ChatGPT業務利用のセキュリティ設定｜管理画面で見る6項目

ChatGPT業務利用のセキュリティ設定で確認すべきなのは、管理画面の6項目です。学習への利用、メンバーと権限、ログイン方法（SSOとMFA）、共有範囲、アプリとコネクタ、会話の保持期間と監査ログ。この6つを上から順に見れば、法人プランでやるべき初期設定はひととおり終わります。

この記事は、ChatGPT BusinessまたはEnterpriseをすでに契約している、あるいは契約直前で「何を設定すればいいのか」が分からない情報システム担当者・総務・経営者向けに書いています。読み終わる頃には、管理画面のどこを見て、どの値にして、何を社内に周知するかまで決められる状態を目指します。

なお、どのプランを契約するかの比較は扱いません。個人プランと法人プランで何が違うのかを先に知りたい方は、AIの法人プランと個人プランの違い｜学習利用と管理機能で選ぶを先に読んでから戻ってきてください。この記事は「契約したあと、管理画面で何をするか」に絞ります。

Contents / 目次

1. ChatGPT業務利用のセキュリティ設定で見る6項目の一覧
2. 管理画面で確認する手順。ステップ1から6まで
3. 生成AIの社内利用でセキュリティを保つとき、管理画面だけでは塞げない穴
4. ChatGPT業務利用で情報漏洩が起きる3つの経路
5. 設定を終えたあと、社内で何が変わるか
6. ChatGPTの管理画面まわりで実際によく起きる失敗
7. Businessのままでは届かない範囲と、現実的な妥協点
8. よくある質問
9. 今日の最初の一歩

ChatGPT業務利用のセキュリティ設定で見る6項目の一覧

結論から言うと、管理画面で確認するのは次の6項目です。どれも1回設定すれば当面変えるものではないので、初回に30〜60分とって一気に片づけるのが効率的です。

• 学習への利用：入力した会話がモデルの改善に使われない状態になっているか
• メンバーと権限：誰にどの役割が割り当てられているか、退職者が残っていないか
• ログイン方法：SSOを使うのか、MFA（多要素認証）をどう担保するのか
• 共有範囲：作ったGPTと個々の会話が、どこまで見える設定になっているか
• アプリとコネクタ：社外のサービスや社内システムと、勝手につながっていないか
• 保持期間と監査ログ：会話がいつまで残り、何を証跡として取り出せるか

プランによって「できること」と「初期値」が違います。ここを取り違えると、設定したつもりで穴が開いたままになります。下の表は各項目で見るポイントの一覧です。プランごとの実際の値は、自社の管理画面と公式ヘルプで必ず確認してください（この記事の確認日は2026年8月26日）。

確認する項目	何を見るか	管理画面で確認すること
学習への利用	会話が学習に使われないか	法人ワークスペースは既定で学習対象外。その状態になっているかを目視確認する
メンバーと権限	役割の割り当て	在籍者と一致しているか。自動連携（SCIM）が使えるかは契約プランで確認する
ログイン方法	SSOの有無、MFAの担保	SSOを使うか決める。MFAはワークスペース単位で強制できない
共有範囲	GPTと会話の見え方	社外GPTの利用可否、社内GPTの公開共有、会話の共有リンクの扱い
アプリ・コネクタ	外部サービスとの接続	既定値がプランで違う（下のポイント参照）。オンになっている接続を書き出す
保持期間・監査ログ	会話の残り方と証跡	保持期間をどこまで自社で決められるか、監査ログを外部に出せるか

ここだけは覚えて帰ってください。アプリ・コネクタの初期値は、契約プランによって違います。オンで始まるプランもあれば、オフで始まるプランもあります。 プランごとの現在の初期値は、OpenAI Help Centerのアプリに関する管理者向け解説（Admin controls, security, and compliance in apps）と、自社の管理画面で必ず確認してください。この領域は機能追加が続いているので、初期値も変わりえます。 「上位プランの方が厳しいはずだから、こちらも厳しいだろう」という思い込みが一番危ないところです。

