Geminiの情報漏洩の対策と手順！安全に業務で使うコツを解説

こんにちは。パソガジェなびのkeitoです。

最近、仕事やプライベートで生成AIのGeminiを使っている人が本当に増えましたよね。文章を作ったり、難しい内容を要約したりするのにすごく便利で、私も毎日手放せなくなっています。

でも、便利だからこそ気になるのがセキュリティのこと。仕事のデータや個人情報をそのまま入力して、どこかから情報が漏れてしまったらどうしようと、不安になる気持ちもよく分かります。実際に無料版と有料版でのデータの扱いの違いや、アクティビティの設定、履歴消去がうまく反映されないといった疑問を持つ方も多いみたいです。

そこで今回は、Geminiでの情報漏洩の対策と手順について詳しく調べてみました。設定方法や注意点、安全な運用のコツなどをまとめたので、ぜひ参考にしてみてくださいね。

Geminiで情報漏洩を防ぐ為の基本的な考え方

Geminiを安全に使うためには、まずシステムがどのようにデータを処理しているかを知ることが大切です。ここでは、データの仕様や具体的な設定手順など、知っておきたい基本を分かりやすく説明していきますね。

無料版と有料版で異なるデータの扱い

Geminiは、使っているプランによってデータの扱いが全然違います。個人向けの無料版の場合、入力した文章やアップロードしたファイルは、基本的にAIの学習データとして使われる仕様になっているんです。もし仕事の機密データをそのまま入れてしまうと、巡り巡って他の人の回答に混ざって出力されてしまう可能性があるなんて、ちょっと怖いですよね。

一方で、法人向けのGoogle Workspace版や、有料のVertex AI経由のAPIであれば、データはしっかり保護されて学習には使われない契約になっています。企業として本格的に導入するなら、やっぱり法人向けの有料プランを選ぶのが安心の第一歩と言えそうです。無料のGoogle AI Studioだと学習対象になっちゃうので、開発テストの段階でも生データを流し込むのは油断は禁物ですよ。

Google Workspace 公式サイトへ

まずは自分が今どちらの環境を使っているのか、しっかり確認することが大切かなと思います。無料版を仕事で使うときは、次に紹介するリスクを頭に入れておいたほうがいいかもしれませんね。

業務での利用時に潜む漏洩リスクと原因

無料版を業務で使うときの一番大きなリスクは、やっぱり人間のレビュアーによるチェックがある点です。Googleではサービスの品質向上のために、ユーザーのやり取りの一部を人の目で見て分析することがあるそうなんですよ。アカウント情報が消されて匿名化されているとはいえ、文章の中身から会社名やプロジェクトが特定されてしまう危険はゼロではないですよね。

それから、社内のデータ管理の甘さが原因で、思わぬトラブルが起きることもあります。たとえばGoogle Workspaceで社内ファイルへのアクセス権が過剰に共有されたままだと、Geminiが優秀すぎて、本来は見ちゃいけない役員向けの資料や人事の秘密データを一瞬で引っ張ってきて、他の社員に見せてしまうことがあるみたいです。AIが新しい弱点を作ったというより、隠れていた設定ミスをAIが一気に暴いちゃうイメージですね。

会社が公式に許可していないのに、こっそり私人のアカウントでGeminiを使う「シャドーAI」も、知らないうちに情報が漏れる原因になりやすいです。また、外部からのプロンプトインジェクションと呼ばれる攻撃手法もあるので、便利なツールだからこそルールを決めずに個人の判断で使うのはちょっと危ないかも、と感じます。

設定から学習機能をオフにする方法

もしどうしても無料版を業務で使ったり、個人でもデータを守りたかったりする場合は、学習機能をオフにする設定（オプトアウト）をしておきましょう。パソコンのブラウザからやる場合は、まずGeminiの画面を開いて、左下にある歯車マークの「設定」から「アクティビティ」を選びます。そこに「Geminiアプリ アクティビティ」という項目があるので、トグルスイッチをオフにすればOKですよ。

スマホのアプリから設定する場合も流れはだいたい同じです。画面右上のプロフィールアイコンをタップして、メニューから「Geminiアプリ アクティビティ」を開き、スイッチをオフにするだけ。AndroidでもiOSでも同じような画面になっているので、迷うことはなさそうです。

あと、Google Chromeのブラウザ自体に連携している機能や、スマートホームのGoogle Homeと連携している場合も、それぞれのプライバシー設定からアクティビティ履歴をオフにできるので、気になる方は一緒にチェックしておくといいかもしれませんね。

