ChatGPTのセキュリティ設定を徹底解説｜安全に使う手順と企業の運用ルール

ChatGPTを業務で使うほど、入力した情報が外部に漏れないか、AIの学習に使われないかという不安が大きくなります。結論として、ChatGPTは「モデルの改善」をオフにする学習停止設定、二要素認証、法人プランの選択という3つの軸を押さえれば、リスクを大きく下げられます。

ただし、設定を変えただけでは守りきれません。過去データの扱いや退職者アカウントの管理、入力してはいけない情報のルール化まで含めて、「設定」と「運用」の両輪で整えます。

この記事では、個人でまず行うべき基本設定から、法人利用で押さえるべき管理機能、そして組織として徹底すべき運用ルールまでを順を追って解説します。実際にセキュリティと活用を両立させた企業の取り組みは生成AI活用事例集でも確認できます。

弊社では、ChatGPTの安全な運用に役立つ資料を配布しています。適切なルール設計や組織体制、リスク管理などが分かります。情報漏洩やガバナンス違反など、トラブルを防ぐ社内体制を整えるノウハウを知れますので、ぜひご覧ください。

ChatGPTのセキュリティ設定でまず行う3つの基本設定

ChatGPTのセキュリティ設定は、「モデルの改善（学習）をオフにする」「一時的なチャットを使う」「二要素認証を有効にする」の3つがまず押さえるべき基本です。​ いずれも設定画面から数分で完了し、個人利用でも即座に効果があります。

「モデルの改善」をオフにして学習を止める

操作手順はデバイスで少し異なります。PCブラウザ版は画面右上のアカウント名（またはプロフィールアイコン）をクリックし、「設定（Settings）」→「データコントロール（Data controls）」を開きます。スマホアプリ版は画面右下（Android は右上）のアカウントアイコンをタップし、「データコントロール」に進みます。開いた画面で「すべての人のためにモデルを改善する（Improve the model for everyone）」のスイッチをオフにします。これで、以降に入力した内容がモデルの学習・改善に使われなくなります。チャット履歴は残したまま、学習だけを止められます。

一時的なチャットで履歴を残さない

機密性の高い相談を単発で行いたいときは、「一時的なチャット（Temporary Chat）」を使います。この機能では会話が履歴に残らず、学習にも使われません。継続的な会話が不要な作業では、一時チャットを既定の使い方にすると安全性が高まります。

二要素認証（2FA）でアカウントを保護

学習設定と並んで重要なのが、アカウントそのものの保護です。設定画面のセキュリティ項目から二要素認証（2FA）を有効にすると、パスワードが漏れても第三者のログインを防ぎやすくなります。業務アカウントでは、2FAの有効化を必須ルールにしておきます。

過去の入力データも学習させたくない場合の対応

​学習オフの設定は「以降の会話」にのみ適用されるため、過去の入力まで学習対象から外したい場合は、別途オプトアウト申請が必要です。​ ここを理解していないと、対策したつもりでも過去データが残ります。

プライバシーポータルからオプトアウト申請を行う

過去・将来のデータを含めて学習利用を拒否したい場合は、OpenAIのプライバシーポータル（User Content Opt Out）から申請します。申請にはメールアドレスと、組織で契約している場合は組織IDが必要です。設定画面のトグルよりも広い範囲で学習利用を止められます。

設定後も最大30日間はデータが保持される

学習をオフにしても、不正利用の監視を目的として、入力データは最大30日間サーバー側に保持される場合があります。完全に痕跡を残したくない機密情報は、そもそも入力しない運用と組み合わせます。

履歴削除は学習停止にはならない

チャット履歴の削除は、あくまで自分の画面から会話記録を消す操作です。「モデルの改善」がオンのままだと、履歴を消しても入力内容が学習に使われる余地は残ります。学習を止めたいときは、履歴削除ではなくデータコントロールの設定を確認します。

法人利用で押さえるべきChatGPTのセキュリティ設定

​企業で安全にChatGPTを使うなら、デフォルトで学習利用がオフになるChatGPT BusinessまたはEnterpriseの導入が最も確実です。​ 個人プランは設定を各自に依存するため、設定漏れのリスクが構造的に残ります。

Business・Enterpriseはデフォルトで学習に使われない

ChatGPT BusinessプランとEnterpriseプランは、入力データが初期設定でモデル学習に使われません。従業員一人ひとりに設定を任せる必要がなくなるため、設定漏れによる情報流出のリスクを組織単位で抑えられます。

SSO・監査ログ・管理コンソールで一元管理する

Enterpriseプランでは、SSO（シングルサインオン）による認証強化、監査ログによる利用状況の可視化、管理コンソールでのアカウント一元管理が可能です。誰がいつ何に使ったかを追跡できる体制は、インシデント対応と内部統制の両面で有効です。

API利用時のデータの扱い

API経由でChatGPTを利用する場合、入力データは初期設定でモデルの学習に使われません。社内システムに組み込む形で利用するときも、データの取り扱い条件を確認したうえで設計すると安全です。

なぜセキュリティ設定が必要か｜企業が直面する3つのリスク

​セキュリティ設定を怠ると、機密情報の漏えい、退職者アカウントの放置、なりすましによる不正利用という3つのリスクが現実化します。​ いずれも一度発生すると事業に大きな影響を与えます。

