報告書は、書く順番で質が決まる
生成AIに情報を入れてしまった。社内で報告書を作ることになった。ここで多くの人が、原因の分析から書き始めます。
順番が逆です。先に事実を固定し、その後に評価する。混ぜて書くと、後から読んだ人が事実と推測を区別できなくなります。
報告書を読むのは、上長、取引先、場合によっては監督官庁です。読み手が知りたいのは「何が出たか」と「今どうなっているか」で、「なぜ起きたか」はその次です。
そのまま使えるひな形
A4で1〜2枚に収まる形にしてあります。項目を削らず、該当しない欄は「該当なし」と書いてください。空欄にすると、検討したのか忘れたのかが分かりません。
生成AIへの情報入力に関する報告書
報告日：2026年〇月〇日 ／ 報告者：〇〇部 〇〇
受領者：〇〇部長 ／ 整理番号：AI-2026-00〇
1. 発生の事実
発生日時：2026年〇月〇日 〇時〇分ごろ
発覚日時：2026年〇月〇日 〇時〇分（発覚の経緯：本人の申告／上長の指摘／外部からの指摘）
入力者：〇〇部 〇〇
使用したサービス：〇〇（プラン：法人契約／個人アカウント／不明）
入力の方法：本文の貼り付け／ファイルの添付／画像のアップロード
入力した内容の概要：（推測を入れず、事実のみ）
2. 入力された情報の範囲
情報の種類：□個人データ □要配慮個人情報 □取引先から受領した情報 □自社の技術情報 □認証情報 □その他（ ）
対象件数：〇件（確定／概算）
対象者：（顧客／従業員／取引先の担当者など）
特定可能性：氏名・連絡先など個人を特定できる項目が含まれていたか
件数の根拠：（どうやって数えたか）
3. 外部への影響の評価
当該サービスの学習利用設定：オフ／オン／不明
当該サービスのデータ保存期間：〇日／不明
第三者が閲覧可能な状態であったか：（共有リンク、公開GPT等の有無）
現時点で二次被害は確認されているか：有／無
4. 法令・契約上の検討
個人情報保護法上の報告対象に該当するか：該当／非該当／検討中
（判断の根拠：要配慮個人情報の有無、財産的被害のおそれ、不正目的のおそれ、1,000人超の該当）
秘密保持契約の通知義務に該当するか：該当／非該当／該当なし（契約名： ）
相談先：（弁護士／個人情報保護委員会の窓口／該当なし）
相談日と回答の要旨：
5. 実施した対応（時系列）
〇月〇日 〇時〇分 入力画面のスクリーンショットを取得し、〇〇に保存
〇月〇日 〇時〇分 上長に報告
〇月〇日 〇時〇分 該当する認証情報を失効させ、再発行（該当する場合）
〇月〇日 〇時〇分 会話履歴およびアップロードしたファイルを削除
〇月〇日 〇時〇分 取引先〇〇へ通知
※未実施の項目があれば、その理由を記載すること
6. 原因
直接の原因：
背景にある要因：（ルールの不在／周知の不足／代替手段がなかった／急いでいた等）
※個人の注意不足のみを原因とする記載はしない。再発防止につながらないため
7. 再発防止策
即時に実施すること：
〇か月以内に実施すること：
実施責任者：
効果の確認方法と確認時期：
8. 本人への対応
報告の経路と所要時間：発生から報告まで〇時間
※早期の報告であった場合は、その旨を明記する
6番の書き方で、会社の体質が出る
原因の欄に「本人の注意不足」と書いて終わる報告書をよく見ます。これは事実かもしれませんが、再発防止には何もつながりません。
注意すれば防げるなら、次も注意すれば防げるはずです。でも実際には、また起きます。注意力に依存した対策は対策ではない。
掘るべきなのは背景です。
- 入れてはいけないと知っていたか。知らなかったなら、なぜ伝わっていなかったか
- 代わりの手段はあったか。なかったなら、それを用意しなかったのは誰か
- 急いでいたか。その締切は妥当だったか
- 聞ける相手はいたか。聞きにくい空気はなかったか
ここまで書くと、対策が具体的になります。
発生から報告までの時間を書く欄です。30分で上がってきたのか、3日後だったのか。早かった場合は、そのことを評価として明記してください。報告書が「報告した人が損をする文書」になると、次から報告が来なくなります。
取引先に出す版は、別に作る
社内版をそのまま外に出さないでください。社内版には、個人名や社内の揉めごとが入っています。
外部提出版では、入力者の氏名を「当社従業員1名」に、社内の経緯を簡潔にまとめます。削る理由は隠蔽ではなく、相手が必要としない情報だからです。
相手が知りたいのは、自社の情報が含まれていたか、含まれていたなら何が、今どうなっているか、今後どうするか。この4点です。
書く前に、初動を済ませる
報告書は、初動が終わってから書くものです。先に書き始めると、記録を取る前に履歴を消したりします。
入れてしまった直後に何をするかは初動の記事にまとめました。削除は最後です。
法令上の判断については個人情報保護法の記事を参照してください。
ひな形は、先に配っておく
起きてから作ると、項目を考えている間に時間が過ぎます。
今のうちに共有フォルダに置いて、ガイドラインから場所をリンクしておいてください。使わずに済めば、それでいい。
個人的には、ひな形があること自体が予防になると思っています。「こういう報告書を書くことになる」と想像できると、手前で止まります。