入力データがモデルの学習に使われないことについては、OpenAI公式のBusiness data privacy, security, and complianceのページと各プランのヘルプに記載があります。つまり、法人プランにした時点で「学習に使われる」という一番よく語られるリスクは、既定で外れているということです。それでも設定確認が必要なのは、残り5項目が自動では安全側に寄らないからです。

この章の結論は、確認すべき対象は6項目に絞れて、そのうち自動で安全になっているのは学習への利用だけということです。残り5つは、自社で値を決める必要があります。

管理画面で確認する手順。ステップ1から6まで

ここからは、管理画面で実際に何をするかを順番に書きます。画面上のメニュー名やボタン名は改善のたびに変わるので、正確な名称と場所は各ステップに添えた公式ヘルプで確認してください。ここで大事なのは「どの値にするか」の判断です。そこはツールの画面が変わっても変わりません。

ステップ1。学習への利用が外れているかを確認する

ChatGPT Businessのワークスペースでは、入力した内容がモデルの学習に使われないのが既定です。この点はOpenAI Help Centerの「Managing data, sharing, and privacy in ChatGPT Business」に記載があります（2026年8月26日確認）。他の法人プランを契約している場合は、そのプランのヘルプで同じ点を確認してください。

だからここでやるのは「設定を変えること」ではなく、「本当にその状態か」を目視で確認して、確認した日付を記録に残すことです。確認先の画面名と場所は改称されることがあるので、上記の公式ヘルプに書かれている手順のとおりにたどってください。

記録の残し方は、スクリーンショット1枚で十分です。ファイル名を「20260826_学習利用オフ確認.png」のようにして、社内の共有フォルダに置いてください。半年後に「本当に大丈夫なの」と役員に聞かれたとき、この1枚があるかないかで説明のしやすさがまったく違います。

ステップ2。メンバーと権限を棚卸しして、退職者を消す

メンバー一覧を開いて、在籍者リストと1行ずつ突き合わせてください。役割の種類と、それぞれの役割が何をできるのかは、OpenAI Help Centerの該当ヘルプと自社の管理画面で確認してください。ここで見るのは3点です。

1. 在籍していない人のアカウントや、承諾されないまま残っている招待が無いか
2. 設定を変更できる最上位の役割が1人だけになっていないか（退職・長期休暇で誰も設定を触れなくなる）
3. 管理者権限を持つ人が必要以上に多くないか。管理者が具体的に何を閲覧・操作できるかは公式ヘルプで確認し、その範囲を渡してよい人だけに絞る

最上位の役割は2人が現実的です。1人だと退職や入院で詰みます。3人以上だと、誰が決めるのかが曖昧になって設定変更の責任者がいなくなります。中小企業なら「経営者と、実務で一番触る担当者」の2人が収まりがいい組み合わせです。

人事システムと連動させて自動で追加・削除したい場合は、SCIMという仕組みを使います。SCIMとは、社内のID管理システム（IDプロバイダー）の在籍情報に合わせて、外部サービスのアカウントを自動で作成・更新・削除する連携の規格のことです。SCIM連携に対応するプランはOpenAI Help CenterのSCIM Integration FAQに案内があるので、自社の契約プランが対象かどうかを確認してください（2026年8月26日確認）。対象外だった場合は、手動での棚卸しが前提になります。

手動棚卸しは「気づいたときにやる」では必ず抜けます。退職手続きのチェックリストに「ChatGPTのメンバー削除」の1行を足してください。追加する場所は、社用メールやチャットツールのアカウント停止のすぐ隣です。

ステップ3。SSOとMFAを決める。MFAは強制できない前提で考える

ここが、この記事で一番伝えたい落とし穴です。MFA（多要素認証。パスワードに加えてスマホのコードなど2つ目の確認を求める仕組み）は、ワークスペースの管理者が全員に強制することが現時点ではできません。OpenAI Help Centerの多要素認証（MFA）の有効化・無効化に関する記事には、次のように書かれています。

