財務資料をAIで扱うときの安全確認｜共有・保存・学習利用を分けて考える
財務資料をAIで扱うとき、「学習に使われない設定なら安全」と一つの項目だけで判断するのは不十分です。資料をどこへ送るのか、どれだけ保存されるのか、誰と共有されるのか、削除できるのか、誰に権限があるのかを分けて確認する必要があります。
Will Forward Consulting株式会社では、AIの導入可否だけでなく、財務資料の分類、不要な情報の削除、アクセス権限、社内ルールまで含めて運用を設計することが重要だと考えています。本記事では、特定の製品が一律に安全だと保証せず、確認項目と進め方を整理します。
財務資料の安全確認は6項目に分ける
AIサービスの「安全性」を一つの設定で判断せず、少なくとも次の6項目を別々に確認します。名称が同じサービスでも、個人向けか法人向けか、契約プラン、管理者設定、接続機能によって条件が異なる場合があります。
| 確認項目 | 確認したいこと | 混同しやすい点 |
|---|---|---|
| 送信 | 入力文、添付ファイル、接続先データのどこまでがサービス提供者や連携先へ渡るか | 画面上で非表示にしただけでは、送信範囲が変わらない場合がある |
| 保存 | 会話、ファイル、処理結果、ログがどこに、どれくらい保持されるか | 学習利用を止めることと、履歴を保存しないことは同じではない |
| 学習利用 | 入力・出力がモデル改善に使われるか、設定や契約で除外されるか | 製品名だけでなく、プランと現在の設定を確認する |
| 共有 | 共有リンク、共同ワークスペース、外部連携から誰が閲覧できるか | URLが検索結果に出ないことと、アクセスが限定されていることは別 |
| 削除 | 会話、添付ファイル、保存ライブラリ、共有リンク、接続元に残る情報をどう削除するか | 一つを削除しても、別の保存先や元データまで消えるとは限らない |
| 権限 | 利用者、管理者、閲覧者、外部アプリにどの権限があり、退職・異動時にどう外すか | アカウントを作ることと、最小権限で運用することは別 |
先に「何のために、どの項目が必要か」を決める
財務分析に会社名、取引先名、口座番号、担当者名まで必要とは限りません。目的を決めてから、必要な列だけを複製した作業用データを作ると、AIへ送る情報を減らせます。
AIへ渡す前に財務資料を分類する
試算表、資金繰り表、請求明細、給与資料は、含まれる情報と利用目的が異なります。ファイル単位で「入力してよい・悪い」と決めるだけでなく、列や明細の単位まで確認します。
| 分類の例 | 含まれ得る情報 | 実務上の確認 |
|---|---|---|
| 公開情報 | 自社がすでに公開した決算公告、公開済みの統計 | 公開範囲、最新版、第三者の権利を確認する |
| 社内情報 | 月次売上、原価、予算、資金残高、部門別採算 | 必要な期間・科目・単位だけに絞り、社内の承認範囲を確認する |
| 個人情報・顧客情報 | 氏名、連絡先、口座、給与、請求・入金明細、取引条件 | 利用目的、本人との関係、契約、法令、入力の必要性を確認する |
| 特に管理が必要な情報 | 認証情報、未公開の資金調達・M&A情報、秘密保持契約の対象資料 | 原則として入力対象から外し、必要なら責任者・専門家と別途判断する |
Will Forward Consulting株式会社の財務支援で扱ってきた資料には、部門別損益、得意先・商品別の売上や変動費・限界利益、資金繰りに関する情報が含まれます。こうした資料は経営判断に有用である一方、顧客名、価格、原価、取引条件などを推測できる場合があります。この支援経験は、WFCのAI環境で安全管理を実装・監査済みであることを示すものではありません。
個人情報保護委員会の注意喚起は、個人情報を含むプロンプトを入力する場合、特定した利用目的の達成に必要な範囲かを十分に確認するよう示しています。また、本人同意なく個人データを入力し、そのデータが回答以外の目的で扱われる場合には、個人情報保護法に違反する可能性があるため、機械学習に利用されないこと等の確認を求めています。
氏名を仮名へ置き換えるだけでは、取引日、金額、商品、地域などの組み合わせから対象が分かる場合があります。「匿名化したから大丈夫」と断定せず、分析に不要な行・列を削除し、集計値へ置き換え、それでも残る再識別や契約上のリスクを確認します。
本記事は一般的な確認方法の紹介であり、法律助言ではありません。 個別の個人情報、秘密保持契約、業法、国外移転等の判断は、契約内容と利用環境を確認し、必要に応じて弁護士などの専門家へ相談してください。
製品・プラン・設定の違いを確認する
利用条件は製品ごとに違い、同じ製品でも個人向けと法人向け、通常会話と一時的な会話、管理対象のワークスペース、API、外部アプリ連携で異なります。導入時に確認した内容を固定せず、仕様変更や契約更新時に見直します。
例として、2026年10月2日に確認したOpenAIの公式情報では、個人向けChatGPTは「Improve the model for everyone」をオフにすると会話はモデル改善に使われない一方、通常の会話は履歴に残ります。Temporary Chatは履歴に残らずモデル改善にも使われず、原則30日以内に削除されますが、不正利用監視のために確認される場合があります。
