名前を消しても仕事の秘密は残るのか

営業秘密は三つの要件を一緒に見る

不正競争防止法は、公正な競争を守るため、一定の不正な行為を規律する法律です。同法第2条第6項の営業秘密には、秘密として管理されること（秘密管理性）、事業活動に役立つこと（有用性）、公然と知られていないこと（非公知性）の三つの要件が必要です。情報の分類だけで不正行為や処罰が決まるわけではなく、法的な救済や責任にはそれぞれ別の要件があります。

秘密管理性は、その情報を秘密として扱う意思が、具体的な管理によって従業員や取引相手に分かるようになっていることです。秘密である旨の表示、取扱いルールの周知、必要な人だけが見られるようにするアクセス制限などが手掛かりになります。どれか一つの設備や表示だけで決まるものではなく、情報の性質や会社の状況も踏まえて見ます。

有用性は、技術や営業などの事業活動に役立つことです。今売れている製品の情報に限りません。うまくいかなかった試験の記録でも、同じ失敗を避けて時間や費用を節約できれば役立つ場合があります。「失敗した」「まだ製品化していない」という理由だけでは、有用性を否定できません。

非公知性は、公然と知られておらず、保有者の管理下以外では一般に容易に入手できないことです。公表済みの単なる製品仕様と、外部が容易に得られない詳細な工程条件を区別します。個々の材料名が公開されていても、配合や組合せの情報まで公知とは限りません。

三要件は、それぞれ確かめます。「社外秘の表示がある」「端末にパスワードを付けた」「秘密の扱いを取り決める秘密保持契約に署名した」は管理に関係する事情になっても、情報の有用性や非公知性まで自動的に満たす証明にはなりません。会社の秘密すべてを法定の営業秘密と断定せず、逆に営業秘密に当たるか不明だから自由に使えるとも判断しません。

根拠：不正競争防止法（平成5年法律第47号）（別タブで開く） ↗ / サイバーセキュリティ関係法令Q&Aハンドブック Ver.3.0（令和8年10月）（別タブで開く） ↗ / NCOサイバーセキュリティ関係法令Q&Aハンドブック Ver.2.0 HTML（別タブで開く） ↗ / J-Net21「秘密保持契約というのはどういうものか教えてください。」（中小企業基盤整備機構）（別タブで開く） ↗

NDAは、何を・何のために・誰へ渡せるかを読む

秘密保持契約は、NDA（Non-Disclosure Agreement）とも呼ばれます。情報を受け渡す当事者が、秘密として扱う対象、使用目的、開示できる範囲、期間、返還・削除などの扱いを取り決める契約です。具体的な義務や例外は実際の契約によって異なります。社内の利用承認や、営業秘密の三要件とは分けて読みます。

受け手が同じ会社の社員でも、担当外の人へ自由に開示できるとは限りません。契約上の対象情報と目的に照らし、必要な部署・担当者や、外部の受け手が認められているかを確かめます。AIへ送る場合も、情報がAI提供者へ渡る扱いを含めて契約の範囲を確認します。

会社の承認済みツールであり、提供者が入力をAIモデルの作成や調整（学習）に使わない条件でも、取引先とのNDAがその提供者への送信を認めているかは別問題です。双方がNDAを結んだだけで、別の会社であるAI提供者まで同じ契約の受け手に加わるわけではありません。不明なら入力を保留し、社内の契約・情報管理の担当を通じて開示元などへ確認します。

また、使用目的が同じなら相手や手段も自由、とは限りません。目的・受け手・方法の条件を合わせて見るためです。必要な追加合意がある場合は、確認が終わる前に秘密を送ることを避けます。本人の同意、会社の承認、NDAの許容範囲、AI提供者との利用契約を、一つの許可として扱わないことが大切です。

根拠：J-Net21「秘密保持契約というのはどういうものか教えてください。」（中小企業基盤整備機構）（別タブで開く） ↗ / サイバーセキュリティ関係法令Q&Aハンドブック Ver.3.0（令和8年10月）（別タブで開く） ↗ / 個人情報保護委員会 個人情報保護法ガイドライン（通則編）（別タブで開く） ↗

条件が分からない資料は、公開済みの情報で作業を切り分ける

架空の陶器工房が展示会の説明文を作る例で考えます。公開済みの器のサイズは紹介に使えますが、共同開発先から受け取った未公開の焼成条件には「共同実験の担当者だけが検討に使う」という契約条件がありました。工房内でAIの利用申請が通っていても、その契約条件を満たすことの確認は残ります。

この場合、公開済みの説明だけを使って紹介文の構成を考える作業と、未公開条件を扱う作業を分けられます。秘密が必要な作業は確認まで止め、目的・受け手・取扱い条件を担当へ伝えます。「名前を伏せたから大丈夫」という一段階の確認を、複数の条件を確かめる判断へ変えるのです。

根拠：J-Net21「秘密保持契約というのはどういうものか教えてください。」（中小企業基盤整備機構）（別タブで開く） ↗ / NCOサイバーセキュリティ関係法令Q&Aハンドブック Ver.2.0 HTML（別タブで開く） ↗

手元の履歴、提供者の保持、学習への利用を分ける

保持は、情報を一定の期間残しておくことです。学習への利用は、AIモデルを作ったり調整したりするために情報を使うことです。学習に使わない設定でも、サービスの提供や不正利用への対応などのために保持されるかは別に確認します。実際の扱いは利用するプラン・契約・設定によって異なります。

