Codexに仕事のデータを渡す前に、確認しておきたいこと

2026.04.25

「このデータ、Codexに渡して大丈夫かな」

Codexを仕事で使い始めたとき、一度は頭をよぎる疑問だと思う。顧客の名前が入ったCSV、社内の売上データ、未公開のプロジェクト資料。こういったデータをAIに投げることへの不安は、真っ当な感覚だ。

実際、米国のAI企業の調査によれば、業務において生成AIにデータをコピー＆ペーストしているユーザーの割合は77%に上る。そのうち82%が組織に管理されていない個人アカウントからの入力だという。つまり、多くの人が「なんとなく」使っているのが実態だ。

結論から言うと、「Codexに業務データを渡すこと自体は問題ではない。ただし、どのプランでどんなデータを渡すかによって、リスクの大きさは大きく変わる」というのが正直なところだ。

この記事では、Codexへのデータ入力に関するプラン別の違い、渡してはいけないデータの判断基準、企業が導入前に確認すべき設定、個人が今日からできる安全習慣を、具体的に整理する。「使いたいけど不安」という状態を、「理解した上で使える」状態にするために書く。

プランによって、データの扱いはこれだけ違う

Codexへのデータ入力の安全性を考える上で、最初に理解すべき最重要ポイントがある。それは「どのプランを使っているかによって、入力データの扱いが根本的に異なる」という事実だ。

無料・Plusプランで注意すべきこと

ChatGPTの無料プランおよびPlusプラン（月額20ドル）でCodexを使う場合、デフォルトの設定では入力したデータがOpenAIのモデル改善に使用される可能性がある。OpenAIの利用規約では、ユーザーのコンテンツをサービス改善のために利用できると記載されている。

ただし、この設定はオフにできる。ChatGPTの設定（Settings）から「Improve the model for everyone」をオフにすることで、チャット履歴がモデルのトレーニングに使われなくなる。個人で使う場合でも、この設定は最初に確認しておくべきだ。

もう一つ注意が必要なのは、会話の内容がOpenAIのサーバに保存されるという点だ。会話履歴はデフォルトで保存される。機密性の高いデータを扱う場合は、この点も踏まえて判断する必要がある。

無料・Plusプランで業務データを入力する場合は、「モデル改善への使用をオフにする設定を確認してから使う」が最低限のルールだ。

Business・Enterpriseプランで何が保証されるか

ChatGPT BusinessおよびEnterpriseプランでは、ビジネスデータの保護について明確な保証が提供される。OpenAI公式が発表している主な保護内容は以下の通りだ。

モデル学習への不使用　ChatGPT Business・Enterprise・Eduプランでは、入力・出力を含むビジネスデータがデフォルトでOpenAIのモデル学習・改善に使用されないことが契約で保証されている（OpenAI公式発表）
データの暗号化　転送中および保存中のデータはAES-256等の暗号化技術で保護される。Enterprise Key Management（EKM）を利用すれば、暗号化キーを自組織で管理することも可能だ
データ保存期間の設定　BusinessおよびEnterpriseプランでは、OpenAIがビジネスデータを保持する期間を設定でき、ゼロデータ保持ポリシーの選択も可能（APIプラットフォーム経由の場合）
コンプライアンス認証　OpenAIはSOC 2 Type 2審査を受けており、ISO/IEC 27001:2022（情報セキュリティ）およびISO/IEC 27701:2019（プライバシー情報管理）の認証を取得している（OpenAI公式発表）
データレジデンシー　対象顧客は保存データのリージョンを選択でき、日本・米国・欧州・英国・カナダ・韓国・シンガポール・オーストラリア・インド・UAEでのデータ保存が選択可能だ（OpenAI公式発表）

会社の業務データを継続的にCodexに投入する場合、Business以上のプランを契約した上で使うことが、セキュリティの観点から見た正しい選択だ。

Codexに渡してはいけないデータ、渡してもいいデータ

プランに関わらず、Codexに渡すデータそのものについても判断基準を持っておく必要がある。「入力してはいけない情報の定義が曖昧なまま使い続ける」ことが、企業における最大のリスクの一つだ（LAC株式会社、2026年1月発表）。

要注意なデータの種類と判断基準

以下のカテゴリーのデータは、特に慎重に扱う必要がある。

個人情報（氏名・住所・電話番号・メールアドレス）　個人情報保護法の観点から、第三者（OpenAI含む）への提供には本人同意や適切な根拠が必要。顧客リストをそのまま貼り付ける行為はリスクが高い
従業員の給与・評価・健康情報　センシティブな個人情報として最も慎重に扱うべきカテゴリー。Codexへの入力はBusinessプランでも基本的に避けるべきだ
未公開の財務情報・契約情報　インサイダー情報に該当する可能性がある数値や、守秘義務のある契約条件は入力を避ける。競合に知られてはいけない情報はすべてこのカテゴリーだ
取引先・顧客の機密情報　自社だけでなく取引先や顧客から「機密」として受け取った情報は、NDA（秘密保持契約）の観点からも外部サービスへの入力が制限される場合がある
パスワード・認証情報・APIキー　絶対に入力してはいけない情報の筆頭だ。「このAPIキーを使ってコードを書いて」という指示でAPIキーをプロンプトに貼り付けることは、セキュリティ上の重大なリスクになる

