Gemini（ジェミニ）に潜む情報漏洩リスクとプライバシーの仕様

Googleが提供するGeminiは、その高い処理能力からビジネスの現場でも急速に普及しています。しかし、その圧倒的な利便性の裏側には、企業のガバナンスを揺るがしかねない重大なプライバシー上のリスクが潜んでいます。まずはデータの扱いに関する仕様を正確に理解しましょう。

無料版Geminiのデフォルト設定におけるデータ学習のメカニズム

一般的に個人のGoogleアカウントを使って無料で利用できる「無料版Gemini」は、デフォルトの状態ではユーザーがチャット欄に入力したテキスト、アップロードした画像やファイルなどのデータを、GoogleのAIモデル（Geminiなど）の精度向上のための「追加学習データ」として二次利用する仕様になっています。

つまり、自社の未公開プロジェクトの企画書、独自のソースコード、顧客の個人情報などを無料版Geminiに入力すると、それらがAIシステムに取り込まれ、将来的に世界中の第三者がGeminiに類似の質問をした際、その回答の一部として意図せず出力されてしまうという情報漏洩のメカニズムが存在します。

「人間のレビュアー」が内容を確認？見逃せないプライバシーリスク

多くのユーザーが見落としがちな最大の盲点が、Googleによる「人間によるレビュー（検閲）」の存在です。

Googleのプライバシー規約によると、AIモデルの品質向上やバグ修正、安全性の検証を目的として、ユーザーが入力したプロンプト（指示文）の一部をサンプリングし、「人間のレビュアー（Googleの委託先企業のスタッフなど）」が直接確認・分析するプロセスが組み込まれています。

たとえAIモデル自体にデータが直接学習されなかったとしても、入力した機密情報が生身の第三者に閲覧される状態にあるため、この仕様を知らずに機密データを入力することは極めて危険であると言わざるを得ません。

個人任せの利用（シャドーIT）が企業にもたらす危険性

会社が公式にGeminiの導入を認めていなくても、現場の従業員が「仕事の効率を上げたい」という善意から、個人のGoogleアカウントを使って勝手に実務に利用し始めているケースが多発しています。これが「シャドーIT」と呼ばれる問題です。

管理部門の目が届かないところで、従業員が会社の顧客リストや製品の脆弱性情報を無料版Geminiに無防備に入力し、それが上述の「データ学習」や「人間によるレビュー」の対象になってしまうリスクがあります。万が一、そこから機密が外部に流出した場合、企業はコンプライアンス違反、社会的信用の失墜、巨額の損害賠償請求といった致命的な打撃を被る危険性があります。

情報漏洩を防ぐ！Geminiで必ず行うべきプライバシー設定の手順

従業員が個人アカウントでGeminiを利用する場合や、本格的なシステム導入前のテスト段階においては、情報漏洩を防ぐためのセキュリティ設定をユーザー側で能動的に行う必要があります。

「Geminiアプリのアクティビティ」をオフ（オプトアウト）にする方法

無料版のGeminiであっても、ユーザー設定から「Geminiアプリのアクティビティ」という項目をオフにすることで、入力データをGoogleの学習や人間のレビュー対象から除外（オプトアウト）させることが可能です。設定の手順は以下の通りです。

1. Gemini（ https://gemini.google.com/ ）にログインする。
2. 画面左下またはメニュー内にある「アクティビティ」または「設定」アイコンをクリックする。
3. 「Geminiアプリのアクティビティ」の項目を選択し、スイッチを「オフ」にする。
4. ポップアップで確認画面が表示されるため、内容を確認して「オフにする」または「一時停止」を選択する。

この設定を完了させることで、以降に入力した会話データがAIモデルの改善のために利用されるのを防ぐことができます。

設定をオフにしても残る？無料プランにおけるデータ保存期間の盲点

「アクティビティをオフにすれば100%安全」と過信するのは禁物です。ここには無料プラン特有の厳格な「保存期間の盲点」が存在します。

Googleの仕様上、アクティビティ設定をオフにしても、システム運用や安全性チェック（有害コンテンツの排除など）の観点から、入力したデータは最大72時間はGoogleのサーバー内に保持されます。

さらに深刻なのは、アクティビティをオフにする「前」に人間のレビュアーによって抽出・サンプリングされてしまったデータは、ユーザーのアカウント情報とは切り離された状態で、最大3年間もの長期にわたってGoogleのバックエンドに保存され続けるという点です。過去に一度でも不用意に機密情報を入力してしまっていた場合、後から設定をオフにしてもその痕跡を即座に消し去ることはできません。

