生成AIを業務で使ってみたい。でも、情報漏洩が心配で最初の一歩が踏み出せない。
No Work Labが研修や相談を受けるなかで、よく聞く声です。

この心配は正しい心配です。無視してよいものではありません。
ただ、多くの場合、心配の中身がはっきりしないまま「なんとなく怖いから使わない」で
止まっています。それは、何を渡してよいかを決めていないからです。

決めていないと、使うたびにその場で判断することになります。
忙しいときほど判断は雑になり、便利さが不安に勝って、
気づかないうちに渡してはいけないものまで渡してしまう。
これが実際に起きる漏洩の多くの形です。

この記事は、使う前に一度だけ決めておけば済む線引きの作り方の話です。

その場で判断しない、というのが最初の決めごと

生成AIを開くたびに「これは渡していいかな」と考えるのは、
実は一番危ない状態です。判断が忙しさや気分に左右されるからです。

決めるのは、使う瞬間ではなく、使い始める前です。
一度決めてしまえば、あとは決めたルールに沿って渡すか渡さないかを選ぶだけになります。
考える回数を減らすほど、判断がぶれません。

3つに分けて考える

情報を「渡していいか悪いか」の二択で考えると、迷う場面が増えます。
実際には、間に「加工すれば渡せる」という段階があります。3つに分けます。

渡してよいもの

すでに公開されている情報、または自分が書いた文章で、
社外の誰が見ても困らないものです。

  • 自社のホームページやチラシに書いてある内容
  • 求人票の文案(まだ公開前でも、公開する前提で書いた文章)
  • 一般的な業界知識についての質問

加工すれば渡せるもの

そのままでは渡せないが、名前や数字を伏せれば渡せるものです。

  • 見積書の文面(金額と顧客名を仮の値に置き換えてから渡す)
  • お客様への返信メールの下書き(相手の会社名・個人名を伏せて渡す)
  • 会議の議事録の要約(参加者名を「Aさん」「Bさん」に置き換えて渡す)

この段階で大事なのは、「あとで戻せる形で伏せる」ことです。
仮の名前や記号に置き換えておけば、出てきた文章に自分で戻すだけで済みます。

渡さないもの

加工しても渡さない、と決めておくものです。

  • 契約書の原本
  • 個人情報(住所・電話番号・生年月日など、特定の個人に紐づく情報)
  • 他社から預かった資料やデータ
  • パスワード・アカウント情報

この3つ目は、「加工すれば渡せるのでは」と考え始めるとキリがありません。
渡さないと決めたものは、加工の話をせずそのまま渡さない、と決めておくほうが安全です。

迷ったときに聞く3つの質問

分類に迷う情報が出てきたときのために、聞く順番を決めておきます。

  1. これは、すでに公開されている、または公開する前提の情報か → はいなら「渡してよいもの」
  2. これは、特定の個人や会社が分かる情報か → はいなら、伏せられるなら「加工すれば渡せるもの」、伏せられないなら「渡さないもの」
  3. これは、契約や約束で外部に出さないと決まっているものか → はいなら、加工の有無にかかわらず「渡さないもの」

3番目の質問は見落とされがちです。契約書に守秘義務の条項がある取引先の資料は、
名前を伏せても渡さないほうが安全です。判断できないときは、渡さない側に倒します。

使うサービスの規約も確認する

分類のルールを決めても、使うサービス側の設定を見ていなければ意味が薄くなります。

生成AIのサービスは、個人向けの無料プランと、法人向けの契約プランとで、
入力したデータの扱いに関する規約が異なることが珍しくありません。
学習利用のオン・オフを設定できるものもあります。

ここは働いているサービスや契約形態によって内容が変わるため、
この記事の中でどのサービスがどうとは断定しません。
使う前に、利用規約とプライバシーポリシーの「入力データの利用」に関する項目を、
自分で確認してください。 研修で会社に導入する場合は、この確認を導入作業の一部に含めることを勧めます。

決めたルールを運用する

ルールは決めただけでは使われません。使われ続けるかどうかは、
複雑にしないことで決まります。

  • 3つの分類を紙に3行書いて、机やパソコンの近くに貼る
  • 迷ったときは「渡さない」側に倒す。あとで確認できたら渡せばよい
  • 新しく人が加わったときは、このルールを最初に共有する
  • 半年に一度など、扱う業務が増えたタイミングで見直す

「全部確認してから使う」という運用は、結局どこかで省略されます。
先に決めた3つの分類に当てはめるだけ、という形にしておくほうが、
忙しいときでも守られます。

まとめ

  • 情報漏洩の不安の多くは、「何を渡してよいか決めていない」ことが原因
  • 判断は使う瞬間ではなく、使い始める前に済ませておく
  • 情報は「渡してよい」「加工すれば渡せる」「渡さない」の3つに分ける
  • 迷ったら「公開情報か」「個人・会社が特定できるか」「契約で禁じられているか」の順で聞く
  • サービス側の規約(無料プランと法人プランの違いなど)は自分で確認する。本記事では断定しない
  • ルールは紙に書いて貼るくらい単純にしておく。迷ったら渡さない側に倒す

情報の扱い方針は、生成AI研修の選び方
でも触れたとおり、使い方の指導とは別に決めておくべき問題です。
自社の業務でどう線を引けばよいか一人では決めづらいときは、
No Work Labの生成AI研修・ワークショップで、
実際の業務を持ち込みながら一緒に整理しています。
お問い合わせから状況をお聞かせください。

あわせて読む