自分の画面の会話履歴を消すこと、提供者側で保持された情報を削除すること、学習への利用を止めることは、同じ操作とは限りません。履歴が見えなくなっただけで、提供者側の保存や学習の状態まで変わったと判断しません。契約・説明・設定を確かめ、事故の疑いがあれば会社の担当を通じて提供者への照会や必要な対応を進めます。

この区別は、送った情報を「なかったこと」にしないためにも必要です。誰に何が渡った可能性があるかを確認しながら、会社の手順に沿って利用停止や共有設定の変更などを検討します。削除ボタンを押したことだけを、漏えいの終息や契約条件を満たした証拠にはしません。

根拠：個人情報保護委員会 生成AIサービスの利用に関する注意喚起等（別タブで開く） ↗ / 中小企業の情報セキュリティ対策ガイドライン第4.0版 付録8「中小企業のためのセキュリティインシデント対応の手引き」（別タブで開く） ↗ / 個人情報保護委員会 個人情報保護法ガイドライン（通則編）（別タブで開く） ↗

疑いの段階で連絡し、被害の拡大と記録の消失を防ぐ

情報が予定外の相手に届いた疑いも、セキュリティインシデントとして会社の手順で扱う対象になります。インシデントは、情報漏えい、改ざん、システム停止など、情報や業務の安全を損なう出来事や、その可能性です。初動対応は、発覚直後に状況を伝え、被害を広げないために行う対応です。

発見した人は、会社の責任者や定められた窓口へ速やかに連絡します。閲覧された確証がそろうまで一人で調べ続けたり、報告を待ったりしません。新たな送信・共有を控え、分かっている事実と未確認の点を分けて伝えます。調査のためでも、秘密の全文を関係のない人へ広く送り直すことは避けます。

事実の記録には、気づいた時刻と実際に操作した時刻、使ったサービスやファイル、送信・共有の相手や権限、行った操作、画面の表示などを含めます。証拠保全は、後で経過や原因を確かめられるようログなどの記録を残すことです。秘密を別の私用サービスへコピーせず、会社の定めた安全な方法で保存し、推測は推測として区別します。

被害拡大を抑える方法は状況によって違います。Web上の誤公開なら共有の停止やアクセス制限、不正アクセスや感染が疑われる端末ならネットワークから切り離す対応（隔離）などを、権限と手順に従って進めます。AIへの誤送信すべてでネットワーク接続を切る、あるいは電源を切るという一律の対処はできません。不要な操作や電源断で記録を失わないことにも注意し、窓口への連絡と必要な拡大防止を並行して進めます。

根拠：中小企業の情報セキュリティ対策ガイドライン第4.0版 付録8「中小企業のためのセキュリティインシデント対応の手引き」（別タブで開く） ↗ / 個人情報保護委員会 個人情報保護法ガイドライン（通則編）（別タブで開く） ↗

会社の対応と、法定報告の条件を分ける

会社の対応担当は、連絡を受けて影響範囲・原因・閲覧の可能性などを調べ、共有の制限、提供者への問い合わせ、取引先への連絡、復旧などを調整します。発見した一人が、相手への法的責任や「完全に回収できた」ことまで独断で確定する役割ではありません。被害の可能性と証拠を見ながら、必要なら専門部署や外部専門家と対応します。

個人情報保護法の個人データは、同法の対象となる、検索できるよう体系的に整理した情報の集まり（個人情報データベース等）を構成する個人情報です。個人情報保護委員会（PPC）への義務的な漏えい等報告は、扱う情報と事態が法令の条件に該当するかで判断します。要配慮個人情報（病歴など、取扱いに特に配慮が必要な個人情報）を含む個人データ、財産的被害のおそれ、不正の目的による行為のおそれ、本人の数が千人を超える場合など、規則上の報告対象事態が定められています。発生した確証がなくても、漏えい等のおそれが報告対象になる場合があります。

この報告の義務を負う主体は原則として個人情報データベース等を事業に用いる個人情報取扱事業者で、発見した従業員個人がその立場のまま法定報告の主体になるという意味ではありません。不正目的の行為に関する対象情報の範囲、外から内容を容易に読み取れないようにする高度な暗号化等の保護措置による除外、委託先から委託元への通知による例外などもあるため、会社の対応担当が必要な部署と確認します。「AIに関する漏えいだから」「会社の秘密だから」だけでPPCへの報告義務を決めず、条件不明のまま不要とも判断しません。

PPCへの義務的報告の対象外であっても、会社内の報告、契約上の連絡、被害拡大防止、調査が不要になるわけではありません。会社は原因を整理し、共有先の初期設定、送信前の確認、権限の見直し、窓口の周知や教育などの再発防止を検討・実施します。一人を注意して終わるのではなく、同じ誤りを起こしにくい手順へつなげます。

別の架空例では、印刷会社がAIで作成した校正用の要約を、予定外の制作チームも開ける置き場に保存したと気づきました。発見者は追加共有を控え、見つけた時刻・対象ファイル・権限の状態を窓口へ伝えます。会社側が権限の限定や記録の確認を進め、内容と契約、個人データの有無や報告対象事態に照らして外部連絡を判断します。閲覧者不明を「被害なし」に置き換えず、同時にPPC報告義務が確定したとも言いません。

根拠：中小企業の情報セキュリティ対策ガイドライン第4.0版 付録8「中小企業のためのセキュリティインシデント対応の手引き」（別タブで開く） ↗ / 個人情報保護委員会 個人情報保護法ガイドライン（通則編）（別タブで開く） ↗