会社概要
- 業種：Web制作・デジタルマーケティング会社
- 所在地：東京都
- 従業員数：32名
- 年商：約4億2,000万円
- 営業利益：約2,400万円
- 借入状況：約6,000万円。返済は正常
- 主力商品・サービス：企業サイト制作、広告運用、SNSマーケティング
- 主要顧客：中堅企業約40社。最大顧客A社が売上の約22％
- 組織体制：社長－営業部－制作部－広告運用部。問題となっている制作部長は創業7年目から在籍
- 社長の性格：営業力が強く、決断は速い。一方、ITの細かい仕組みには疎く、「結果を出す社員には自由にやらせる」というタイプ
相談者
相談に来たのは社長です。
社長が困っているのは、制作部長の田中が生成AIを業務利用し、その際に顧客情報を外部の生成AIサービスへ入力していた可能性が発覚したことです。
社長本人は、
「情報漏えいなら田中を処分しないといけない。でも、田中が辞めたら制作部が回らない」
と考えています。
しかし、本質的な問題は田中個人だけではありません。
会社には生成AIの利用ルールがなく、社長自身も「AIを使って生産性を上げろ」と社員に繰り返し話していました。
つまり、個人の問題、会社の管理体制、顧客対応、組織依存が同時に表面化しています。
現在起きている問題
3か月前、社長は全社会議で、
「これからAIを使えない会社は負ける。どんどん使ってほしい」
と発言しました。
ただし、具体的にどのAIサービスを利用してよいのか、何を入力してはいけないのかという社内ルールは作っていませんでした。
制作部長の田中は生成AIを積極的に利用し、制作部の作業時間を約20％削減。
社長も田中を高く評価していました。
ところが先週、若手社員から管理部長へ内部報告がありました。
田中が生成AIに、
- 顧客から提供された未公開の商品情報
- Webサイト公開前の原稿
- 顧客担当者の氏名・連絡先が含まれる資料の一部
を入力していた可能性があるという内容です。
さらに、最大顧客A社の案件についても、未公開の新サービスに関する文章を入力した可能性があります。
現時点では、何を、いつ、どのサービスに、どの設定で、どこまで入力したのか確認できていません。
田中本人は、
「他社も普通にAIを使っています。機密情報を盗もうとしたわけではありません」
と説明。
さらに、
「社長自身がAIを使えと言ったじゃないですか。これで私だけ処分されるなら納得できません」
と強く反発しています。
制作部の社員8名のうち5名は田中を支持。
田中は重要案件の進行管理をほぼ一人で把握しており、退職すると納期遅延が発生する可能性があります。
一方、管理部長は、
「田中を処分しなければ内部統制が崩壊する」
と主張しています。
営業部長は逆に、
「今A社に話したら大問題になる。実際に漏えいした証拠がないなら黙って調査すべきだ」
と主張しています。
さらに内部報告した若手社員は、
「会社が田中さんをかばうなら、この会社では情報管理なんて意味がない」
と話しており、退職も考えているようです。
現在、SNSへの投稿は確認されていません。
しかし、この若手社員が社外へ問題を発信した場合、
「会社が情報漏えいを隠蔽した」
という形で炎上する可能性があります。
A社との契約には秘密保持条項があり、情報事故発生時の報告に関する規定もあります。
ただし、今回の生成AIへの入力が契約上の「情報事故」に該当するかは、まだ精査できていません。
A社との取引が停止すると、年間約9,000万円の売上を失います。
金融機関には現時点で情報は伝わっておらず、直ちに融資へ影響する状況ではありません。
社長は今日中に、
「田中を処分するか」「A社へ報告するか」
を決めたいと言っています。
問い
あなたなら、この状況で最初に何を優先しますか？
1
田中をいったん主要案件から外し、生成AIへの業務情報入力を全社で暫定停止する。そのうえで入力履歴・利用サービス・契約条件・A社との契約内容を短期間で保全・調査し、報告義務と実害を判定してから顧客対応と処分を決める。
2
最大の経営リスクはA社との取引停止なので、まず社長からA社へ自主的に連絡し、生成AIへの情報入力の可能性が判明したことを説明する。調査への協力姿勢を示して信用維持を優先し、社内処分はその後に判断する。
3
情報管理上の規律を維持するため、まず田中に自宅待機を命じ、懲戒処分の検討に入る。同時に社員へ会社として厳正に対応することを伝え、内部報告者が「会社は隠蔽している」と感じない状態を早急につくる。
4
田中の退職による事業停止リスクが大きいため、当面は通常業務を継続させながら本人に事実確認する。顧客への現実的な損害が確認されない限りA社への報告は控え、並行して生成AI利用規程を整備する。
5