従業員へ周知すべきGemini利用時のデータ入力ルール

システム的な設定変更を促すとともに、現場の従業員一人ひとりに対して「Geminiに入力してよい情報とダメな情報」の境界線を明確に教育・周知することが必須です。

• 入力厳禁のデータ：個人情報（顧客の氏名、メールアドレス、電話番号など）、自社の営業秘密（未公開の決算データ、新製品の企画、独自のソースコード、ログインパスワードなど）、取引先との守秘義務（NDA）に抵触する情報。
• 入力可能なデータ：すでにWebサイト等で一般公開されているプレスリリースの文章（校正目的）、一般的なプログラミングの構文エラーの修正依頼、一般的なビジネスフレームワークに関する壁打ち。

企業がGeminiを安全にビジネス導入するための「法人向けプラン」

無料版の設定変更や運用の工夫だけでは、人間の「うっかりミス」による漏洩を完全に防ぐことは困難です。企業がコンプライアンスを担保しつつGeminiの真価を発揮させるには、ビジネス専用の有料プランの契約が強く推奨されます。

データが学習されない安心環境「Gemini for Google Workspace」とは

「Gemini for Google Workspace」は、企業が日常的に利用しているGmailやGoogleドライブ、Googleドキュメントなどのビジネスインフラに、Geminiの高度なAI機能を直接統合できる法人向けのアドオンサービス（旧称：Duet AI）です。

この法人向けプランの最大のメリットは、「ユーザーが入力したデータやプロンプト、生成された成果物が、GoogleのパブリックなAIモデルの学習に二次利用されることは決してない」と利用規約で厳格に明文化されている点にあります。自社のドキュメントや社内データをAIに読み込ませて分析・要約させても、そのデータが外部に漏れる心配はありません。

無料版のプライバシー設定と有料の法人プランにおけるセキュリティの違い

無料版でアクティビティを「オフ」にした環境と、有料の法人プランの最大の違いは、「信頼性の担保レベル」と「管理者による統制機能」にあります。

無料版のオプトアウト設定はあくまで個人ユーザー個々の裁量に依存するため、従業員が誤って再有効化してしまったり、別のアカウントでログインして利用したりするのを会社側で制御できません。一方、法人プランであれば、企業のIT管理者（情報システム部門など）がダッシュボードから一元的にセキュリティポリシーを適用でき、人間のレビュアーへの露出も完全に遮断されるため、エンタープライズ用途に耐えうる強固な機密保持環境が構築できます。

自社の環境に合わせて選ぶべきビジネス向けGeminiの導入形態

Geminiを実務に導入するアプローチには、企業の規模や既存のITインフラに応じていくつかの選択肢があります。

すでに業務のベースとしてGoogle Workspace（旧G Suite）を全社導入している企業であれば、アカウントを追加するだけで即座に安全なAI環境が手に入る「Gemini for Google Workspace」のアドオン契約が最もスムーズで費用対効果が高いでしょう。

一方で、独自の社内システムや専用アプリにGeminiのAIモデルを組み込みたい場合は、Google Cloudが提供する「Vertex AI」を介してGeminiのAPIを呼び出す開発形態を選択することで、自社のセキュリティ要件に合わせたより柔軟で強固な暗号化・データ分離環境を実現できます。

Geminiのビジネス活用で情報漏洩以外に注意すべきリスク

Geminiをはじめとする生成AIの導入において、情報漏洩は最も警戒すべきリスクですが、それ以外にも法務や運用の観点から見逃せないいくつかの落とし穴が存在します。

出力された誤情報を鵜呑みにしてしまうハルシネーション問題

AIは極めて自然で説得力のある文章を作成しますが、その内容が必ずしも真実であるとは限りません。AIが事実とは異なる架空のデータや嘘の情報を、あたかも正しいことのように堂々と出力する現象を「ハルシネーション（幻覚）」と呼びます。

Geminiが提示した統計データや法的な解釈、歴史的事実などをファクトチェック（事実確認）せずにそのまま自社の公式資料や顧客への提案書、Webサイトのコンテンツに使用してしまうと、重大なインシデントや企業の社会的信用の失墜を招く原因となります。

生成されたコンテンツによる他者の著作権・知的財産の侵害リスク

Geminiが出力する回答は、インターネット上の膨大な既存データを学習した結果に基づいています。そのため、出力された文章やアイデアが、第三者の著作物や特許、商標などと偶然にも酷似してしまうケースがあります。

これを商用目的のWebサイト、広告、製品パッケージなどにそのまま使用した場合、意図せず他人の知的財産権を侵害したとして、権利元から訴訟を起こされたり、損害賠償を請求されたり、コンテンツの公開停止を余儀なくされるリスクがあります。実務利用の前には、コピーペーストのチェックや類似性検証が必要です。

