Google WorkspaceのGemini｜中小企業の情報漏洩対策
「AIを使えば仕事が楽になるのは分かるけれど、社内の情報を入れて漏れたりしないか心配で踏み切れない」——中小企業の経営者からもっとも多くいただくご相談がこれです。実際、Google WorkspaceのGeminiと、社員が個人で使っている無料のAIとでは、情報の扱われ方がまったく違います。この記事では、Geminiで情報漏洩が起きるのはどんな場合か、中小企業が押さえるべきセキュリティ設定と社内ルールを整理します。
もくじ
GeminiやAIに社内情報を入れると、情報漏洩は起きるのか
まず結論からお伝えします。生成AIをめぐる情報漏洩は、「AIが勝手に情報を漏らす」というより、次の3つの入口から起きます。
- 入口1：社員が私物のアカウントで、業務の情報を入れてしまう（会社が把握できず、履歴も残らない）
- 入口2：入力した内容がAIの学習に使われる設定のまま使っている（後から他の利用者への回答に反映されるおそれがある）
- 入口3：そもそも社内のファイルの共有設定がゆるい（AI以前の問題として、見られてはいけない人が見られる状態になっている）
つまり、対策すべきは「AIを使うか、使わないか」ではなく、どのアカウントで、どの設定で使うかです。使用を全面禁止にしても、社員が自分のスマートフォンで使ってしまえば、いちばん危ない入口1が残ります。
また、法律面でも注意が必要です。
個人情報保護委員会は令和5年6月2日に「生成AIサービスの利用に関する注意喚起等について」を公表しており、本人の同意なく個人データを含む指示文（プロンプト）を入力し、それが回答の出力以外の目的で扱われる場合、個人情報保護法に違反する可能性があると示しています。顧客名簿をそのままAIに貼り付ける、といった使い方は避ける必要があります。
Google WorkspaceのGeminiと、無料のAIは何が違うのか
同じ「Gemini」という名前でも、会社で契約したGoogle Workspaceの中で使う場合と、社員が個人のGoogleアカウントで無料で使う場合とでは、データの扱いが異なります。
Googleは、Google Workspaceの管理者向けの説明のなかで、次のように明記しています。
お客様のコンテンツが許可なくお客様のドメイン外で生成 AI モデルのトレーニングに使用されることはありません。
さらに、チャットの内容やアップロードしたファイルについても、人間のレビュアーが確認することはなく、許可なくドメイン（組織）の外でのAIの学習にも使われないとしています。加えて、管理者は組織の会話履歴の保持期間を設定できます。
一方、個人アカウントで使う無料のAIサービスは、入力内容がサービスの改善やAIの学習に使われる可能性があります（設定でオフにできるサービスもあります）。
| Google Workspaceで使うGemini | 個人アカウントの無料AI | |
|---|---|---|
| 入力内容の学習利用 | 許可なく組織外の学習には使われない | 学習に使われる可能性がある |
| 管理者による管理 | 利用範囲・履歴の保持期間を設定できる | 会社は把握できない |
| 参照できる社内ファイル | その社員が権限を持つ範囲のみ | 社内ファイルとは連携しない |
社員に「AI禁止」と伝えるより、会社のアカウントで安全に使える環境を用意して、そちらに寄せるほうが実効性があります。 仕様は変わることがあるため、契約前後にGoogle Workspaceの管理者向けプライバシーの説明で最新の内容をご確認ください。
管理者がやる5つのセキュリティ設定
契約しただけでは安全になりません。
管理コンソール（会社のアカウントをまとめて設定する画面）で、次の5つを確認してください。
IT担当者がいない場合でも、経営者ご自身か、パソコンに明るい社員1名がいれば設定できます。
設定1：業務では必ず会社のアカウントを使わせる
最優先です。社員のブラウザで、個人のGoogleアカウントと会社のアカウントが同時にログインしている状態は、取り違えの原因になります。「業務用のブラウザのプロフィールは会社アカウントのみ」と決めるだけでも、事故は大きく減ります。
設定2：Googleドライブの共有範囲を見直す
これが実質的にいちばん効くAI対策です。
GeminiはWorkspace内で、その社員がもともと見られるファイルしか参照しません。逆に言えば、共有設定が「リンクを知っている全員」のままのファイルは、AI以前にリスクがあります。組織外への共有を既定で制限し、必要なときだけ個別に許可する形にしてください。
設定3：2段階認証を全社で必須にする
パスワードが漏れても、スマートフォンでの確認がなければログインできない状態にします。
情報漏洩の多くは高度な攻撃ではなく、単純なパスワードの使い回しから起きています。
設定4：Geminiの会話履歴の保持期間を決める
管理者は、組織の会話履歴を保持するか、どれくらいの期間で削除するかを選べます。
「無期限に残す」のが常に正解ではありません。
何を残す必要があるのかを決めてから設定してください。
設定5：使う部署から段階的に開放する
全社一斉に開放せず、まず総務や営業事務など1部署で試します。管理コンソールでは組織部門ごとに機能の利用可否を設定できるため、問題が起きても影響範囲を限定できます。
AIに入力してはいけない情報と、社内ルールの決め方
設定を整えても、「何を入れてよいか」が共有されていなければ意味がありません。次の情報は、たとえ会社のアカウントであっても、入力する前に一度立ち止まってください。
- マイナンバー、健康診断の結果、保険や口座の情報（法律上、とくに慎重な扱いが求められる情報です）
- 顧客名簿や取引先リストそのもの（本人の同意の範囲を超える可能性があります）
- 他社と秘密保持契約を結んでいる資料（自社の判断だけでは扱えません）
- パスワードや、システムの接続情報
一方で、社内の議事録の要約、メール文案の作成、自社商品の説明文づくり、Excelの数式の相談などは、リスクが低く効果を実感しやすい使い道です。まずはこのあたりから始めるのが現実的です。
社内ルールは、分厚い規程を作る必要はありません。A4半ページで、次の3行を決めて全社員に配れば十分に機能します。
- 使ってよいAI：業務では会社のGoogle Workspaceアカウントで使うGeminiのみ（個人アカウントでの業務利用は禁止）
- 入れてはいけない情報：個人を特定できる情報、他社との契約で守秘義務のある情報、パスワード類
- 迷ったときの相談先：〇〇（担当者名）に確認してから使う
たとえば工務店なら「施主さまの氏名・住所が入った書類はそのまま貼らず、固有名詞を伏せてから相談する」、士業事務所なら「顧問先の資料は原則入力しない」といった形で、自社の業務に合わせて2行目を具体化してください。
まとめ
- 生成AIの情報漏洩は「私物アカウントでの利用」「学習に使われる設定」「社内ファイルの共有設定のゆるさ」の3つから起きる。禁止するより、会社のアカウントに寄せるほうが安全
- Googleは、Google Workspaceのコンテンツを許可なくドメイン外のAI学習に使わず、人によるレビューも行わないと明記している。管理者は会話履歴の保持期間も設定できる
- 中小企業がまずやるべきセキュリティ対策は、会社アカウントの徹底・ドライブの共有範囲の見直し・2段階認証・履歴の保持期間の設定・部署単位での段階開放の5つ。あわせて「入れてはいけない情報」を3行のルールにして配る
Google WorkspaceやGeminiのセキュリティ設定、社内でのAI利用ルールづくりでお悩みなら、株式会社アドクルーへお気軽にご相談ください。愛知県の中小企業さまの体制に合わせて、無理なく守れるルールと設定をご提案します。