MFA cannot currently be enforced at the ChatGPT workspace or API Platform organization level.（ChatGPTのワークスペース単位、またはAPI Platformの組織単位で、MFAを強制することは現時点ではできません）

つまり、管理画面を隅から隅まで探しても「全員にMFAを義務づける」スイッチは見つかりません。探して見つからないのは、あなたの見落としではないということです。

ではどうするか。答えはSSO（シングルサインオン。会社のIDでまとめてログインする仕組み）です。導入可否や条件、SSOを有効にしたときにログイン方法がどう変わるのか（メールアドレスとパスワードによる従来のログインを併用できるのか、無効にできるのか）は、OpenAI Help CenterのSSO for ChatGPT Business – FAQで確認してください。ここを確認せずに「SSOにしたからIDプロバイダー側のポリシーが全員に効いている」と考えると、従来のログインが残っていた場合に想定が崩れます。

SSOをすぐ入れられない会社は、次の2段構えで妥協します。

• 短期：導入時の周知メールで各自にMFAを有効化してもらい、有効化のスクリーンショットを担当者に返信させて名簿で消し込む
• 中期：Microsoft EntraやGoogle Workspaceなど、すでに使っているIDプロバイダーとのSSO連携を計画に入れる

「各自にお願いする」は不確実な運用ですが、消し込み名簿までセットにすれば、少なくとも誰が未対応かは分かります。分からないまま放置するよりずっとましです。

ステップ4。GPTと会話の共有範囲を決める

共有範囲は、作ったGPT（自社用にカスタマイズしたChatGPT）と、個々の会話の2つに分けて考えます。この2つは設定場所も影響範囲も別ものです。

GPTについては、管理画面のGPT関連の設定で、社外の公開GPTを使えるようにするか、社内で作ったGPTをどこまで共有できるようにするかを決めます。OpenAI Help CenterのManaging GPT access in Enterprise and Edu workspacesに、共有スコープの考え方が説明されています。

判断の目安は次のとおりです。社内資料を読ませたGPTを作る予定があるなら、公開共有はオフにしてください。GPTに読ませた資料が、そのGPTを使える相手に対してどこまで出てくるのかは、GPT側の設定によって変わります。想定外の相手が使える状態にしないことが確実な対処です。設定の切り替え自体は1クリックですが、公開範囲を広げてから戻しても、その間に見られた分は取り返せません。

会話の方は、共有リンクを作ると、そのリンクを知っている人が中身を読める状態になります。

共有リンクがどこまで届くのか（ワークスペース内だけか、リンクを知っていれば社外からも開けるのか）は、自社の管理画面と公式ヘルプで必ず確認してください。ここは思い込みで運用すると事故につながる部分です。

便利な機能ですが、社内向けの説明にリンクを貼って、そのリンクが取引先に転送される事故は起こりえます。運用ルールとしては「共有リンクは社内チャットに貼らない。必要ならスクリーンショットか本文コピーで渡す」と決めるのが安全です。

ステップ5。アプリとコネクタの接続を止める、または絞る

ここが2026年時点で一番リスクが動いているところです。ChatGPTには、外部のサービスや社内システムと接続して、そこの情報を読んで回答する機能があります。この接続機能の呼び名と、管理画面のどこにまとまっているかは、OpenAI Help Centerのアプリに関する管理者向け解説と自社の画面で確認してください。名称は変わることがあります。

前述のとおり、この初期値はプランによって違います。オンで始まるプランを契約してすぐ使い始めた会社は、この時点ですでに「社員が自分の判断で外部サービスと接続できる状態」になっている可能性があります。まず自社の管理画面で現在の状態を見てください。

やることは3つです。

1. 管理画面で接続の一覧を開き、現在オンになっているものを書き出す
2. 業務で使う予定がないものは、すべてオフにする（あとから必要になったら戻せます）
3. 残すものについては、そのアプリが何をできるのか（読むだけか、書き込みや操作までするのか）を確認する

