生成AIの社内ルールをつくりたい、というご相談が増えています。セミナーでも、会社の情報をどこまで渡してよいのかという質問は毎回出ますし、年々増えています。ただ、ルールを決める前に一度確かめておいたほうがよいことがあります。生成AIの利用ルールが守ってくれる範囲は、思っているより狭いということです。
AIのルールが守るのは入口のひとつだけです
生成AIの利用ルールに書くのは、たいてい「AIに何を入力してよいか」です。これは必要な決めごとですが、裏を返せば、AIに入力するという一つの経路の話しかしていません。
会社の情報が外に出ていく経路は、それだけではありません。クラウドの共有リンクを広い範囲に設定したままにしていた、メールを誤って別の相手に送った、持ち出したパソコンを暗号化しないまま紛失した、社員のアカウントが乗っ取られた。どれも生成AIとは関係のないところで起きます。
つまり、生成AIのルールをつくっただけでは「これで情報漏洩の対策ができた」という状態にはなりません。ここを取り違えたまま安心してしまうのが、いちばん危ういところだと思います。
中小企業で実際に困っているのは別の場所です
対策を考えるとき、通信を盗み見られるといった話から入る記事をよく見かけます。ただ、限られた人手とお金でやりくりしている会社にとって、先に手をつけて効くのはそこではありません。
実際に起きているのは、もっと地味な事故です。設定を間違えた、送り先を間違えた、なくした、乗っ取られた。この4つでかなりの割合を占めます。裏返せば、多要素認証を入れる、共有設定を定期的に見直す、送信前に宛先を確かめる仕組みをつくる、端末を暗号化して画面ロックをかける。この程度のことで、実際のリスクは目に見えて下がります。
どれも新しい道具を買う話ではなく、いまあるものの設定と運用を見直す話です。生成AIのルールづくりを機に、このあたりまで一度点検しておくと、結果的に効きます。
入れてよいかは二つの軸で決まります
そのうえで、生成AIに何を入力してよいかを考えます。ここでよくある失敗が、情報の側だけで線を引いてしまうことです。
判断には軸が二つあります。ひとつは、扱う情報がどれくらい機密なのか。公開してよい情報なのか、自社の中だけの情報なのか、お客さまから預かった情報や個人情報なのか。もうひとつは、使う生成AIがどう守られているのか。個人が無料で使っているものなのか、法人向けの契約があって入力内容が学習に使われないものなのか、社外に出ない自社の環境なのか。
この二つを掛け合わせて初めて、入れてよいかどうかが決まります。「お客さまの情報は禁止」とだけ書いたルールは、実務では守られません。仕事の中でどうしても必要な場面が出てきて、そこで判断できないと、結局は各自の解釈で使われることになるからです。
ツールが安全になっても許諾は別の話です
二つの軸を分けて考えたとき、見落としやすいことがひとつあります。
法人向けの契約に切り替えて、入力した内容が学習に使われない状態にした。だからお客さまの情報も入れてよい、と考えてしまう場面です。これは危ういと思います。ツールが安全になったことと、そのデータを外部の事業者に渡してよいという許諾を得ていることは、別の話だからです。
お客さまとの契約や秘密保持の取り決めで、外部のクラウドサービスでの取り扱いをどう定めているか。個人情報であれば、いただいた利用目的の範囲に収まっているか。ツールをよいものにしても、この部分は自動的には解決しません。両方を満たして初めて入力できる、と整理しておくと迷いが減ります。
ばらばらの文書をつくると運用が止まります
もうひとつ、つくり方の話です。
生成AIのルールだけを単独でつくると、たいてい行き詰まります。「機密情報は入力しない」と書いたところで、何が機密なのかは別の文書に書いてあったり、どこにも定義されていなかったりするからです。判断の基準が文書ごとにずれていると、現場は迷って、結局は使わないか、黙って使うかのどちらかになります。
情報の分け方を先に一つ決めて、それを情報セキュリティの方針にも、個人情報の取り扱いにも、生成AIのルールにも共通で使う。この形にしておくと、あとから文書が増えても矛盾しません。順番としては、生成AIのルールを入り口にしつつ、土台になる情報の分類から手をつけるのが結局は早道です。
まずはA4一枚から始めてよいと思います
ここまで書くと大がかりに見えますが、最初から立派な規程集をつくる必要はありません。
現実的なのは、入れてはいけない情報を先に決めることです。何を入れてよいかを網羅しようとすると終わらないので、これだけは駄目、というものを数行で挙げる。あとは、出てきた答えは下書きとして扱い、事実と数字は人が確かめてから使う。この二つが書いてあれば、A4一枚でも十分に機能します。使いながら足りないところを足していくほうが、現場に根づきます。
社員の方が萎縮せずに使えるようにするための決めごとなので、禁止事項を増やすこと自体が目的にならないように気をつけたいところです。
グレジャーでは岡山を中心に、生成AIの活用支援とあわせた社内ルールづくりをお手伝いしています。金融機関や商工会議所などで、この「使い方」と「守り方」をセットにしたセミナーや研修にも登壇しています。何から手をつけるとよいか分からない、という段階で構いませんので、まずは現状をお聞かせください。