生成AIサービスの学習データポリシーを確認して自社情報の無断利用リスクを評価する論点整理

2026年10月13日2026年10月17日

「顧客情報をAIに入力して問題ないのか」——この問いに即答できない士業事務所は、守秘義務リスクを抱えたまま生成AIを使い続けることになる。
生成AIサービスへの入力データが学習に使われるかどうかは、サービス・プラン・設定という3層構造で決まる。どの層で何が起きているかを整理しないまま業務利用を始めると、後になって「顧問先情報が学習データに使われていたかもしれない」という状況が生じる。

この記事では、主要生成AIサービスの学習データポリシーの読み方、自社情報の無断利用リスクを評価する論点、オプトアウトの実施手順、そして士業事務所・中小企業が整備すべき社内確認体制を解説する。

生成AIサービスが「学習データ」として入力情報を使う仕組み

生成AIのチャットツールに文章や情報を入力すると、そのデータが次世代モデルの学習（再訓練）に使われる可能性がある。これが「学習データとして利用される」状態である。ただし、すべてのサービスがすべての入力を無条件に学習に使っているわけではない。

一般的に、学習データ利用の可否は以下の3要素によって決まる。

・利用規約・プライバシーポリシーの記載：各サービスは「入力データをモデル訓練に使用するか否か」を規約に明示または黙示的に定めている。デフォルトで学習に使う設定のサービスもあれば、法人向けプランではデフォルト無効としているサービスもある。いずれも原文を直接確認しなければ判断できない。
・プランの違い：個人無料プランと法人有料プラン（APIやエンタープライズ）では、データの取り扱いポリシーが大きく異なることが多い。法人契約では「入力データを学習に使わない」と明示するサービスが増えており、この点がプラン選択の根拠のひとつとなっている。
・ユーザーによるオプトアウト設定：オプトアウト機能を提供しているサービスでは、ユーザー自身が「学習への利用を拒否する」設定を行える。設定の有無・方法はサービスによって異なり、アカウント設定画面の深い階層に埋まっているケースもある。

重要な点として、「学習データに使われる」ことは「他のユーザーにリアルタイムで情報が漏洩する」こととは異なる。一般的な構造では、入力された情報は将来のモデルバージョンの学習素材として組み込まれる可能性があり、その結果として間接的に情報が外部に影響する仕組みになっている。サービス提供企業が直接情報を第三者に転売するわけではないが、学習済みモデルが他のユーザーへの回答に入力情報の影響を反映する理論上のリスクは消えない。

士業事務所では、顧問先から預かる財務情報・個人情報・未公開の契約情報などを学習可能な環境で入力することが、弁護士法・税理士法・社労士法などの守秘義務規定に抵触するリスクをはらむ。「どのサービスが、どのプランで、どのような条件のもとで学習に使うか」を確認することが、安全なAI活用の出発点となる。

主要生成AIサービスの学習データポリシー比較

以下の比較表は執筆時点（2026年10月時点）の公開情報を基に整理したものである。各社のポリシーは随時改定されるため、表の内容を参照した後に必ず各サービスの最新の利用規約・プライバシーポリシーの原文を確認する必要がある。

サービス名	無料・個人プランの学習利用	法人・APIプランの学習利用	オプトアウト手段
ChatGPT（OpenAI）	デフォルトで学習利用可（設定でオフ可）	APIはデフォルト学習なし。有料プランはプラン詳細に準拠	設定画面「Improve the model for everyone」をオフ
Claude（Anthropic）	無料・個人プランは規約に準拠（改定あり）	API・Teamプランは学習に使わないと規約で規定	プロフィール設定または企業契約の利用規約で確認
Gemini（Google）	個人利用版はレビュー担当者が確認する場合あり	Google Workspace（法人）は入力データを学習に使わない	Googleアカウント「Gemini Apps のアクティビティ」をオフ
Microsoft Copilot	個人利用版は利用規約に準拠	Microsoft 365 Copilotは商業データ保護のもと学習なし	法人契約では標準でオプトアウト済み
Perplexity	個人利用では利用規約に準拠（改定頻度が高い）	法人向けEnterprise Proは学習なしと明示	アカウント設定から選択可能

この比較から明確になるのは、同じサービス名でも「個人プランか法人プランか」で取り扱いが大きく変わる点である。事務所や会社の業務で使う場合、個人アカウントを流用するのではなく法人・エンタープライズプランの契約を選択する根拠がここにある。

また「学習なし」と明示されているプランであっても、サービス提供企業のサーバーへの一時保存は発生する。「学習に使われない」ことと「データがサービス提供企業のサーバーから外に出ない」ことは別の概念であり、セキュリティポリシーの評価では両者を区別する必要がある。

