← 情報漏洩を防ぐAIの使い方 ― 禁止より「決めて、仕組みにする」 に戻る
「迷ったら上司に聞く」では回らない
AIを仕事で使うと、毎日のように「これは入れてよいのか」と迷う場面が出てきます。
「迷ったら上司に聞く」と決める会社は多いのですが、それでは上司の確認待ちがボトルネックになります。上司が外出していれば、仕事は止まります。止まるくらいならと、黙って入れる人も出てきます。
必要なのは、社員がその場で判断できる表です。
情報を3つに分ける
社内の情報を、次の3つに分けます。
| 区分 | 意味 | 例 |
|---|---|---|
| 青：どのAIに入れてもよい | すでに公開している、または公開してよい情報 | ホームページの文章、公開済みの商品説明、一般的な質問 |
| 黄：会社が契約したAIなら入れてよい | 社外に出してはいけないが、入れた内容が学習に使われない契約のAIなら使ってよい情報 | 社内の手順書、会議のメモ（個人名を除く）、公開前のチラシの案 |
| 赤：どのAIにも入れない | 漏れたときの被害が大きい、または法律や契約で守る義務がある情報 | パスワード・APIキー、お客様の名簿、個人の健康や家族の情報、取引先から預かった資料、公表前の決算の数字 |
この表を、自社の情報で書き換えて使ってください。
赤に入れるものの考え方
迷いやすいのは赤の線引きです。次のどれかに当たれば、赤に入れます。
- 鍵になるもの：パスワード、APIキー、ログイン用の情報。1つ漏れると、ほかの情報も全部見られます。
- 個人情報：お客様や社員の名前・連絡先・健康の情報など。個人情報保護委員会は、個人情報をAIに入れるときは利用目的の範囲内か確かめること、本人の同意なく入れる場合は、入れたデータが学習に使われないことを確かめることを呼びかけています（2023年6月）。
- 預かった情報：取引先から預かった資料。自分の会社だけでは決められない情報です。
黄を使うときの約束
黄の情報は、会社が契約したAIでだけ使います。そのうえで、次のことを守ります。
- 個人の名前は、入れる前に「Aさん」「B社」などに置き換える
- 必要な部分だけを貼る。資料をまるごと入れない
- 答えは、そのまま社外に出さない。人が読んで確かめる
迷ったときは「1つ上」に倒す
表にない情報で迷ったら、1つ厳しいほうに倒します。青か黄か迷ったら黄、黄か赤か迷ったら赤です。
あとで「この情報は青でよかった」と分かれば、表に1行足します。表は、迷うたびに育てるものです。
AI×TOC研究所での実例
AI×TOC研究所では、次のものを「赤」にしています。
- 鍵：APIキーやトークンは、決めた置き場所にだけ置きます。AIへの返事や作業の記録に、値を出させません。設定するときも、チャットに貼らず、人が設定画面の入力欄に直接入れます。
- パスワード：ログインのパスワードは、人が自分で入力します。AIには入力させません。
赤の情報は、「AIが届く場所に置かない」ことがいちばん確実な守り方です。
まずやること
自社の情報を10個書き出して、青・黄・赤に分けてみてください。
あなたの会社で、いちばん迷いそうな情報は何でしょうか。