目次

• 問題はテキストボックスです
• 貼ってはいけないもの
• コンシューマープラン vs Team / Enterprise
• 個人アカウントとシャドーIT
• 貼る前に匿名化する
• データを出せないとき
• 1ページの最小ポリシー
• モデルではなく弁護士に聞くこと
• よくある質問

  • チャットを削除すれば十分ですか？
  • 学習のオプトアウトを有効にしたら？
  • 顧客の「公開」データは貼れますか？
  • 従業員とのNDAで十分ですか？

問題はテキストボックスです

チャットツールは、契約書、見込み客リスト、ホスティングのパスワードが収まるフィールドです。インターフェースは貼り付けを誘います。貼る人はたいてい急いでいます。そして、より多くのコンテキストを与えるほどモデルの応答は良くなります。この組み合わせが事故です。

経営者が「チームのためにChatGPTを開いた」ときに現れる3つの誤解：

1. 「ほんの下書きだから。」 モデルは区別しません。プロバイダはテキストを受け取ります。そのテキストに税番号、診断名、キーが含まれていれば、それはもう旅立ちました。
2. 「個人のPlusであって、会社のものではない。」 もっと悪い。履歴はあなたのものではないメールに存在し、その人が辞める日にアクセスを止めることができません。
3. 「彼らは私のデータで学習しない。」 ときどきは。コンシューマープランのルールは何度も変わってきました：オプトアウト、例外、別製品（チャット、API、サードパーティアプリ）があります。思い込まないでください。支払う予定のプランの規約を、支払う週に読んでください。

ここでの信頼とは、何が自分の家から出るか、どの製品に入るか、誰が鍵を切れるかを知っていることです。

貼ってはいけないもの

迷ったら貼らない。匿名化するか、ローカルモデルを使ってください。このリストは網羅的ではありません。小さなチームが覚えられる最小限です。

資格情報とシークレット。 パスワード、トークン、セッションクッキー、SSHキー、.env、接続文字列、シークレット付きウェブフック、シード、認証コード。「docker-composeを作るためだけにちょっと」もだめです。モデルに形式が必要なら、値をでっち上げてください（API_KEY=置き換え）。

シークレットを含むコード。 APIキーがコミット、テスト、スクリーンショットに残っている。ファイルを貼る前に検索してください。プロジェクトが顧客のものなら、多くのNDAは「チャットに渡した」ことを想定していません。

顧客を特定できるデータ。 氏名＋電話番号、メール、住所、証明書番号、RFC / CUIT / RUT / NIT、口座、識別子付きの購買履歴。「モンテレイの80万未払いの男性」でも、小さなニッチでは特定可能です。

健康。 診断、処方、保険、休職。「名前を消しても」です。日付＋クリニック＋珍しい病状は、依然として機密のパッケージです。

未成年者。 生徒名簿、個別記録、写真、保護者チャット、カルテは一切なし。学校や子ども向けアプリを扱うビジネスなら、コンシューマーAIはその場所ではありません。

契約書と他人の文書。 他事務所のPDF、ベンダーのNDA、まだ公開権利のない提案書。「この契約を要約して」は、信頼して受け取ったものを第三者に読ませることです。

見込み客とCRMのデータベース。 「メールを作ってもらうための」800行のCSV。それはデータベース全体が一撃で管理を離れることです。テンプレートを要求してください。名前は自分のシートに残します。

人事・株主の記録。 評価、給与、解雇、cap table、告発。チャットはあなたの弁護士でも人事フォルダでもありません。

おばかで役立つテスト：「このテキストは私が管理しないサーバーに保存される可能性がある」の下にサインしますか？ 答えがノーなら貼らない。30人のWhatsAppグループに送らないものなら、それも貼らない。

コンシューマープラン vs Team / Enterprise

名前は変わります。あなたに重要な区別はこれです。

個人プラン（Free、Plus、Pro、Max、AI Pro）。契約はあなた個人とであって、会社とはではありません。チャットで学習しないスイッチは、存在する場合、各個人が触るものであり —もう一度触ることもできます— 。実際のところ、アクセスを取り消したり会社のログをエクスポートしたりするあなた側の管理者はいません。

