AI議事録のセキュリティ対策｜社内規定に入れるべき10項目【条文例つき】

企業研修の現場でここ1年、質問される頻度が一気に上がったテーマがあります。「AI議事録って、うちの会社で使って大丈夫なんですか？」という質問です。営業会議の内容がAIの学習に使われるんじゃないか、役員会議の録音がどこかのサーバーに残るんじゃないか、、、と。

正直、この不安は半分正しくて、半分は誤解なんです。法人向けプランのAI議事録ツールの多くは、顧客データを学習に使わないことを契約上明記しています。一方で、無料プランや個人アカウントで社員が勝手に使い始めるケース、いわゆる「シャドーAI」の状態こそが最大のリスクだったりします。

つまり問題は「AI議事録ツールが危ないかどうか」ではなく、「どのツールを、どの会議で、どういう条件で使ってよいかを会社が決めていない」こと。これを解決するのが社内規定です。

この記事では、AI議事録の情報漏洩リスクの構造を整理したうえで、個人情報保護法・営業秘密の法的論点、主要ベンダーのデータポリシーの読み方、そして社内規定に入れるべき10項目をコピペ可能な条文例つきで解説します。読み終わる頃には、自社の規定ドラフトの骨格が作れる状態になっているはずです。

なぜAI議事録に専用のセキュリティ規定が必要なのか

会議データは「社内で最も機密度の高いテキスト」になり得る

AI議事録が扱うデータの特殊性を、まず押さえておきましょう。メールやチャットと違い、会議の音声には次のような情報が無編集のまま含まれます。

• 参加者の氏名・声・発言内容（個人情報・場合によっては要配慮個人情報）
• 取引先の社名・担当者名・商談条件（取引先との秘密保持契約の対象になり得る情報）
• 未公表の経営数値・人事情報・新製品情報（営業秘密の候補）
• 雑談として口にされた、文書には絶対に書かないような本音

最後の1つが実は厄介です。文書は書く前に「これは書いていいか」と一度考えますが、会議の発言はノーチェックで音声化されます。AI議事録はそれを丸ごとテキスト化してクラウドに保存する仕組みなので、「社内で最も無防備な機密情報の塊」を外部サービスに預けることになるんです。

漏洩の経路は3つに整理できる

研修先の企業でリスクの棚卸しをお手伝いするとき、私はいつも漏洩経路を3つに分けて説明しています。

• 経路1：AIモデルの学習利用。入力した会議データがAIモデルの学習（トレーニング）に使われ、将来の出力に混入する可能性。個人向け無料プランで特に注意が必要
• 経路2：保存・共有設定のミス。議事録がクラウド上に長期保存され、共有リンクの設定ミスや退職者アカウントの放置で外部から閲覧可能になるケース。実はこちらの方が発生頻度は高い
• 経路3：録音への同意の欠如。社外参加者に無断でAI議事録ボットを会議に入れてしまい、相手先との信頼関係やNDA（秘密保持契約）に抵触するケース

ポイントは、経路1は「ツール選定」で、経路2と経路3は「運用ルール」でしか防げないということ。だからこそツールの比較検討と社内規定の整備はセットで進める必要があります。ツール選定の観点は別記事「AI議事録ツール比較」で詳しく整理しているので、あわせてどうぞ。

法的に押さえるべき3つの論点

論点1：個人情報保護法──個人情報保護委員会の注意喚起

個人情報保護委員会は2023年6月2日、「生成AIサービスの利用に関する注意喚起等」を公表しました。企業（個人情報取扱事業者）向けのポイントを要約すると次の通りです。

• 個人データを含むプロンプトを生成AIに入力する場合、その利用が「特定した利用目的の達成に必要な範囲内」であることを確認すること
• 入力した個人データが、応答結果の出力以外の目的（モデルの学習など）で取り扱われる場合、本人の同意なしでは個人情報保護法に抵触するおそれがあること

AI議事録に当てはめると、「会議参加者の発言（個人データ）を議事録作成の目的でツールに入力する」こと自体は整理可能ですが、そのデータがベンダー側で学習に使われる設定になっていたらアウトの可能性がある、ということです。つまり「学習に使われない契約・設定であること」の確認が、法対応の第一歩になります。

