社内のどのデータを、
どのAIに入れてよいか。
「これ、AIに入れていいんですか？」——現場から一番よく出る質問です。うちがタイの工場で実際に使っている判断基準を、全部書き出しました。データの4分類、区分ごとの○△×、外部AIに渡す前の5つの確認、そして「外に出せない」データを使えるようにする3つの方法まで。
社内のデータを4つに仕分けるところから始めます（イメージ）
社内のデータを、
4つに分けます。
「AIは危ないから禁止」も「AIを活用しよう」も、どちらも粗すぎます。社内にあるデータは全部同じ重さではないからです。カタログと図面を同じルールで扱おうとするから、話が止まります。
だから最初にやるのは、技術の話ではなく仕分けです。うちは4つに分けています。大事なのは分類そのものより、右側の「判断の質問」のほうです。これなら、ITが分からない人でも自分で仕分けられます。
会社案内、製品カタログ、公開済みの規格や法令、求人票、プレスリリース。
判断の質問そのままウェブサイトに載せて、困りませんか？
議事録、日報、社内手順書、シフト表、社内向けの説明資料、社内メール。
判断の質問社外の人に見られたら気まずいけれど、賠償や報告にはならない範囲ですか？
図面、配合・レシピ、原価、歩留まり、顧客リスト、見積、契約書、自社開発のソースコード。
判断の質問漏れたとき、顧客・本社・当局のどれかに報告しなければいけませんか？
顧客から預かった図面・仕様書、NDAで縛られたデータ、従業員や顧客の個人情報。
判断の質問契約書か法律に、「外に出すな」と書いてありますか？
①②と、③④のあいだに線があります。③④は、外に出た時点で自分たちだけの問題ではなくなるものです。誰かに謝りに行く必要が出てきます。
あの3件は、
どの区分だったか。
2023年、サムスン電子の半導体部門が社員のChatGPT利用を許可したところ、約20日のあいだに3件の社内情報が入力されていたことが確認されました。分類にあてはめると、こうなります。
① 半導体設備測定データベースのダウンロードソフトのソースコード → 区分③ 機密
② 歩留まりや不良設備を把握するプログラムのソースコード → 区分③ 機密
③ 社内会議の録音を文字に起こした議事録 → 区分② 社内限定（ただし中身によっては③）
出典：PC Watch 2023年4月4日（韓国Economist 2023年3月30日報道より）
https://pc.watch.impress.co.jp/docs/news/yajiuma/1490904.html
3件とも悪意はありません。エラーを直したかった、コードを速くしたかった、議事録を早く作りたかった。真面目に仕事をしている人の行動です。
起きたことを一言でいうと、「区分②の感覚で、区分③を貼った」です。本人の頭の中で線が引かれていなかった。だから「気をつけよう」と朝礼で言っても防げません。線を先に引いて、紙にしておくしかないのです。
この事件のその後——禁止と、3年後の解禁までの経緯は、こちらの記事に書いています。
全部をローカルにする
必要は、ありません。
「社外に出せないなら、全部社内のAIでやろう」と考える方がいますが、それは効率が悪いです。①②まで社内に囲い込むと、手間もお金も無駄になります。区分ごとに、使う場所を変えます。
▼ うちがタイの工場で実際に使っている基準です（法令の要求ではありません）
| データの区分 | 一般のクラウドAI （無料版・個人契約） |
法人契約の クラウドAI |
社内で動かすAI （ローカルLLM） |
|---|---|---|---|
| ① 公開可能 | ○ | ○ | ○ |
| ② 社内限定 | △固有名詞を伏せれば | ○ | ○ |
| ③ 機密 | × | △下の5つに答えられたら | ○ |
| ④ 持出禁止 | × | × | ○ |
この表の読み方は1つだけです。社内で動かすAIが要るのは、③と④のため。①②のために買うものではありません。
逆に言うと、③④を扱う業務が社内に1つも無いなら、法人契約のクラウドAIで十分です。うちはその場合、正直にそう言います。製造業で③④が1つも無い会社を、私はまだ見たことがありませんが。
外部のAIに機密を渡す前に、
確認する5つ。
区分③を法人契約のクラウドAIで扱えるかどうかは、次の5つに答えられるかで決まります。「たぶん大丈夫」ではなく、契約書か管理画面のどちらかを開いて確認します。
2023年3月20日、ChatGPTの不具合で他の利用者の会話タイトルが表示され、さらにPlus会員の約1.2%について氏名・メールアドレス・請求先住所・カード下4桁・有効期限が別の会員に見えた可能性があると、OpenAIが公表しています（原因はキャッシュ用ライブラリの不具合。OpenAI公式）。利用者側は何もミスをしていません。これが2番と3番を確認する理由です。
