利用を一律で禁止したまま放置しない
AIに何を入れてよいかわからないのでひとまず全面的に禁止する。慎重な対応に見えますが全面禁止にも危うさがあります。会社として使える手段を用意しないと社員が個人のアカウントや会社が把握していないサービスでAIを使い始めることがあるためです。一律の禁止はかえって会社が管理できない状態を招くことがあります。
会社として決めておくのはAIを使うかどうかより、どの業務をどのサービスにどんな条件で任せるかです。
情報を段階に分ける
まず社内の情報を外に出たときの影響の大きさで段階に分けます。例えば次の6段階です。
- 公開済みの情報（サイトやパンフレットに載っている内容）
- 社内の一般的な情報（手順書や様式など）
- 社外秘（契約条件や取引先の価格など）
- 個人情報（顧客や社員の氏名・連絡先など）
- 特に慎重に扱う情報（病歴のように知られると不利益が大きいもの）
- 認証情報（パスワードや鍵など）
分け方に唯一の正解はありません。社員が迷わず当てはめられる分け方にします。どちらに入るか迷う情報は一つ上の段階に入れておくと社員がすぐに判断できます。
段階ごとに条件を決める
次に段階ごとに使ってよいサービスと条件を決めます。決めておく項目は使ってよいサービス・用途・守る手順・例外を認める人・利用の記録・見直す時期です。
公開済みの情報や社内の一般的な情報は会社が契約したサービスなら広く使ってよいとします。個人情報は用途を絞り、条件を満たすサービスだけで扱います。認証情報はどのサービスにも入れません。段階が上がるほど条件を厳しくします。
サービスを選ぶときは入力した内容が学習に使われるか・どのくらいの期間保存されるか・ほかの事業者に渡るかを確かめます。学習に使われないことと保存されないことは別なので注意してください。利用規約に学習に使わないと書いてあっても入力した内容は保存される場合があります。条件はサービスや契約の種類で変わるため利用規約を御社の契約内容や社内規程と照らし合わせて確認します。
送る前に確かめる仕組みを置く
使ってよい範囲を決めても人は間違えます。忙しいときに顧客の連絡先をうっかり貼り付けることもあります。いったん外に出た情報は取り消せず、鍵が漏れたらつくり直すしかありません。
情報が出たあとで後始末をするより出す前に一度止めるほうがずっと安く済みます。また、APIキーやパスワードを探す自動検査は個人の連絡先のような情報を対象にしていないので別に確かめる必要があります。
業務でも同じ考え方を使えます。例えばAIに渡す前の確認を作業手順に入れます。メールアドレスや電話番号のような決まった形の情報が含まれていたら送る前に知らせる仕組みを置く方法もあります。
決めた条件を1枚にまとめて見直す
段階・使えるサービス・条件を1枚の表にまとめ、社員が手元で確かめられるようにします。サービスの規約や機能は変わるので見直す時期も表に書いておきます。
NSYにご相談いただく場合もまず御社で扱う情報を一緒に段階に分けます。そのうえで対象の業務に合うサービスと条件を決め、小さな範囲から試していきます。