Team / Business / Enterprise / Workspace プラン。 シート、アカウント所有者、請求、時にはSSOとDPA。2026年では、大手の通常ルールはこれらのプランのデータで学習しないことです。通常は永遠の保証ではありません。コミュニティマネージャーのツイートではなく、書類を要求してください。

3つの帰結：

• AI導入の論拠が「データは学習に使われない」なら、その論拠は個人Plusでは成り立ちません。
• 複数人が顧客の資料を貼る予定なら、チームプランは多国籍企業のぜいたくではありません。あなたがフアンのアクセスを切れることと、フアンが自分のGmailに3ヶ月分のPDFを持って行くことの違いです。
• API、コネクタ、マーケットプレイスのアプリは別の製品です。「APIでは学習しません」は、従業員がプラグイン付きでインストールしたGPTをカバーしません。

シートあたりの上乗せ —2026年ではチームプランで月25ドル前後で動き、変わります— は、顧客の信頼を作り直すことに比べれば安いものです。

個人アカウントとシャドーIT

この業界でのシャドーITはこう見えます：会社はまだ「どのツールを選ぶか検討中」で、オフィスの半分はすでに個人カードでChatGPT Plusを持ち、cliente_garcia_contratoという名前のチャットがあります。

それは導入ではありません。まだ爆発していない、少しずつの情報漏洩です。

小さなチームが実際に守れるルール：

• 顧客の仕事は個人アカウントに入れない。「今回だけ」も。週末も。
• 誰かがすでに貼りすぎた場合：スレッドを削除し、シークレットがあればキーをローテーションし、その会話を会社のアカウントかAIなしのプロセスに移します。グループで騒がずに。
• 会社は管理したいシートにお金を払う。 支払っていないものは監査できません。
• スマホは例外ではありません。携帯からClaudeに顧客のExcelを貼るのも同じ送信です。

今日シートを購入できないなら、暫定プランは「自分のPlusを使って」ではありません。こうです：公開データか架空データのみ。法人アカウントかローカルモデルができるまで。不便です。即興より安い。

貼る前に匿名化する

銀行レベルのDLPは必要ありません。10分の衛生管理が必要です。

1. 氏名、メール、電話、証明書番号を取り除く。CLIENTE_A、CIUDAD、MONTO、FECHAに置き換える。
2. 一意の番号を取り除く：整理番号、請求書、追跡番号。モデルは構造を与えるためにそれらを必要としません。
3. 余分な詳細を変える。事件があなたの街で有名なら、残りの段落だけで再特定に十分です。
4. 実データでの実行ではなく、方法を求める。「B2Bの30日回収テンプレートを作って」は可。「マリア・ペレス、RFC…、請求書88321に請求して」は不可。
5. 出力を確認する。モデルは、あなたが与えたものを、後で転送する要約の中で繰り返すことがあります。

匿名化は健康データを無害なデータにはしません。ビジネスメールを扱えるものに変えます。データの種類が元々機密（健康、未成年者、生体認証）なら、デフォルトはアップロードしないです。

データを出せないとき

プランがEnterpriseで弁護士が満足していても送るべきではない資料があります：未公開の製品秘密、交渉事項、契約が禁じるもの、プロバイダの管理者に見える可能性さえ望まないもの。

そこで、自分が管理するマシン上のローカルモデル（Ollamaなど）が登場します。フロンティアモデルより品質は劣る。管理は良い。誰かがインストールし、更新し、どのモデルを使うか決めなければなりません。モデルのガイドは 日々の作業に最適なOllamaモデル にあります。

ローカルは、従業員がファイルを自宅に送っても救えません。最も愚かなリスクの種類を断ち切ります：顧客のテキストが、その方が速いからという理由でコンシューマーチャットに旅すること。

