支援先の社長から、こう言われたとします。

「AIに入れる情報は気をつけています。学習に使われない設定にもしたので、ひとまず安心ですかね」

この連載では、AIに何を入れるか、AIをどこまでつなぐか、出てきたものを何に使うかを、入力・処理・出力の3つに分けて考えてきました。

今回は特別編として、生成AIのログインの設定を取り上げます。

「そのAIには、どうやってログインしていますか？」

パスワードだけで使っているなら、まず多要素認証を設定しましょう。パスワードに加えて、認証アプリの確認コードなどで本人かどうかを確かめる設定です。パスワードが漏れても、それだけではログインされなくなります。

学習利用をオフにしても、不正ログインは防げない

学習に使われない設定は、入力した情報をサービス側が何に使うかを決めるものです。他人が自分のアカウントにログインすることは防げません。

入力した情報が学習に使われるかどうかと、他人が自分のアカウントにログインできるかどうかは、別々に確かめる必要があります。入力・処理・出力で分けると、ログインはその手前にある入口です（図1）。

ログインは入力・処理・出力の手前にある入口であることを示す図。本人と他人が、ログインの入口を通ってAIのアカウントの中に入る。アカウントの中には入力・処理・出力があり、学習の設定（入れた情報を学習に使うか）は処理に、ログインの設定（誰がログインできるか）は入口に対応する。ログインした人は、会話履歴・アップロードした資料・つないだメールやドライブを読める
図1　ログインは、入力・処理・出力の手前にある入口

他人がログインしたら、何を読まれるか

AIとの会話履歴には、作成途中の提案書や、社内の課題を相談した文章が残っています。アップロードした資料を、あとから開けるサービスもあります。

AIをメールやクラウドのドライブとつないでいれば、その接続を使って、メールや保存した資料まで読まれるおそれがあります。

パスワードだけでログインしていると

メールアドレスとパスワードでログインする。おなじみの方法です。

同じパスワードを複数のサービスで使っていると、一つのサービスから漏れたパスワードで、別のサービスにもログインされるおそれがあります。偽のログイン画面に入力して、パスワードを盗まれる場合もあります。

まず、パスワードに加えて、確認コードや通知で確かめる

パスワードを入れたあと、認証アプリの確認コードを入力する。スマートフォンに届いた通知で、自分のログインかどうかを承認する。パスワードという「知っていること」に、端末という「持っているもの」を組み合わせる方法で、多要素認証と呼びます。画面では「2段階認証」と表示されることもあります。

パスワードが知られても、追加の確認を通らなければログインできません。パスワードだけでログインしているなら、最初にするのはこの設定です。Googleアカウントでは「2段階認証プロセス」、ChatGPTでは「多要素認証（MFA）」という名前で、設定画面から有効にできます。

パスキーが使えるなら、パスキーも設定する

パスキーは、スマートフォンやパソコンに保存された認証用の鍵でログインする方法です。鍵を使うときに、指紋や顔、PINなどで本人であることを確かめます。PINは、端末などで本人確認に使う暗証番号で、サイトに送るパスワードとは役割が違います。

パスキーを勧める理由の一つが、偽サイトへの強さです。本物のログイン画面に似せたサイトへ誘導し、パスワードや確認コードを入力させて盗む手口があります。確認コードによる追加の認証を設定していても、両方を偽サイトに入力すると、不正ログインされるおそれがあります。また、身に覚えのないログインの通知を承認すると、他人のログインを許してしまうおそれがあります。

パスキーは、登録した正規のサイトと結びついています。そのため、偽サイトでは正規のサービスのパスキーを使った認証が成立しません。確認コードのように、利用者が入力して渡すものもありません。

パスキーを登録したあとも、メールアドレスとパスワードでログインできるサービスがあります。偽サイトに強いのは、パスキーでログインしたときです。パスワードだけで入れる状態が残っていれば、パスワードを知った他人はそこから入れます。パスワードでのログインを残す場合は、そちらにも確認コードなどの追加の確認を設定しておきましょう。

筆者のChatGPTでは、パスキーを2つ登録し、パスワードでのログインを止める設定も有効にしています。設定の「セキュリティとログイン」を開くと、「ログイン方法」の欄で、パスワードが「無効」と表示されます。この設定を有効にするときには、回復用のキーを保存するよう求められました。

ChatGPTの設定画面の「ログイン方法」欄。「パスキーとセキュリティキー」が2件登録され、「パスワード」は「無効」と表示されている。パスワードの欄には「アカウントのセキュリティ詳細設定が有効な間は、パスワードでサインインできません」と書かれている
筆者のChatGPTの設定画面（設定＞セキュリティとログイン＞ログイン方法、2026年10月時点）

パスワードだけが漏れた場合と、偽サイトに誘導された場合に分けて、ログイン方法ごとの違いを並べると、表1のようになります。

表1　ログイン方法による不正ログイン対策の違い
パスワードだけパスワード＋確認コード・通知パスキー
パスワードだけが漏れた不正ログインされるおそれがある追加の確認を通れなければログインできない漏れたパスワードでは、パスキーによるログインはできない
偽サイトに誘導されたパスワードを入力すると盗まれるパスワードに加え、コードや承認までだまし取られることがある偽サイトでは、正規のサービスのパスキーによる認証は成立しない

※パスワードでログインできる方法が残っている場合は、その方法に追加の確認が設定されているかも確かめてください。

「Googleでログイン」なら、Google側も確かめる

AIサービスに「Googleでログイン」などのボタンで入っている場合、Google側で本人確認をして、その結果を使ってAIサービスにログインします。

この場合は、Googleアカウント側で、2段階認証が有効になっているか、パスキーを登録しているかを確かめましょう。AIサービスにメールアドレスとパスワードでもログインできる場合は、そちらにも追加の確認が設定されているかを確かめてください。会社で管理しているアカウントなら、使える方法は管理者の方針で決まっていることがあります。

設定を開くときは、普段使っているアプリか、自分で開いた公式サイトから進んでください。「セキュリティ設定を変更してください」というメールのリンクは、偽サイトの入口として使われる典型です。

スマートフォンをなくしても、ログインできますか

認証に使うスマートフォンをなくしたら。機種を変えたら。そのとき別の方法でログインできなければ、自分もアカウントに入れなくなります。AIに任せていた仕事も、その間は止まります。

予備の認証方法や復旧用の連絡先が使えるか、ログインできるうちに確かめておきましょう。バックアップコードを発行した場合は、認証に使う端末をなくしても取り出せる場所に保管してください。復旧に使うコードの名前は、サービスによって「バックアップコード」「回復用のキー」などと異なります。

筆者のようにパスワードでのログインを止めた場合は、パスキーなどのログイン方法をすべて失うと、復旧が難しくなることがあります。止める前に、そのサービスにどんな復旧方法があるかを確かめ、回復用のキーなどを自分で保管できるかを考えてください。

支援先には、こう聞いてみる

「普段、そのAIにはどうやってログインしていますか？」
「パスワードが知られても、他人がログインできない設定になっていますか？」
「認証に使う端末をなくしても、ログインし直せますか？」

一つ目の答えが「Googleで」なら、二つ目と三つ目はGoogleアカウントについても聞きます。

パスワードだけで使っているなら、まず多要素認証の設定を勧めます。パスキーに対応しているサービスなら、パスキーでログインする方法も紹介します。どちらの場合も、端末をなくしたときにログインし直す方法まで確かめておきます。

参考：設定を確かめるための公式情報

※2026年10月21日時点の公式情報を参照。利用できる認証方法や画面の名称は、サービス・端末・会社の管理設定によって変わります。