職員が無断でChatGPTを使っていたとき、法人が最初にやること｜責める前の聞き取りと1枚の決めごと

無断利用が分かった日に、最初にやることは何か

職員が個人のアカウントでChatGPTを使っていた。そう分かった日にやるのは、使った職員の呼び出しではなく、聞き取りの場を作ることです。叱る場にしないことを、最初に職員へ伝えてください。聞きたいのは責任の所在ではなく、何が外に出たかです。

理由は2つあります。ひとつは、事実が分からないと法人として何も判断できないこと。もうひとつは、最初の対応が全職員に見られていることです。最初の1人が厳しく責められれば、ほかに使っていた職員は黙ります。反対に、正直に話した人が責められなければ、ほかの職員も話しやすくなります。

聞き取りは、使った職員1人ずつ、短い面談で行います。同じ項目を同じ順で聞くと、あとから法人としてまとめやすくなります。

聞き取りでは、何を確かめればよいか

聞くのは次の6項目です。職員の記憶にもとづく聞き取りなので、正確さには限りがあります。分からないものは分からないと書いてもらい、推測で埋めないでください。

6項目目は、犯人探しのためではありません。1人の職員だけが使っていたのか、同じ部署の何人かが使っていたのかで、後の配り方が変わるからです。

利用者の情報が入っていたら、法人は何を確認するか

入れた情報のなかに利用者の情報があれば、個人情報の問題として扱います。個人情報保護委員会は令和5年6月2日の「生成AIサービスの利用に関する注意喚起等」で、個人情報取扱事業者に次の2点を示しています。

• 利用目的の範囲内か。個人情報を含むプロンプトを入力するときは、特定された利用目的を達成するために必要な範囲内であることを十分に確認する。
• 機械学習に使われないか。あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合は、個人情報保護法の規定に違反する可能性がある。そのため、サービスの提供事業者が個人データを機械学習に利用しないことなどを十分に確認する。

つまり確認の中心は、使ったサービスが入力された内容を機械学習に使うのかどうかと、入れた内容が利用目的の範囲に収まるのかの2つです。前者はサービスの利用規約と、アカウントの設定画面で確かめます。

もうひとつ、医療・介護関係事業者向けのガイダンス（個人情報保護委員会と厚生労働省、令和8年4月に一部改正）には、個人データの漏えい等が起きたときの報告の対象となる事態が示されています。要配慮個人情報を含む個人データの漏えい等も、その対象に挙げられています。介護の記録には病歴や心身の状況が含まれるため、要配慮個人情報にあたる場合があります。ただし、ChatGPTへの入力が漏えい等にあたるのかどうか、報告が必要な事態になるのかは、使ったサービスの条件と入れた内容で結論が変わります。この記事では判断せず、聞き取りの結果を持って顧問弁護士など専門家に相談する段取りを勧めます。

なぜ、禁止の通知だけでは足りないのか

禁止の通知を出すと、そのときは安心した気持ちになります。しかし通知に載っているのは、してはいけないことだけです。業務の下書きや要約に困っていた事情は、何も解決していません。困りごとが残ったままなら、職員は目につかない形で使い続けます。

この見立ては推測を含みます。禁止の効果を測った調査は確認できていません。それでも、聞き取りで6項目を埋める作業は、禁止の通知を出す前に誰でもできます。使っていた理由が分かれば、ルールに入れるべき中身も具体的になります。

使ってよい道具と入れてよい情報は、1枚に何を書くか

聞き取りが済んだら、全職員に配る1枚を作ります。A4で1枚に収め、事務所の机にそのまま置けるくらいの量にします。書く項目は次の6つです。

• 使ってよい道具。サービス名と、法人の契約か個人の契約かを書く。これ以外は業務に使わない。
• 入れてよい情報。公開されている情報、法人の一般的な文章、個人を特定できないように作り直した文など。
• 入れてはいけない情報。利用者や家族の氏名、住所、病名、記録の本文、職員の個人情報、取引先との契約内容など。
• 迷ったときに聞く人。名前と連絡先を書く。入れる前に聞けることが重要。
• 出力の確認。AIの回答には不正確な内容が含まれることがあるため、人が確かめてから使う。
• すでに使っていた人へ。申し出た人を責めないことと、申し出る窓口。

