社員が生成AIを使って作った社内アプリを調べてみたら、顧客の氏名や電話番号が入っていた。慌てて公開を止めたものの、「これで終わりにしていいのか」「どこまで調べればいいのか」が分からない。AIで手軽にアプリが作れるようになった今、情シス兼任の担当者や経営者からよく聞く困りごとです。
「社員がAIで作ったアプリに顧客情報が入っていた。公開をやめさせたあと、どう後始末すればいいのか分からない…」
先に結論をお伝えします。公開を止めるのは後始末の「最初の一歩」で、ここで終わりではありません。次にやるべきなのは、①記録を消さずに残す、②何がどこまで入っていたかを調べる、③誰が見られる状態だったかを確かめる、④法律上の報告や本人への通知が必要かを判断する、⑤コピーを含めて消す、⑥今後どうするかを決める、の6つです。特に、慌ててアプリやデータを丸ごと削除してしまうと、「誰にも見られていない」と確かめる材料まで消えてしまうので注意が必要です。
この記事では、社員作成のAIアプリ（いわゆる「バイブコーディング」＝AIに話しかけながらアプリを作るやり方で作ったものを含みます）に個人情報が入っていたと気づいたときの後始末を、順番に解説します。そのまま使えるチェックリストと開発会社への質問例も添えています。
※ 本記事は2026年11月時点の一般的な考え方の紹介です。個別の事案で報告が必要かどうかは、個人情報保護委員会や弁護士などの専門家に確認してください。
AIで作ったアプリの後始末が難しい3つの理由
まず、なぜ「公開を止めただけ」では足りないのかを押さえておきましょう。開発会社が作ったシステムと違い、社員がAIで作ったアプリには特有の事情があります。
理由1：データの置き場所が1か所ではない
AIでアプリを作る過程では、データがいろいろな場所に残ります。
- アプリ本体と、アプリを動かしているホスティング（＝アプリを置いて公開するサービス）
- アプリが使っているデータベースや、表計算ソフトのファイル
- AIツールとの会話の履歴（「このCSVを読み込んで」と貼り付けた内容など）
- 作った社員のパソコンや、個人のクラウドストレージ
- 書き出したCSVファイルや、自動で作られるバックアップ
公開を止めても、これらのコピーは残ったままになっていることがあります。
理由2：作った本人も全体を把握していないことがある
AIに任せて作った場合、作った社員自身も「データがどこに保存されているか」「誰に見える設定になっているか」を正確には把握していないことが珍しくありません。本人に悪気がなくても、聞いただけでは全体が分からないのです。
理由3：「見られる状態だった」と「見られた」は別の問題
アプリが「URLを知っていれば誰でも見られる」設定だった場合、実際に誰かが見たかどうかは、アクセスの記録（ログ）を調べないと分かりません。この違いは、次に説明する法律上の判断にも関わります。
公開を止めたあとにやる後始末の6ステップ
ステップ1：記録を消さずに残す（すぐ削除しない）
最初にやるべきことは、アプリやデータを削除する前に、状態を記録しておくことです。
- アプリの公開設定・共有設定の画面を保存する（いつから、誰に見える設定だったか）
- ホスティングのサービスのアクセスログ（＝いつ・どこから見られたかの記録）を書き出す。保存期間が短いサービスもあるので、早めに確認する
- アプリを作った時期、公開した時期、止めた日時をメモする
ログは「誰にも見られていない」ことを示す数少ない材料です。削除するのはステップ5まで待ちましょう。
ステップ2：何が・何件入っていたかを調べる
次に、アプリに入っていた情報の中身を確認します。法律上の判断にも、本人への説明にも必要になります。
| 確認すること | 例 |
|---|---|
| どんな項目か | 氏名・電話番号・メールアドレス・住所・購入履歴 |
| 何人分か | 1,000人を超えるかどうか |
| 特に配慮が必要な情報か | 病歴・健康診断の結果など（要配慮個人情報） |
| お金の被害につながる情報か | クレジットカード番号、ログインIDとパスワードの組み合わせ |
| どこから持ってきたか | 顧客管理システムから書き出したCSV など |
元のデータをどこから持ち出したかも確認しておくと、ステップ6の再発防止に役立ちます。
ステップ3：誰が見られる状態だったかを確かめる
公開範囲によって、事態の重さは大きく変わります。
- 社内の決まったメンバーだけがログインして使う状態だったのか
- 社内なら誰でも見られる状態だったのか
- URLを知っていれば社外の人でも見られる状態だったのか
社外から見られる状態だった場合は、ステップ1で残したアクセスログを見て、社外からのアクセスがあったかを確かめます。ログの見方が分からない場合は、開発会社やITに詳しい外部の専門家に調査を頼むのが確実です。
ステップ4：法律上の報告・本人への通知が必要かを判断する
個人情報保護法では、一定の場合に、個人情報保護委員会への報告と本人への通知が義務になっています。
📰 出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」
個人情報保護委員会によると、民間事業者で報告が必要になるのは、主に次の4つのいずれかに当たる漏えい等（＝漏えい・滅失・毀損）です。「おそれ」がある段階でも対象になります。
- 要配慮個人情報（病歴など）が含まれる
- 財産的被害（お金の被害）が生じるおそれがある（クレジットカード番号など）
- 不正の目的で行われたおそれがある（不正アクセス、従業者による持ち出しなど）
- 1,000人を超える本人に関わる