生成AIサービスの学習データポリシーを確認して自社情報の無断 — 関連イメージ1

自社情報の無断利用リスクを評価する3つの論点

ポリシーを確認した後、実際のビジネスリスクを評価するには3つの論点を整理する必要がある。

論点1：入力する情報の機密性レベルは何か

すべての業務情報が同じリスクを持つわけではない。入力情報を機密性で分類し、高リスク情報はAI入力を禁止または情報を外に出さない社内専用AI（ローカルLLM）に限定する方針が有効である。

想定例として分類すると、「顧客の実名・口座番号・納税額・病歴などの個人特定情報」は最高機密として入力禁止、「業種・事業規模・契約概要の概略」は中機密として法人プラン限定で使用可、「一般的な法律解釈や公開情報の要約作成」は低機密として通常利用可、という3段階の区分が考えられる。この区分を社内規程として文書化し、全スタッフに周知しておくことが守秘義務管理の基盤となる。

論点2：現在使用しているプランでオプトアウトは実際に有効か

オプトアウトを設定した「つもり」でも、実際には機能していないケースがある。次の点を確認しないと設定が空振りになる。

・アカウント単位か組織単位か：個人アカウントのオプトアウト設定は、同じ事務所の別スタッフには引き継がれない場合が多い。組織全体に適用するには管理者アカウントによる一括設定が必要なサービスもある。
・設定の反映タイミング：オプトアウトを設定した時点以前に入力したデータには遡及適用されないのが一般的である。過去の入力データの扱いは別途確認する必要がある。
・機能アップデートによる設定リセット：サービス更新時に設定が初期化されるケースが一部のサービスで起きている。定期的に設定の維持を確認する運用が求められる。

論点3：利用規約改定の通知を見落とす組織リスク

多くの生成AIサービスは利用規約を随時改定している。改定は通常メール通知やダッシュボード内での告知で行われるが、担当者が退職したアカウントや共有アカウントへの通知は見落とされやすい。

士業事務所では担当スタッフが変わっても通知を受け取れる体制——代表メールアドレスへの転送設定や、四半期ごとの確認ルーティン——を整えることで、このリスクを低減できる。通知を見逃して旧ポリシー前提で業務を続けることは、意図せずリスクの高い環境で顧客情報を扱い続ける結果につながる。

オプトアウトと利用制限の実施手順

学習データへの利用を防ぐための実施手順を整理する。

1. 使用サービスの棚卸しと利用規約確認

まず事務所・社内で使用している生成AIサービスをすべて列挙する。チャットAI（ChatGPT・Claude・Geminiなど）だけでなく、音声文字起こしツール、PDFサマリーツール、翻訳ツール、メール文章補完ツールなどのAI組み込みサービスも対象である。

各サービスについて以下の4点を確認し、記録する。

・利用規約の「Training」または「学習」「モデル改善」に関する記載箇所を特定する
・使用中のプランを確認する（無料個人かAPIか法人有料かでポリシーが異なる）
・オプトアウト設定の有無と現在の設定状態を確認する
・プライバシーポリシーの最終改定日を記録する（次回確認の基準日とする）

2. 主要サービスのオプトアウト設定の実施

主要サービスのオプトアウト設定場所は以下の通りである（2026年10月時点。設定画面のUI変更に注意して最新の公式ヘルプページを合わせて確認すること）。

・ChatGPT：アカウント設定「Settings」→「Data controls」→「Improve the model for everyone」をオフにする。APIキー利用の場合はAPIがデフォルトで学習なしのため個別設定は不要だが、利用規約の確認は必須である。
・Claude：アカウントの「Profile settings」でデータの取り扱いを確認し、法人APIであれば利用規約で学習なしを確認する。無料プランの場合は最新のプライバシーポリシーを確認する。
・Gemini：Googleアカウントの「データとプライバシー」→「Gemini Apps のアクティビティ」をオフにする。Google Workspace管理者は管理コンソールから組織単位で設定できる。

3. 法人プランへの移行判断

オプトアウト設定を個別に管理するより、法人・エンタープライズプランに移行して「入力データを学習に使わない」という契約上の保証を得る方が、コンプライアンス管理の証跡として有効である。プランのコストと守秘義務リスク低減の効果を比較する経営判断が必要となる。

想定例として考えると、税理士事務所でChatGPT Teamプランに移行した場合、入力データは学習に使われないという契約条件を得られる構造になっている。費用は執筆時点のOpenAI公式ページで確認できるが、「情報管理コスト」として捉えるかどうかが判断の核心となる。具体的な月額費用は改定が頻繁なため、必ず契約前に現行の料金ページで確認すること。