商用利用における利用規約の遵守と二次利用の制限

GoogleはGeminiの商用利用を基本的に認めていますが、利用規約（Terms of Service）を正しく遵守することが前提です。

例えば、「AIが生成したコンテンツを、人間の手が一切入っていないにもかかわらず『人間が100%執筆した』と偽って公開・販売する行為」や、「医療、金融、法律などの高度な専門的判断を、資格を持たないAIの回答のみに依存して他人に提供する行為」などは規約違反や法的トラブルを招く恐れがあります。AIの出力はあくまで「業務の補助・下書き」として扱い、最終的な責任は人間が負うという基本原則（二次利用の制限や免責事項）の理解が不可欠です。

安全性と利便性を両立！社内でGeminiを健全に定着させるポイント

AIの導入において、リスクを恐れるあまり「全面利用禁止」にすることは、競合他社に生産性の面で大きな遅れをとるため得策ではありません。「安全なガードレールを敷いた上で、利便性を最大限に活かす」ための3つの定着ポイントを整理します。

システム的な学習遮断と「利用ガイドライン」の策定・配布

セキュリティの確保には、「システムによる防御」と「ルールによる統制」の両輪が必要です。

会社としてデータが学習されない有料の法人向けプラン（Gemini for Google Workspaceなど）を公式インフラとして一括支給し、システム側で情報漏洩のルートを遮断します。その上で、「どのような業務で、どのような手順でGeminiを使ってよいか」を明確に言語化した社内の「生成AI利用ガイドライン」を策定・配布し、組織としての利用の境界線を周知徹底します。

「何を入力してはダメか」を理解させる継続的なセキュリティ教育

ガイドラインという名のルールブックを社内ポータルに置いておくだけでは、現場の形骸化を防ぐことはできません。

定期的な社内eラーニングや、実際のインシデント事例を交えたセキュリティ研修を継続的に実施することが重要です。「なぜ無料版に顧客データを入力してはならないのか」「ハルシネーションを見抜くにはどうすればよいか」という本質的な理由（リテラシー）を従業員一人ひとりが納得して腹落ちさせることで、初めて現場での自発的なリスク回避行動が定着します。

業務改善の成果を評価しシャドーITを隠蔽させない組織づくり

従業員がルールを破って隠れて無料のAIを使う（シャドーIT）最大の原因は、会社が便利な環境を用意してくれないこと、そして「AIを使って仕事を効率化しても評価されない」という不満にあります。

会社側が安全な環境を公式に提供した上で、「Geminiを活用して業務時間を月30時間削減した」「AIを壁打ち相手にして優れた企画を立案した」といった成果を、人事評価や社内表彰などで正しく評価する仕組みを作りましょう。AI活用をオープンに称賛する組織文化を作ることで、現場がリスクを隠蔽することなく、安全かつクリエイティブにAIを使いこなす好循環が生まれます。

まとめ

本記事では、Googleの先進的なAI「Gemini」をビジネスで活用する際の情報漏洩リスクやデータ学習のメカニズム、人間のレビュアーによる監視、個人任せの利用（シャドーIT）が企業にもたらす危険性について解説しました。また、無料版におけるプライバシー設定（アクティビティのオフ）の手順と保存期間の盲点、企業が導入すべき安全な法人向けプラン（Gemini for Google Workspaceなど）と無料版とのセキュリティ上の決定的な違い、さらにはハルシネーションや著作権侵害といった漏洩以外のリスク、そして安全性と利便性を両立させて全社に健全に定着させるためのポイントについて網羅的にご紹介しました。

しかし、自社の既存のセキュリティポリシーやITインフラに適合した、穴のない「生成AI利用ガイドライン」を一から設計すること、従業員個々のITスキルに応じた継続的なセキュリティ教育プログラムを企画・運営すること、そしてシャドーITを完全に撲滅しながら業務効率を最大化する法人プランの選定や導入サポートを社内のリソースだけで完璧に遂行していくことは、情報システム部門や法務担当者の負担が極めて大きく、専門的なAIガバナンスの知見を必要とします。

Geminiを安全に業務活用するには、適切なプランや設定を選ぶだけでなく、従業員が情報漏洩のリスクと正しい使い方を理解することが重要です。

EdtechTrainingの生成AI研修では、生成AIの基礎から機密情報の取り扱い、ハルシネーションなどのリスク対策まで体系的に学べます。Geminiを含む生成AIの安全な社内活用を進めたい企業は、研修の活用を検討してみてください。

参考：https://edtechtraining.ysinc.co.jp/ai/