報告は、発覚してから速やかに行う「速報」（目安は3〜5日以内）と、原則30日以内（不正の目的のおそれがある場合は60日以内）の「確報」の2段階です。報告の対象になる場合は、本人への通知も必要になります。
📰 出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
一方で、同じガイドラインでは、第三者に閲覧されないうちにすべて回収した場合は「漏えい」に当たらないという考え方も示されています。だからこそ、ステップ1・3のログが重要になるのです。
ただし、自社の事案がどれに当たるかは、データの中身や公開の状況によって変わります。期限があるので、迷ったら早めに個人情報保護委員会の相談窓口や弁護士に相談しましょう。「社内アプリだから関係ない」と自己判断しないことが大切です。
ステップ5：コピーを含めて消し、消したことを記録する
調査と判断が済んだら、データを消します。理由1で挙げた置き場所を一つずつ確認しましょう。
- ホスティングのサービス上のアプリとデータベース
- AIツールの会話履歴やアップロードしたファイル（ツールの設定で削除できるか確認する）
- 作った社員のパソコン、個人のクラウドストレージ、書き出したCSV
- 自動で作られたバックアップ
作った社員と一緒に画面を見ながら確認すると、漏れが少なくなります。消した日時・場所・確認した人を記録に残しておくと、後から説明を求められたときに役立ちます。
ステップ6：アプリを今後どうするかと、再発防止を決める
最後に、アプリそのものをどうするかを決めます。業務に役立っていたアプリなら、ただ禁止するのではなく、選択肢を検討しましょう。
- 個人情報を使わない形（ダミーデータや社内の番号だけ）に作り直して使い続ける
- 個人情報を扱う必要があるなら、開発会社に正式なシステムとして作り直してもらう
- 使われていなければ、そのまま廃止する
あわせて、社員がAIでアプリを作るときのルール（届け出、使ってよいデータの範囲、公開前の確認）を決めておくと再発を防げます。社員作成アプリの管理の決めごとは、次の記事で詳しく解説しています。
開発会社や専門家に頼めること・頼むときの注意
社内だけで調べきれない部分は、開発会社やセキュリティの専門会社に頼むことができます。
| 頼めること | 内容 |
|---|---|
| ログの調査 | 社外からのアクセスの有無、いつ・どこから見られたか |
| データの所在の調査 | アプリのコードや設定から、データの保存先を洗い出す |
| 安全な作り直し | ログイン・権限の設定、個人情報の扱いを含めた正式なシステム化 |
頼むときは、次の点に注意しましょう。
- 社員が作ったアプリは、開発会社にとって初めて見るものです。調査は通常の保守の範囲外になることが多いので、作業範囲と費用を先に確認する
- 調査のために開発会社にデータを見せる場合は、秘密保持契約（NDA）の範囲を確認する
- 急ぎの場合でも「何を調べてほしいか」を文章で伝える（報告期限から逆算した日程も伝える）
やりがちな失敗
- すぐに全部削除してしまう：見られていないことを確かめる材料（ログや設定）まで消えてしまいます
- 作った社員を強く責める：本人が萎縮すると、データの置き場所など大事な情報が出てこなくなります。まずは事実の確認を優先しましょう
- 「社内だけだから大丈夫」と思い込む：実際には社外から見られる設定だったということもあります
- 報告の期限を過ぎてしまう：調査に時間がかかっても、速報は早めに出す必要があります
発注者・担当者がやること チェックリスト
- ☐ アプリやデータを削除する前に、公開設定とアクセスログを保存した
- ☐ 入っていた情報の項目・件数・要配慮個人情報やカード番号の有無を確認した
- ☐ 公開範囲（社内限定／社内全員／社外からも見られる）を確認した
- ☐ 社外から見られる状態だった場合、アクセスログで社外からのアクセスの有無を確かめた
- ☐ 報告・本人通知が必要かを、個人情報保護委員会や専門家に確認した（期限に注意）
- ☐ AIツールの会話履歴・個人のパソコン・バックアップを含めてデータを消し、記録を残した
- ☐ アプリを作り直す・廃止するを決め、社員作成アプリのルールを見直した
開発会社への質問例
- 「社員が作ったアプリのアクセスログを調べて、社外からのアクセスがあったか確認していただけますか。費用と、どのくらいの日数がかかりますか」
- 「このアプリのコードと設定から、データが保存されている場所をすべて洗い出していただけますか」
- 「ホスティングのサービスのログは、どのくらいの期間残っていますか。消える前に保存しておく方法を教えてください」
- 「このアプリを個人情報を扱える形で正式に作り直す場合、ログインや権限の設定はどう考えればよいですか」
- 「調査のためにデータをお見せする場合、今の秘密保持契約の範囲で問題ありませんか」
まとめ：止めたあとは「残す・調べる・判断する・消す」の順で
社員がAIで作ったアプリに顧客情報が入っていたと分かったら、公開を止めたあとに次の順番で進めましょう。
- 記録（公開設定・アクセスログ）を消さずに残す
- 何が・何件入っていたか、誰が見られる状態だったかを調べる
- 報告・本人通知が必要かを、期限を意識して専門家に確認する
- コピーを含めて消し、消したことを記録する
- アプリを今後どうするか、再発防止のルールを決める
AIでアプリを作ること自体は、業務を良くする大きな力になります。今回の件を「禁止」で終わらせず、安全に作れる仕組みづくりにつなげていきましょう。
あわせて読みたい関連記事