「もうDPAに署名したから」といって、すべてを単一のクラウドプロバイダに置かないでください。障害が起きたり条項が変わったりしたら、プランBが必要です。それはコストと継続性の面で、AIプロバイダの多様化にあります。プライバシーの論点は別です：多様化は、安いプロバイダにシークレットを貼ることを許可しません。最も安いものは、通常、最も少ない約束をするものです。

1ページの最小ポリシー

コピーして、括弧を埋めて、チームがすでに作業している場所に貼ってください。1ページ。6ページあったら誰も読みません。

[会社名]におけるAIの利用

1. 承認ツール：[例：会社のClaude Team / WorkspaceのGemini / 業務ノートPCのOllama]。その他は、業務データを貼る前に相談します。
2. アカウント：法人のみ。顧客、従業員、ベンダーの資料に個人AIを使うことは禁止です。
3. 絶対に貼らない：資格情報、キー、健康データ、未成年者のデータ、顧客識別子、完全なデータベース、第三者の契約書、給与、記録。
4. 貼ってよい：すでに公開されるはずのテキスト、自社の下書き、架空データ、機密でない社内資料の匿名化済みのもの。
5. ファイルを貼る前に：シークレットと氏名の検索。ファイルが顧客のものなら、そのNDAが適用されます。
6. AIの出力：確認します。人間の目なしに顧客へ送信しません。モデルがでっち上げた法律引用や数字が存在すると想定しません。
7. インシデント：貼りすぎたら、同じ日に[氏名]に報告。スレッドを削除し、該当すればキーをローテーションし、何が出たかを記録します。
8. ローカル：[はい/いいえ]。はいなら、[データ種別]には[機器]上のOllamaのみを使用。
9. このポリシーは法律や顧客との契約に取って代わりません。質問は： [氏名]。WhatsAppグループではなく。

これで3〜15人のチームには十分です。

モデルではなく弁護士に聞くこと

メキシコではLFPDPPPとその規則が適用されます。LATAMの他の国にはそれぞれ法律があり、ブラジルにはLGPDがあります。同意、処理委託、移転、期限に関するルールがあります。でっち上げの条文や、チャットが出してくる「第32条によると」を使わないでください。 モデルは羨ましい自信で法令を幻覚します。

現地の弁護士への具体的な質問：

• この種類のデータで国外のプロバイダを使えますか？
• AIを使用していることを通知する条項を顧客契約に含める必要がありますか？
• [プロバイダ]のTeamプランは、ここで許容できる形で私たちを管理者、彼らを受託者にしますか？
• 個人アカウントにすでにデータベースを貼った従業員についてはどうすべきですか？

弁護士が「場合による」と言えば、仕事をしています。モデルが「安心してください、第32条がカバーします」と言えば、即興しています。

よくある質問

チャットを削除すれば十分ですか？

あなたが見えなくなるには十分です。プロバイダが永続化しなかったことや、別の場所に残っていないことの保証ではありません。それでも削除してください。証明書として使わないでください。

学習のオプトアウトを有効にしたら？

まだ存在する個人アカウントでは有効にしてください。「私のデータは保存されない」や「もうCRMを貼ける」と混同しないでください。学習は一つの利用。サービス提供のために保存するのは別です。

顧客の「公開」データは貼れますか？

ウェブサイトにロゴがあることは、未公開の価格表、WhatsApp、苦情のスレッドをアップロードする許可にはなりません。公開とは、彼らが一般向けに公開したものです。

従業員とのNDAで十分ですか？

あなたたちの間では役立ちます。AIプロバイダを拘束しません。NDAはテキストと一緒には旅しません。

---

中小企業でのAI導入は、勝利のプロンプトから始まりません。テキストボックスに何を絶対に入れないかを決め、止められる種類のアカウントにお金を払い、チームが暗唱できる1ページを書くことから始まります。モデルは引き続きコンテキストを要求します。あなたの仕事は、それを与えないことです。