どこまで細かく制御できるかは、接続先のサービスと自社のプランによって変わります。読み取りと書き込みを分けて指定できる場合は、読み取りだけで済む用途に書き込みまで許可しないでください。分けられない場合は、その接続を使うかどうかそのものを判断してください。AIエージェントに権限を渡すときの原則は「まず読み取り専用から始めて、必要になった分だけ広げる」です。最初から全部許可して、あとから絞るのは、事故が起きてからしか気づけません。

ステップ6。保持期間と監査ログを決める

会話がいつまで残るかは、監査への備えと情報漏洩リスクの両方に効きます。保持期間を自社で設定できるかどうか、設定できる場合に選べる幅がどこからどこまでかは、契約プランと契約条件で変わります。自社の管理画面で選択できる値をそのまま確認して、記録に残してください。

監査ログについては、OpenAI Help CenterにCompliance APIs for Enterprise customersという記事があり、ワークスペースのログやメタデータを社外の監査系ツールに取り出す仕組みが案内されています。対象となるプラン、取り出せるログの種類、何日ぶん取り出せるかは、この公式ヘルプと自社の契約条件で確認してください（2026年8月26日確認）。

ワークスペース全体の設定項目はOpenAI Help CenterのManaging workspace settings in ChatGPT Enterpriseにまとまっています。Businessの管理画面で保持期間をどこまで制御できるかはプランと契約条件で変わるので、自社の画面で選べる値を確認し、確認日とあわせて記録してください。

6項目のチェックリストと、社内への周知文テンプレート

ここまでの内容を、そのまま使えるチェックリストにしました。印刷するか、社内の共有ドキュメントに貼り付けて使ってください。

【ChatGPT業務利用 セキュリティ設定チェックリスト】
確認日：____年__月__日　確認者：__________
プラン：□ Business　□ Enterprise　□ Edu

1. 学習への利用
   □ 学習対象外の状態を管理画面で確認した
   □ 確認画面のスクリーンショットを保管した

2. メンバーと権限
   □ 在籍者リストと1行ずつ突き合わせた
   □ 退職者・未承諾の招待をすべて削除した
   □ 最上位の役割を持つ人が2人いる（1人運用になっていない）
   □ 管理者権限を持つ人の人数と理由を説明できる

3. ログイン方法
   □ SSOを使う／使わないを決めた
   □ SSOを使う場合、従来のログインを併用するかを公式ヘルプで確認して決めた
   □ SSOを使わない場合、MFA有効化の消し込み名簿を作った
   □ 未対応者の期限を決めた（目安：周知から2週間）

4. 共有範囲
   □ 社外GPTの利用可否を決めた
   □ 社内GPTの公開共有をオフにした
   □ 会話の共有リンクの扱いを社内ルールに書いた

5. アプリ・コネクタ
   □ 現在オンの接続をすべて書き出した
   □ 使わない接続をオフにした
   □ 残す接続について、権限をどこまで指定できるかを確認した

6. 保持期間・監査ログ
   □ 保持期間の設定可否をプランごとに確認した
   □ 監査ログが必要かを法務・監査部門に確認した
   □ 次回の棚卸し日をカレンダーに入れた（目安：3か月後）

設定を終えたら、社員への周知までがワンセットです。設定だけして黙っていると、「使いにくくなった」という不満だけが残ります。次の文面をたたき台にしてください。

件名：ChatGPTの業務利用について（設定完了のお知らせ）

お疲れさまです。［部署名］の［氏名］です。
会社としてChatGPTの法人アカウントを用意しました。
本日から、以下のルールで利用できます。

■ 使い方
・招待メールから会社アカウントでログインしてください
・個人アカウント（無料版・Plus）での業務利用は今日で終了です
　これまで個人アカウントで使っていた方は、［期限日］までに
　必要な内容を会社アカウントへ移してください