田中個人への対応より組織問題を優先し、社長が全社員へ「ルールを作らずAI利用を推奨した経営側にも責任がある」と説明する。そのうえで処分をいったん保留し、制作部・管理部・営業部を含む社内検討チームで再発防止策を先にまとめる。
1〜5の番号で回答してください。
特に重要なのは、
止める → 保全する → 調べる → 法的・契約上の義務を判定する → 顧客対応 → 人事処分
という順番です。
このケースで社長が今日決めるべきなのは、「田中を処分するか」より先に、これ以上同じことが起きない状態を作り、判断材料が消えないようにすることです。
最善策
1番
田中をいったん主要案件から外し、生成AIへの業務情報入力を全社で暫定停止する。そのうえで入力履歴・利用サービス・契約条件・A社との契約内容を短期間で保全・調査し、報告義務と実害を判定してから顧客対応と処分を決める。
ポイントは、「田中を守る／切る」という人物論から始めないことです。
田中を通常業務から完全排除する必要があるかは別として、少なくとも問題となった情報処理と証拠に自由にアクセスできる状態は見直します。
同時に、他の社員も同じことをしている可能性があります。
したがって、これは「田中事件」ではなく、まず全社的な情報管理インシデントとして扱うべきです。
理由と背景
法律面
生成AIに顧客担当者の個人情報等を入力していた場合、個人情報保護法上の検討が必要です。
個人情報保護委員会も、個人情報取扱事業者が生成AIへ個人情報を入力する場合、利用目的の範囲内かを確認することや、本人同意なく個人データを入力する場合には、生成AI提供事業者がそのデータを機械学習に利用しないこと等を十分確認するよう注意喚起しています。
だからこそ、
「生成AIに入れた＝直ちに法律違反」
と単純化してはいけません。
利用したサービス、契約プラン、設定、入力データの性質、利用目的、サービス提供者側での取扱いなどを確認する必要があります。
また、個人データの漏えい等について一定の場合には、個人情報保護委員会への報告や本人通知が問題になります。
経営面
最大顧客A社は売上の22％です。
したがってA社への対応は極めて重要ですが、だからこそ不確かな情報で報告するのも、根拠なく黙るのも危険です。
「何を入力したか分かりません。でも御社の情報かもしれません」
という報告では、必要以上に信用不安を拡大させる可能性があります。
逆に、契約上の報告義務があるのに時間をかけすぎれば、「事故」から「隠蔽」の問題へ変わります。
したがって、調査には明確な期限を切る必要があります。
財務面
A社を失えば年間約9,000万円の売上減です。
一方で、田中が突然抜けても制作能力が落ちます。
つまり、
顧客を守るために田中を即切る
という判断も、
田中を守るために顧客へ黙る
という判断も危険です。
会社の事業継続性と顧客信用を同時に守る必要があります。
組織面
実はここが非常に重要です。
田中には、
「社長がAIを使えと言った」
という反論があります。
しかも生成AI利用規程がありません。
この状況で田中だけを厳罰にすると、制作部には、
「会社がルールを作らなかった責任を部長に押し付けた」
と映る可能性があります。
逆に処分しなければ、管理部や内部報告者には、
「売上を作る人間ならルール違反を許される」
と映ります。
どちらに振れても組織が割れます。
人間関係
社長・田中・管理部長・営業部長・内部報告者の「正義」がすべて違います。
したがって最初から誰が正しいかを決めると、事実確認まで社内政治化します。
最初は人物評価と切り離して、インシデント調査として処理することが重要です。
実行可能性
1番は今日からできます。
AIへの業務情報入力を暫定停止し、証拠を保全し、契約書・利用履歴・アカウント設定を確認する。
会社を止めずに危険行為だけを止められる点が強みです。
時間軸
ここでは「今日すべて決める」のが間違いです。
ただし「調査します」で何週間も放置するのも間違いです。
今日中に封じ込めと証拠保全、数日以内に一次判定という時間設計が必要です。
二次被害リスク
最も避けたいのは、
AI問題 → 不適切な処分 → 制作部崩壊 → 内部告発 → SNS炎上 → A社が報道等で知る
という連鎖です。
一次被害より、経営陣の初動ミスによる二次被害のほうが大きくなる可能性があります。
他の選択肢の評価
| 選択肢 | 点数 | 評価 |
|---|---|---|
| 1 | 100点 | 封じ込め・証拠保全・事実確認を先行でき、最も可逆性が高い |
| 2 | 80点 | 顧客信用を重視する姿勢は良いが、事実関係が不明な段階での報告は混乱を拡大させる可能性 |
| 3 | 70点 | 組織規律と内部報告者保護の視点は重要。ただし処分を先行すると、会社側の管理責任を無視したと受け取られやすい |
| 4 | 60点 | 事業継続を重視する考え方には合理性があるが、通常業務を継続させることで証拠・情報管理上のリスクが残る |
