製造業の生成AI活用と情報漏えいリスク｜CAD・設計データを守るガイドライン例文と対策

製造業でも、ChatGPTをはじめとする生成AIの業務利用が当たり前になりつつあります。設計書の要約、ソースコードのレビュー、不具合報告の分析など、現場での活用の余地は大きく、生成AIを業務にどう取り入れるかは、今後の生産性や競争力にも関わるテーマです。

一方で、CADデータや製造条件、取引先から預かった図面などを不用意にAIへ入力すると、長年蓄積してきた技術情報が社外に流出するおそれがあります。IPA(情報処理推進機構)の「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向けの脅威として初めて選ばれ、いきなり3位に入りました。

「どんどん活用してほしい」という経営層や事業部門の期待と、「情報が漏れたらどうするのか」という不安のあいだで、ルールづくりや社内への周知を任されている担当者も多いのではないでしょうか。部門や拠点ごとに使い方が違い、新しいAIサービスも次々に登場するなかで、従業員一人ひとりに正しい使い方を浸透させ続けるのは、簡単なことではありません。

本記事では、製造業で生成AIを安全に活用するために、情報漏えいが起きる仕組みと具体的なケース、利用ガイドラインの例文、そして現場に定着させるための教育の進め方を解説します。あわせて、担当者の負担を抑えながら教育を続けていく方法として、LRMのセキュリティ教育クラウド「セキュリオ」も紹介します。

製造業で広がる生成AIの業務利用と「シャドーAI」のリスク

大企業の7割以上が生成AIの活用方針を持つ

総務省の「情報通信白書 令和8年版」によると、生成AIを「積極的に活用する」または「活用する領域を限定して利用する」方針の日本企業は68.9%でした。前年度の調査の49.7%から大きく増えており、大企業に限ると74.0%に達します。

同調査で、日本企業が生成AIについて最も懸念しているリスクは「社内情報の漏洩などのセキュリティリスク」でした。活用が進むほど、情報漏えいへの備えが追いついているかどうかが問われます。

製造業で生成AIが使われる主な場面と、入力されやすい情報

製造業では、設計から生産、技術の伝承まで、幅広い業務で生成AIの活用が検討されています。代表的な場面と、そのときに入力されやすい情報を整理すると次のとおりです。

活用場面	活用の例	入力されやすい情報
設計・開発	仕様書の要約・翻訳、設計レビューの補助、ソースコードの生成・修正	図面、仕様書、設計パラメータ、ソースコード
生産・品質管理	不良原因の分析、作業手順書の作成、保全記録の要約	製造条件、歩留まり・不良率のデータ、設備のログ
技術の伝承	熟練者のノウハウの文書化、社内向けQ&A	技術ノウハウ、社内マニュアル
営業・調達	見積書・提案書の作成、取引先とのメール作成	見積条件、取引先から受け取った資料

活用の場面が広がれば、それだけ機密性の高い情報がAIに渡るリスクも大きくなります。製造業の生成AI活用では、「何に使うか」と同時に「何を入力してよいか」を決めておくことが欠かせません。

現場の「良かれと思って」が生むシャドーAI

会社が許可していないAIサービスを、従業員が個人の判断で業務に使うことを「シャドーAI」と呼びます。IPAの「情報セキュリティ10大脅威 2026」の解説書でも、従業員が個人で利用するAIサービスに業務データを入力することで、組織が把握できない情報漏えいが起きるおそれがあると指摘されています。

製造業の現場では、次のような場面でシャドーAIが生まれやすいと考えられます。

1. 設計者が、海外の取引先から届いた英文の仕様書を無料の翻訳・要約AIにかける
2. 生産技術の担当者が、設備のエラーログや製造条件を貼り付けて原因を相談する
3. 組み込みソフトの開発者が、自社のソースコードを貼り付けてバグの修正を頼む

いずれも、業務を早く進めたいという善意から生まれる行動です。悪意がないぶん、本人に「情報を社外に出している」という自覚が薄く、禁止するだけでは防ぎにくいのが実情です。

NDA・営業秘密の観点で見落とされがちな落とし穴

製造業では、取引先から図面や仕様書を受け取る際に秘密保持契約(NDA)を結ぶのが一般的です。NDAでは多くの場合、受け取った情報を第三者に開示しないことや、決められた目的以外に使わないことが定められています。社外のAIサービスへの入力が契約上の「開示」や「目的外利用」に当たるかどうかは契約内容によりますが、取引先との信頼関係を損なうおそれがあることは確かです。

自社の技術情報にも注意が必要です。不正競争防止法で「営業秘密」として保護されるには、秘密として管理されていること(秘密管理性)、事業に有用であること(有用性)、公然と知られていないこと(非公知性)の3つを満たす必要があります。社外サービスへの入力が野放しになっている状態では、いざというときに「秘密として管理していた」と主張しにくくなる可能性があります。具体的な判断は、自社の法務部門や弁護士に確認してください。