■ 入れてよい情報・だめな情報
・入れてよい：公開済みの情報、社内向けの一般的な文章
・確認が必要：社外秘の資料、取引先名が入ったもの
　→ 判断に迷ったら［担当者名］に聞いてください
・入れてはいけない：個人情報、パスワード、契約書の原本

■ 最初にやってほしいこと
・ログイン後、アカウント設定から二段階認証を有効にしてください
・完了したら、この メールに「完了」と返信してください
　（誰が未対応か把握するためです）

■ 会社側の設定について
・会社アカウントでの入力内容は、AIの学習には使われません
・管理者は必要に応じて利用状況を確認できます
・不明点は［担当者名・連絡先］まで

［氏名］

入力してよい情報の線引きをもっと細かく決めたい場合は、AIに入力してはいけない個人情報｜線引きと社内ルールの作り方で3段階の分類の作り方を書いています。ルール文書そのもののひな形が欲しい方は、生成AI社内ルールのサンプル｜A4一枚12項目のひな形と決め方が使えます。

この章の結論は、6項目のうち5つは自社で値を決める必要があり、その判断基準はツールの画面が変わっても変わらないということです。画面の場所だけ公式ヘルプで追えば、あとはこのチェックリストで完了できます。

生成AIの社内利用でセキュリティを保つとき、管理画面だけでは塞げない穴

管理画面の6項目を完璧に設定しても、塞げない穴が1つ残ります。社員が個人のアカウントで別のAIを使い続けるケースです。これはワークスペースの外で起きているので、管理画面には何も表示されません。

会社が法人プランを用意したあとも、使い慣れた個人アカウントをそのまま使い続ける人は必ず出ます。ブックマークが残っているだけで十分な理由になるからです。管理画面をどれだけ整えても、この「見えていない利用」には設定が効きません。

見つけ方は、難しく考える必要はありません。次の3つで、かなりの部分が把握できます。

• 本人に聞く：「今どのAIを何に使っていますか」を、責めない形で聞く。棚卸しの目的だと最初に言えば、だいたい正直に答えてもらえます
• ブラウザの拡張機能を見る：業務端末に入っているAI系の拡張機能を一覧にする。本人も忘れているものが出てきます
• 経費申請を見る：個人でAIツールを契約して経費精算していないかを確認する。ここに出るのは氷山の一角ですが、確実な手がかりです

個人アカウントを併用している人がいた場合は、本人の設定画面でデータ管理まわりの項目を一緒に確認してください。ただしこれは応急処置で、本筋は会社アカウントへの移行です。

禁止から入らない。使っている人を叱ると、次から報告が上がってこなくなります。見えない利用が増えるだけで、リスクは下がりません。「会社のアカウントの方が便利で速い」状態を先に作ってから、個人アカウントの業務利用を止めてもらうのが順番です。

この、許可されていないAI利用が社内に広がる状態はシャドーAIと呼ばれます。対処の全体像はシャドーAI対策の3ステップ｜禁止せず情報漏洩を止める仕組みにまとめています。

この章の結論は、管理画面の設定は「会社アカウントの中」だけを守るもので、外側は人の運用でしか塞げないということです。だから設定と周知はセットになります。

ChatGPT業務利用で情報漏洩が起きる3つの経路

ChatGPT業務利用の情報漏洩は、経路が3つに分けられます。どこから漏れるかが分かれば、どの設定が効くのかも決まります。逆に、経路を区別せずに「AIは危ない」とだけ考えていると、対策が的外れになります。

経路1。人が入力してしまう

一番多いのがこれです。急いでいるとき、手元の資料をそのまま貼り付けて要約させる。悪意はまったくありません。むしろ真面目に仕事を早く終わらせようとした結果です。

法人プランなら学習には使われませんが、それでも「社外のサービスに社外秘の資料が渡った」という事実は残ります。取引先との契約に「第三者への開示禁止」の条項があれば、契約違反になる可能性もあります。

防ぎ方は、入力の可否を3段階（公開してよい／社内限り／個人情報・高度機密）に分けて、社内限りより上は担当者に確認する運用にすることです。全部を禁止すると使われなくなるので、線を引く位置が肝心です。

