生成AIは設定を入れても漏れる｜共有リンクと連携先

「利用のルールも作りましたし、管理画面の設定も入れました。これでもう心配はないですよね」「設定を入れた後は、何を見ていればいいのでしょうか」——生成AIの利用を全社に広げた会社から届く相談は、この2つに変わってきました。総務省の令和8年版情報通信白書（2026年7月公表、日本・米国・ドイツ・中国の企業比較）を見ると、日本企業のリスク対策で最も多いのは「全社的な指針やガイドラインを整備している」の41.1%です。ところが「製品・サービス導入後、定期的な評価・検証が行われている」は29.1%、「AIガバナンスツールを導入し、リスク検知や攻撃の防御が行われている」は10.4%にとどまります。入れる工程は進んでいるのに、入れた後を見る工程は半分以下しか置かれていないという形です。設定が甘いという話ではありません。本当は、設定が届く範囲の外側に、設定では閉じない型が3つ残っているのです。この記事では、設定を入れ終えた会社でなお残る3つの型を機序から説明し、運用の側で閉じる手立てを整理します。

設定を入れ終えた会社で、次に何が起きているか

生成AIの情報漏れは、日本企業がいちばん恐れている項目です。令和8年版情報通信白書では、生成AIの活用で懸念されるリスクとして「社内情報の漏洩などのセキュリティリスクがある」を挙げた日本企業が46.4%で最多でした。この懸念に対する手当てとして、全社的な指針やガイドラインの整備が41.1%まで進んでいます。ここまでは順調に見えます。

問題は、その次の工程です。同じ調査で「製品・サービスの企画・導入段階で、専門的な知見から審査する体制がある」は26.1%、「導入後、定期的な評価・検証が行われている」は29.1%でした。米国はそれぞれ52.5%と45.7%、中国は59.0%と51.9%です。入れる工程だけが進み、入れた後に何が残っているかを見る工程が置かれていません。

見る道具も入っていません。「AIガバナンスツールを導入し、リスク検知や攻撃の防御が行われている」は日本10.4%で、米国19.9%、ドイツ20.7%、中国31.4%の半分前後です。さらに「特に実施している施策はない・把握していない」は日本16.3%で、米国1.8%、ドイツ2.2%、中国1.0%とは桁が違います。設定を入れたかどうかではなく、入れた後を見ているかどうかで差が付いているというのが、この記事の出発点です。規模で見ると、差は把握の側に出ます。特に実施している施策はない・把握していないと答えた割合は、大企業13.8%に対して中小企業24.1%でした。検知や防御の道具は大企業11.7%、中小企業6.3%です。設定を入れる工程には規模の差がほとんどなく、入れた後を見る工程に規模の差が出ています。

設定の外に残る3つの型

設定を入れ終えた会社で残るものを、渡し手で分けると3つになります。分ける基準は「誰が情報を外へ動かしたのか」です。この基準にすると、型の名前がそのまま担当の割り振りになります。この基準にすると、なぜ管理画面に現れないのかが同時に説明できます。なお、入力した内容が学習に使われるかどうかは設定で止まる側の話なので、本記事では扱いません。

型	渡し手は誰か	設定が及ぶところ	運用でしか閉じないところ
共有リンクと履歴	過去の自分（配った本人）	新しい共有の作成を止める	すでに配ったリンクと相手の手元の複製
連携先と拡張機能	AI（外から来た文の指示）	つなぐ先と読ませる範囲を絞る	AIが読む材料の中身と修補までの期間
出力の転記	人（画面から写す）	及ばない	写した先と、写したという事実の記録

3つを並べると、共通点がはっきりします。いずれも渡し手が管理画面の外側にいるということです。過去の自分は設定を変えても遡って止められません。AIは自社の管理下にない文章を読みます。人は画面を見て手で写します。だから設定の一覧を見ても、これらの型が動いた跡は1行も出てきません。

この表の使い方は1つです。設定の確認結果を報告するときに、この3行を別枠にして、それぞれ何をしたかを書く様式にする。書けない行があれば、そこが手つかずだと分かります。以下、型ごとに何が起きるのかと、なぜ設定では止まらないのかを見ていきます。

