生成AIに社内情報を入れると、どこへ行くのか｜中国Kimi調査から考える企業のAI利用リスク

経緯を時系列で整理します。いずれも、公表資料と報道にもとづく内容です。

繰り返しになりますが、これらはAnthropicの主張と、それを受けた報道です。中国当局の調査結果は公表されておらず、事実関係が確定したわけではありません。

企業のAI利用に関する注意喚起は、たいてい「機密情報を入力しないこと」で終わります。

必要な注意ではあります。ただ、この一件が示しているのはその先の層です。

この違いは重要です。前者は社内ルールで対処できますが、後者はサービスの選定と契約でしか対処できません。

利用規約を読めば分かる、とは限らない

一般に、AIサービスの利用規約には、入力データを学習に使うかどうかは記載されています。

一方で、処理をどこで行うか、外部へ再委託するかどうかまで具体的に書かれているとは限りません。書かれていても、実際の運用がそのとおりかを利用者が確かめる手段は限られます。

だからこそ、重要な情報を扱うサービスは、規約ではなく契約で条件を固める必要があります。法人向けのプランや個別契約が用意されているのは、このためです。

「海外へのデータ移転」と一括りにすると、実務で使えない整理になります。日本では、扱う情報の性質によって根拠が変わります。

2つを混ぜると、対策がぼやけます。個人データは同意と提供先の把握、営業秘密は管理体制と契約。守り方が違います。

禁止一辺倒では運用できません。現実的なのは、情報を区分して、区分ごとに扱いを決めることです。

参考として、3区分の例を挙げます。自社の業種と契約内容に合わせて調整してください。

重要なのは、判断を個々の社員に委ねないことです。線引きが曖昧だと、現場は忙しいほうへ流れます。迷ったら入力しない、ではなく、迷ったら誰に聞くかまで決めておいてください。

入力側の対策と並んで、サービス側の確認が必要になります。契約や導入の検討時に見ておく項目です。

最後に、いちばん実効性のある対策を挙げます。

会社が、正規に使える環境を用意することです。

生成AIの利用を全面的に禁止した会社でも、社員は個人のアカウントで使います。業務が速く終わるからです。禁止すると、使用そのものがなくなるのではなく、会社から見えなくなる。これが最も危険な状態です。

費用はかかります。ただ、見えない利用を放置するコストのほうが高いというのが、いまの前提だと考えています。

あわせて、なぜその線引きなのかを説明すること。ルールだけ配っても守られません。取引先から預かった資料を入力すると契約違反になり得る、と理由まで伝われば、現場の判断が変わります。