目安です。パナソニックの件は「公表」が本人通知の代わりとして行われました（パナソニック）。
08AIのプロとしての見解：禁止するより「公認のAI」を配る
ここからは、AIを仕事にするAQUAとしての見解です。
1. 禁止だけでは、シャドーAIは地下にもぐる
生成AIの便利さを一度知った人は、禁止されても使いたくなります。禁止だけで終わると、使っていても誰も報告しなくなり、問題が見えなくなります。調査で約5人に1人が許可されていないツールを使っていたのは、ルールより便利さが勝っているからです。
2. 正解は、スウェーデン政府の「切り替え」
スウェーデン政府は、ChatGPTやClaudeの直接利用を止める一方、承認済みのCopilotと内部のAIプラットフォームを用意しました。止めるのと同時に、安全な代わりの道を配る。これが最も現実的な対策です。会社向けのプランなら、学習に使われない初期設定や、保持期間の管理、利用状況の確認ができます。
3. 入れていい情報を色分けで決める
社員が迷わないためには、情報を3段階で決めておくのが効果的です。たとえば、公開情報は「どのAIでもOK」、社内向けの一般情報は「公認ツールならOK」、個人情報や未発表の情報は「AIに入れない」。この線が引かれていれば、Q1〜Q10のような判断を一人ひとりが自信を持ってできるようになります。
4. 個人の側でも「自分を守る」使い方を
会社の対策を待つ間も、あなた自身ができることは多くあります。伏せ字で書く、学習をオフにする、迷ったら聞く。この3つだけで、シャドーAIの事故の大半は防げます。AIは、正しく使う人の仕事を何倍も速くしてくれる道具です。怖がって遠ざけるより、ルールを知って堂々と使う人が、これからの職場で一番強くなります。
09よくある質問
公表では「外部の生成AIサービス」とだけ書かれ、サービスの名前は非公表です。この記事では、ChatGPTを例に、生成AI全般に共通する注意点を説明しています。
学習に使われなくなるだけで、会話は保存されます。会社の情報を入れてよいかどうかは、会社のルールで決まります。まず勤め先のルールを確かめましょう。
調査では45%の人が「規程がない」と答えています。上司や情報システムの担当に、使ってよいツールと入れてよい情報を確認するのが第一歩です。迷ったら、個人情報と未発表の情報は入れないと決めておきましょう。
会社向けのプランは、初期設定で学習に使われず、会社が管理できる点で安全性が高い環境です。それでも、入れてよい情報の範囲は会社のルールに従いましょう。
職員のパソコンからChatGPTとClaudeを直接使うことを止め、承認済みのCopilotや内部のAIプラットフォームを使う形に切り替えました。AIの活用そのものは続けています。
10まとめ
- パナソニックグループで、約33万4,000人分の個人情報が、禁止された外部の生成AIへ。原因は社内の人によるルール違反
- スウェーデン政府は10月26日から、職員のパソコンでChatGPTとClaudeを遮断し、承認済みのCopilotへ切り替え
- 会社が認めていないAIを使う「シャドーAI」は、業務でAIを使う人の約5人に1人
- 学習オフでも会話は保存され、削除後も最大30日はサーバーに残ることがある
- 答えは伏せ字・公認ツール・迷ったら聞く。禁止より、安全に使える道を配ることが大切
ChatGPTは、正しく使えばあなたの仕事を大きく助けてくれる相棒です。今回の2つのニュースは、ルールを整えてAIを堂々と使うためのきっかけです。まずは「データコントロール」を開いて、設定を確かめるところから始めてみてください。続報が出しだい、AQUAのブログでもお伝えします。
参考リンク
- パナソニック オペレーショナルエクセレンス「外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ」（2026年10月23日）
- Computer Sweden「Regeringskansliet spärrar Chat GPT och Claude」（2026年10月23日、スウェーデン語）
- エルテス「生成AIの利用に関する調査」（2026年1月）
- OpenAI ヘルプ「ChatGPT のデータ管理」
- OpenAI ヘルプ「ChatGPT でのチャットの削除とアーカイブ」
- OpenAI「エンタープライズプライバシー」
- 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」