CAD・設計データ、歩留まりデータ、ソースコードはどう流出するのか

入力したデータが社外に残る仕組み

生成AIサービスに入力したデータは、サービス提供者のサーバーに送られます。サービスの種類や設定によっては、そのデータがAIモデルの改善(学習)に使われることがあります。

例えば、OpenAIは個人向けChatGPTの入力内容が、モデルの学習に使われることがあり、設定で学習への利用をオフにできると説明しています。一方、法人向けのChatGPT Business、ChatGPT Enterprise、API Platformでは、入力や出力はデフォルトでは学習に使われないとしています。

学習に使われた情報が、そのまま他社への回答として出力されるとは限りません。しかし、一度社外に送った情報は、自社で削除や確認を行うことが難しく、「どこに残っているか把握できない」状態になること自体が大きなリスクです。

ケース1：ソースコード・設計データの入力

2023年には、韓国のIT製造大手企業の従業員が機密性の高いソースコードをChatGPTにアップロードし、同社が生成AIツールの業務利用を禁止したと報じられました(Bloomberg、2023年5月2日)。同社は、AIサービスに送られたデータは外部のサーバーに保存され、取り出しや削除が難しいことなどを懸念したとされています。

製造業では、ソースコードに加えて、CADデータや設計パラメータ、部品の公差、材料の配合といった設計情報も同じように扱われるおそれがあります。例えば「この形状の強度計算を確認して」と寸法や材料の条件を入力すれば、それ自体が設計ノウハウを社外に出すことになります。

以下は、製造業で想定されるケースです。製造現場では、歩留まりや不良率のデータを生成AIで分析・要約させたい場面が多くあります。しかし、製造条件と組み合わさった歩留まりデータは、競合が最も欲しがる生産ノウハウそのものです。

また、経営企画や営業の担当者が、未公開の新製品計画や工場の投資計画を「資料の体裁を整えて」とAIに入力するケースも考えられます。発表前の情報が漏れれば競争上の不利益につながるうえ、上場企業では、金融商品取引法のインサイダー取引規制の観点からも問題になるおそれがあります。

製造業で特に注意すべき情報の例

情報の種類	具体例	流出した場合の主な影響
設計情報	CADデータ、図面、設計パラメータ、公差	模倣品の製造、技術的な優位性の喪失
製造ノウハウ	製造条件、歩留まり・不良率のデータ、材料の配合	生産性・品質面の優位性の喪失
ソフトウェア	組み込みソフトや生産設備の制御プログラムのソースコード	技術流出、脆弱性を悪用した攻撃
取引先の情報	NDAに基づいて受け取った図面・仕様書	契約違反、取引停止、損害賠償
経営情報	未公開の新製品計画、設備投資計画	競争上の不利益、未公表情報の管理上の問題

生成AIの業務利用で実際に起きた事故の事例を、社内の説明資料として使いたい方は、ホワイトペーパー「生成AIの利用リスクと実際に起きた事故の事例とは?」をご活用ください。

失敗しないための3つの対策：ガイドライン、安全な環境、「人」への教育

総務省の前述の調査では、日本企業が取り組んでいるリスク対策として、最も多いのは「全社的な指針やガイドラインを整備している」(41.1%)でした。
ただし、ガイドラインを作るだけでは情報漏えいは防げません。ここでは、ルール、環境、人の3つの面から対策を整理します。

対策1：生成AIの利用ガイドラインを明文化する

経済産業省と総務省の「AI事業者ガイドライン(第1.2版)」は、AIを開発・提供・利用する事業者が取り組むべき事項をまとめた指針です。IPAも組織の対策として、AIガバナンスとサービス利用規定の整備、個人アカウントでの業務利用の制限、規程に違反したときの対応の明確化などを挙げています。

これらを参考に、社内ガイドラインには少なくとも次の項目を盛り込みましょう。

項目	定める内容
目的と適用範囲	対象者(役員・従業員・派遣社員・委託先の要員)と対象となるAIサービス
利用を許可するサービス	会社が契約した法人向けサービスに限定し、個人アカウントでの業務利用を禁止する
入力してよい情報・いけない情報	社内の情報区分(機密・社外秘・公開など)と対応づけて明示する
出力の取り扱い	事実確認と権利侵害の確認を行い、そのまま顧客や取引先に出さない
申請・承認の手続き	新しいAIサービスを使いたいときの申請窓口と承認の流れ
違反時の対応・報告	誤って入力したときの報告先と初動対応
教育と見直し	定期的な教育の実施と、ガイドラインを見直す時期