論点2：営業秘密──「秘密管理性」を自分で壊さない

経営数値や技術情報が不正競争防止法上の「営業秘密」として法的保護を受けるには、①秘密管理性、②有用性、③非公知性の3要件を満たす必要があります（経済産業省「営業秘密〜営業秘密を守り活用する〜」参照）。

ここで見落とされがちなのが①の秘密管理性です。秘密として管理している実態がなければ、漏洩しても法的保護を受けられない可能性がある。つまり、機密情報を含む会議を何のルールもなくAI議事録ツールに流し込んでいる状態は、「秘密として管理していない」と評価されるリスクを自ら作っていることになりかねません。

逆に言えば、「機密レベルの高い会議ではAI議事録の利用を制限する」「利用する場合は学習利用オフ・アクセス制限つきで運用する」という社内規定の存在そのものが、秘密管理性を裏付ける材料になります。規定づくりは守りであると同時に、営業秘密の法的保護を維持する攻めの施策でもあるんです。

論点3：AI事業者ガイドライン──国の公式な物差しに沿わせる

総務省・経済産業省の「AI事業者ガイドライン」は2026年3月31日に第1.2版へ改定され、AIエージェントやマルチモーダル生成AIといった新しい技術への対応が盛り込まれました。法的拘束力のないソフトローですが、「AI利用企業として何をすべきか」の国の公式な物差しなので、社内規定の前文や根拠として引用するのに最適です。

AI議事録の文脈で特に関係するのは、AI利用者に求められる「個人情報の適切な取り扱い」「セキュリティ対策の実施」「関係者への説明・透明性の確保」といった観点。社内規定を作る際、このガイドラインに沿った構成にしておくと、取引先や監査から利用方針を問われたときに「国のガイドラインに準拠して整備しています」と答えられます。

主要ベンダーのデータポリシー、どこを読めばいいのか

規定を作る前提として、ベンダーのデータ取り扱いを正しく読み解く必要があります。代表例を2つ挙げると、こんな状況です。

• OpenAI（ChatGPT）：法人向け（Enterprise/Business/Edu）とAPI経由のデータは、デフォルトでモデル学習に使用しないことを公式に明記。一方、個人向けプランは設定でオプトアウトしない限り学習に利用され得る。同じChatGPTでも契約形態で扱いが真逆になります
• Zoom（AI Companion）：顧客の音声・映像・チャット・画面共有等のコンテンツを、Zoom自身または第三者のAIモデルの学習に使用しないことを公式ページで明言

個別ツールごとに確認すべき観点を表にまとめました。導入候補ツールについて、この5項目を公式ドキュメントで埋めてから稟議にかけるのがおすすめです。

注意したいのは、ポリシーは変わるということ。「導入時に確認したから終わり」ではなく、後述の規定10項目に「年1回のポリシー再確認」を組み込んでおきましょう。

社内規定に入れるべき10項目【条文例つき】

ここからが本題です。AI議事録の社内規定（既存の生成AI利用ガイドラインへの追記でも、単独の議事録AI利用細則でも構いません）に入れるべき項目を10個、条文例つきで示します。ゼロから生成AIガイドライン全体を作る場合は「生成AI利用ガイドラインの作り方7ステップ」を先に読んでください。

項目1：利用可能ツールの指定（ホワイトリスト方式)

最重要項目です。「禁止ツールを列挙する」ブラックリスト方式は新ツールの出現に追いつけないので、「会社が許可したツールのみ利用可」のホワイトリスト方式にします。

第○条（利用可能なAI議事録ツール）
1. 業務上の会議において利用できるAI議事録ツールは、情報システム部門が審査し、別表に定めるものに限る。
2. 前項のツールは、会社が契約する法人プランのアカウントでのみ利用するものとし、個人契約のアカウントを業務に使用してはならない。
3. 別表に定めのないツールの利用を希望する場合は、所定の申請手続により事前承認を得なければならない。

項目2：学習利用オフ（オプトアウト）の必須化

個人情報保護委員会の注意喚起に直結する項目です。管理者側で組織全体に強制できるツールを選ぶのが理想です。

第○条（AIモデルの学習利用の禁止）
1. AI議事録ツールは、入力データがAIモデルの学習に利用されない契約または設定においてのみ利用できる。
2. 情報システム部門は、前項の設定を組織アカウント単位で適用し、利用者が個別に変更できないよう管理する。

