元従業員らによる不正アクセスは年61件
国家公安委員会・総務省・経済産業省は2026年3月12日、「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」を公表しました。令和7年（2025年）の不正アクセスの認知件数は7,190件で、前年より約34.2％増えています。
他人のIDとパスワードを使った不正アクセスの検挙は399件でした。このうち「識別符号を知り得る立場にあった元従業員や知人等による犯行」は61件で、15.3％を占めます。前年は107件でした。
最も多い手口は、パスワードの設定や管理の甘さにつけ込むもので84件です。悪用されたサービスでは「社員・会員用等の専用サイト」が122件で最多でした。辞めた人が覚えているIDは、止めない限り使えるままです。
AIの時代に、止める先が増えた
以前なら、止めるのはメールと社内システムくらいでした。今はAIツールの会社契約、ファイル共有、SNSや通販サイトの管理画面と、ログインする先が1人ごとに増えています。
AIならではの残り物もあります。会話の履歴、作った指示文や設定、人に送った会話の共有リンク、業務を自動で回すためのAPIキーです。APIキーとは、プログラムからAIを呼び出すための合言葉のような文字列です。合鍵と同じで、知っている人なら誰でも使えます。
入口・情報・合鍵の3つを、退職日に漏れなく止めること。ここが従来のIT管理より一段増えた仕事です（AIアカウントの乗っ取り対策）。
公的な資料は「速やかに削除」と書いている
先の公表資料は、アクセス管理者が取るべき措置として、元従業員や委託先業者等による不正アクセスが起きていると指摘しています。そのうえで、使う立場でなくなった人について「ＩＤの削除又はパスワードの変更を速やかに行う」よう求めると明記しています。
IPAの「中小企業の情報セキュリティ対策ガイドライン」も同じ考えです。付録の「5分でできる！情報セキュリティ自社診断」は、25の診断項目の解説で「従業員の異動や退職時には速やかに設定を変更（削除）する」と対策例に挙げています。
経営側の危機感もあります。IPAの2023年度「内部不正防止対策・体制整備等に関する中小企業等の状況調査」では、回答者1,248人の50.0％が「中途退職者による秘密情報の漏えい」を高いリスクに挙げました。人的ミス（59.1％）やサイバー攻撃（50.6％）とほぼ並ぶ水準です。
最初に作る「アカウント台帳」
退職日に慌てないためには、誰がどこにログインしているかを一覧にしておきます。台帳は表計算ソフト1枚で十分です。列は「サービス名・使う人・管理者・契約の名義・止め方」の5つにします。
作り方は簡単です。全員に「仕事で使っているサービスを全部書いてください」と頼みます。AIツールは、無料版や試用中のものも含めて書いてもらいます。台帳に載っていないサービスは、退職日に止められません。
台帳ができたら、社内のルールに「退職時は台帳を見て止める」と一行足します。情報セキュリティの宣言をまだしていない会社は、この機会に始めると手順がそろいます（SECURITY ACTIONの始め方）。
止める先と、退職日にやること
中小企業でよくある止める先を、6つに分けました。担当は小さな会社なら社長か総務の1人で構いません。
| 止める先 | 例 | 退職日にやること |
|---|---|---|
| 会社のメール・ID | Microsoft 365、Google Workspace | ログインを止め、転送設定を消す |
| AIツールの会社契約 | 会社向けプランのAI | メンバーから外す |
| 共有のID・パスワード | SNS、通販、銀行の管理画面 | パスワードを変える |
| 共有リンク | ファイル共有、AIの会話共有 | 所有者を移すか、リンクを止める |
| 合鍵・自動処理 | APIキー、自動化の連携 | 無効にして作り直す |
| 私物の端末・個人アカウント | 私物スマホ、個人契約のAI | 業務データの削除を確かめる |
見落としやすいのは3行目の共有パスワードです。本人のIDを止めても、みんなで使うパスワードは本人の頭に残ります。退職のたびに変えると決めておきましょう。