オプトアウト時の注意点とデータ保持期間

学習機能をオフにすれば一安心、と言いたいところですが、実はいくつかのデメリットや見落としがちな落とし穴があるんです。まず、アクティビティをオフにすると、画面に過去のチャット履歴が残らなくなっちゃいます。前にどんな質問をしたか見返せなくなったり、続きから会話を再開したりできなくなるので、作業の効率としてはちょっと不便になるかもしれません。

そして、もう一つ絶対に知っておいてほしいのが「72時間ルール」という仕様です。実は、設定をオフに切り替えても、入力したデータがシステムから即座に消えるわけではないんですよ。Googleの規定によると、規約違反の監視や安全性の確保などのために、最大で72時間はアカウントに紐づいた形でサーバーに保管される仕組みになっています。

つまり、「設定をオフにしたから何を書いても絶対に安全」というわけではないんですよね。あくまで学習に使われるのを防ぐための補助的な予防策なので、過信しすぎないように気をつけてくださいね。

チャット履歴が削除できない原因と対策

過去の会話を消そうとしたときに、「なぜか履歴が削除できない！」と困るケースがよくあるみたいです。まずは慌てずに、画面の表示が遅れているだけの可能性を疑ってみてください。操作自体は終わっていてもキャッシュが残っていることがあるので、ブラウザを再読み込みしたり、アプリを一度完全に閉じて再起動したりすると、すんなり消えることが多いですよ。

他にも、サイドバーで会話を「固定（ピン留め）」していると、一覧のバツボタンが出ない仕様になっていることがあります。その場合は、スレッド名の横にあるメニューボタンを開いてから「削除」を選ばないといけないので、UIのちょっとした罠かもしれませんね。個別ではなく期間を指定して一括削除したり、自動削除の期間をデフォルトの18ヶ月から最短の3ヶ月に縮めておくのもおすすめの対策です。

ただ、学校や会社からもらったGoogle Workspaceアカウントを使っている場合は、管理者のポリシーでユーザー側から履歴を消せないように制限されていることがあります。この場合は自分ではどうしようもないので、社内の情報システム部門の人に相談してみるしかありません。正確な仕様や社内ルールは、それぞれのシステム管理者に確認してみてくださいね。

Geminiの情報漏洩を防ぐ為の具体的な対策と手順

情報漏洩を防ぐためには、Geminiの設定だけでなく、他のAIツールとの違いを知ったり、組織としてのルールを作ったりする「全体の仕組みづくり」も重要です。ここからは、より広い視点での対策について解説していきます。

他社生成AIツールとのセキュリティ比較

世の中にはGemini以外にも魅力的な生成AIツールがたくさんありますが、セキュリティの特性や得意分野がそれぞれ違います。たとえば、広く使われているOpenAIのChatGPTは、高度な論理的推論や壁打ちが得意な一方で、個人版だとデフォルトで学習に使われるため、自分で設定からオプトアウトする必要があります。企業向けのChatGPT Enterpriseなら、最初から学習に使われないので安全ですよ。

また、MicrosoftのCopilotはWordやExcelといったOfficeアプリとの連携が強みで、社内のSharePointのアクセス権限をそのまま引き継ぐ特徴があります。そのため、普段からMicrosoftの環境を使っている会社なら、管理がしやすくてセキュリティを高く保ちやすいというメリットがありますね。

既存のITインフラがGoogle中心ならGeminiが一番馴染みますし、Office系が多いならCopilotというように、自社の環境に合わせてツールを選ぶのがいいかなと思います。どのツールを使うにしても、法人向けプランを適切に契約することが安全への近道ですね。各ツールの特徴をまとめたので、参考にしてみてください。

安全に運用するための社内ガイドライン策定

システムのセキュリティを高めるのと同じくらい、使う人間側のルールを決めることもめちゃくちゃ大事です。どれだけシステムをガチガチに固めても、使う人がうっかり機密情報を流してしまったら意味がないですからね。そのためには、ただ「機密情報は入れないこと」と曖昧に言うのではなく、誰が見てもパッと判断できる具体的な社内ガイドラインを作る必要があります。

また、Googleの生成AI利用規約は技術の進化に合わせて定期的に変更されることがあるので、そういった公式情報のアップデートをキャッチする体制も作おきたいところです。それと、AIが作った文章やプログラムが、第三者の著作権を侵害していないかをチェックするフローも必要になってきます。過学習によって既存のデータとそっくりなものが出てくるリスクもあるので、法律面でも注意が必要ですね。