| 5 | 90点 | 経営側の責任を認める点は非常に重要。ただし再発防止策より先に、現在進行中のインシデントを封じ込める必要がある |
特に5番はかなり良い判断です。
ただ、順番が惜しい。
「会社にも責任がある」という組織的整理は必要ですが、それは火元を止めてからです。
実務的な考え方
このケースでは、次の順番で整理します。
- 被害拡大を止める
- 証拠を消さない
- 事実を確定する
- 法律・契約上の報告期限を確認する
- 顧客への影響を判定する
- 顧客・本人等への対応を決定する
- 田中の責任と会社の責任を分けて評価する
- 再発防止と属人化解消へ進む
重要なのは、**「誰を処分するか」より「何を先に守るか」**です。
この会社が最初に守るべきものは田中でも社長の面子でもありません。
顧客情報・証拠・顧客信用・事業継続性です。
初回面談で確認すべき事項
- 田中が利用した生成AIサービスは何か
- 個人アカウントか法人契約アカウントか
- 有料・無料など具体的なプランは何か
- 入力データがサービス側でどのように利用・保存される設定だったか
- 入力履歴・ブラウザ履歴・ログ等を確保できるか
- A社のどの情報を入力した可能性があるか
- 氏名・メールアドレス等の個人データが含まれていたか
- A社との秘密保持条項・情報事故報告条項の具体的内容
- 他の顧客情報も入力されていないか
- 田中以外の社員も同様の生成AI利用をしていないか
- 社長が過去にAI利用について具体的にどんな指示をしていたか
- 情報セキュリティ規程・就業規則・秘密保持規程はどうなっているか
- 田中に過去の情報管理上の注意・処分歴があるか
- 内部報告者の氏名・報告内容が社内でどこまで知られているか
- 田中が退職・休職した場合、誰が案件を引き継げるか
- A社案件について今後数週間の納期・重要イベントは何か
- 顧客への報告期限が契約で定められているか
- 現時点で外部流出や第三者利用を示す具体的事実があるか
次のアクション
1週間以内
生成AIへの機密・個人情報等の入力を暫定停止し、関連ログを保全します。
田中本人へのヒアリングだけでなく、利用サービス・設定・履歴等から客観的事実を確認します。
同時にA社契約、秘密保持義務、個人情報保護法上の対応義務を判定します。
ここで報告が必要なら、調査完了まで待つのではなく、必要なタイミングで一次報告するという判断も必要です。
1か月以内
生成AI利用規程を策定します。
「AI禁止」ではなく、
入力禁止情報・承認済みサービス・法人アカウント・ログ管理・教育・事故報告ルート
を明確化します。
田中への人事措置についても、この段階までに会社側の管理不備を含めて判断します。
3か月以内
最大の組織リスクである田中への属人化を解消します。
案件情報の共有、制作部のNo.2育成、権限分散、顧客情報管理の棚卸しを実施します。
今回の事故を「AI利用規程を作って終了」にすると、別の形で同じ問題が再発します。
【関連法令・制度】
- 法律名：個人情報の保護に関する法律
- 条文番号：第23条・第24条、第26条等（現行条文は要確認）
- 要旨： 個人データについて安全管理措置・従業者監督が求められ、一定の漏えい等では委員会への報告・本人通知が必要になります。
- 実務上の意味： AIへの入力内容とサービス側の取扱いを確認しなければ、漏えい等への該当性や必要な対応を適切に判定できません。
- 公式URL： e-Gov法令検索「個人情報の保護に関する法律」
【生成AIに関する公式注意喚起】
個人情報保護委員会は、生成AIへの個人情報・個人データ入力について具体的な注意点を公表しています。今回のケースでは非常に重要な一次資料です。
個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」
【関連法令・制度】
- 法律名：労働契約法
- 条文番号：第15条
- 要旨： 懲戒が客観的に合理的な理由を欠き、社会通念上相当と認められない場合、権利濫用として無効になります。
- 実務上の意味： 「情報をAIに入力したから即懲戒」ではなく、行為の態様、会社のルール、社長のAI利用推奨、本人の認識、過去の運用などを含めて判断する必要があります。
- 公式URL： 厚生労働省「労働契約法」
この問題の核心は、AIそのものではありません。
経営者が推奨した行動について事故が起きた瞬間に社員個人の責任へ切り替えてしまうと、組織の信頼を失います。一方、「会社にも責任がある」で曖昧に終わらせれば情報管理が崩れます。
責任追及より先に被害を止め、事実を固める。その後で、社員の責任と経営側の責任を別々に評価する。
ここが、このケースの経営判断のポイントです。
【お問い合わせ・無料相談】
一般社団法人いきいきライフ協会八王子東（伊橋行政書士法務事務所内）
ＴＥＬ ０４２－６７８－５２２５