不動産会社の生成AIセキュリティ｜入力禁止情報・利用ルール・研修時のデータの扱い

AIの導入をためらう理由として、情報漏えいへの不安は避けて通れません。顧客の氏名や連絡先、物件の所有者、ローンの状況、契約の条件。不動産の業務は、扱う情報の多くが他人に見せてはいけないものです。

ただ、「危ないから使わない」と決めても、社員が個人のスマートフォンでこっそり使い始めるほうが、よほど管理できません。この記事では、使うことを前提に、事故が起きにくいルールをつくるための考え方を整理します。

なお、この記事は法的助言ではありません。個人情報保護法などの解釈が必要な場面では、弁護士などの専門家に確認してください。

まず決める：入力してはいけない情報

社内ルールの中心になるのが、AIに入力してはいけない情報の一覧です。不動産会社なら、たとえば次のようなものが候補になります。

• 顧客の氏名、住所、電話番号、メールアドレス
• 本人確認書類や収入に関する情報
• 物件の所有者や登記に関する個人の情報
• 契約前の取引条件や、売主・買主の事情
• 社内の未公開情報（未発表の物件、取引先との条件など）

個人情報保護委員会は、事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合には、利用目的の範囲内かを十分に確認すること、本人の同意なく個人データを入力してそれが応答以外の目的で扱われる場合は法令違反になる可能性があることを示しています（出典）。

マスキング：伏せてから使う

入力禁止の情報が含まれる業務でも、情報を伏せればAIを使える場面は多くあります。

• 氏名は「Aさん」、住所は「◯◯区の駅徒歩圏」のように置き換える
• 金額や日付は、判断に必要な粒度まで丸める
• 返信文などは、伏せた部分をAIの出力後に人が差し込む

「何を伏せれば使ってよいか」を業務ごとに例示しておくと、現場で迷いにくくなります。

サービスとプランを確認する

同じAIサービスでも、個人向けと法人向けでデータの扱いが違うことがあります。導入前に、利用規約やプランの説明で次を確認してください。

• 入力した内容が、サービスの学習に使われるか。使われない設定にできるか
• 管理者が利用者を管理できるか（アカウントの発行・停止）
• 利用履歴を確認できるか

確認した結果は、社内で使ってよいサービスとプランの一覧にしておきます。

利用ルールと承認フロー

ルールは長い規程より、現場が1枚で確認できる形のほうが守られます。最低限、次の項目を入れておくとよいと考えています。

1. 使ってよいサービスとアカウント
2. 入力してはいけない情報と、伏せ方の例
3. AIの出力をそのまま外部に出してよい範囲と、必ず人が確認する範囲
4. 広告や契約に関わる文書を出す前の承認者
5. 迷ったときの相談先

特に、広告表現や契約に関わる文書は、AIの出力が事実と違う可能性を前提に、担当者以外の確認を入れる流れにしておくと安心です。

ログと見直し

ルールは作って終わりではなく、使われ方を見て直していくものです。法人向けプランの利用履歴や、社内での相談内容をもとに、定期的に次を見直します。

• ルールが現場の業務に合っているか
• 新しく使いたいサービスや業務が出ていないか
• ヒヤリとした事例がなかったか

研修で使うデータの扱い

見落とされがちなのが、研修の演習で使うデータです。研修を「自社の業務を題材に」と考えると、実際の顧客データを持ち込みたくなりますが、研修の場で実データを入力するのは避けるべきです。

• 演習には、架空の顧客・物件に置き換えたサンプルデータを使う
• サンプルデータは、実際の業務の形（項目や文章の長さ）だけを残して作る
• 研修会社に、演習用データをどちらが用意するかを事前に確認する

研修とルール整備をあわせて進める

私が代表を務めるAtkid株式会社のAI研修・導入支援でも、基礎研修で情報漏えいやハルシネーションなどのリスクを扱い、定着支援の段階で利用ガイドライン・承認フロー・セキュリティ方針の整備を支援範囲に入れています（出典）。研修で使い方だけを教えるのではなく、ルールと同時に整えるほうが、現場が安心して使い始められるからです。

研修会社を選ぶときにも、セキュリティや利用ルールをどこまで扱うかは確認しておきたい点です。各社の比較は「不動産会社向けAI研修の比較」、発注前の確認項目は「不動産会社がAI研修を選ぶ前のチェック項目」にまとめています。

出典・参考資料

1. 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2026-10-10確認）
2. Atkid株式会社 AI研修・導入支援（2026-10-10確認）