手元のAIなら機密文書を読ませても安全か:守られる点と手元に残る点

守られる点と、守られない点

まず線引きを表にします。

• 事業者サーバーへの送信、ローカル実行で減る/変わる：通常のチャットや文書読み込みは端末内で処理される、手元に残る：設定次第でクラウド機能や外部公開を使うと話が変わる
• 学習への利用、ローカル実行で減る/変わる：事業者側の学習利用を心配する場面は減る、手元に残る：自分の端末に履歴があること自体は変わらない
• 履歴・ログ、ローカル実行で減る/変わる：クラウド側の保管は気にしなくてよい、手元に残る：端末内にファイルとして残る
• アクセス管理、ローカル実行で減る/変わる：事業者の管理画面は関係ない、手元に残る：OSのアカウント、ディスク暗号化、共有設定が防御線になる
• モデルファイルの安全性、ローカル実行で減る/変わる：入力が外へ出ないこと自体は変わらない、手元に残る：不審なモデルファイルを読み込むリスクは自分で見る

LM Studioは公式ドキュメントで、モデルとのチャットや文書の処理は端末内で行われ、入力内容は端末から出ないと説明しています(LM Studio: Offline Operation)。ただし同じページで、モデルの検索・ダウンロード、ランタイムの取得、アプリの更新確認にはネットワーク通信が必要だとも書かれています。つまり「通信が一切ない」わけではなく、「入力内容が送られない」という説明だと読むのが正確です。

なお、製品の「学習に使わない」という設定と、「秘密が守られる」ことは別の話です。ローカルでは前者の心配が減るだけで、後者は端末の管理次第です。

端末内に残るデータの置き場所一覧

公式資料で場所が確認できたものと、確認できなかったものを分けて示します。確認日は2026年10月28日で、バージョンによって変わる可能性があります。

• Ollama、残るもの：モデル、場所：macOS: ~/.ollama/models、Linux: /usr/share/ollama/.ollama/models、Windows: C:\Users\<ユーザー名>\.ollama\models(OLLAMA_MODELSで変更可)、根拠：Ollama FAQ
• Ollama、残るもの：サーバーログ、場所：macOS: ~/.ollama/logs/server.log、Windows: %LOCALAPPDATA%\Ollama、Linux(systemd): journalctl -u ollama、根拠：Ollama Troubleshooting
• Ollama、残るもの：設定(クラウド機能の無効化など)、場所：~/.ollama/server.json、根拠：Ollama FAQ
• LM Studio、残るもの：チャット履歴(JSON)、場所：macOS/Linux: ~/.lmstudio/conversations/、Windows: %USERPROFILE%\.lmstudio\conversations、根拠：LM Studio: Manage chats
• LM Studio、残るもの：チャットに付けたファイル、場所：チャットと一緒に保持されると読めるが、保存先の詳細は資料で未確認、根拠：同上(チャット複製時にファイルも複製される、との記述)
• Ollama、残るもの：入力した文が履歴・ログに残るか、場所：今回開いた資料では確認できず、根拠：下の確認手順で自分の環境を調べる

ログについては、Ollamaの公式資料は場所と見方を説明していますが、プロンプトの中身が記録されるかどうかは今回の資料からは読み取れませんでした。「残らないはず」と決めつけず、後述の手順で実際に調べるのが確実です。

公式資料に載っていない「OS側」の置き場所

ツール固有ではなく、OSや周辺ソフトの側にも痕跡が残り得ます。これは公式資料で確認した事実ではなく、点検の観点としての一般的な整理です。

• 文書そのもの(元ファイル、ダウンロードフォルダ、一時ファイル)
• クラウド同期フォルダ(OneDrive、iCloud Drive、Dropboxなどの配下に置いた文書や.lmstudio)
• 端末のバックアップ(ホームフォルダごとバックアップすると、履歴も一緒に複製される)
• スクリーンショット、クリップボード履歴
• 検索インデックス(文書フォルダが対象に入っている場合)

LM Studioの履歴は、ホームフォルダ直下の.lmstudioにあります。ホーム全体を同期・バックアップしている環境では、チャット履歴も同じ扱いになる点が見落とされがちです。

見落としやすい2つの穴:公開設定とモデルファイル

ネットワークへの公開

Ollamaは既定で127.0.0.1のポート11434に待ち受けます(Ollama FAQ)。つまり同じPCからしか使えない状態です。OLLAMA_HOSTを変更して他のPCから使えるようにしたり、NginxやNgrok、Cloudflare Tunnelなどで公開したりすると、このデフォルトの前提が崩れます。FAQはこれらの公開方法を手順として紹介していますが、認証をどうするかは別途考える必要があります。社内の他の人が使えるようにした時点で、「手元のAI」ではなく「小さなサーバー」として管理する話になります。