項目3：会議の機密レベル区分と利用可否

すべての会議を一律に扱うと、規定が厳しすぎて守られないか、緩すぎて意味がないかのどちらかになります。研修先でもこの3区分がいちばん定着しやすいと感じています。

第○条（会議区分に応じた利用制限）
1. 会議は機密性に応じてレベル1から3に区分し、区分ごとの利用可否は別表に定める。
2. 会議の主催者は、開催前に当該会議の区分を判断し、レベル3の会議ではAI議事録ツールを起動してはならない。

項目4：社外参加者への事前告知と同意

法的リスクだけでなく、取引先との信頼関係の問題です。会議冒頭の口頭確認でもよいので、「黙って録る」ことを禁止します。

第○条（社外参加者への告知）
社外の参加者がいる会議でAI議事録ツールを利用する場合、主催者は録音・文字起こしを行う旨を事前に告知し、同意を得なければならない。参加者から拒否の意思表示があった場合は、当該会議での利用を中止する。

項目5：入力禁止情報の明示

議事録は自動生成されるため「入力しない」制御が難しいのが特徴ですが、追加プロンプト（要約指示など)に機密情報を打ち込む場面では通常の生成AIと同じ入力制限が必要です。マイナンバー、要配慮個人情報、他社とのNDA対象情報などを列挙します。

項目6：保存期間と削除ルール

録音データと文字起こしデータを無期限に溜めるのは、漏洩時の被害を最大化するだけです。「録音元データは議事録確定後○日で削除」「文字起こしデータの保存は○年まで」のように定め、管理者が定期削除を実施します。

項目7：共有範囲とアクセス権限

経路2（共有設定ミス）への対策です。「議事録の共有は原則として会議参加者に限る」「全社公開リンク・外部共有リンクの発行を禁止する」「退職・異動時のアクセス権見直しを行う」の3点を押さえます。

項目8：AI生成議事録の確認責任者

セキュリティ規定でありながら、品質規定でもある項目。AIの文字起こしには誤認識や話者の取り違えがあり、誤った内容が「公式な記録」として残ると別のリスクになります。

第○条（内容の確認）
AIが生成した議事録は、会議の主催者または主催者が指名した者が内容の正確性を確認し、修正のうえ確定するものとする。確認前の議事録を社外に共有してはならない。

項目9：インシデント発生時の報告手順

誤共有・誤送信・不正アクセスの疑いが生じた場合の第一報の宛先（情報システム部門など）と報告期限を定めます。個人データの漏えい等が発生した場合、個人情報保護法上、個人情報保護委員会への報告や本人通知が義務となるケースがあるため、社内の報告ラインは平時に決めておく必要があります。

項目10：規定とベンダーポリシーの定期見直し

AIツールの仕様・規約は頻繁に変わります。「年1回以上、利用ツールのデータ取り扱いポリシーと本規定の内容を見直す」と明記し、見直しの担当部門を固定します。AI事業者ガイドラインも改定が続いているので、改定タイミングでの再点検をセットにすると運用しやすいです。

【要注意】ありがちな失敗パターン4つ

規定づくりの相談を受ける中で、繰り返し見かけるつまずきポイントを共有します。

失敗1：全面禁止にして、シャドーAIを生む

❌「リスクがあるからAI議事録は全社禁止」と通達する
⭕ 承認済みツール＋機密レベル区分で「使える条件」を示す

禁止しても議事録作成の負担は消えないので、社員は個人スマホの無料アプリで録音し始めます。会社の管理が及ばない場所で最も危険な使い方が広がる、、、これが全面禁止の典型的な末路です。

失敗2：ツールの安全性だけ確認して、運用ルールを作らない

❌「SOC 2認証があるから大丈夫」で導入完了にする
⭕ 認証はスタートライン。共有設定・同意取得・削除ルールを規定化する

前述の通り、実際の事故は共有リンクの設定ミスや無断録音といった運用側で起きます。ベンダーの認証はレベル1の関門にすぎません。

失敗3：規定を作って、周知と教育をしない

❌ 規定をイントラに掲載して終わり
⭕ 「なぜこのルールか」を含めて全社員に研修し、会議主催者には区分判断の練習をしてもらう

特にレベル2・3の区分判断は、実際の会議名を使った演習をやらないと定着しません。研修で「この会議はどのレベル？」とクイズ形式にすると、判断基準が一気に浸透します。

