「AIを業務に使いたいが、情報が漏れたり、頼んでいない操作をされたりしないかが不安だ」
このページでは、AIエージェントを業務に使うときの安全の原則を、守る4つの場所に分けて、問い合わせ対応や見積書の例で説明します。
- AIが読むメールや Webページには、AIをだます指示が紛れ込むことがあります。読ませるものを絞り、権限は必要な分だけにします。
- 個人情報と機密情報はAIに入れず、業務をひな形と差し込みに分けます。
- 送信、公開、支払い、削除の直前では、人が内容を見て承認します。
- 控えと利用料の上限を先に作り、APIキーが漏れたら削除より先に無効化します。土台は IPA（情報処理推進機構） の情報セキュリティ6か条です。
このページで出てくる言葉の意味は用語一覧で確認できます。
業務でどう使うか
- 問い合わせメールの返信案を AIエージェントに作らせ、送信ボタンは人が押す
- 顧客名簿を使う業務を、ひな形づくりと名前の差し込みに分けて、ひな形だけをAIに作らせる
- 請求書や見積書のひな形を AIエージェントに直させる前に、控えを取る
- APIキーやパスワードをチャットに書く
- 顧客データを読める状態のまま、外部への送信もできるようにしておく
- 「リンクを知っている人だけ」の共有を、非公開だと思って使う
守る4つの場所
安全の原則は、情報の入口、権限、外部に出る出口、失敗への備えの4つの場所で守ります。
| 場所 | 守ること | 問い合わせの返信案づくりでの例 |
|---|---|---|
| 情報の入口 | 読ませるものを絞り、個人情報と機密情報を入れない | お客様の名前と連絡先は渡さず、問い合わせの本文だけを渡す |
| 権限 | 必要な分だけ渡し、機密を読める状態と外部に送れる状態を同時に作らない | 返信案をファイルに書くところまでにして、メールの送信はさせない |
| 外部に出る出口 | 送信、公開、支払い、削除は、人が内容を見て承認する | 返信案の料金を料金表と照合してから、人が送信ボタンを押す |
| 失敗への備え | 作業の前に控えを取り、漏れたら無効化する | 返信のひな形の控えを取り、月の利用料に上限を設定する |
原則の中身は、Webやアプリの安全対策の手引きを出す国際的な非営利団体の OWASP、Anthropic と OpenAI の公式ドキュメント、公的機関の資料にもとづきます。
情報の入口
AIに読ませるものは信頼できる範囲に絞り、認証情報、個人情報、機密情報は入れません。
Webページ、メール、文書に書き込まれた指示で、AIが本来と違う動作をすることがあります。これをプロンプトインジェクションと呼び、OWASP は「OWASP Top 10 for LLM Applications 2025」の1番目のリスクに挙げています。Anthropic は、成功率が1%でも意味のあるリスクだとしています。
APIキーやパスワードは、チャットに書かず、画面の撮影にも写しません。Claude Code（Anthropic 社が提供するAIエージェント）では、チャットに書いた内容が、PCのセッション記録と Anthropic のサーバーの両方に残るためです。APIキーは、.env というファイルか環境変数に置きます。
本ガイドの推奨は、個人情報と機密情報をAIに入れないことです。業務は、ひな形と差し込みに分けます。AIには {氏名} などの差し込み欄を入れたひな形だけを作らせ、実際の名前はAIの外で差し込みます。個人情報保護委員会も、個人データを含むプロンプトを入力し、応答以外の目的で扱われると、法令違反の可能性があるとしています。
Claude の個人向けの契約プランでは、設定「モデル改善に協力」がオンのとき、チャットと Claude Code のセッションが学習に使われます。法人向けの Team、Enterprise と API は、利用者が別途同意しない限り学習に使われず、2026年1月1日からデータ処理契約を含みます。
関連：『現時点の仕様』の『Claude Code 全般』
法人向けの規約でも、個人情報を入れてよいとまでは書かれていません。入れるかどうかは、契約内容を確認したうえで経営者が決めます。AIを提供する会社の法人向けの契約プランを結び、契約内容を確認した会社は、AI利用ルールで、AIに入れてよい情報の種類を決めたうえで使う方法もあります。
情報は、次の3段階で分けると、AIに入れてよいかを決めやすくなります。社外秘と極秘が機密情報です。個人情報を含むものは、ほかの内容にかかわらず極秘にします。
| 段階 | 例 | 個人向けの契約プラン（無料を含む） | 法人向けの契約プラン |
|---|---|---|---|
| 公開 漏れても事業にほとんど影響がない | 製品カタログ、Webサイトに載せている文 | 入れてよい | 入れてよい |
| 社外秘 漏れると事業に大きな影響がある | 仕入の価格、取引先ごとの値引きの条件、社内の手順書 | 入れない | 原則として入れない。入れるかどうかは、契約の内容を確かめたうえで経営者が決める |
| 極秘 法律で守る義務がある、または取引先や顧客に大きな影響がある | 顧客名簿、マイナンバー、取引先から預かった機密の資料、自社の独自の技術 | 入れない。個人情報は、ひな形と差し込みに分ける | 原則として入れない。個人情報は、ひな形と差し込みに分ける。入れるかどうかは、契約の内容を確かめたうえで経営者が決める |
パスワードとAPIキーは、どの契約プランのAIにも入れません。
