開発会社の担当者がAIに本番データを貼り付けていた…発覚した日にやる初動5ステップと、再発を防ぐ取り決め

2026年10月10日2026年10月12日

「開発会社の担当者が、不具合調査のために本番データをAIに貼り付けていた」。報告を受けた直後は、頭が真っ白になるものです。怒りたい気持ちと、今すぐ何をすればいいのかという焦りが同時に来ます。

「開発会社の担当者がAIに本番データを貼り付けてしまっていた。どう対応すればいいのか分からない」

先に結論をお伝えします。最初の1日でやることは「責めること」ではなく、「何が・どこへ・どのくらい出たかの事実確認」と「止める」ことの2つです。そのうえで、貼り付けられたのが個人情報だったかどうかで、その後の対応が大きく分かれます。

この記事では、AIツールへの貼り付けが発覚した日に発注者が行う初動5ステップと、開発会社に確認する質問、再発を防ぐ取り決めを、2026年10月時点の公開情報をもとに整理します。なお、事前のルール作りについては開発会社のAIツールに入れてはいけない情報の決め方で解説しています。この記事は「すでに起きてしまった後」の対応編です。

まず落ち着いて確認したい「貼り付けられたデータは、どうなるのか」

「AIに貼ったデータは、全部どこかに流出して他人に見られる」と考えてしまいがちですが、実際は使っているAIサービスの種類と契約内容によって扱いが変わります。ここを確認するだけで、対応の重さが大きく変わります。

たとえばAnthropicのClaude Codeの公式ドキュメント（執筆時点：2026年10月）では、次のように説明されています。

📰 出典：Anthropic「Data usage」（Claude Code Docs）

個人向けプラン（Free・Pro・Max）では、モデル改善への利用を許可する設定がオンだと、入力内容が将来のモデルの学習に使われることがあります。保持期間も、許可している場合は5年、許可していない場合は30日と案内されています。
法人向けの契約（Team・Enterprise・API など）では、原則として入力内容でモデルを学習しないと案内されています。保持期間は標準で30日で、ゼロデータ保持（サーバーに残さない）が使える場合もあります。

ここで大切なのは、担当者が「会社契約のAI」を使っていたのか、「個人契約のAI」を使っていたのかです。同じAIでも、個人契約で学習オンのまま使っていた場合は、扱いが重くなります。他社のAIサービスでも、プランごとに規約が違うのが一般的です。

つまり初動の最初の仕事は、「何を貼ったか」と同じくらい「どのサービスの、どの契約で貼ったか」を確かめることです。

発覚した日にやる初動5ステップ

ステップ1：貼り付けを止め、記録を残す

まず、同じ使い方を続けていないかを確認し、必要なら開発会社に利用の一時停止を依頼します。あわせて、AIとのやり取りの履歴（チャットのログ）を消さずに保存してもらいます。何が出たのかを調べる唯一の手がかりになるためです。担当者が焦って履歴を消してしまうと、被害の範囲が分からなくなります。

ステップ2：何を貼ったのかを、事実だけ聞き取る

次の項目を、責めずに、事実として聞き取ります。

確認すること	見るポイント
何のデータか	個人情報（氏名・住所・メール・電話番号など）が含まれるか。認証情報（パスワード・APIキー）は含まれるか
何件分か	数件か、数千件か。何人分の個人が特定できるか
いつ貼ったか	1回だけか、継続していたか
どのAIか	サービス名、会社契約か個人契約か、学習利用の設定は何か
誰が見られる状態か	共有リンクを作っていないか。チームの他の人にも見える設定か

ステップ3：認証情報が含まれていたら、先に変更する

貼り付けたデータにパスワードやAPIキーが混じっていた場合は、個人情報の整理よりも先に、それらを無効にして新しいものに変更します。これは開発会社の作業ですが、発注者側で「いつ完了したか」を確認してください。変更は数時間で終わることも多く、被害の拡大を止める効果が大きい作業です。

ステップ4：AIサービス側のデータ削除や設定変更を依頼する

履歴を保存したうえで、AIサービス側の設定を見直します。

学習への利用をオフにする（個人契約の場合）
該当の会話を削除する、または削除を申請する
法人契約なら、サービス事業者のサポートに削除の可否を問い合わせる

ただし、削除してもすでに保持されたデータが完全に消えるとは限りません。「削除したから安心」とは考えず、削除の可否と保持期間の回答を文書で受け取っておくのが安全です。

ステップ5：個人情報が含まれていたら、報告の要否を専門家と判断する

貼り付けられたデータに個人情報が含まれていた場合、個人情報保護法の「漏えい等」にあたるかどうかの判断が必要になります。ここは個別の事情で判断が分かれるため、一般論にとどめます。

個人情報保護委員会は、委託先で個人データが漏えいした場合の対応についてFAQを公開しています。

📰 出典：個人情報保護委員会「委託先において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか」

専門家の解説などでは、一定の場合（要配慮個人情報が含まれる、財産的な被害のおそれがある、不正の目的によるおそれがある、1,000人を超える、など）に委員会への報告が義務になり、速報はおおむね3〜5日以内、確報は原則30日以内とされています（執筆時点。正確な要件と期限は委員会の公式ページで必ず確認してください）。また、委託先と委託元の双方に報告の義務が生じうるため、発覚した日から、社内の個人情報の責任者や顧問の弁護士に連絡を取ることをおすすめします。

もう1つ押さえたいのが、委員会が2023年6月に出した、生成AIサービスの利用に関する注意喚起です。

📰 出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」

この注意喚起では、事業者が生成AIに個人情報を含むプロンプトを入力する場合に、利用目的の達成に必要な範囲かを確認することや、本人の同意なく個人データを入力しないこと、入力した情報が機械学習に使われないことを確認することなどが求められています。今回のケースを振り返る際の物差しになります。