生成AIによる情報漏えい、その原因はAIなのか
株式会社エアー マーケティング担当
RIZAP社は先日、子会社社員による私用の生成AIへの顧客情報入力について公表しました。（https://mrisk.air.co.jp/news/cat4/6976/）AIモデルのトレーニングには使用されないことが確認されていますが、入力された情報には氏名や保険証番号、疾患情報などの個人情報が含まれていたとされています。
このニュースを見て、「やはり生成AIは危険だ」「利用を禁止すべきだ」と感じた方もいるかもしれません。しかし、この事案が示しているのは、AIそのものの危険性というより、組織が管理できていないAI利用のリスクではないでしょうか。
近年、多くの企業で生成AIの活用が広がる一方、利用ルールや管理体制の整備が追いつかず、社員が個人アカウントや未承認サービスを利用する“シャドーAI”が問題視されています。
では、AI利用を全面的に禁止すれば解決するのでしょうか。過去にはSamsung社やApple社などが生成AIの利用を制限したことで注目を集めました。しかし、便利なツールを単純に禁止すると、社員が個人のスマートフォンや私用アカウントで利用するようになり、かえって利用実態が見えなくなる恐れがあります。
生成AIによる情報漏えいは、不正アクセスのような外部攻撃だけでなく、「業務を効率化したい」「要約してほしい」といった善意の行動からも発生します。だからこそ企業に求められるのは、「AIを使わせないこと」ではなく、「安全に使える環境を整えること」です。
利用できるAIサービスを明確にし、機密情報の入力を制御するとともに、利用状況を可視化しながら継続的な教育を行うことが重要です。生成AIの活用が広がる今、AI活用とセキュリティを両立するためのガバナンスの重要性は、今後ますます高まっていくでしょう。
これまでの不正アクセス、Emotet、情報持ちだしのニュースをチェック「情報漏えいニュース」一覧を見る
これまでの社員コラムをチェックコラム一覧を見る
