「有料版なら顧客情報を入れて大丈夫？」料金では決まりません

前回、「ChatGPTに顧客情報を入れても大丈夫ですか」と聞かれたとき、まず確認したい3つを取り上げました。

何に使うのか。その情報は本当に必要なのか。どのAIを、どんな環境で使っているのか。

3つ目まで話すと、こんな質問が返ってくることがあります。

「じゃあ、有料版を使えば大丈夫なんですよね？」

私なら、こう答えます。

「料金だけでは決められないんです。会社として管理できているかどうかも確かめます」

「有料版」のひとことに、二種類ある

生成AIには、無料で使うもの、個人で契約する有料プラン、会社や組織で契約する環境があります。これを料金順に並べると、違いが見えなくなる。

無料から個人向けの有料プランに変えると、使える機能や利用量が変わります。

一方、個人向けから組織向けに変えると、会社が管理できる範囲が広がります。誰がアカウントを持つのか。利用者と権限を会社側で管理できるのか。誰が何に使っているか確認できるのか。退職や異動のときに止められるのか。

無料と個人有料の差は、機能。
個人有料と法人向けの差は、統制。

「統制」は堅い言葉ですが、中身はいま並べたとおりです。会社が決められる。確認できる。必要なら止められる。

「高いプランだから安全」ではありません。

その社員が辞めたら、どうなるか

社員が自分で有料プランを契約して、仕事にも使っているとします。

高性能なモデルが使える。ファイルも読ませられる。本人は学習利用の設定も確認している。

ここだけ見れば、無料版よりよほど安心に見えます。

では、その社員が退職したら。

会社は、そのアカウントを止められるでしょうか。業務で使ったやり取りやファイルを、回収できるでしょうか。これまで何を入力していたのか、会社から確認できるでしょうか。

個人契約のままだと、会社側から止めたり、業務情報を回収したりしにくい。

「有料にすると安全になる」のではありません。「組織として管理できるようになる」んです。 同じ「有料」でも、個人有料で増えるのは自分が使える機能、組織向けで増えるのは会社が管理できる範囲です。

「学習利用はオフにしています」と言われたら

もう一つ、よく返ってくるのがこれです。

「学習に使われない設定にしてあるので、大丈夫です」

設定画面を開いて、学習利用をオフにする。必要な作業です。

ただ、設定で学習利用をオフにすることと、データの扱いが契約で定められていることは別です。設定も規約も、事業者の側で変えられます。

組織向けのサービスでは、入力したデータをどう扱うかが、契約条件として書かれているものがあります。

設定で学習利用を止めることを、オプトアウトと呼びます。データの取り扱いについて定める契約が、DPA（データ処理契約）です。

サービスの比較表や契約ページでは、この言葉が出てきます。

設定は変わることがあるので、支援先に伝えるときは一言足します。

「設定して、そのあとも定期的に確認してください」

環境を確認するとき、何を聞くか

支援先で利用環境を確認するときは、次の7項目を使います。

個人情報を海外のサーバーに置くと、本人への説明や、移転先の体制の確認が要ることがあります。個人情報保護法では越境移転と呼ばれる論点です。

管理者機能があれば、誰にどこまで使わせるかを会社で決められます。ログが残れば、何か起きたときに、誰が何をしたのかを後から確かめられる。

生成AIだけの特別な話ではありません。情報セキュリティでは、もともとこういうところを確認します。誰がどのシステムを使えるか自体が決まっていなければ、生成AIの前に、アカウントと権限を整理する必要があります。

この表は、支援先の前で開いて、そのまま聞けます。時間が取れないときは、学習利用の設定、DPA、管理者機能、退職時の回収。私なら、この4つから聞きます。

無料版や個人契約でも、ここまではできる

公開情報や架空のデータで文章を作る。顧客別の一覧をそのまま渡さず、集計した数字や一般化した条件だけを渡す。第1回で扱った「渡す必要があるか」の続きです。

ほかにも、個人でできることがあります。

• 業務用と個人用のアカウントを分ける
• 学習利用と履歴の設定を確認する
• 案件ごとにスレッドを分ける
• 渡す情報を、必要な範囲に絞る

会社で管理できる機能が少ない分、使う人の設定や社内ルールに頼る部分が増えます。担当者が変われば、やり方も変わります。

個人で頑張っても、届かない範囲がある

上の4つは、全部「個人でできること」です。

実際の業務データを扱いたい。複数の社員で使いたい。会社として利用状況を把握したい。ここまで来ると、個人の設定では届きません。

「顧客情報をAIに入れてよいか」は、使う人が案件ごとに決めることではなく、会社として決めておくことです。 案件ごとに担当者が判断すると、人によって線引きが変わります。

支援先で「担当者が気をつけています」という話が出てきたら、決めているのは会社ではなく、その担当者です。

組織向けには、どんなプランがあるか

「では、何を契約すればいいのか」と聞かれます。主なサービスの組織向けプランは、2026年9月の時点でこの名前です。

プラン名も料金も変わります。契約前に各社の公式ページで確かめてください。

契約の形が何であっても、確かめるのは前の7項目です。

支援先には、こう聞いてみる

「そのAI、誰の名前で契約していますか」

「いま社内で誰が何に使っているか、会社として把握できますか」

「その人が辞めたら、やり取りは回収できますか」

この3つに答えが出れば、会社として管理できている範囲が分かります。答えが出ないところが、まだ決まっていないところです。

第1回で挙げた「どのAIを、どんな環境で使っているのか」で確認したかったのは、この3つでした。

次回は、出力側です。「AIが出してきた答え、どこまで信じていいのか」へ。