判断基準は「もしこの情報がOpenAIのサーバに残ったとして、最悪のケースで何が起きるか」を想像することだ。「公開されても問題ない情報」だけを入力するのが安全の原則だ。

匿名化・マスキングで対応できるケース

「実際の業務データを使いたいが、個人情報が含まれている」という場合、データの匿名化・マスキングを行った上で入力する方法が有効だ。

たとえば、顧客データの集計を自動化したい場合、実際の顧客名・メールアドレスを「顧客A」「顧客B」や「sample@example.com」に置き換えたダミーデータを使ってCodexにスクリプトを作ってもらい、完成したスクリプトを実際のデータに適用するという手順が安全だ。

具体的な匿名化の方法は以下の通りだ。

氏名→仮名置換　「田中太郎」→「顧客001」のように置き換える
数値の相対化　実際の売上金額ではなく「サンプルデータ：100、200、300」のような架空の数値を使う
メールアドレス・電話番号の削除　処理に不要な列はCSVから削除してから渡す
構造だけを渡す　「このような列構成のCSVを処理したい」と構造だけ説明し、実データは渡さない

「実データを渡さなくても目的は達成できる」という発想の転換が、Codexを安全に使う上での重要なスキルだ。

企業・チームで導入する前に確認すべき設定

個人の利用と異なり、企業・チームでCodexを組織的に使う場合は、事前に確認・整備すべき項目がある。後から「知らなかった」では取り返しのつかない事態になりうる。

データ保存期間とゼロデータ保持ポリシーの確認

OpenAIはBusinessおよびEnterpriseプランの管理者向けに、データの保持期間をカスタマイズする機能を提供している。デフォルトでは一定期間データが保存されるが、コンプライアンス上の要件がある場合は保持期間を短縮するか、ゼロデータ保持ポリシーを設定することができる。

特に医療・金融・法務などコンプライアンスの要件が厳しい業種では、このポリシーの設定が必須になる場合がある。APIプラットフォームを経由してCodexを使う場合、ゼロデータ保持オプション（Zero Data Retention）を選択すれば、入力データがOpenAI側のサーバに保存されない設定が可能だ（OpenAI公式発表）。

暗号化・コンプライアンス認証の確認

企業のセキュリティ担当者や法務が確認すべきポイントとして、OpenAIが取得しているコンプライアンス認証がある。2026年時点でOpenAIが取得・維持している主な認証は以下の通りだ。

SOC 2 Type 2　独立した第三者機関によるセキュリティ・可用性・機密性に関する審査を通過している
ISO/IEC 27001:2022　情報セキュリティ管理システムの国際標準認証
ISO/IEC 27701:2019　プライバシー情報管理システムの国際標準認証

自社の取引先や顧客から「使用するクラウドサービスのセキュリティ認証を提示してほしい」と求められた場合、これらの認証情報がOpenAIの公式サイトで確認できる。社内の情報セキュリティポリシーとの適合性を確認する際の根拠になる。

シャドーAIのリスクと組織ルールの整備

企業が最も軽視しがちなリスクが「シャドーAI」だ。組織が公式に契約しているサービスではなく、従業員が個人アカウントで勝手に使っているAIサービスのことを指す。

冒頭で紹介した通り、業務でAIにデータを入力している人の82%が組織に管理されていないアカウントから行っているというデータがある。これは、「会社として正式に使っているつもりでも、実態は個人の無料・Plusアカウントで業務データを扱っている」という状況が横行していることを意味する。

シャドーAIを防ぐために企業が取るべき対策は以下の通りだ。

入力禁止情報の明文化　「顧客リスト・従業員情報・未公開財務データは入力禁止」のように具体的なカテゴリーで定義し、全従業員に周知する（LAC株式会社推奨、2026年）
承認済みプランの指定　業務でAIを使う場合はBusinessプランの組織アカウントのみを使用するよう規定する
使用ガイドラインの策定と定期更新　AIの機能は急速に変化するため、ガイドラインも半年〜1年単位で見直す体制を整える
セキュリティ教育の実施　「なぜこのルールがあるか」を理解させることが定着の鍵。禁止するだけでは裏で使い続けるリスクが残る

個人が今日からできる5つの安全習慣

企業としての対応と別に、個人として今日から実践できる安全習慣を5つ整理する。難しい設定は不要で、意識の持ち方と操作習慣の問題だ。

習慣①：プランを確認して、モデル学習設定をオフにする
無料・Plusプランを使っている場合、ChatGPTの設定→データコントロールから「Improve the model for everyone」をオフにする。この設定変更は1分でできる。仕事でも個人でもCodexを使うなら、最初に一度だけやっておく。