型1 共有リンクと履歴：配ったあとは戻せない

1つ目は、やり取りを共有リンクの形で外に出す型です。2025年7月末から8月にかけて、対話型の生成AIで作られた共有リンクが検索エンジンの結果に並んでいたことが報じられました。米国のビジネス誌の調査で数千件のやり取りが検索結果から見つかり、報じられた内容には家族や友人との関係についての具体的な記述をはじめ、個人が特定されうる情報が含まれていたとされます。提供元の最高情報セキュリティ責任者が短期間の実験だったと説明したうえで、機能の削除と登録済みの内容の削除に着手したと表明しています（2025年8月4日の国内報道）。

この件で起きていたことは2段になっていました。1段目は、共有リンクが「リンクを知っている人は誰でも見られる」状態だという仕様です。2段目は、そのリンクを検索エンジンに載せる選択肢が存在した点でした。利用者の多くはリンクを渡した相手だけが見られると理解していたのに、切り替え1つで対象が公開の範囲まで広がる作りだったことになります。国内報道でも、設定の分かりづらさが原因で意図せず公開状態になっていた可能性が高いと整理されています。

業務での使われ方を思い出すと、この型の広がりが見えてきます。社外の相談相手にやり取りをそのまま見せる、別部署に検討の経緯を渡す、上司に途中の状態を確認してもらう。いずれも会話の中身をまるごと渡す行為です。会話には、資料に書かないつもりだった前提や検討中の数字が入っているため、渡す範囲は資料を渡すときより広くなりがちです。

共有リンクが設定で止まらない理由

機序は単純です。共有リンクは配布物だからです。配布物は、配った後に発行者の手元から性質を変えられません。管理画面で共有の作成を禁止できますが、それはこれから作られるリンクにしか効きません。すでに配ったものは、禁止の設定を入れた瞬間にも生き続けます。

無効化はできます。ただし無効化して消えるのは、そのリンクを開く経路だけです。相手が内容を画面写真で撮っていれば、本文を別の場所に貼り付けていれば、無効化は何も取り消しません。止められるのは今後の閲覧で、すでに読まれた事実と手元の複製は戻らない。この型に事後の対策はほとんどありません。

さらに厄介なのは、誰に配ったのかが発行側に残らない場合があることです。リンクは文字列なので、渡す手段は電子メールでも会話用の道具でも印刷物でもかまいません。発行の記録があっても、配布の記録は残らないという非対称が生じます。だから棚卸しの対象は「発行済みのリンク」になり、「配った相手」は本人の記憶に頼ることになります。ここが後で述べる対策の設計を決めています。

型2 連携先と拡張機能：外から来た指示で持ち出される

2つ目は、AIがつながっている先を通って情報が出ていく型です。ここは他の2つと機序が根本的に違います。渡し手が人ではありません。AIが読んだ文書やメールの中に書かれていた指示が、利用者の指示として扱われるという形で起きます。利用者は何も指示していないのに、手元の情報が外部へ送られます。

これは概念上の懸念ではなく、公的な識別番号の付いた脆弱性として登録されています。業務用の統合AI助手について、2025年6月11日に登録された CVE-2025-32711 は、公式説明で「権限のない攻撃者がネットワーク越しに情報を開示できる」問題だと記述されています。分類は下流に渡す出力の不適切な取り扱い（CWE-74）で、採番機関による深刻度の評価は9.3と重大の区分、国立標準技術研究所の評価は7.5でした。評価の内訳では、利用者の操作を必要としない区分に置かれています。

重要なのは、これが1回で終わっていないことです。ほぼ1年後の2026年6月4日に登録された CVE-2026-42824 も、公式説明は「命令に使われる特殊な要素の不適切な無害化により、権限のない攻撃者がネットワーク越しに情報を開示できる」というものでした。分類はCWE-77、国立標準技術研究所の評価は7.5、採番機関の評価は6.5で、こちらは利用者の操作を1回必要とする区分です。修補が出れば終わる話ではなく、型として続いていると読むのが妥当です。

連携先が設定で止まらない理由

この型で設定が届かないのは、AIが読む材料をこちら側で選べないからです。受信箱を読ませる使い方をしていれば、そこに何が届くかは自社の管理下にありません。共有フォルダを読ませていれば、誰かが置いたファイルもそのまま材料になります。つなぐ先は選べても、つないだ先に何が入ってくるかは選べません。