失敗4：個人アカウントと法人アカウントの区別を曖昧にする

❌「ChatGPTは学習に使わないらしいから自由に使ってOK」と誤解する
⭕ 学習不使用がデフォルトなのは法人プラン・API。個人プランは設定次第と正しく伝える

同じサービス名でも契約形態でデータの扱いが真逆になる、という事実は、規定本文だけでなく社内研修で必ず強調すべきポイントです。

規定策定から運用開始までの進め方

最後に、実務の進め方を5ステップで整理します。

• ステップ1：現状把握。すでに社内で使われているAI議事録ツール（個人利用含む）をアンケートやIT資産管理で洗い出す。シャドーAIの実態を知らずに規定は作れません
• ステップ2：ツール審査。候補ツールを前掲の5観点（学習利用・保存・保存場所・第三者提供・認証）で評価し、ホワイトリストを確定する
• ステップ3：規定ドラフト作成。本記事の10項目をベースに、法務・情シス・現場代表でレビューする。既存の生成AIガイドラインがあれば、その下位細則として位置づける
• ステップ4：承認と周知。決裁後、全社員向けの説明と研修を実施。特に会議主催者層への機密レベル区分の教育を厚めに
• ステップ5：運用と見直し。四半期ごとに利用状況を確認し、年1回はベンダーポリシーと規定を再点検する

中小企業の場合、ステップ1〜4は1〜2か月程度の体制で十分回せる規模感です。完璧な規定を目指して半年かけるより、10項目のうち項目1〜4だけでも先に発効させて、運用しながら育てる方が実害を早く減らせます。

よくある質問

Q1. 無料のAI議事録ツールは全部ダメですか？

一律にダメとは言えませんが、無料プランは学習利用の扱い・保存期間・管理機能の面で法人利用の要件を満たさないことが多いのは事実です。無料ツールを検討する場合の見極め方は「無料AI議事録ツールの記事」で解説していますが、機密レベル2以上の会議には法人契約のツールを使うのが原則です。

Q2. 相手先がAI議事録を使っていた場合はどうすればいいですか？

自社規定に「相手方からAI議事録利用の申し出があった場合の対応」を含めておくのがおすすめです。自社が同意を求めるのと同じように、相手にツール名とデータの扱いを確認し、レベル3相当の内容を話す会議では停止を依頼する、という運用が現実的です。

Q3. 議事録AIの導入効果とセキュリティはどうバランスさせればいいですか？

議事録作成の工数削減効果は大きく、リスクを理由に見送るのはもったいない選択です。効果側の話は「AI議事録の活用ガイド」に譲りますが、本記事の機密レベル区分を使えば「会議の8〜9割を占める一般会議では効果を取り、少数の機密会議ではリスクを取らない」という両取りが可能です。

まとめ：規定は「使わせないため」ではなく「安心して使わせるため」に作る

AI議事録のセキュリティ対策の本質は、ツールを疑うことではなく、自社の運用を設計することです。ポイントを振り返ります。

• 漏洩経路は「学習利用」「保存・共有設定」「録音同意」の3つ。ツール選定で防げるのは1つ目だけ
• 法的には個人情報保護委員会の注意喚起（学習利用への同意問題）と営業秘密の秘密管理性が2大論点
• 社内規定にはホワイトリスト・学習利用オフ・機密レベル区分・社外同意など10項目を入れる
• 全面禁止はシャドーAIを生む最悪手。「使える条件」を示すことが最大のセキュリティ対策

中小企業のAI導入全体のセキュリティ対策については「中小企業のAIセキュリティ・情報漏洩対策」もあわせてご覧ください。

参考・出典

• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）（参照日：2026年7月21日）
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日）（参照日：2026年7月21日）
• 経済産業省「営業秘密〜営業秘密を守り活用する〜」（参照日：2026年7月21日）
• OpenAI「Enterprise privacy at OpenAI」（参照日：2026年7月21日）
• Zoom「AI Companion Security and Privacy」（参照日：2026年7月21日）