入れてはいけない情報の線は、法人の個人情報の取り扱いの規程とそろえてください。AI用に別の線を引くと、現場では2つの基準が並んで混乱します。具体的な情報の線引きは、当ブログの社会福祉法人がChatGPTに入れてはいけない情報の一覧とAIに入れてよい情報とだめな情報に整理してあります。

この1枚を、規程のかたちに整えるのが法人のAI利用規程です。順番としては、まず1枚を配って動かし、しばらく使ってから規程に書き起こすほうが、現場に合わない条文を避けられます。

理事長と施設長が、法人として決めておくことは何か

個人情報保護法の第24条は、個人データを取り扱わせる従業者に対して、必要かつ適切な監督を行うことを求めています。医療・介護関係事業者向けのガイダンスは、従業者の監督として、守秘義務などの規程の整備、教育研修の実施、責任体制の整備、安全管理措置の定期的な自己評価などを挙げています。生成AIの利用もこの枠のなかで考えると、決める事柄が整理できます。

ここまで決めておけば、次に無断利用が見つかったときも、聞き取りの6項目と1枚に立ち返れます。

よくある質問

職員を処分する必要はありますか。

処分するかどうかは、法人の就業規則と、入れた内容の重さで決まる話で、この記事では判断できません。順番としては、処分を考える前に聞き取りで事実を確かめてください。使った事実を申告した職員が先に責められると、次からは誰も言わなくなります。個人データを入れていたことが分かった場合は、従業者の監督の問題として、規程と研修が整っていたかも法人の側で点検することになります。就業規則の適用は社会保険労務士や顧問弁護士に確かめてください。

利用者の情報を入れてしまっていたら、何を確認しますか。

個人情報保護委員会は令和5年6月2日の注意喚起で、あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合は、個人情報保護法の規定に違反する可能性があるとしています。そのため、使ったサービスが入力した内容を機械学習に使うかどうかを、利用規約や設定で確かめます。報告が必要な事態にあたるかどうかは、入れた内容や使ったサービスの条件によって変わるため、自己判断せず、顧問弁護士などの専門家に相談してください。

ChatGPTをすべて禁止にするのは間違いですか。

禁止にすること自体は、法人の判断として成り立ちます。ただ、禁止だけを通知すると、使った職員が黙るという副作用があります。使っていることが見えなくなると、何が入っているのかも確かめられません。禁止にするときも、聞き取りを先に済ませ、代わりに使ってよい道具があるなら、それも一緒に示してください。

職員の私物のスマートフォンで使われている場合はどうしますか。

法人の端末とは違い、画面や履歴を確かめることはできません。私物の端末で業務の情報を扱ってよいかどうかは、法人が元から決めているはずの取り決めの範囲の話です。決めていなければ、今回の機会に、私物の端末に入れてよい情報と入れてはいけない情報を、1枚の決めごとの中に書き足してください。

まとめ｜聞き取りを先に、禁止は1枚の中に入れる

無断利用が分かったら、最初に職員へ聞き取りをします。どのサービスに、何を、どう入れたかの6項目です。利用者の情報が入っていた場合は、個人情報保護委員会の注意喚起にある、利用目的の範囲内かどうかと、入力した個人データが機械学習に使われないかの2点を確かめ、報告が必要な事態かどうかは専門家に相談します。

そのうえで、使ってよい道具、入れてよい情報、入れてはいけない情報、迷ったときの相談先を1枚にして配ります。禁止は、その1枚のなかの一項目として書きます。今週できることを1つ選ぶなら、聞き取りの6項目を印刷して、使っていると分かっている職員から順に面談の日を決めることです。

出典

• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日） https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf（個人情報取扱事業者における注意点、一般の利用者における留意点）
• 個人情報保護委員会・厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（平成29年4月14日策定、令和8年4月一部改正） https://www.ppc.go.jp/personalinfo/legal/iryoukaigo_guidance/（安全管理措置、従業者の監督、漏えい等の報告の対象となる事態）

いずれも2026年10月21日に内容を確認しています。個人情報保護委員会は、今後、追加の注意喚起等を実施する可能性があるとしています。実際の対応は、最新の資料と専門家の助言で必ずご確認ください。

最終更新：2026-10-21