生成AIを業務で活用する企業が増える一方で、導入にあたって気になるのがセキュリティの問題です。
「顧客情報をAIに入力しても問題ないのか」「社内資料をAIに読み込ませても安全なのか」といった疑問を持つ企業も多いのではないでしょうか。
実際、生成AIは文章の作成や情報検索だけでなく、請求書の読み取り、社内マニュアルの検索、問い合わせ対応など、さまざまな業務に活用できます。
ただし、便利だからといって社員が自由に使い始めると、会社が把握していないAIサービスへ機密情報が入力されるなど、思わぬリスクにつながる可能性があります。
企業で生成AIを活用するには、サービス自体のセキュリティだけでなく、社内の利用ルールや管理体制も考える必要があります。
今回は、中小企業が生成AIを導入する際に知っておきたいセキュリティ上のリスクと、具体的な対策について解説します。
生成AIを企業で利用する際のセキュリティリスク
生成AIにはさまざまなサービスがあり、入力した情報の取り扱いや管理機能も製品によって異なります。
まずは、企業で利用する際に注意しておきたいリスクを整理してみましょう。
機密情報や個人情報の漏えい
企業では、顧客情報や取引先との契約内容、社内の業務資料など、外部へ公開できない情報を扱っています。
例えば、顧客とのやり取りを要約するために、担当者がメールの内容をそのままAIサービスへ入力したとします。
そのメールに顧客の氏名や連絡先、取引条件などが含まれていた場合、社内で許可されていない外部サービスに情報を送信することになります。
AIサービスへ入力した情報が、必ずしも第三者へ公開されるわけではありません。ただし、サービスによってデータの保存方法や利用条件が異なるため、会社として許可していないサービスに機密情報を入力することは避ける必要があります。
特に顧客情報や個人情報を扱う場合は、利用するサービスの安全性や契約条件を確認することが大切です。
社員が会社の把握していないAIサービスを利用する
近年、企業の情報システム部門が把握していないAIサービスを、社員が業務で利用するケースも問題になっています。
こうした利用は「シャドーAI」と呼ばれています。
例えば、会社として生成AIの利用ルールを定めていない状態で、社員が個人アカウントを使って業務資料を要約したり、顧客向けの文書を作成したりするケースです。
社員本人は業務を効率化するつもりでも、会社としては、どのサービスにどのような情報が入力されているのか把握できません。
AIの利用を一律に禁止するだけでなく、業務で使用できるサービスを明確にし、安全に利用できる環境を整えることも対策の一つです。
AIが誤った情報を出力する
生成AIのリスクは、情報漏えいだけではありません。
AIは、事実と異なる情報や、不正確な内容を出力する場合があります。
例えば、社内規程をもとに質問へ回答するAIであっても、参照する資料が古かったり、質問の意図を正しく理解できなかったりすると、誤った案内をする可能性があります。
そのため、AIが生成した回答をそのまま正式な判断として扱うのではなく、業務の重要度に応じて確認する仕組みが必要です。
また、外部のWebページや文書をAIに読み込ませる場合、そこに含まれる不正な指示によってAIの動作が影響を受ける可能性もあります。
外部情報を扱うAIや、ほかのシステムを操作するAIエージェントでは、特に慎重な設計が求められます。
生成AIのセキュリティ対策で確認したい5つのポイント
では、実際に企業でAIを導入する場合、どのような対策が必要なのでしょうか。
中小企業でも検討しやすいポイントを5つ紹介します。
1. AIに入力してよい情報を明確にする
まずは、社員がAIへ入力してよい情報と、入力してはいけない情報を整理しましょう。
例えば、公開済みの商品情報や一般的な業務手順と、顧客の個人情報や社外秘の契約情報では、取り扱いが異なります。
社内で利用するAIサービスによっても、入力できる情報の範囲は変わります。
そのため、「すべてのAIサービスに機密情報を入力しない」といった基本的なルールに加え、会社が承認したサービスであればどこまで利用できるのかを明確にしておくことが大切です。
2. 部署やユーザーごとの利用権限を管理する
企業全体でAIを利用する場合、すべての社員が同じ情報にアクセスできるとは限りません。
例えば、人事部門が扱う人事資料や、経営層だけが確認する資料などは、閲覧できる人を制限する必要があります。
社内資料を検索するAIを導入する場合も、こうした権限管理を考慮しなければなりません。
部署やユーザーごとに利用できるAIや参照情報を設定できるサービスであれば、業務に応じて利用範囲を管理しやすくなります。
3. 入力データの保存や学習への利用条件を確認する
生成AIサービスを比較する際には、入力した情報がどのように取り扱われるかを確認しましょう。
特に確認したいのは、次のような項目です。
- 入力した文章やファイルが保存されるか
- 保存されたデータを削除できるか
- AIモデルの学習に入力データが利用されるか
