AI時代の顧客情報流出が心配？経営者が始める業務とシステムの見直し

「うちには関係ない」と思った朝に

こんにちは。バーチャライターの夢野ダイです。この記事では、AI時代の顧客情報流出を二つのリスクに分け、専門知識がなくても始められる業務システムの見直し方と棚卸し項目を解説します。業務改善の話をしていると、ときどき「セキュリティは大企業やIT部門の仕事でしょう」と聞きます。僕も締切前には見なかったことにしたい通知が山ほどありますが、顧客情報の扱いだけは、担当者の記憶に預けたままにできません。

2026年1月29日、IPAは「情報セキュリティ10大脅威 2026」を公表しました。同日のプレス発表では、AIの利用に伴う情報漏えいや権利侵害だけでなく、AIを悪用した攻撃の容易化・巧妙化にも注意を促しています。

またAnthropicは2025年11月13日（14日訂正）の公式報告で、同年9月に検知した活動について、約30組織への侵入が試みられ、一部で成功したと説明しました。同社による事例報告であり、あらゆる攻撃が自動化された、どの会社も突破される、という意味ではありません。それでも、攻撃側がAIを調査や脆弱性の発見に使いうる時代になったことは、経営者にも無関係ではありません。

二つの「AIと情報流出」を分けて考える

まず整理したいのは、似て見える二つのリスクです。

一つ目は、外部の攻撃者がAIを悪用するリスクです。自社が生成AIを導入していなくても、古いシステム、更新されていない機器、使われていないアカウントなどが狙われる可能性はあります。

二つ目は、社内の人が生成AIへ機密情報を入力するリスクです。顧客名、契約内容、未公開資料などを、利用条件を確認しないまま外部サービスへ入力すれば、意図しない情報の持ち出しにつながりかねません。

この二つは対策の担当も入口も異なります。外部攻撃への備えはシステムの更新やアクセス管理、専門検査が中心です。社内利用への備えは、入力してよい情報の線引き、承認済みツール、相談先の明文化が中心になります。個別の漏えい事故を根拠なく「AIが原因」と結び付けるのは避けましょう。

脆弱性は「鍵の壊れた窓」のようなもの

脆弱性とは、システムや設定にある弱点です。難しい言葉ですが、店舗でいえば、表のドアは施錠していても裏窓の鍵が壊れたまま、という状態に近いでしょう。

問題は、窓があること自体ではありません。どの窓を誰が点検し、壊れたらいつ直すのかが決まっていないことです。顧客管理システムを導入した担当者が退職し、保守契約の所在も分からない。共有アカウントを何年も使い続けている。バックアップはあるはずだが、戻せるか試したことがない。こうした「担当不明」の積み重ねが、現場の不安を大きくします。

まず一枚の棚卸し表をつくる

僕なら、いきなり製品を買う前に、次の七項目を一枚にまとめます。

1. 顧客情報はどこに保存されているか
2. 誰が閲覧・変更・持ち出しできるか
3. 退職者や異動者のアカウントが残っていないか
4. OSや業務システムの更新担当と期限は決まっているか
5. 保守会社、契約範囲、緊急連絡先を確認できるか
6. バックアップから復元できることを確かめているか
7. 生成AIへ入力してよい情報と禁止する情報を定めているか

「分からない」は失点ではありません。分からない場所が見えたこと自体が改善の出発点です。逆に、全部大丈夫だと思い込んだまま、根拠を確認できない状態のほうが危険です。

経営者・業務担当者・専門家の役割を分ける

経営者が攻撃手法を覚える必要はありません。判断すべきなのは、守る情報の優先順位、止まると困る業務、対策に使える予算と時間です。

業務担当者は、実際の情報の流れを説明します。申込書から表計算、顧客管理、請求まで、どこでコピーされ、誰が触るのか。システム担当者や開発会社は、更新状況や権限、ログ、バックアップを確認します。脆弱性診断や侵入テストが必要なら、対応できるセキュリティ専門会社へ依頼します。

ここを混ぜると「誰かが見ているはず」という、あまり嬉しくない共同作業が完成します。

最初の相談で用意するとよいもの

相談前に完璧な資料は不要です。次の四つがあれば、会話を始めやすくなります。

1. 利用中の主な業務システム一覧
2. 顧客情報が通る業務の簡単な流れ
3. 困っていることと、止まると困る業務
4. 契約・保守・更新担当が分からない箇所

情報の保存先が複数ある場合は、正解を決めず現状どおり書きます。メール添付、個人の端末、紙の台帳も含めてください。きれいに見せるより、実態が分かるほうが役立ちます。

「何が課題か分からない」段階から整理する

dreamiの業務改善AI診断は、業務の進め方、情報の扱い、利用中のシステムを整理し、改善の入口を考えるための準備ツールです。脆弱性検査、侵入テスト、安全性の保証を行うものではありません。専門検査が必要か判断する前段で、「どこから説明すればよいか」を整えたい方に向いています。

自社の状況を整理するところから始めたい方は、dreamiの業務改善AI診断を試すで、現在の業務と利用システムを確認してみてください。

古い顧客管理を入れ替えたい、権限管理を追加したい、複数台帳を統合したいなど、実施したいことが具体的なら、システム開発のAI概算見積もりも検討できます。概算は検討材料であり、正式な費用や実現方法は要件確認後に決まります。

定期的な見直しを仕組みにする

一度の棚卸しで終わらせず、アカウント変更、システム更新、生成AIの利用ルールを半年または年度ごとに見直します。新しいサービスを導入したときも、保存先と責任者を追記します。業務システムの見直しを定例会議に組み込めば、担当者が変わっても確認が途切れにくくなります。

まとめ

AI時代の情報流出対策は、恐怖で高価な製品を急いで買うことではありません。顧客情報の場所、権限、更新、責任者を説明できる状態にすることが第一歩です。

僕、夢野ダイからの提案は、今日30分だけ棚卸し表に向き合うことです。空欄が残っても構いません。その空欄こそ、次に誰へ何を聞くべきかを教えてくれます。