4. 利用規約確認で見落とされやすい5つの確認項目

生成AIサービスの利用規約を読む際、特に見落とされやすい確認項目を整理する。

・「フィードバック」データの取り扱い：チャット画面の「いいね」「よくなかった」などのフィードバックボタンをクリックした際、その会話が別の目的で使われる可能性がある。フィードバック機能の利用規約は本文の学習規定とは別条項に記載されることがある。
・「機能改善」という名目での利用：「AIの性能・品質改善」を目的とした利用は、「モデルの学習」とは別条項になっている場合がある。学習には使われなくても品質レビュー担当者が会話を参照する可能性がある点を確認する。
・サードパーティとの共有条項：サービス提供企業が利用するクラウドインフラ（AWS・Azureなど）やアノテーション業者との共有に関する記載を見落とすケースがある。データの保管先・処理委託先の記載は利用規約の末尾近くに置かれることが多い。
・改定通知の受取方法と有効期間：「メールで通知する」「ウェブサイトに掲載する」など通知方法が明示されており、通知後一定期間の利用継続を改定への同意とみなす条項が設けられていることが多い。通知を見落とすと気づかないうちに改定後ポリシーに同意した状態になる。
・準拠法と適用法域：EUのGDPRや日本の個人情報保護法との関係がどうなっているかは利用規約末尾に記載されることが多い。顧問先が海外法人の場合や、事務所のスタッフが海外からサービスを利用する場合には特に確認が必要となる。

生成AIサービスの学習データポリシーを確認して自社情報の無断 — 関連イメージ2

よくある質問

Q1：「学習に使わない」設定をすれば完全に安全ですか？

「学習に使わない」設定はモデルの再訓練に入力データが使用されないことを意味するが、入力データはサービス提供企業のサーバーに一時保存されており、サービス運営上の目的（不正利用検知・障害対応など）で参照される可能性がある。「学習なし＝データが外部に出ない」ではない。データがインターネット経由でサービス企業のサーバーに送信される点は、学習設定の有無にかかわらず変わらない。

Q2：無料プランから法人プランに切り替えると、以前の入力データも保護されますか？

一般的に遡及適用はない。プラン切り替え前に入力したデータの扱いは当時の利用規約に従う。機密度の高い情報を過去に入力していた場合、そのデータの削除依頼が可能かどうかをサービスのデータポリシーまたはサポート窓口で確認することになる。

Q3：利用規約確認はどのくらいの頻度で行えばよいですか？

最低でも四半期に1回、使用中の主要サービスのプライバシーポリシー更新日を確認することが現実的な運用である。新機能（エージェント機能・メモリ機能など）が追加されたタイミングで都度確認する習慣も有効である。2026年時点で複数のサービスがエージェント機能を拡充しており、エージェントが外部サービスに自律的にアクセスする際のデータの流れについても確認が必要になっている。

Q4：クラウドAIと社内専用AIはどちらが守秘義務の観点から適切ですか？

守秘義務の観点では、社内専用AIの方が原則として有利である。クラウドAIはインターネット経由でデータを送信するため通信経路のリスクも加わる。ただし社内専用AIの構築・運用にはコストと技術的対応が必要なため、機密度の高い業務は社内専用AIで、一般的な文章補助はクラウドAIで、という使い分け設計が現実的な選択となる。

Q5：顧問先から「御社のAI管理はどうなっていますか」と問われた場合、何を示せばよいですか？

「使用サービス名とプラン」「各サービスの学習データポリシーの確認済み内容」「オプトアウト設定の状況」「機密情報の入力禁止ルール」の4点をまとめた一枚の概要書を準備しておくことが理想である。これを社内のAI利用規程に添付し、規程の最終更新日を明示しておくと顧問先への説明が具体的になる。

社内確認チェックリスト

以下の10項目を使って自事務所・自社の現状を点検する。

・使用中の全生成AIサービスを棚卸しし、リストアップしている
・各サービスの現行プラン（無料個人か法人有料か）を把握している
・各サービスの学習データポリシー最新版を確認し、確認日を記録している
・オプトアウト設定が有効になっているか全スタッフのアカウントで確認している
・機密度別に「クラウドAI入力可・不可」を社内ルールとして文書化している
・利用規約改定の通知を受け取れるメールアドレスが最新の担当者のものになっている
・法人プランへの移行を費用とリスク低減効果の両面で検討した記録がある
・顧問先・取引先からAI活用状況を問われた際に説明できる文書を準備している
・社内専用AIの導入を費用・リスク両面で検討したことがある
・AI利用に関する社内規程を整備し、スタッフ全員に周知している