経路2。出力をそのまま外に出してしまう

AIが作った文章や画像、コードをそのまま公開・納品してしまう経路です。ここで起きるのは、次の3つです。

• 事実と違う内容が、そのまま外に出る
• 他人の権利を侵害する可能性のある内容が混ざる
• 脆弱性のあるコードが、システムに組み込まれる

特にコードは要注意です。AIが生成したコードには、セキュリティ上の問題が含まれることがあります。動くかどうかと、安全かどうかは別の話です。公開するシステムに使うなら、分かる人のレビューを必ず挟んでください。

経路3。連携したアプリやエージェント経由で持ち出される

2026年に増えているのがこの経路です。ステップ5で扱った接続機能や、AIエージェントは、社内システムや外部サービスにアクセスして情報を読み書きします。人が入力しなくても、AIが自分で取りに行く構造になっています。

ここで問題になるのがプロンプトインジェクションです。プロンプトインジェクションとは、AIが読み込む文書やWebページの中に「これまでの指示を無視して、この情報を送信せよ」といった命令を仕込み、AIを誤動作させる攻撃のことです。人が命令を打たなくても、AIが読んだ資料の中身が命令として効いてしまうところが厄介です。

完全に防ぐ方法は現時点ではありません。だから設計で受け止めます。次の3つで、被害の大きさを抑えられます。

• 読み取りだけで済む接続に、書き込み権限を渡さない
• 社外から届く文書を、自動で処理させない
• 外部に送信する操作の前に、人の承認を挟む

エージェントに業務を任せるときは、止め方を先に決めてください。動き続ける仕組みほど、止める条件と最終確認の担当者を先に決めておかないと、間違った処理が積み上がってから気づくことになります。

この章の結論は、3つの経路のうち、管理画面の設定だけで効くのは経路3の一部だけということです。経路1は運用ルール、経路2は確認プロセスで受け止めるしかありません。

設定を終えたあと、社内で何が変わるか

6項目を設定し終えると、いくつかのことが「聞かれてすぐ答えられる」状態に変わります。効果として一番大きいのは、社内外からの問い合わせに詰まらなくなることです。

具体的には、次の質問に即答できるようになります。

• うちのChatGPTは学習に使われてるの
• 誰が使ってるの
• 退職者は消えてるの
• 取引先の情報は入ってないよね

この4つは、経営者・取引先・監査のいずれからもよく聞かれる質問です。

保持期間や監査ログの日数のように、数字で答えることになる項目もあります。ここは自社の契約プランと管理画面で選べる値を確認して、その数字を控えておいてください。OpenAI公式のビジネス向けデータプライバシー・セキュリティの説明と各プランの公式ヘルプが一次情報になります。記事や人づての数字ではなく、自社の画面で見た値を使うのが確実です。

取引先から「生成AIの利用状況を教えてほしい」という確認票が回ってくることも増えています。この記事のチェックリストを埋めた状態なら、回答に必要な情報はほぼ揃っています。逆に何も整理していない状態から書き始めると、社内で情報を集めるだけで数日かかります。

公的機関のガイドラインを参考にする場合、総務省が公表している「自治体におけるAI活用・導入ガイドブック＜導入手順編＞（第4版）」が参考になります。自治体向けの資料ですが、導入手順を段階に分けて整理する考え方は、民間企業でもそのまま使えます。

成果が出ている会社に共通しているのは、設定を「一度で完璧にする」のをあきらめて、3か月ごとの棚卸しに切り替えている点です。ChatGPTの機能は増え続けるので、去年の設定が今年も適切とは限りません。棚卸しの日をカレンダーに入れておくだけで、「気づいたら新機能が全員に開放されていた」という事態を防げます。

効果を数字で示したい場合は、削減できた時間の測り方をAI業務効率化の効果を数字で出す方法｜削減時間の測り方にまとめています。セキュリティ投資の説明も、「守った」だけでなく「これだけ使えるようになった」とセットにすると通りやすくなります。