ガイドラインを作るときは、現場の人が窮屈になりすぎて結局使わなくなる、なんてことが起きないように、バランスを意識するのがコツかなと思います。ぜひ自社の業務に合わせたルールを検討してみてください。

入力を禁止する機密情報と匿名化のルール

ガイドラインに盛り込むべき具体的なルールとして、まずは「絶対に入力してはいけないNGデータ」をはっきりさせましょう。顧客の氏名や住所、マイナンバー、クレジットカード情報といった個人情報はもちろん、未公開の決算データや、取引先と結んだNDA（秘密保持契約）に関わる内容は一発アウトです。プログラムの独自のソースコードや、ID・パスワードなどの認証情報も絶対に入れないようにリスト化しておくと分かりやすいですよ。

でも、「どうしてもこのデータをAIに分析させたい！」という場面もありますよね。そんなときは、データを匿名化（マスキング）するプロセスを義務づけましょう。たとえば、取引先の実名を「A社」に変えたり、担当者名を「社員X」にテキスト置換ツールで書き換えたりしてからGeminiに入力するんです。画面のスクリーンショットなどの画像を読み込ませる場合も、機密部分を黒塗りにしたりぼかしたりする処理を徹底させると安心ですね。

それから、AI特有のハルシネーション（もっともらしい嘘）による被害を防ぐため、出力された結果をそのまま信じず、必ず人間が一次情報と突き合わせてファクトチェックをする癖をつけることも、重要なルールの一つですよ。

内部からの過剰共有を防ぐアクセス権管理

最初の方でも少し触れましたが、Geminiを導入すると社内データの検索や要約がものすごく簡単になります。これは便利な反面、これまで放置されていた「過剰共有」の問題が一気に爆発するきっかけにもなっちゃうんです。過去の古いプロジェクトフォルダや、退職した人が残したファイルのアクセス権が残ったままだと、一般社員がGeminiに質問しただけで、本来は見られないはずの重要データが引き出されてしまうかもしれません。

これを防ぐためには、AIを本格的に使う前に、共有権限の棚卸しをしてアクセス範囲を適正に直す必要があります。基本は「最小権限の原則」といって、その従業員の業務に必要な最低限のデータだけにアクセスできるように設定すること。無期限で有効になっている外部共有リンクを無効にしたり、異動や退職があったら即座にアカウントの権限を剥奪する仕組みを作ったりするのが効果的です。

さらに、シングルサインオン（SSO）を整備して多要素認証（MFA）を全社に義務づけることで、アカウントの乗っ取りによる漏洩リスクをグッと下げることができますよ。管理コンソールで監査ログを定期的に監視して、不適切なファイルの持ち出しがないかチェックする体制も整えておきたいですね。

Geminiの情報漏洩対策と手順のまとめ

ここまでGeminiのセキュリティ周りについて色々と見てきましたが、最後に現場で実践したい「5つの鉄則」をおさらいしておきましょう。まずは「利用開始時に学習設定をオフにする」、プロンプトを送る前に「入力しても大丈夫か毎回考える」、業務では「法人向けプランを使う」、要件に応じて「複数のAIのポリシーを比較する」、そしてブラウザの更新などでリセットされていないか「定期的に設定を再確認する」。この5つを意識するだけでも、安全性はかなり高まるはずです。

安全に活用するための5つの鉄則

• 最初に学習設定をオフにする
• 「入力しても大丈夫か」を毎回考える
• 法人向けプランを使う
• 複数のAIツールのポリシーを比較する
• 定期的に設定を再確認する

Geminiは私たちの仕事をめちゃくちゃ楽にしてくれる最高のパートナーですが、そのパワーを安全に引き出すためには、システムの設定（ハード面）と、人間のルール・意識（ソフト面）の両方を揃えることがどうしても欠かせません。無料版でのオプトアウトは最低限の応急処置としては使えますが、ビジネスで本気で活用するなら、やっぱりデータ保護がしっかり担保された法人向け有料プランを組織全体で導入するのが一番確実かなと思います。

なお、費用やシステム要件、法律的なリスクなど、細かい条件は個々の環境によって変わる可能性があるため、正確な情報は公式サイトをご確認ください。また、社内規約の策定や重要データの運用に関する最終的な判断は専門家にご相談くださいね。ルールをしっかり守って、賢く安全にAIの恩恵を受けていきましょう！