製造業向け 生成AI利用ガイドラインの例文

製造業で特に重要な「入力禁止情報」を中心に、ガイドラインの例文を紹介します。

※この例文は一般的な例です。自社の情報区分や既存の規程、取引先との契約内容に合わせて調整してください。

対策2：学習に使われない法人向け環境・専用AIを用意する

禁止するだけでは、業務の効率を求める現場がシャドーAIに頼るおそれがあります。安全に使える環境を会社が用意することが、シャドーAIを減らす近道になります。

法人向けプランの契約

入力データが学習に使われないことを契約や設定で確認したうえで、従業員に提供します。管理者がアカウントを一元管理でき、利用状況も把握しやすくなります。

ローカルLLM・社内専用環境

機密度の高い設計データを扱う場合は、自社のサーバーや閉じたクラウド環境で動くAI(ローカルLLM)を検討します。

RAG(検索拡張生成)

社内の文書データベースを参照して回答を生成する仕組みです。社内の技術文書を活用できる一方、参照先の文書のアクセス権限が適切でないと、本来見られない人に情報が表示されるおそれがあります。権限の設計とあわせて導入しましょう。

対策3：「人」に入力ルールを教育する

どれだけ整ったガイドラインや環境を用意しても、使う人がルールを知らなければ意味がありません。IPAも、講習などを通じて、社内の秘密情報を安易に入力しないこと、ハルシネーション(AIがもっともらしい誤った情報を生成すること)があること、AIへの過度な依存に注意することを周知するよう求めています。
教育では「やってはいけないこと」だけでなく、「どうすれば安全に使えるか」を具体的に伝えることが大切です。例えば次のように、製造業の業務に即した例を示すと定着しやすくなります。

	例
NG	取引先の図面をそのまま貼り付けて「この部品の改善案を出して」と依頼する
OK	情報区分で入力が認められた一般的な技術知識の範囲で質問する。図面そのものを扱う場合は、承認された社内専用環境を使う

ガイドラインを自社の情報区分や取引先との契約に合わせて作りたい場合は、LRMの「AI利用ガイドライン策定支援」もご活用ください。AIに関するリスクの洗い出し・評価から、社内AIガイドラインの策定までを支援しています。

一過性の研修で終わらせない、従業員の行動を変え続ける仕組み

年1回の研修では、変化の速いAIリスクに追いつけない

生成AIのサービスや機能は短い期間で更新され、新しいリスクも次々に生まれます。IPAの解説書でも、Microsoft 365 Copilotの脆弱性「EchoLeak」など、AIサービスそのものの脆弱性が事例として紹介されています。年に1回の集合研修だけでは内容がすぐに古くなるうえ、受講しても内容が定着しにくいという課題があります。

従業員の行動を変えるには、短い教育を繰り返し届け、理解度を測り、弱いところを補うサイクルが必要です。数千人から数万人の従業員や、国内外の拠点を抱える企業では、このサイクルを手作業で回し続けるのは現実的ではありません

セキュリティ教育クラウド「セキュリオ」で教育を継続・可視化する

LRMのセキュリティ教育クラウド「セキュリオ」は、導入実績2,800社以上のサービスです。生成AIを含むAIリスクに関する教育にも対応しています。

eラーニング

170種類以上の教材から選んで配信でき、受講状況の管理・集計も自動化できます

セキュリティアウェアネス

3分で回答できるテストを定期的に配信し、従業員のセキュリティ意識をスコア化します

標的型攻撃メール訓練

リアルなテンプレートで訓練を行い、開封率やクリック率をレポートします

ガイドラインの周知から理解度の確認、弱点の把握までを一つの仕組みで回せるため、教育担当者の負担を抑えながら、継続的な教育を実現しやすくなります。ルールを作って終わりにせず、従業員一人ひとりが「入力してよいか」を判断できる状態をつくることが、生成AIによる技術流出を防ぐうえで欠かせません。

生成AI時代の従業員教育を、年1回の研修から「継続して行動を変える教育」へ切り替えませんか。セキュリオの機能や教材の詳細はサービス資料で、実際の使い勝手は7日間の無料トライアルでご確認いただけます。

まとめ

製造業の生成AI活用は「ルール・環境・人」の3本柱で守る

• 生成AIの業務利用は大企業で当たり前になりつつあり、IPAもAIの利用をめぐるリスクを組織の重大な脅威として挙げています
• 製造業では、CADデータや製造条件、取引先の図面など、入力すれば技術流出や契約違反につながる情報が多くあります
• 対策は、ガイドラインの明文化、学習に使われない安全な環境の整備、従業員への継続的な教育の3本柱で進めます
• なかでも、ルールを守らせるための従業員教育は、一度の研修で終わらせず、継続して行動を変える仕組みにすることが重要です

AIを一律に禁止するのではなく、安全に使える仕組みを整えることが、技術情報を守りながら競争力を高めることにつながります。

まずは、自社の従業員のセキュリティ意識が今どの水準にあるかを可視化してみませんか。

---

まずは、従業員のセキュリティ理解度の現状を確かめてみませんか。
16問のクイズで情報セキュリティの理解度を確認できるホワイトペーパー「情報セキュリティ理解度チェックテスト」(解説・対策ポイント付き)を無料でダウンロードいただけます。教育の配信から意識の可視化までを一つの仕組みで行いたい場合は、「セキュリオ」のサービス資料をご請求ください。