--- title: "内部不正とAIの利用｜AI-Ready.jp" url: https://www.ai-ready.jp/column/insider-risk-and-ai/ description: "生成AIは、社内の情報を短い時間で集めて整理できるため、持ち出しや不注意な漏えいの影響も大きくなりえます。IPAの内部不正防止の5つの基本原則を、AIの利用に当てはめて考えます。" updated: 2026-11-12 publisher: "フロレンティナ株式会社" --- [柱：基盤とセキュリティ](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) # 内部不正とAIの利用 執筆：[石田誠](https://www.ai-ready.jp/about/authors/#ishida)更新 2026-11-12最終確認 2026-11-12出典 2件[図解 1点](https://www.ai-ready.jp/zukai/) この記事の結論 生成AIは、社内の情報を短い時間で集めて要約できるため、意図した持ち出しも、不注意による漏えいも、影響が大きくなりえます。IPAの内部不正防止ガイドラインが示す5つの基本原則（やりにくくする、見つかるようにする、割に合わなくする、その気にさせない、言い訳させない）をAIの利用に当てはめると、権限・記録・ルール・職場の環境を一緒に整える考え方が見えてきます。 自社の「基盤とセキュリティ」の準備度は？[10問・約3分で確かめる（無料・登録不要）](https://www.ai-ready.jp/diagnosis/quick/) 内部不正というと、悪意のある社員による持ち出しを思い浮かべるかもしれません。実際には、ルールを知らずに社外のサービスに社内の情報を入れてしまうといった、悪意のない行為が問題になることもあります。生成AIの利用が広がると、こうした場面は増えていきます。この記事では、内部不正の対策の基本を、AIの利用に当てはめて整理します。 この記事でわかること - 内部不正とAIの利用が、なぜ一緒に語られるのか - IPAの内部不正防止の5つの基本原則 - 5つの原則をAIの利用に当てはめた対策の例 ## なぜ、内部不正とAIの利用を一緒に考えるのですか？ IPAの「情報セキュリティ10大脅威 2026」では、組織にとっての脅威として、3位に「AIの利用をめぐるサイバーリスク」、7位に「内部不正による情報漏えい等」が挙げられています。この2つは、社内の人の行動が起点になる点で重なります。 生成AIを使うと、次のようなことが起こりえます。 - **集める・まとめる作業が速くなる：** 社内の共有フォルダや文書を検索して要約するAIは便利ですが、権限が広すぎると、本来見る必要のない情報まで短時間で集められてしまいます - **社外のサービスへの入力：** 会社が認めていないAIサービス（シャドーAI）に、顧客の情報や社外秘の資料を入れてしまうことがあります - **持ち出しの形が変わる：** 資料そのものではなく、AIで要約した内容を持ち出すといった形も考えられます いずれも、AIそのものの問題というより、**誰が、どの情報に、どの道具でアクセスできるか**の問題です。 読みながら、自社の現在地を確かめませんか クイック診断は10問・約3分・登録不要です。7つの柱ごとの目安と、「基盤とセキュリティ」を含めて次に取り組むことがわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/)[結果の解説（30分・無料）](https://www.ai-ready.jp/consult/review/) ## IPAのガイドラインは、どのような原則を示していますか？ IPAの「組織における内部不正防止ガイドライン」（第5版、2022年4月改訂）は、犯罪が起きにくい状況をつくる「状況的犯罪予防」の考え方を応用し、次の5つを基本原則としています。 1. 犯行を難しくする（やりにくくする） 2. 捕まるリスクを高める（やると見つかる） 3. 犯行の見返りを減らす（割に合わない） 4. 犯行の誘因を減らす（その気にさせない） 5. 犯罪の弁明をさせない（言い訳させない） ガイドラインは、これらの原則のもとで、基本方針、資産管理、技術・運用管理、職場環境、事後対策など10の観点から、33項目の対策を整理しています。第5版は、テレワークの普及や雇用・人材の流動化といった事業環境の変化を踏まえて改訂され、テレワークに関する対策の全体を見渡せる付録も加えられています。 ## 5つの原則を、AIの利用にどう当てはめればよいですか？ 5つの原則をAIの利用に置き換えると、たとえば次のようになります。 - **やりにくくする：** AIが参照できる情報の範囲を、その人の業務に必要な範囲に絞ります（最小権限）。会社が認めたAIサービスを用意し、それ以外への業務の情報の入力を禁止します - **見つかるようにする：** 誰が、いつ、どのAIサービスを使ったかを記録します。大量の情報の取得など、ふだんと違う使い方に気づける仕組みを検討します - **割に合わなくする：** 重要な情報は分類して印を付け、持ち出しても使いにくくする手段（暗号化など）を検討します - **その気にさせない：** 使い方に迷ったときに相談できる窓口を設け、困りごとを言い出しやすい職場にします - **言い訳させない：** 入力してはいけない情報を具体的に示し、ルールを周知して、理解したことを確かめます。「知らなかった」をなくすことが目的です 内部不正防止の5つの基本原則を、AIの利用に当てはめる - **やりにくくする**：AIが参照できる情報を業務に必要な範囲に絞る（最小権限） - **見つかるようにする**：誰が、いつ、どのAIサービスを使ったかを記録する - **割に合わなくする**：重要な情報を分類し、持ち出しても使いにくくする - **その気にさせない**：相談できる窓口を設け、困りごとを言い出しやすくする - **言い訳させない**：入力してはいけない情報を示し、**「知らなかった」をなくす** 5つの原則はIPA「組織における内部不正防止ガイドライン」（第5版）によるものです。記録の仕組みは社員の個人の情報も扱うため、目的と範囲を決め、社員に知らせてから運用します。 ### 退職や異動のときは、何に気をつけますか？ ガイドラインは、雇用が終わる間際に持ち出しなどの内部不正が起こりやすいことを指摘し、情報資産の返却や、IDと権限の削除などを対策に挙げています。AIのサービスでも、アカウントの停止や、個人の環境に残った履歴の扱いを、退職・異動の手続きに含めておくと安心です。 記録を残す仕組みは、社員の個人の情報も扱うことになります。目的と範囲を決め、社員に知らせてから運用すると、安心して使える環境につながります。