ChatGPTの情報漏洩対策｜学習オフで足りない4つの理由

ChatGPTの学習設定をオフにすれば情報漏洩は防げるのか。答えは「必要だが、それだけでは足りない」です。

学習の停止は個人向けプランでも設定ひとつで可能です。しかし個人向けのままでは埋まらない差が4つ残ります。データの保管場所、第三者認証、管理者による統制、そして契約です。

この記事では各社の公式情報と、2026年7月に公布された改正個人情報保護法をもとに、確認すべき項目を整理します。

本記事は2026年8月時点の各社公式情報に基づきます。この領域は仕様変更が速いため、設定前に公式ページをご確認ください。

まず確認する5項目

先に結論です。以下の5項目を上から確認してください。

#	確認項目	確認場所
1	誰がどのプランで使っているか把握できているか	社内の利用実態
2	学習設定はオフか	設定 → データコントロール
3	音声記録・動画記録のトグルもオフか	同上（別項目）
4	入力する情報に個人情報が含まれるか	業務内容
5	含まれる場合、利用目的と本人同意の範囲内か	社内規程・同意書

1〜3で止まっている企業が大半です。 しかし個人情報を扱うなら、4と5が本題になります。

4以降で引っかかる場合、設定の変更だけでは対応しきれません。理由を順に説明します。

プランごとにデータの扱いが違う

入力内容が学習に使われるかは、契約プランで決まります。

OpenAIの公式ヘルプでは、ChatGPTなどの個人向けサービスについて、コンテンツがモデルのトレーニングに使用されることがあると説明されています。公式の料金ページでも、無料版・Go・Plus・Proのすべてで「無効化可能」と記載されています。

法人向けは扱いが異なります。ChatGPT Business、Enterprise、APIについては、入力や出力をモデルのトレーニングに使用しないと明記されています。

プラン区分	対象	学習への利用
個人向け	無料版 / Go / Plus / Pro	既定で利用される（設定で無効化可能）
法人向け	Business / Enterprise / API	既定で利用されない

この構造はChatGPTに限りません。Anthropicの公式プライバシーセンターでも、消費者向け製品と商用製品で扱いが分かれています。

学習をオフにしても見落とす3つの設定

設定をオフにしたつもりでも、漏れが残ります。

1. 音声記録と動画記録は別のトグル

メインの設定とは別に、「音声記録を含める」「動画記録を含める」という項目があります。

画面の説明によれば、文字起こしやファイルはメインの設定の対象です。しかし音声モードの音声と動画の記録は、別のトグルで管理されています。

音声入力を使うなら、この2つも必ず確認してください。

2. フィードバックを送ると会話全体が対象になる

公式ヘルプには、オプトアウトしてもフィードバックは提供できると書かれています。ただしそのフィードバックに関連する会話全体が、トレーニングに使用されることがあると明記されています。

回答への「良い回答」「良くない回答」の押下がこれにあたります。業務のやり取りでは押さない運用が無難です。

3. 設定名がヘルプと実画面で違う

公式ヘルプの名称は「すべての人のためにモデルを改善する」です。しかし実際の画面には「モデル改善に協力する」と表示されていました。

名称で探すと見つかりません。設定 → データコントロールという場所で覚えてください。

なお「端末ごとに設定が必要」という説明を見かけますが、公式FAQではデバイスに関係なくアカウント全体に適用されると説明されています。個別の設定は不要です。

プロンプトに何を入力してよいかは、プロンプトの書き方でも扱っています。

学習を止めても残る法律上の論点

設定では解決しない論点が2つあります。

入力前に「利用目的の範囲内か」を確認する

個人情報保護委員会は2023年6月2日、生成AIサービスの利用に関する注意喚起を公表しています。

そこでは個人情報取扱事業者に対し、次を求めています。生成AIに個人情報を含むプロンプトを入力する場合、特定された利用目的の達成に必要な範囲内かを十分に確認すること。

採用のために取得した履歴書を、無関係な分析にAIへ入力する場合を考えてください。学習設定に関係なく、目的外の取扱いに近づきます。

同じ注意喚起では、提供事業者が当該個人データを機械学習に利用しないことの確認も求めています。学習のオフは、この点に対応する措置です。前段の利用目的は、設定では解決しません。

外国にある第三者への提供

OpenAIもAnthropicも米国の企業です。個人データを外国の事業者に移転する場合、個人情報保護法28条の規制が問題になります。

実務上は本人同意が現実的でないため、データ処理契約などで基準適合体制を整備する整理が取られることがあります。

この評価は法的判断を含むため、当社は断定を避けます。ただし論点として存在すること、そして学習設定とは無関係に残ることは確かです。個人情報を扱う場合は専門家への確認をおすすめします。

2026年7月に改正個人情報保護法が公布された

個人情報保護委員会によれば、改正法は令和8年7月10日に可決・成立し、7月17日に公布されました。一部を除き、公布日から起算して2年以内で政令で定める日から施行されます。施行日は現時点で未定です。

閣議決定時の発表によれば、改正には課徴金納付を命ずる制度の新設が含まれます。個人情報の違法な取扱い等によって財産上の利益を得た場合が対象です。

改正法が生成AIへの入力を新たに規制するわけではありません。ただし違法な取扱いへの制裁は重くなります。

個人プランと法人プランの本当の差

「法人プランなら学習に使われないから安全」という説明は、論点がずれています。

学習の停止は個人プランでも可能です。学習だけを見るなら、設定を加えれば足りてしまいます。

法人プランを検討する理由は統制と契約と保管場所です。ChatGPTの公式料金ページの機能比較を見ると、「セキュリティと管理」の項目は個人向けがすべて非対応でした。

項目	個人向け	法人向け
モデル学習への利用	無効化可能	既定で対象外
データレジデンシー（日本を含む）	なし	あり
SOC 2 Type 2	なし	あり
ISO 27001・27017・27018・27701	なし	あり
管理コンソール・メンバー一括管理	なし	あり
SAML SSO / SCIM / IP許可リスト	なし	あり
Compliance API ログ	なし	あり

とくに前章の論点に効くのがデータレジデンシーです。法人向けでは米国・EU・英国・日本などを指定できます。個人向けにこの項目はありません。

もうひとつの差は統制です。個人プランでは、誰がどんな設定で使っているかを管理者が確認できません。 社内ルールで学習オフを定めても、実際にオフにしたか確かめる手段がない。退職時のアカウント回収もできません。

当社も個人情報を扱う事業者として、この点は運用上の前提にしています。

費用がネックなら確認したい2制度

法人プランのコストが理由で踏み切れない場合、先に確認する価値のある制度が2つあります。

1. 非営利団体向けの割引。ChatGPTの公式FAQには OpenAI for Nonprofits という制度が記載されています。非営利団体はBusinessまたはEnterpriseを最大75%割引で利用できます
2. 補助金。AIツールの導入は、要件を満たせば補助対象になる場合があります。対象可否は制度と申請内容で変わるため、公募要領での確認が必要です

---

参考

以下はすべて2026年8月19日に確認しました。仕様や制度は変更される場合があります。

• OpenAI Help Center「モデルのパフォーマンスを向上させるためのデータの使用方法」
• OpenAI Help Center「データコントロールに関する FAQ」
• OpenAI「ChatGPT のプラン」（料金ページ・機能比較表およびFAQ）
• Anthropic Privacy Center「How long do you store my data?」（2026年7月1日更新）
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日）
• 個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律』の公布について」（2026年7月17日）
• 個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律案』の閣議決定について」（2026年4月7日）