この表は、本ガイドが作った区分です。段階の呼び方と分け方は、IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月）の3段階に合わせています。個人向けの契約プランに社外秘と極秘を入れない線引きは、デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」（2026年6月）を参考にしています。デジタル庁の資料は政府機関向けで、規約への同意だけで使えるAIでは、機密性2以上の情報を原則扱わないとしています。
権限の絞り方
AIエージェントに渡す権限は、その仕事に必要な分だけにします。
OWASP は、AIに与えた機能、権限、自律性が大きすぎることを過剰な権限と呼び、主要なリスクに挙げています。見積書の下書きだけを任せるなら、会計ソフトへの書き込みとメールの送信は許可しません。迷ったら、権限モードを Manual で使ってください。
特に、機密を読める状態と外部に送れる状態を、同時に持たせません。プロンプトインジェクションで多い被害はデータの持ち出しで、最後の段階は外部への通信です。顧客名簿を整理させるセッションでは、Web取得とメール送信を許可しません。
プラグインや MCP のサーバーは、PCで動くソフトと同じように扱い、作った人と更新状況を確かめてから入れます。Anthropic の公式ドキュメントは、プラグインが入れた人の権限で任意のプログラムを実行でき、Anthropic は中身を検証していないと書いています。
決まった時刻に自動で動くルーティンは、実行中に承認の確認が出ず、操作は本人の名前で記録されます。接続した外部サービスとアクセス権は3か月ごとに見直し、使っていないものは取り消します。
関連：『AIに与える権限』
関連：『外部サービスとの接続』
外部に出る直前の承認
送信、公開、支払い、削除は、人が内容を見てからボタンを押します。
これらの操作は、AIの画面から取り消せません。請求メールは AIエージェントに下書きまで作らせ、送信は人が押します。「メールを見て必要な対応を全部やって」のような、範囲の決まっていない頼み方はしません。必ず止めたい操作は、フックで実行前に止めます。
共有リンクや作業中のページの URL は、公開したものとして扱います。Claude のヘルプは、共有リンクの転送は止められず、共有を止めても他人のコピーは消せないと書いています。見積金額や顧客名が入ったチャットは、共有リンクにしません。
利用料は、通知の設定と、上限で止まる設定の両方を先に入れます。OWASP は、使いすぎによる金銭的な損害を「無制限の消費」としてリスクに挙げています。事業用と試験用で APIキーを分けます。
関連：『公開前の確認』
関連：『従量課金のAI』
失敗への備え
AIエージェントに触らせる前に控えを取り、APIキーが漏れたら削除より先に無効化します。
Claude Code のチェックポイントで戻せるのは、ファイル編集のツールによる変更だけです。シェルコマンドの実行による変更や、外部で起きた変更は戻りません。Webサイトの修正を任せる前に、Git で今の状態を記録し、在庫表や会計のデータは接続する前に書き出しておきます。
APIキーが漏れたら、最初にその APIキーを無効化し、新しい APIキーを作ります。GitHub の公式ドキュメントは、履歴を書き換えてもコピーやキャッシュに残ることがあるとして、先に無効化か差し替えをするよう書いています。
AIエージェントに接続するアカウントが乗っ取られると、ここまでの原則は意味を失います。AIのアカウントは1人1つにし、2段階認証を設定します。
関連：『事故の初動』
IPA 6か条との対応
IPA の情報セキュリティ6か条は、AIを使っても条文は変わらず、各条の守る対象が増えます。
6か条は、IPA が中小企業向けのガイドラインで示す基本の対策で、2026年3月27日の第4.0版で「バックアップを取ろう」が加わりました。AIエージェントを使うと、各条の守る対象は次のように増えます。
| 6か条 | 従来の守る対象 | AIを使うと加わる対象 | このページの場所 |
|---|---|---|---|
| OSやソフトウェアは常に最新の状態にしよう | OS、業務ソフト | AIエージェントのアプリ、MCP のサーバー | 権限 |
| ウイルス対策ソフトを導入しよう | メールの添付ファイル | AIエージェントが取得して保存したファイル | 情報の入口 |
| パスワードを強化しよう | ログインのパスワード | APIキー、AIのアカウント | 情報の入口、失敗への備え |
| 共有設定を見直そう | クラウドのフォルダ | AIに見せる範囲、AIが操作できる範囲、AIを提供する会社に送る情報 | 権限、外部に出る出口 |
| バックアップを取ろう | PCが故障したときの復旧 | AIエージェントが誤って書き換えたファイルの復旧 | 失敗への備え |
| 脅威や攻撃の手口を知ろう | 偽のメール、偽のサイト | プロンプトインジェクション | 情報の入口 |
6か条に書かれていない危険は、AIが読んだ文章の中の指示に従ってしまうことです。これはウイルス対策ソフトでは止まらないため、情報の入口と権限の原則で防ぎます。
まとめ
- 安全の原則は、AIが間違えないことを前提にしません。だまされても被害が小さく済み、人が気づけて、戻せる仕組みを先に用意します。
- 個人情報と機密情報はAIに入れず、ひな形と差し込みに分けます。認証情報はチャットに書きません。
- 機密を読める状態と外部に送れる状態を、同時に持たせません。
- 送信、公開、支払い、削除は、人が内容を見て押します。利用料には通知と止まる上限を入れます。
- 作業の前に控えを取り、APIキーが漏れたら最初に無効化します。