2025年には、ChatGPTの共有リンクを検索エンジンに載せる設定があり、4,500件超の共有会話がGoogleに索引されているのをFast Companyが確認しました。氏名・職務経歴・仕事上の機微な内容を含むものもあり、OpenAIは設定を廃止しています（The Register, 2025年8月1日）。チェックボックス1つです。これが5番を確認する理由です。
この5つに紙で答えられないなら、区分③は入れない。これがうちの線です。難しく聞こえますが、やることは「契約書を開く」「管理画面を開く」の2つだけです。
そして5番目が、実務では一番よく抜けます。会社として法人契約をしていても、現場の誰かが自分のスマホの無料版に貼っていたら、全部が無効になります。タイの現場では会社支給のスマホがマネージャー層までのことが多く、ここは制度だけでは埋まりません。
本記事は法的助言ではありません。タイPDPAの解釈・適用に関する具体的な判断は、タイの個人情報保護の専門家にご相談ください。
「外に出せない」で
終わらせない、3つの方法。
ここからが本題です。区分③④は外に出せません。ただ、外に出せないことと、AIで使えないことは別です。手は3つあります。
社内で完結させる
工場の中のPC1台の中でAIを動かします。送信先が存在しないので、③④をそのまま入れられます。国外移転も学習利用も、論点になりません。
伏せてから渡す
社名・人名・型番を「A社」「設備X」に置き換えて②に落とします。ただし人がやると必ず抜けます。恒常的にやるなら自動で置換する仕組みにします。
権限を分ける
社内で動かす場合も、全員が全部を見てよいわけではありません。部署ごとに読める範囲を切り、誰が何を聞いたかの記録を残します。
方法2について、正直に書いておきます。伏せれば安全、とは言い切れません。型番と数値の組み合わせは、伏せても元が分かってしまうことがあります。だからうちは方法2を区分③には使いません。②を①に落とすための手段だと考えています。
「社内だから安全」は、
思考停止です。
工場の中にAIを置いたら終わり、ではありません。社内なら何を見てもいいわけがないからです。保全の担当者が給与の表を引けたら、まずいです。
箱を置く前に、3つを決めます。
① 誰が聞けるか。ログインの仕組みと、部署ごとに読める範囲。
② 何を聞いたかが残るか。誰がいつ何を検索したかの記録。事故が起きたときに追える状態にしておく。
③ AIが読めるフォルダはどこまでか。社内の共有フォルダを丸ごと読ませない。区分④は、置き場所ごと分ける。
この3つは、私たちが勝手に決めるものではありません。会社の中の話なので、社長や工場長と一緒に決めます。先に決めておかないと、後で必ずもめます。
全部やろうとすると、
止まります。
ここまで読むと、やることが多く見えると思います。実際、全社のデータを全部仕分けしようとした会社は、だいたい途中で止まります。
だから最初は1つに絞ります。1つの業務 × 1つのデータ区分 × 1つの数字。
たとえば「保全記録（区分③）を検索できるようにして、繰り返し起きている故障の上位を出す」。これなら、仕分けるのは保全記録だけで済みますし、うまくいったかどうかも1つの数字で判断できます。
ここで区分③か④の業務を選ぶのがコツです。①②を選ぶと、法人契約のクラウドAIで足りてしまい、社内AIを置く理由がなくなります。一番外に出せないものを、最初にやる。それが一番効きます。
これは、机の上で
作った基準ではありません。
ここまでの分類も5つの確認も、タイの工場で実際に使っているものです。タイ東部（チョンブリ・ラヨーン）の自動車パーツメーカーでは、20年分・21,655件の保全記録——区分③——を、工場の中のPCだけで引けるようにしました。その実例と、かかった金額は別の記事にまとめています。
この仕分けと環境づくりは、うちの12週間プログラムの第2週にあたる部分です。日本人の管理職だけでなく、タイ人スタッフも同じ内容を受けます。片方だけが線を知っている状態は、機能しないからです。
始め方は2つあります。①データ診断（30,000 THB・訪問1日）——伺って、その場で御社のデータを解析します。データは持ち帰りません。何ができそうか・何が足りないかをレポートでお渡しします。12週間プログラムに進まれる場合は、この金額を充当します。②12週間プログラム（月100,000 THB × 3ヶ月）——そのまま始める場合です。詳しくはローカルLLM導入支援のページに書いています。
この記事の分類表は、そのまま社内で使っていただいて構いません。うちに頼まなくても、線を引くところまでは自分たちでできます。