機密情報がモデル学習に取り込まれる

学習設定をオフにしないまま顧客情報や未公開の経営情報を入力すると、それらがモデル改善に利用される可能性を排除できません。一度学習に取り込まれた情報を完全に取り消すことは難しく、入力前の設定管理がリスク低減の起点になります。

退職者アカウントの放置

退職した従業員のアカウントが削除されずに残っていると、社外から社内情報にアクセスされる経路になりかねません。アカウントの発行と削除を管理台帳で運用し、入退社に連動して権限を更新する仕組みが必要です。

なりすまし・不正利用

パスワードの使い回しやフィッシングによってアカウントが乗っ取られると、業務情報の閲覧やなりすましに悪用されます。二要素認証の徹底と、偽サイト・偽アプリへの注意喚起をあわせて行います。

設定だけでは防げない｜組織で徹底すべき運用ルール

​設定変更に加えて、入力禁止情報の明確化とガイドラインの周知をセットで運用することが、安全なChatGPT活用の条件です。​ 個人任せの設定では、抜け漏れや設定戻りを防ぎきれません。

入力してはいけない情報を明確にする

顧客の個人情報（氏名・住所・電話番号）、未発表の決算・人事情報、パスワードやAPIキーなどの認証情報、機密ソースコードは入力を禁止します。禁止対象を具体的に列挙することで、現場が判断に迷わず運用できます。

マスキングしてから入力する

固有名詞や数値を伏せ字・仮名に置き換えてから入力する「マスキング」を習慣化すると、業務での活用範囲を狭めずにリスクを下げられます。手動の運用ルールとしては、社名を「A社」、氏名を「担当者X」、金額を「約○○万円」に置き換える置換表をガイドラインに載せておくと迷いません。さらに人手の抜け漏れをなくしたい場合は、DLP（Data Loss Prevention）ツールや生成AI向けの入力フィルタを併用し、個人情報やクレジットカード番号などを送信前に自動検知・マスクする仕組みを整えます。禁止だけでなく、安全に使うための代替手段まで示すことが定着の鍵です。

ガイドライン策定と定期的な研修

禁止事項・推奨アクション・設定手順をまとめた社内ガイドラインを整備し、定期的なセキュリティ研修で周知します。設定は導入時に一度行っても、アカウント追加やアップデートで状態が変わるため、四半期ごとの点検体制もあわせて用意します。

より詳しい社内ルールの設計方法については、以下の資料で解説しています。

他社の取り組み｜Finatext・マツリカに学ぶAIセキュリティの整え方

セキュリティ設定を実効性のあるものにするには、ガイドラインと組織の仕組みへの落とし込みが欠かせません。ここでは、金融分野でガードレールを重視する企業と、現場起点で利用ルールを整えた企業の事例を紹介します。

株式会社Finatextホールディングス｜AIの暴走を防ぐガードレールを設計

金融サービスを手がける株式会社Finatextホールディングスは、セキュリティと生産性の両立を前提に、生成AIの活用を進めています。

同社は取材のなかで、次のように語っています。​​今後は開発エージェントをより広範囲に活用し、業務のライフサイクルを自動化していきたいと考えています。そのために重要になるのが、AIの暴走を防ぐためのガードレールをしっかりと作り上げることです。新卒の社員をサポートする仕組みと同じように、AIに対しても適切な制御をかけていきます​

同社は自社AIガイドラインを2023年3月の初版以降、継続的に改定しています。ChatGPTの学習オフ設定のような個別対策も、「ガードレール」という発想でガイドラインに組み込むことで、活用のスピードを落とさずに安全性を確保している点が参考になります。

• 取材記事：ガードレール設計でAIの暴走を防ぐFinatextの生成AIガバナンス事例

株式会社マツリカ｜個人情報の入力を全社で禁止するガイドライン

営業支援サービスを提供する株式会社マツリカは、現場の課題起点で生成AIを導入しつつ、セキュリティルールを明確に定めています。

同社の担当者は、​​実際の業務で使ってみないと本質的な課題は発見しづらいでしょうし、使ってみて実際に効率化を感じると、”なぜAIがこの業務で必要なのか”を実感できるはずです。​​と、現場で使うことの重要性を語っています。

同社は活用を広げる一方で、セキュリティガイドラインを策定し、個人情報のプロンプト入力を全社で禁止しています。使うことを推進しながらも、入力してはいけない情報を明確に線引きしている点が、安全な活用の土台になっています。

• 取材記事：現場起点で利用ルールを整えたマツリカの生成AI活用事例

2社に共通するのは、「利用を止めるのではなく、安全に使うためのルールと仕組みを先に整えている」点です。ChatGPTのセキュリティ設定も、手順の周知と定期点検までをセットで設計することで、はじめて実効性を持ちます。

まとめ｜ChatGPTのセキュリティ設定は「設定＋運用＋教育」で完成する

ChatGPTのセキュリティは、ボタンを押すだけで守れるものではありません。
履歴オフや二要素認証といった技術的設定を整えても、 それをどう運用し、どう社内に浸透させるかによって安全性は大きく変わります。

真に安心して使うためには、技術対策・運用ルール・社員教育の3つをそろえることが欠かせません。

以下の資料では、適切なルール設計や組織体制、リスク管理などを詳しく解説しています。情報漏洩やガバナンス違反など、問題発生を防ぐ社内体制を整えるノウハウを知れますので、ぜひご覧ください。

よくある質問