- データがどの地域で処理・保存されるか
- 外部の事業者やサービスへのデータ提供があるか
こうした条件は、サービスや契約プランによって異なります。
「法人向けサービスだから必ず安全」「入力内容が学習に使われなければ問題ない」と判断するのではなく、自社の情報管理方針に合っているかを確認する必要があります。
4. AIの回答や処理結果を確認する仕組みを設ける
AIを業務で利用する場合、すべての処理をAI任せにするのではなく、人による確認を組み合わせることが大切です。
例えば、請求書から金額を読み取る業務では、AIが抽出した金額を確認してから会計システムへ登録する方法が考えられます。
また、顧客からの問い合わせに対してAIが回答案を作成する場合も、内容を担当者が確認してから返信する運用が適しています。
特に金額、契約内容、個人情報に関わる処理などは、誤りが発生した場合の影響を考慮して確認方法を決めておきましょう。
5. 社内の利用ルールと管理担当者を決める
AIを導入する際は、サービスの設定だけでなく、運用体制を整えることも必要です。
例えば、利用するAIサービスを誰が承認するのか、新しい社員が利用を開始する場合は誰がアカウントを発行するのか、といった管理方法です。
また、退職者や異動した社員のアクセス権限を見直すことも重要です。
中小企業では、専任のAI管理担当者を置くことが難しい場合もあります。
その場合でも、情報システム担当者や管理部門など、管理する部署や責任者を決めておくことで、運用上の問題に対応しやすくなります。
生成AIの社内利用ルールはどこまで決めるべき？
生成AIの利用ルールを作ろうとすると、何から決めればよいかわからないこともあるでしょう。
最初から複雑な規程を作る必要はありませんが、最低限のルールは整理しておきたいところです。
例えば、次のような内容です。
| 項目 | ルールの例 |
|---|---|
| 利用するサービス | 会社が承認したAIサービスを使用する |
| 入力する情報 | 機密情報・個人情報の入力条件を明確にする |
| 利用権限 | 部署や業務に応じて利用できる範囲を設定する |
| 出力内容の確認 | 重要な情報は担当者が確認する |
| アカウント管理 | 入社・異動・退職時に利用権限を見直す |
| トラブル発生時 | 管理担当者への報告方法を決める |
こうしたルールがあれば、社員も判断に迷いにくくなります。
また、AIサービスの機能や利用する業務が変わった場合には、ルールも定期的に見直していくことが大切です。
中小企業が安全に生成AIを導入するには？
中小企業でAIを導入する場合、最初から全社で利用を始める必要はありません。
まずは対象となる部署や業務を絞り、利用する情報や必要な権限を整理するところから始める方法があります。
例えば、総務部門の社内規程検索にAIを利用するのであれば、最初は全社員向けに公開できる規程だけを登録して試すこともできます。
また、経理部門で帳票の読み取りにAIを利用するのであれば、取り扱う書類の種類や情報の機密性、読み取り後の確認方法を決めておきます。
こうして対象を限定すれば、運用上の課題を確認しながら利用範囲を広げられます。
AIの利用を進めることと、情報を適切に管理することは、どちらか一方を選ぶものではありません。
業務に合ったツールと管理方法を選び、無理のない範囲から導入を進めることが大切です。
参考資料
本記事の作成にあたり、以下の資料を参考にしています。
企業向けの管理機能を備えた「MICHIRU AI」
株式会社MICHIRUでは、企業向けAI活用・管理サービス「MICHIRU AI」を提供しています。
MICHIRU AIは、OCRによる書類の読み取り、社内ナレッジ検索、データ整理など、業務でAIを活用するための機能に加え、企業として利用状況を管理するための機能を備えています。
例えば、部署やユーザーごとに利用できるAIエージェントを設定し、必要な担当者だけが対象のAIを利用できるように管理できます。
また、AIエージェントが参照できる情報を個別に設定できるほか、送信内容やAIの回答を保存するかどうかも設定できます。
部署やユーザーごとにAIの利用上限を設定する機能もあり、利用量やコストを管理しながら運用できます。
これらの管理機能を活用することで、社員ごとにAIサービスを利用するだけでなく、会社として利用範囲や運用方法を整理したAI活用が可能になります。
なお、管理機能があることだけで、すべてのセキュリティリスクを防げるわけではありません。実際に取り扱う情報や利用環境に応じた確認も必要です。
企業でのAI導入・管理をご検討中の方へ
「社員がそれぞれAIを利用しており、会社として管理できていない」
「社内資料を活用したいけれど、情報管理が心配」
「部署ごとに利用できるAIや情報を設定したい」
このようなお悩みをお持ちの企業様は、ぜひMICHIRUへご相談ください。
現在の業務や情報管理の状況をお伺いし、MICHIRU AIの機能や活用方法をご案内いたします。