2つの登録事例の差も、この点を照らしています。2025年のものは利用者の操作を必要としない区分でした。2026年のものは利用者が1回操作する区分です。つまり利用者の注意深さで防げる範囲は、事例によって大きく変わるということになります。「怪しいものを開かない」という教育だけでは、前者の型に対して効きません。

設定で狭められるのは2つです。つなげる先を許可制にすること、読ませる範囲を絞ること。狭めても、修補が公表されるまでの期間は残ります。だからこの型の勘所は、閉じることではなく今つながっている先の一覧を、いつでも出せる状態にしておくことになります。一覧が出れば、告知が出たときに影響範囲を数分で判断できます。出なければ、告知を読んでも自社に関係があるのか分かりません。なお2025年に登録されたものは2026年6月に、2026年に登録されたものは同年7月に記録が更新されています。登録された時点で終わる話ではなく、内容が追記され続けている型だということです。

型3 出力の転記：人が画面から写す

3つ目は、生成された内容を人が別の場所に写す型です。AIの側では何も異常が起きていません。出力までは正常で、そこから先は人の作業です。だから管理画面には最初から現れません。設定の管轄の外にあります。

実務でよく起きるのは3つです。1つ目は、社内限定の前提で書かれた記述が社外向けの資料に移ることです。下書きとして受け取った文章をそのまま提案書に流し込むと、社内向けの言い回しや検討中の条件が一緒に移ります。2つ目は、複数社の資料をまとめて読ませた場合に、A社向けの説明の中にB社の条件が混ざることです。読み手には見分けが付きません。

3つ目は、画面写真での持ち出しです。出力を画像で撮って外部の相手に送る、個人の端末に保存する。写した先が会社の管理下にあるかどうかは、写した本人しか知りません。転記は「漏れ」として認識されないまま行われることが多い点が、この型のいちばん厄介なところです。悪意がないので、当人は報告しません。

転記が設定で止まらない理由

止まらない理由は、設定が扱っている対象の外にあるからです。管理画面が見ているのは、預けた情報を提供元がどう扱うか、そして誰がその入口を使えるか。出力が画面に表示された後の人の行動は、どちらにも含まれていません。技術的に検知できる部分もありますが、白書の数字が示すとおり検知や防御の道具を入れている日本企業は10.4%です。多くの会社では、そもそも見る手立てがありません。

見えないものは、量も分かりません。共有リンクは発行の記録が残る可能性がありますし、連携先は一覧が出せます。転記だけは、起きた回数の見当さえ付かないという状態になります。だから対策の作り方も変わります。全部を捕まえようとするのではなく、写す場を先に絞るという発想が要ります。

止められるのは1つだけです。出力をそのまま社外向けの体裁に流し込む工程を作らないこと。下書きは社内の様式で受け取り、社外向けへの反映は人が行う。手数は増えますが、反映の段で確認が1回入るという構造そのものが効いています。工程を分けておけば、写す場所が限られるので記録も残しやすくなります。

3つに共通する原因：設定は入口の扱いしか見ていない

ここまでの3つを並べ直すと、原因は1つに収まります。管理画面が扱っているのは入口の話で、3つの型はいずれもその後段にあるということです。配った後、つないだ後、表示された後。設定は「入る手前」を制御する仕組みで、「出た後」を追う仕組みではありません。

法令側の書き方も、この見方と一致しています。個人情報保護委員会が2023年6月2日に公表した注意喚起は、利用者に対して「利用規約やプライバシーポリシー等を十分に確認し、入力する情報の内容等を踏まえ、生成AIサービスの利用について適切に判断すること」を求めています。求められているのは切り替えの操作ではなく判断です。操作で済む部分と、判断が要る部分が最初から分けて書かれているということになります。

この整理ができていないと、報告の意味がずれます。「設定を確認したので問題なし」という報告が、実際には何も言っていない場面が出てきます。

• すでに配った共有リンクが何本あり、どこを見ているのか——設定の確認では分からない
• 今つながっている連携先が何件で、誰がいつ追加したのか——設定の確認では分からない
• 先週、誰が出力を社外向けの資料に写したのか——設定の確認では分からない

対策1 配った先を棚卸しする

ここから運用側の手立てに入ります。共有リンクの型は事後の対策がほとんどないため、やることは「今ある発行済みのリンクを止める」と「今後の発行を記録が残る形にする」の2つに絞られます。順番は次のとおりです。

