AIに顧客情報を渡す前にやることは何か

結論:情報は「漏らさない」ではなく「出し方を決める」時代です

AIを業務に使う以上、社内の情報がAIサービスの外側に流れる可能性はゼロにはできません。私はこれを前提として受け止めています。大事なのは「できる限り出さない」という守りの発想ではなく、「どこまで出して、どう使わせるか」を自分で設計しておくことです。私はこれを2026年5月に社内で整理し、「情報の3段階分け」というルールに落としました。守るから、コントロールへ。この視点の転換が、これからのAI活用の土台になります。

なぜ「守る」だけでは足りないのか

以前の情報セキュリティは「社外に出さない」がゴールでした。ファイアウォールを固め、USBを禁止し、閲覧権限を絞る。これで守れました。

しかしAIを業務に組み込むと、この前提が崩れます。議事録の要約、見積りの下書き、日報の作成、口コミへの返信文づくり。どれも「社内の情報をAIに読ませて、初めて成立する仕事」です。情報を一切出さなければ、AIは何もできません。

つまり今の経営課題は「出さないこと」ではなく「出す情報と出さない情報を、事前に線引きしておくこと」です。線引きを社長の頭の中にだけ置いておくと、忙しいスタッフは判断できずに、うっかり全部貼り付けてしまいます。私が見てきた中でも、意図しない情報流出の多くは悪意ではなく「うっかり」です。人の問題が9割だと私は捉えています。

さらにもう一つ、AIには「誤判断」というリスクもあります。もっともらしい嘘を自信満々に答える、いわゆるハルシネーションです。AIの回答をそのまま信じて外部に送ってしまうと、間違った情報を顧客や取引先に渡すことになります。加えて、なりすましやディープフェイク、偽の請求書を使った攻撃も増えています。2026年には約11億円の送金被害事案が報告されました。これはIT担当者だけの問題ではなく、経営そのものの問題だと私は考えています。

OCSではどう設計しているか

私は沖縄コミュニケーションサービスの日報・月報づくりで、情報の役割分担をはっきり分けています。方針はシンプルです。「計算はスプレッドシート(人が作った関数)が担当し、まとめと解釈をAIが担当する」。

全事業共通の売上・顧客マスタを1枚のシートに集約し、日付、事業カテゴリ、店舗、商品名、金額、決済、担当者、顧客IDといった項目を、事業ごとのGoogleフォームから入力してもらいます。ここでAIに渡すのは、個人情報そのものではなく「集計が終わった後の表」と「本日のトピック」という感情・ストーリー欄です。AIには生データではなく、加工済みのデータを渡す。これが私の情報の3段階分けの実践形です。

A(外に出してよい情報):売上の合計、集客ルートの傾向、一般的な業務相談
B(加工すればAIに入れてよい情報):顧客名を「A社」に置き換える、金額をダミーにする、内容を抽象化する
C(できる限り入れない情報):契約書そのもの、個人情報の原本、経営戦略の生データ

この分け方をルールとして明文化しておくと、スタッフは「これはAに入るか、Bまで加工が必要か」を判断するだけで済みます。線引きを毎回考えさせるのではなく、最初から仕組みに組み込んでおく。これは沖縄ビジネスAIラボでミニアプリを提供するときの購入導線でも同じ考え方を使っていて、「データをどう扱うか」を事前に明記することが、お客様の安心につながっています。

同じ発想は、来店時にお客様自身にスキャンさせず、私たちが管理する形で情報を扱うNiraiCardの設計思想にも通じています。情報を渡してもらう場面では、渡し方そのものを設計しておく。これがコントロールという考え方の実践だと私は考えています。

今すぐできる一歩

いきなり全社ルールを作る必要はありません。まずは次の3つを紙かスプレッドシートに書き出してください。

今、AIに貼り付けている情報を1週間分書き出す(見積り、議事録、メール文面など)
その中で「顧客名」「金額」「契約内容」がそのまま入っているものに印をつける
印がついたものを、A社に置き換える・数字をダミーにする・内容を抽象化する、のどれで加工できるか考える

この3ステップだけで、自社の「うっかり漏れやすい場所」が見えてきます。ルールは完璧である必要はありません。まず1つの業務から、加工してから渡す習慣をつけることが最初の一歩です。

まとめ

AI時代のセキュリティは「出さない」ではなく「出し方をコントロールする」ことが本質
情報はA(そのままOK)・B(加工すればOK)・C(絶対NG)の3段階に分けておくと、スタッフが迷わない
OCSでは日報づくりで「計算は人、まとめはAI」の役割分担を徹底し、生データではなく加工済みの情報だけをAIに渡している