個人契約のChatGPT、会社の情報入力はNG？シャドーAIのリスクと回避策

個人で契約したChatGPTに会社の情報を入力してもいい？

生成AIが仕事で欠かせない存在となりつつある中、個人で契約したChatGPTなどのAIサービスに、会社の機密情報を入力してしまっている人はいませんか？実はこれ、「シャドーAI」と呼ばれる情報セキュリティ上のリスクをはらむ行為であり、基本的に避けるべきとされています。

なぜなら、多くのクラウド型AIサービスでは、入力されたデータがAIの学習に使われる設定になっているからです。もし機密情報を入力してしまうと、それがAIの学習データとして利用され、情報漏えいにつながるリスクがあります。これは個人向けの有料プランを契約していても、多くの場合有効な設定です。

OpenAIの利用規約にも「本サービスの提供、維持、開発、改善、適用法の遵守、当社の規約及びポリシー等の履行請求、及び本サービスの安全性の維持のために、本コンテンツ（ユーザーの入力とAIによる出力の意）を使用する場合があります」と明記されています。

シャドーAIのリスクと回避策

個人で契約したAIサービスに会社の情報を入力することが推奨されない理由は、情報漏えいリスクだけではありません。企業が契約・利用するAIの多くは、トラブル発生時の原因特定を容易にするため、利用状況を観察・追跡している場合があります。しかし、個人契約のサービスではそれができず、問題発生時の調査に悪影響を及ぼす可能性があります。

会社に隠れて勝手にITサービスを契約・利用する行為は「シャドーIT」や「シャドーAI」と呼ばれ、情報セキュリティの観点から控えるべき行為とされています。

情報漏えいリスクを避けるための対策

• 企業向けプランの利用: 企業向けのプランでは、入力情報を学習に使わないよう取り決めて契約できる場合があります。
• 学習停止設定の活用: ChatGPTを含む一部の個人向けサービスでも、入力を学習に使わない設定にすることが可能です。ただし、サービスの提供事業者をどの程度信用するかという問題は残ります。
• ローカルAIの導入検討: 手元、あるいは管理下にあるマシンでAIを動かす「ローカルAI」や「ローカルLLM」といった技術にも注目が集まっています。これにより、情報送信のリスクを避けられます。一昔前はクラウド型に比べて性能が劣るとされていましたが、ここ1～2年でその差も縮まりつつあり、多くの企業が導入や活用を検討・模索しています。

開発者・Web制作者が今すぐできること

もしあなたが個人的に契約しているChatGPTなどのAIサービスを仕事で利用しているなら、まずは以下の点を確認しましょう。

• 利用規約の再確認: 利用しているAIサービスの利用規約を改めて確認し、入力データがどのように扱われるかを把握しましょう。
• 学習停止設定の確認と適用: もし可能であれば、入力データをAIの学習に使わない設定になっているかを確認し、必要であれば変更しましょう。
• 社内ITポリシーの確認: 会社の情報セキュリティポリシーやAI利用に関する規定を確認し、それに従いましょう。もし不明な点があれば、IT部門や情報セキュリティ担当者に相談することが重要です。
• ローカルAIの調査: 将来的な導入を視野に入れ、ローカルAIやローカルLLMに関する情報収集を始めるのも良いでしょう。特に機密性の高い情報を扱うプロジェクトでは、検討する価値があります。

生成AIは非常に便利なツールですが、その利用には情報セキュリティへの配慮が不可欠です。シャドーAIのリスクを理解し、適切な対策を講じることで、安全かつ効果的にAIを活用していきましょう。