この4つのうち、最初の1つが実質的な分岐点です。一覧が出せる会社は棚卸しができ、出せない会社は発行を止めるしかない。使っている仕組みで対策の形が決まるので、ここを最初に確かめます。なお一覧が出せる場合でも、出せる項目は仕組みによって違います。発行日と発行者までは出るが、開かれた回数は出ないという形もあります。棚卸しの手順を決める前に、何が出せるのかを見ておきます。

対策2 連携を申請制にして定期で見直す

連携先の型は、閉じるのではなく見える状態を保つのが対策になります。申請のときに書かせる項目と、定期の見直しで見る項目を決めておきます。項目は多くしないほうが続きます。

• つなぐ先の名前と、そこに何を読ませ、何を書き込ませるのか
• 読ませる範囲は全部か、指定した場所だけか
• 申請者と、使う予定の期間
• 使わなくなったときに外す担当は誰か
• 前回の見直しからの間に増えた連携はいくつか
• 提供元から修補や注意の告知が出ていないか

見直しの周期は、四半期に1回程度から始めるのが現実的です。頻度より、見直した結果として何件外したかが記録に残ることのほうが効きます。外した件数が毎回0なら、見直しが形だけになっている合図です。

読ませる範囲の項目は、特に落としやすいので順番を上に置いています。受信箱の全部を読ませているのか、指定のフォルダだけなのかで、外から材料を入れられる余地が大きく変わります。つなぐ先を数えるだけでなく、読ませる範囲まで一緒に記録すると、告知が出たときの判断が速くなります。見直しの記録は、外した件数と読ませる範囲を変えた件数の2つで足ります。

対策3 転記の跡を1行で残す

転記の型は量が見えないので、全部を捕まえる設計にすると必ず崩れます。残すのは3つだけにします。いつ、どの出力を、どこに写したか。1行で足ります。目的は監査ではなく、後で追えるようにすることです。

そのうえで、写す場を工程として絞ります。社外向けの資料に反映する作業を、下書きの受け取りとは別の工程に分ける。分けておけば、記録を書く場所も1か所に決まります。記録が続かないときは、記録の項目を減らすより、写す場を絞るほうを先に直します。記録の置き場も、写す工程のすぐ近くに置きます。別の場所に置くと、開くという手間が1つ増えて続かなくなります。

• 社外向けに写した場合は、固有名詞と数値だけを抜き出して照合する作業を同じ工程に入れる
• 複数社の資料をまとめて読ませた出力は、写す前に相手先が混ざっていないかを見る
• 画面写真での持ち出しは記録に残らない。写す必要がある場面を洗い出し、代わりの渡し方を用意する

この型だけは、気づける場所を別に作っておく価値があります。誤って外に出た内容が最初に届く先を1つ決めておく。問い合わせ窓口でも担当者の受信箱でもかまいません。気づく場所がないと、同じ写し方が繰り返されます。

3つの型に、それぞれ担当を1人置く

3つの型は見る場所がまったく違います。共有リンクは発行の一覧、連携先は接続の一覧、転記は工程の記録。同じ人がまとめて見る形にすると、いちばん面倒な1つが後回しになります。型ごとに担当を1人置くほうが、実際には回ります。

白書では「AIガバナンスの取組を推進する部署や責任者が明確になっている」と答えた日本企業は35.9%でした。米国44.9%、ドイツ49.6%、中国58.4%と比べて低い水準です。責任者が決まっていない状態で設定だけを固めても、次に連携が増えたときや人が替わったときに元へ戻ります。設定は一度で終わるが、棚卸しは続けないと意味がないためです。

担当の選び方は役職ではありません。その型の一覧を出せる人に置きます。共有リンクの一覧を出せる人、接続の一覧を出せる人、写す工程を見ている人。複数人で見る取り決めにすると、全員が誰かが見ていると考えて、結果として誰も見なくなります。1つの型に1人、と決めるほうが確認は残ります。

判定そのものをAIに任せない

この3つの型について、判定をAIに任せる仕組みは作れますが、答えとして採用してはいけません。「この共有リンクは社外に出しても大丈夫か」「この連携先は安全か」は、業務の文脈と相手との取り決めで決まります。同じ内容でも案件によって答えが変わるため、文面だけを見た判定は根拠になりません。