退職の前後で止める4歩
1歩目は、退職が決まった日に台帳を開くことです。本人と一緒に見て、台帳にないサービスがあれば書き足してもらいます。2歩目は、最終出社の前に、指示文やファイルを会社側へ移すことです。
3歩目は、退職日の終業時です。会社のIDとAIの会社契約を止め、共有パスワードを変え、APIキーを無効にします。4歩目は1週間後に、止めたIDへのログインや、メールの自動転送が残っていないかを確かめます。
この手順は、辞める人を疑うためのものではありません。全員に同じ手順で行うと、入社のときに伝えておくと角が立ちません（「辞めたい」と言われたときの返事）。
作った指示文とデータを会社に残す
AIを使いこなしている社員ほど、よく効く指示文や設定を自分の手元に抱えています。止める前に、業務で使っていた指示文を共有フォルダへ書き出してもらいます。作った手順の名前と使い道も一言ずつ添えてもらうと、後任が迷いません。
会社契約のAIは、管理者がメンバーを外せます。ただ、外した後に本人の会話や作った設定がどう扱われるかは、サービスやプランで違います。外す前に、各サービスのヘルプで扱いを確かめておくのが安全です（社内で作ったAIの手順を失わない移行）。
共有リンクにも注意します。ファイルやAIの会話の共有リンクは、作った人の名義のまま残ることがあります。必要なものは所有者を会社のアカウントに移し、不要なリンクは止めます。
個人のアカウントでAIを使っていたら
会社の管理画面に出てこないAIは、会社からは止めようがありません。できるのは、本人に業務の会話やファイルを消してもらい、そのことを書面で確かめることです。
先のIPAの調査は、有識者の意見として、退職時の秘密保持の契約で対象とする秘密の範囲を具体的に示すことが重要だと紹介しています。「顧客名簿」「見積の単価」「AIに貼った資料」のように、具体的な言葉で書きます。
根本の対策は、仕事で使うAIを会社の契約にそろえることです。私物スマホで使う場合のルールも、同じ機会に決めておきましょう（無料版のAIを仕事に使うリスク／私物スマホのルール）。
そのまま使えるプロンプト
台帳の下書きと、退職時のチェックリストをAIに作らせます。角かっこを自社の内容に置き換えてください。
肝は条件1です。AIは各サービスの画面や手順を、もっともらしく作ってしまうことがあります。操作は必ず各社の公式ヘルプで確かめ、台帳の「止め方」の列に自分で書き足してください（AIに入力してはいけない情報）。
よくある質問（Q&A）
社員が辞めたら、ChatGPTのアカウントってどうすればいい？
会社で契約しているなら、管理者がメンバーから外します。その前に、業務で使っていた指示文やファイルを会社側へ移してもらいます。個人で契約していた場合は会社から止められないので、業務の会話を消してもらい、書面で確かめます。
辞める人のアカウントは、いつ止めるのがいいの？
退職日の終業時が基本です。有給休暇の消化で最終出社日が早いときは、どのIDを先に止めるかを本人と相談して決めます。公的な資料も、使う立場でなくなった人のIDは速やかに削除するよう求めています。
辞める人を疑っているみたいで、言い出しにくいんだけど？
全員に同じ手順で行うと、入社のときに伝えておくのがいちばんです。IPAの自社診断にも載っている、どの会社でも行う標準的な対策です。個人を疑う話ではなく、会社の決まりとして説明しましょう。
まとめ
- 元従業員や知人等による不正アクセスの検挙は令和7年に61件（国家公安委員会・総務省・経済産業省）。辞めた人のIDは止めない限り使える。
- AIの時代は、会社契約のAI・共有リンク・APIキーまで止める先が増えた。台帳1枚で一覧にしておく。
- 退職が決まった日・最終出社の前・退職日・1週間後の4歩で止め、全員に同じ手順を使う。
退職の手続きは、社会保険や離職票など書類のほうに目が向きがちです。けれど辞めた人のIDは、書類と違って期限が来ても自然には消えません。
まずは台帳を1枚作ることから始めてみてください。次に誰かが辞めるとき、慌てずに済みます。ここまで読んでくださり、ありがとうございました。
── AutoAIPlatform編集部