具体的な進め方は[シャドーAIへの対策](https://www.ai-ready.jp/guide/shadow-ai-countermeasures/)と[営業秘密を守りながらAIを使う](https://www.ai-ready.jp/guide/trade-secret-and-ai/)もあわせてご覧ください。 ## 関連するひな形・ガイド・用語 ひな形 - [入力してはいけない情報の一覧](https://www.ai-ready.jp/templates/prohibited-input-list/) - [AIの利用記録](https://www.ai-ready.jp/templates/ai-use-log/) ガイド - [シャドーAIへの対策](https://www.ai-ready.jp/guide/shadow-ai-countermeasures/) - [営業秘密を守りながらAIを使う](https://www.ai-ready.jp/guide/trade-secret-and-ai/) - [アカウントと権限の管理の基本](https://www.ai-ready.jp/guide/access-management-basics/) - [生成AIの利用ルールの作り方（ひな形つき）](https://www.ai-ready.jp/guide/generative-ai-usage-policy/) - [社内データの分類ルールの作り方](https://www.ai-ready.jp/guide/data-classification-policy/) 用語 - [内部不正](https://www.ai-ready.jp/glossary/insider-threat/) - [データ漏えい](https://www.ai-ready.jp/glossary/data-leakage/) - [シャドーAI](https://www.ai-ready.jp/glossary/shadow-ai/) - [DLP（情報漏えい対策）](https://www.ai-ready.jp/glossary/dlp/) - [最小権限の原則](https://www.ai-ready.jp/glossary/principle-of-least-privilege/) ## よくあるご質問 Q社員を疑っているようで、内部不正の対策を進めにくいのですが。 A内部不正の対策は、社員を疑うためではなく、不注意による漏えいを防ぎ、社員が疑われないようにするためのものと伝えると進めやすくなります。IPAのガイドラインも、犯行を難しくすることに加えて、その気にさせない職場の環境づくりを基本原則に含めています。ルールと記録の目的を、あらかじめ社員に説明しておくことが大切です。 QAIの利用の記録は、どこまで残せばよいですか？ A業務の内容と扱う情報によって変わります。誰が、いつ、どのツールを使ったかは残しやすい項目です。入力の内容まで残す場合は、社員の個人の情報が含まれることもあるため、目的、見る人、保存の期間を決め、社員に知らせたうえで運用します。 ## この記事に出てくる用語 - [生成AI](https://www.ai-ready.jp/glossary/generative-ai/) - [要約](https://www.ai-ready.jp/glossary/summarization/) - [内部不正](https://www.ai-ready.jp/glossary/insider-threat/) - [シャドーAI](https://www.ai-ready.jp/glossary/shadow-ai/) - [分類（機械学習）](https://www.ai-ready.jp/glossary/classification/) - [暗号化](https://www.ai-ready.jp/glossary/encryption/) - [営業秘密](https://www.ai-ready.jp/glossary/trade-secret/) - [データ漏えい](https://www.ai-ready.jp/glossary/data-leakage/) - [DLP（情報漏えい対策）](https://www.ai-ready.jp/glossary/dlp/) - [最小権限の原則](https://www.ai-ready.jp/glossary/principle-of-least-privilege/) ## 「基盤とセキュリティ」のほかの記事 [この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) [基盤とセキュリティAIのベンダーロックインはどう避けるか？依存を減らすより「出口」を用意する考え方石田誠2026-11-12](https://www.ai-ready.jp/column/avoiding-vendor-lock-in/)[基盤とセキュリティAIの電力消費と企業の考え方石田誠2026-11-12](https://www.ai-ready.jp/column/ai-energy-use/)[基盤とセキュリティAIツールの安全性をどう見るか石田誠2026-11-12](https://www.ai-ready.jp/column/evaluating-ai-tool-safety/) ## 出典 1. [IPA「組織における内部不正防止ガイドライン」（第5版）](https://www.ipa.go.jp/security/guide/insider.html) 2. [IPA「情報セキュリティ10大脅威 2026」](https://www.ipa.go.jp/security/10threats/10threats2026.html) 最終確認日：2026-11-12 ## 次の一歩 [測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/) 目次 1. なぜ、内部不正とAIの利用を一緒に考えるのですか？ 2. IPAのガイドラインは、どのような原則を示していますか？ 3. 5つの原則を、AIの利用にどう当てはめればよいですか？ 4. よくあるご質問 この記事が扱う柱 主に「基盤とセキュリティ」 [基盤とセキュリティの解説](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) 自社の準備度を確かめる 10問・約3分・登録不要。7つの柱ごとの目安がわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/) --- 出典：フロレンティナ株式会社「内部不正とAIの利用｜AI-Ready.jp」 https://www.ai-ready.jp/column/insider-risk-and-ai/