現実的な使い方は、候補出しに留めることです。この出力には取引先名が含まれる、この数値は公表前の可能性がある、この連携先は読ませる範囲が広い、といった指摘を出させ、根拠になった箇所を必ず示させます。根拠の箇所を示せない指摘は採用しないという運用にすると、人が見る量は目に見えて減ります。判断は人が残します。

そのうえで、人が確認する範囲を先に決めておきます。全部を見るのは続かないので、社外に出るもの、個人情報を含むもの、公表前の数値を含むものの3つに絞る、といった線引きをします。範囲を決めた時点で、範囲の外で何が通ってしまうのかを書き残しておくと、後で範囲を広げるかどうかの判断が楽になります。

よくある質問

共有リンクを無効にすれば、見られた内容は取り消せますか

取り消せません。無効化で止まるのは、そのリンクを開く経路だけです。すでに読まれた事実は残り、相手が画面写真を撮っていたり本文を別の場所に貼り付けていれば、その複製も残ります。事後の手立てが乏しい型なので、発行の段で記録を残しておくことが実質的な対策になります。

連携先を全部禁止するのが安全ですか

安全ではありますが、禁止だけでは長く続きません。業務で必要な連携が禁止されていると、別の入口が使われるようになります。現実的なのは、つなげる先を申請制にして、読ませる範囲を指定した場所だけに絞る形です。全部を禁止するより、一覧を出せる状態を保つほうが、告知が出たときの判断が速くなります。

転記の記録は監査のために必要なのですか

監査のためではありません。後で追えるようにするためです。誤った内容が外に出たときに、どの出力がどこへ写ったのかが分からないと、調べる範囲が全社に広がります。1行の記録があれば、調べる先が数件に絞れます。記録の目的をここに置くと、項目を増やしたくなる誘惑が減ります。

3つの型のうち、どれから手を付けるべきですか

共有リンクからです。理由は2つあります。事後の手立てがほとんどないため、放置している期間がそのまま損になること。そして、発行済みの一覧を出す作業が半日で終わることです。連携先は申請の様式づくりに時間がかかり、転記は工程の見直しを伴います。所要時間の短い順に着手すると、着手した日に成果が出ます。

設定を見直せば、この3つも閉じられますか

閉じられません。設定は入る手前を制御する仕組みで、3つの型はいずれも出た後の話です。設定を見直す価値はありますが、見直した結果としてこの3つが閉じたかどうかは管理画面には現れません。だから確認の様式に3つの型を別枠で書く欄を作り、設定の確認とは分けて報告する形にしておく必要があります。

まとめ

管理設定を入れ終えた会社でなお残るのは、3つの型です。すでに配った共有リンクと履歴、つないだ連携先と拡張機能、そして人が画面から写す転記。渡し手はそれぞれ過去の自分、AI、人であり、いずれも管理画面の外側にいます。だから設定の一覧をどれだけ丁寧に確認しても、これらの型が動いた跡は1行も出てきません。連携先の型については、2025年6月と2026年6月に1件ずつ、情報を開示させる問題として公的な識別番号が付いています。修補を待つ姿勢ではなく、つながっている先の一覧をいつでも出せる状態にしておくことが対策の中心になります。

閉じ方は設定ではなく運用に置きます。共有リンクは発行済みの一覧を出して用途の終わったものを止め、今後の発行に発行者と相手と目的を残す。連携先は申請制にして、つなぐ先と読ませる範囲を記録し、四半期ごとに見直して外した件数を残す。転記は写す場を工程として絞り、いつ、どの出力を、どこに写したかを1行で残す。いずれも共通の前提は「一覧が出せるか」で、出せない仕組みを使っている型については止める側に寄せるという判断になります。

そして、型ごとに担当を1人置くこと。日本企業で推進部署や責任者が明確になっているのは35.9%で、設定を入れても棚卸しが続かないのはここに原因があります。判定そのものはAIに任せず、指摘は候補出しに留め、根拠の箇所を示せないものは採用しない。人が確認する範囲は、社外に出るもの、個人情報を含むもの、公表前の数値を含むものに先に絞る。整備が41.1%まで進んだ一方で導入後の評価・検証が29.1%にとどまるという差は、この続ける工程が置かれていないことの表れです。設定を増やすより、入れた後を見る欄を1つ作るほうが効きます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。