また、Ollamaにはクラウド機能があり、FAQによれば~/.ollama/server.jsonのdisable_ollama_cloudまたは環境変数OLLAMA_NO_CLOUD=1で無効にできます。機密文書を扱う端末では、使うモデルがローカルで動くものかどうかを確認し、不要ならクラウド機能を切っておくと安心です。

モデルファイルの出どころ

入力が外に出なくても、読み込むモデルファイルが安全とは限りません。Hugging Faceの公式ドキュメントは、PyTorchの重みで広く使われるpickle形式は読み込み時に任意のコードが実行され得ると説明し、信頼できる提供元のモデルを使うことや、safetensorsなど別形式の利用に触れています(Hugging Face: Pickle Scanning)。safetensorsは同ページで実験中の形式として紹介されています。機密文書を扱う端末に、出どころ不明のモデルを入れない、という運用が現実的です。

読ませる前の確認チェックリスト

次の項目を上から確認し、一つでも「いいえ」なら読ませる前に直します。

文書の扱い

• [ ] この文書をAIに処理させてよいと、契約・社内規程・取引先との取り決めで言える(個人情報や取引先の秘密は、端末内でも保管・取扱いのルールの対象になり得ます)
• [ ] 全文が必要か。必要な章や抜粋だけで足りないか
• [ ] 氏名・口座・個人番号などは、伏せ字に置き換えても目的を果たせないか

端末の状態

• [ ] ディスク暗号化(FileVault、BitLockerなど)が有効
• [ ] 画面ロックとOSアカウントが個人専用で、共有PCではない
• [ ] 文書とAIツールの保存先が、クラウド同期やバックアップの対象になっていないか確認した
• [ ] 他人が使える共用フォルダに履歴やログがない

ツールの設定

• [ ] OllamaならOLLAMA_HOSTが既定のまま(外部公開していない)
• [ ] 不要なクラウド機能やトンネルを使っていない
• [ ] モデルは出どころが分かる提供元のものである
• [ ] 履歴の置き場所を把握している(上の一覧)

終わったあと

• [ ] 履歴・添付ファイル・一時ファイルをどう消すか決めている
• [ ] 消した後、下の手順で文字列が残っていないか検索した

LM Studioのチャット管理のページには、UIからの削除やエクスポート手順の記載は見当たりませんでした。右クリックで保存場所を開けることは書かれていますが、JSONの手動編集は推奨されていません。削除方法はアプリ上で確認してから運用に入れてください。

ダミー文字列で、実際にどこへ残るか調べる手順

仕様の推測より、自分の環境で確かめるほうが確実です。実際の機密文書は使わず、目印となる架空の文字列(説明用の例)を使います。

手順

1. チャットに次の依頼文を入力します。

次の文を3行で要約してください。
「ZZ-TEST-7391 社外秘の検証用ダミー文書です。実在の情報は含みません。」

1. 可能ならファイル添付でも、同じ文字列を入れたテキストファイルを読ませます。
2. 下のコマンドで、ZZ-TEST-7391を含むファイルを探します。

macOS / Linux(ターミナル)

find ~/.ollama ~/.lmstudio -type f ! -path '*/models/*' -exec grep -l "ZZ-TEST-7391" {} + 2>/dev/null

LinuxでOllamaをsystemdサービスとして動かしている場合は、ログも確認します。

journalctl -u ollama --no-pager | grep -c "ZZ-TEST-7391"

Windows(PowerShell)

Get-ChildItem "$env:USERPROFILE\.ollama","$env:USERPROFILE\.lmstudio","$env:LOCALAPPDATA\Ollama" -Recurse -File -ErrorAction SilentlyContinue |
 Where-Object { $_.FullName -notmatch '\\models\\' } |
 Select-String -Pattern "ZZ-TEST-7391" -List | Select-Object Path

上のコマンドは記事のために書いた例で、筆者の環境で実行した結果ではありません。ヒットしたファイルが、その環境での「残る場所」です。ヒットしなくても、OS側(バックアップ、インデックス、クリップボード履歴など)は別途確認が必要です。ヒット先が見つかったら、それが同期・バックアップの対象かを見てください。

読ませてよいかの判断表

説明用の目安です。組織のルールがある場合は、それが優先です。

• 公開済みの資料、目安：読ませてよい、条件：特になし
• 社内向けだが個人情報を含まない議事録、目安：条件付きで可、条件：暗号化された専用端末、履歴の削除手順あり
• 個人情報を含む名簿・顧客対応記録、目安：原則、規程の確認が先、条件：伏せ字化や最小限の抜粋を検討
• 契約書・取引先の秘密情報、目安：契約上の制約を確認してから、条件：秘密保持の条項がAI処理や端末保管を許すか
• 認証情報・鍵・口座番号、目安：読ませない、条件：要約や整理に不要なことが多い

ローカルAIの利点は「送信先を事業者に預けなくてよい」点にあります。手元に残るデータの場所を把握し、暗号化・同期・公開設定を点検したうえで使えば、機密文書の扱いとしてかなり現実的な選択肢になります。その前提は、上のチェックリストを実際に確認することです。