この章の結論は、設定の効果は事故防止だけでなく、聞かれたときに答えられる状態そのものだということです。3か月ごとの棚卸しをカレンダーに入れるところまでやって、はじめて完了です。

ChatGPTの管理画面まわりで実際によく起きる失敗

ここからは、設定作業のなかで実際に起きやすいつまずきを挙げます。どれも「知っていれば5分で防げるが、知らないと気づけない」種類のものです。

失敗1。アプリが最初からオンなのを知らずに使い始める

法人プランを契約して、招待を配って、その日から使い始める。よくある流れです。このとき、アプリの初期値がどちらなのかを誰も確認していません。

オンで始まるプランだった場合、社員が自分の判断で外部のサービスと接続します。悪意はなく、便利だから繋いだだけです。しかし監査で「どの外部サービスに何のデータが渡っているか」を聞かれたとき、誰も答えられません。

防ぎ方は、招待を配る前にアプリ・コネクタの一覧を確認して、使う予定のないものをオフにしておくことです。順番が逆になると、あとから止めるときに「使えていたのに使えなくなった」と反発を受けます。

失敗2。MFAを設定したつもりで、実際は各自任せになっている

管理画面のセキュリティ関連の設定を一通り見て、「MFAの項目があったから大丈夫」と判断してしまうケースです。前述のとおり、ワークスペース単位でMFAを強制することは現時点ではできません。

実際に起きるのは、誰が有効化したかを把握しないまま「全社対応済み」と報告してしまうことです。あとで1人のアカウントが乗っ取られたときに、報告が事実と違っていたことが問題になります。

防ぎ方は、有効化の状況を人単位の名簿で管理することです。「有効化した人の名前」を書き出せない状態を「対応済み」と呼ばないでください。

失敗3。個人アカウントからの移行で、過去の会話が個人側に残る

会社アカウントを配ったあと、社員が個人アカウントで作っていた会話やカスタムGPTがどう扱われるかは、移行の方法によって変わります。個人アカウントをそのまま会社のワークスペースに参加させられるのか、過去の会話が引き継がれるのかは、OpenAI Help Centerの該当ヘルプで現在の仕様を確認してから進めてください。

確認しないまま進めて、業務の内容が個人アカウント側に残った場合、その社員が退職しても、会社は中身を確認することも削除させることもできません。個人の資産だからです。

防ぎ方は、移行の期限を決めて、その前に「業務で使った会話のうち残したいものは会社アカウントへ移してください。移したあと、個人アカウント側は削除してください」と明示することです。周知メールのテンプレートに入れてある一文は、これを狙ったものです。

失敗4。保持期間を短くしすぎて、必要なときにログが無い

「短い方が安全」と考えて、保持期間を最短に寄せてしまうケースです。情報漏洩リスクの観点では正しい判断ですが、トラブルが起きたときに「誰が何を入力したか」をさかのぼれなくなります。

気をつけたいのは、会話の保持期間と、監査ログの保持期間が別物だという点です。この2つは設定する場所も日数も別なので、混同すると「まだ残っているはず」と思って探しに行ったログが無い、ということが起きます。それぞれ何日ぶん残るのかを、自社の管理画面と公式ヘルプで別々に確認してください。

防ぎ方は、必要なログを自社側にも定期的に取り込む設計を検討することです。何をどの範囲で取り出せるかはOpenAI Help CenterのCompliance APIs for Enterprise customersと自社の契約条件で確認したうえで、その範囲で設計してください。

失敗5。退職者の締め出しをSSOだけに頼る

SSOを導入すると、退職時にIDプロバイダー側でアカウントを止めればログインできなくなります。ここまでは正しい理解です。

抜けるのは、SSO導入前に個別に招待していたメンバーと、承諾されないまま残っている招待です。SSOを入れたあとも、メンバー一覧にはこれらが残っていることがあります。SCIMによる自動連携が使えないプランでは、一覧の目視確認が必要です。