一方、ChatGPT Business、ChatGPT Enterprise、APIなどのビジネス向けサービスについて、OpenAIは入力・出力を既定でモデル学習に使わないと説明しています。ただし、これは入力の必要性、保存期間、共有設定、外部連携、社内権限の確認が不要になるという意味ではありません。フィードバック等で明示的に共有したデータの扱いなど、例外と設定を公式資料・契約で確認します。
この記事はWFCの利用環境を監査した報告ではありません。 Will Forward Consulting株式会社や顧客企業の実際の契約プラン、管理者設定、保存期間を確認済みとは記載していません。
財務資料をAIで扱う6段階
目的と必要な出力を決める
「月次の費用増加を確認する」「入出金予定を分類する」など、判断したいことを先に決めます。目的が曖昧なまま資料一式を渡さず、必要な期間、科目、粒度を定めます。
原本とは別に作業用データを作る
原本を直接加工せず、必要なシート・行・列だけを複製します。氏名、口座、連絡先、自由記述、ファイルのプロパティなど、分析に不要な情報を削除します。
製品条件と現在の設定を確認する
送信先、保存、学習利用、削除、共有、権限を確認し、確認日と対象プランを残します。個人アカウントと会社指定の環境を混同しません。
共有範囲とアクセス権を絞る
閲覧・編集・管理の権限を業務上必要な人に限定します。共有リンクを使う場合は、誰が開けるか、転送された場合、期限や失効方法を確認します。
AIの出力を元資料と照合する
合計、期間、単位、税込・税抜、科目、欠損、重複を元資料と照合します。AIの回答が自然でも、財務数値や法的判断が正しいとは限りません。最終判断は人が行います。
作業後の削除と記録を行う
不要になった会話、ファイル、共有リンク、作業用データをそれぞれ確認し、規程に沿って削除します。誰が何をいつ確認したかを残し、インシデント時の連絡先も決めます。
試算表をAI分析用に整える具体的な手順は、試算表CSVをAIで分析する前の整え方で解説しています。入力前に列・期間・残高を確認する工程と、本記事の情報管理の確認を組み合わせてください。
「学習オフ」「削除済み」だけで判断しない
学習利用をオフにすれば保存されない？
学習利用と保存は別の項目です。OpenAIの個人向けChatGPTでは、モデル改善をオフにしても通常の会話は履歴に表示されると説明されています。利用する製品について、履歴・ファイル・ログの保持条件を別に確認します。
会話を削除すれば、添付ファイルもすべて消える？
製品や保存先によって異なります。OpenAIの現行説明では、Libraryに保存されたファイルは会話とは別に管理され、会話を削除してもLibraryのファイルは削除されません。元のクラウドストレージや接続アプリにあるデータも、会話の削除だけでは消えません。
共有リンクは検索結果に出なければ非公開？
検索対象として意図されていなくても、リンクを知る人が閲覧・転送できる場合があります。OpenAIの個人アカウントの共有リンクには受信者ごとのアクセス制御や有効期限がなく、不要になればリンクを別途削除する必要があると説明されています。共有前に内容と閲覧範囲を確認します。
法人プランなら、どんな財務資料でも入力してよい？
学習利用の既定値だけでは判断できません。顧客との契約、利用目的、送信先、保存・削除、管理者権限、接続アプリを確認し、不要な情報はそもそも入力しない設計が必要です。
社内ルールは「禁止事項」だけでなく運用まで決める
IPAの「AI利用者のためのセキュリティ豆知識」は、クラウドAIへ営業秘密を渡すリスク、サービス規約・設定の確認、RAGや外部データを扱う際の検索範囲などを説明しています。2026年公開の生成AI・AIエージェントを安全に活用するための手引書も、全社ガバナンス、ライフサイクル、リスク評価、対策後に残るリスクを扱っています。
社内ルールには、少なくとも次の項目を具体化します。
- 利用できる製品・契約プラン・アカウント
- 入力できる資料と入力してはいけない情報
- 匿名化・項目削除・集計化の基準
- 承認が必要な場面と承認者
- 共有できる相手と権限の付け方
- 会話・ファイル・共有リンクの保存期間と削除担当
- 出力の照合方法と最終判断者
- 誤送信や情報漏えいが疑われたときの連絡先
ルールを作って終わりにせず、実際の利用場面に合わせて更新します。AI導入全体の進め方は、中小企業の財務DXは何から始める？、AIで集計した結果を元資料へ戻って確認する方法は、AIで財務分析する方法もご覧ください。
まとめ
財務資料をAIで扱う前に、送信・保存・学習利用・共有・削除・権限を別々に確認します。次に、目的に不要な個人情報や顧客情報を削除した作業用データを作り、製品・プラン・現在の設定、アクセス権、作業後の削除まで運用として決めます。
AIは集計や確認候補の整理を支援できますが、個別企業の利用が安全か、契約や法令に適合するかを自動で保証するものではありません。原本との照合と最終判断は人が行います。
財務資料をAIで扱う社内ルールを整えたい方へ
どの資料を入力対象にするか決めたい、分析用に不要項目を削除・集計する方法を整理したい、権限や保存・削除の運用を見直したい方は、Will Forward Consulting株式会社へお問い合わせください。財務資料の分類から、AIを使う業務範囲、確認担当、社内ルールまで一緒に整理します。
執筆者：三輪 宜伯
Will Forward Consulting株式会社 コンサルタント／中小企業診断士
財務・業務改善の視点から、経営判断に必要な数字の整理、資金繰り、AIを業務で扱う際の確認手順づくりを支援しています。