← 情報漏洩を防ぐAIの使い方 ― 禁止より「決めて、仕組みにする」 に戻る
いちばん大事なのは、早く言えること
どれだけルールを決めても、うっかりはなくなりません。疲れているとき、急いでいるときに、お客様の名簿を貼ってしまうことはあります。
大事なのは、そのあとです。
入れてしまった本人が「怒られる」と思えば、黙っています。黙っている時間が長いほど、手を打てる時間は短くなります。TOCで見ると、報告が遅れることそのものがボトルネックです。
だから、「知らせた人を責めない」を、ルールに先に書いておきます。
最初の1時間にすること
1. すぐ担当者に知らせる（本人）
入れてしまったと気づいたら、すぐ担当者に知らせます。伝えることは4つです。
- いつ
- どのAIに（会社の契約か、個人のアカウントか）
- どんな情報を（何人分か、どの項目か）
- どんな使い方をしたか（その会話を誰かと共有したか）
2. 記録を残す（担当者）
聞いた内容を、時刻と一緒に書き残します。あとで判断するときの材料になります。
3. AIのサービス側の状態を確かめる（担当者）
- その会話を消せるか。消す前に、何を入れたかを記録に控えておく
- 入れた内容が学習に使われる設定だったか
- 会話を共有するリンクを作っていないか
4. 鍵を入れたなら、すぐ取り替える（担当者）
パスワードやAPIキーを入れてしまった場合は、会話を消すより先に、その鍵を使えなくして新しいものに取り替えます。漏れた鍵が使えなければ、被害は止まります。
5. 個人情報なら、報告が要るかを確かめる（担当者・経営者）
個人情報保護委員会は、次のどれかに当たる漏洩などが起きたときは、委員会への報告と本人への通知を求めています。
- 要配慮個人情報（病歴など）が含まれる
- 財産的な被害が出るおそれがある（クレジットカードの番号など）
- 不正な目的で行われた
- 1,000人を超える
報告は速やかに（おおむね3〜5日以内）行うよう案内されています。AIに入れたことが「漏洩」に当たるかどうかは、サービスの契約や設定によって変わります。迷ったら、委員会の窓口や専門家に相談してください。
1時間のあとですること
落ち着いたら、なぜ起きたかを振り返ります。人を責めるのではなく、仕組みを直します。
- その情報は、表のどの色だったか。色が決まっていなかったなら、表に足す
- 個人のアカウントを使っていたなら、なぜ会社のAIを使わなかったのか
- 貼る前に気づける仕組み（名前を伏せる手順など）は作れるか
先に決めておくこと
いざというときに慌てないよう、次の3つを先に決めておきます。
- 知らせる先の担当者（休みの日の連絡先も）
- 会社で使っているAIの、会話の消し方と管理者の連絡先
- 鍵の取り替え方（どの画面で、誰ができるか）
AI×TOC研究所での実例
AI×TOC研究所では、鍵を「どこに置いているか」だけを引き継ぎメモに書き、値は書いていません。どの鍵がどこにあるかが分かっていれば、取り替えるときに迷いません。
（このページは一般的な手順です。法律の判断が要る場面では、専門家に相談してください。）
まずやること
担当者の名前と連絡先を、AIのルールの最後に1行書いてください。
あなたの会社では、社員が「入れてしまいました」と言いやすい雰囲気がありますか。