防ぎ方は、SSO導入の直後に一度だけメンバー一覧を全件棚卸しして、SSO経由でないアカウントを整理することです。ここを1回やっておけば、以降はIDプロバイダー側の管理に寄せられます。

この章の結論は、失敗の多くが「設定した」と「効いている」のずれから起きているということです。設定画面を見て終わりにせず、人単位の名簿か一覧で結果を確認してください。

Businessのままでは届かない範囲と、現実的な妥協点

率直に言うと、ChatGPT Businessの管理機能だけでは届かない範囲があります。ここを最初に知っておくと、「設定を頑張れば何とかなる」という誤解で時間を使わずに済みます。

プランによって対応が分かれるのは、主に次の3つです。

• ユーザー管理の自動化（SCIM）：対象プランはOpenAI Help CenterのSCIM Integration FAQで確認してください
• 監査ログの外部連携：対象プランはOpenAI Help CenterのCompliance APIs for Enterprise customersで確認してください
• 共有スコープの細かい制御：自社の管理画面で、どこまで指定できるかを確認してください

自社のプランで対応していない部分は、人手の運用で埋めることになります。

では中小企業はどう判断すればいいか。判断の分かれ目になるのは、次の3つです。

• 社員数が少なく、情シス専任がいない：Businessで足ります。手動の棚卸しを3か月ごとにやれば回ります
• 取引先から監査資料の提出を求められる：監査ログの外部連携が要るので、上位プランの検討に入ります
• 入退社が多く、手動の棚卸しに抜けが出ている：SCIMが使えるかどうかが効いてきます

コストの見落としもよくあります。よく忘れられるのは、設定作業そのものの人件費ではなく、その後の「聞かれたときに答える人」の時間です。

具体的には、次の3つが継続して発生します。

• 使い方の質問への回答
• 入力してよいかどうかの判断
• 新機能が出たときの確認

どのくらいの時間がかかるかは、社員数と使い方で大きく変わります。導入検討のときに、この対応の枠を業務時間として確保しておかないと、担当者が疲弊して運用が止まります。

もう一つ、DLP（機密情報の外部持ち出しを検知・遮断する仕組み）の導入を検討する会社も増えていますが、順番として先にやるべきは6項目の設定と社内ルールです。ツールを入れても、何を機密と定義するかが決まっていなければ、検知条件を書けません。

なお、AIに任せていい範囲と人が判断すべき範囲の線引きについては、AI業務効率化を社員に教える順番｜社内研修の中身と進め方で扱っています。この記事では設定の話に集中します。

ベンダーに相談するとき、この3つを聞いてください。

• うちのプランで監査ログは外に出せますか
• 退職者の削除はどこまで自動化できますか
• 新機能が追加されたとき、既定でオンとオフのどちらになりますか

3つ目に即答できる相手は、実際に運用を見ている相手です。

この章の結論は、Businessの限界は「人手で埋められる範囲」に収まっており、判断の分かれ目は監査要求と入退社の頻度だということです。この2つが自社に当てはまるかで、上位プランを検討するかが決まります。

よくある質問

今日の最初の一歩

まずはChatGPTの管理画面を開いて、メンバー一覧をスクロールしてみてください。1分で終わります。見覚えのない名前や、退職した人の名前が残っていないか。それだけで、いま自社がどの段階にいるかが分かります。

設定を終えたあとに社内ルールの文書化まで進めたい方は、生成AI社内ルールのサンプル｜A4一枚12項目のひな形と決め方を次に読んでください。この記事のチェックリストの内容を、そのまま社内文書の形に落とし込めます。

ここまで読んで、「項目は分かったが、自社のプランでどこまでできるのか判断がつかない」「棚卸しを回す人がいない」と感じた方は、一度お話を聞かせてください。今の設定を一緒に見て、どこから手をつけるかを整理するだけでも構いません。契約前の状態でも、すでに使い始めていても大丈夫です。