習慣②：実データではなくダミーデータでスクリプトを作る
Codexにデータ処理のコードを書いてもらうとき、実際の業務データではなく架空のサンプルデータを使う。「このような形式のデータを処理するコードを作って」という指示で十分で、実データを渡す必要はない段階がほとんどだ。

習慣③：APIキー・パスワードは絶対に貼り付けない
「このAPIキーを使ってコードを書いて」という指示でプロンプトにAPIキーを貼ることは絶対にやめる。代わりに「APIキーは環境変数から読み込む形にして」と指示すれば、実際のキー値を渡さずに安全なコードを得られる。

習慣④：会話履歴を定期的に削除する
ChatGPTの会話履歴には過去に入力したデータが残る。定期的に会話履歴を削除する習慣をつけると、仮に第三者がアカウントにアクセスした場合のリスクを低減できる。特に業務に関連する会話は、終わったら削除する癖をつけると良い。

習慣⑤：「公開されても問題ない情報か」を毎回自問する
データを入力する前に「もしこの情報が外部に出たら問題があるか」を1秒だけ考える習慣が、最もシンプルで効果的な安全策だ。「問題ある」と感じたら匿名化するか、入力しない判断をする。ルールよりも自分の感覚を信じて立ち止まれるかどうかが、日常の安全運用の鍵になる。

安全にCodexを使うための最大の武器は、ツールの設定より「この情報を渡していいか」を毎回問いかける習慣だ。

よくある質問（FAQ）

Q1. Codexに入力したコードが、競合他社に漏れることはありますか？

BusinessおよびEnterpriseプランでは、入力データがモデルのトレーニングに使用されないことが保証されているため、入力したコードが他社のCodex回答に反映されることはありません。無料・Plusプランでも、設定でモデル改善への使用をオフにすれば同様の保護が得られます。ただし、機密性の極めて高いコードはBusinessプラン以上での利用を推奨します。

Q2. 個人情報が含まれたCSVをCodexに渡したら、法律違反になりますか？

状況によります。個人情報保護法では、個人情報を第三者（サービス提供者含む）に提供する際には適切な根拠が必要です。ただし、業務委託の形でAIサービスを利用する場合、適切な委託契約と安全管理措置がある場合は「第三者提供」に該当しないケースもあります。厳密な判断には法務・コンプライアンス部門への確認が必要です。原則として「個人情報は入力しない」ルールを設けておくのが最も安全です。

Q3. 社内のSlackやNotionの情報をCodexに連携しても安全ですか？

Codexの90以上のプラグインにはSlack・Notionとの連携機能が含まれています。連携すること自体は技術的に可能ですが、社内情報がどこまでCodexに渡るかを事前に確認することが重要です。BusinessおよびEnterpriseプランでの利用を前提に、連携する情報の範囲を絞り込む設定を行ってから利用することをおすすめします。プラグイン連携の許可範囲も、管理者が制御できる設定が用意されています。

Q4. Codex Securityとは何ですか？通常のCodexとどう違いますか？

Codex Securityは、OpenAIが2026年3月に発表したアプリケーションセキュリティ専門のエージェントです（OpenAI公式発表）。通常のCodexがコード生成・修正を行うのに対し、Codex Securityはコードの脆弱性を自動検出・検証・修正案提示まで行います。ベータ期間中に外部リポジトリ120万件以上をスキャンし、深刻度「Critical」の問題を792件、「High」の問題を10,561件発見したという実績があります。セキュリティ担当者が使うツールであり、通常の業務でCodexを使う一般ユーザーが意識する必要はありません。

Q5. 小規模の会社でもBusinessプランを使うべきですか？コストが気になります。

業務データを継続的に扱うなら、小規模でもBusinessプランを推奨します。ChatGPT Businessは月25ドル/ユーザー（年払い）と、Plusより高額ですが、データの学習不使用保証・セキュリティ認証・管理機能が含まれます。「コストをかけたくないから個人のPlusアカウントで使う」という判断が、後から情報漏洩リスクとして表面化するケースが報告されています。従業員が5名いる場合でも月125ドル（約19,000円）で、その安心感と保護は十分な価値があります。

Q6. CodexはGDPRやJISQ15001などの個人情報保護規格に対応していますか？

OpenAIはISO/IEC 27701:2019（プライバシー情報管理システム）を取得しており、GDPRへの準拠についても対応を進めています。EU在住ユーザーのデータはEU内のサーバに保存するデータレジデンシーオプションも提供されています。日本のJISQ15001やプライバシーマーク制度への直接的な認証はありませんが、国際的なプライバシー管理の枠組みの中で運用されています。自社の規制要件との適合性は、法務・コンプライアンス担当との確認を推奨します。