ChatGPTの危険性をどう考える？企業への導入前に整理したい情報漏えい・運用ルール

ChatGPT（※）をはじめとする生成AIは、文章作成やデータの要約、アイデア出しなど、業務効率化や生産性向上の強力な手段として多くの企業で導入が進んでいます。しかし、便利な反面、情報漏えいや誤情報の拡散といった「危険性」も同時に指摘されており、導入をためらう企業も少なくありません。

特に情報システム部門（以下、情シス）や総務部門の人員が限られている企業では、ルールの策定から現場への教育、日々の利用状況の監視にまで手が回らないのが実情です。「現場から使いたいという声は挙がっているが、リスクが怖くて許可を出せない」と悩んでいる担当者の方も多いのではないでしょうか。

この記事では、企業がChatGPTを利用する際に直面しやすい危険性や具体的なリスクを整理し、安全に活用するためのガイドラインの基本項目や運用対策について解説します。

※ChatGPTは、OpenAI OpCo, LLCの商標または登録商標です。

ChatGPTの危険性とは

まずは、企業でChatGPTを利用する際、具体的にどのような点がリスクとして見られやすいのかを整理します。ツールの特性を正しく理解することが、安全な運用の第一歩です。

入力した情報が漏えいする可能性がある

ChatGPTの利用において懸念されているのが、情報漏えいのリスクです。ChatGPTでは、利用プランや設定によってデータの扱いが異なります。

個人向けサービスでは、入力内容がモデル改善に利用される場合がありますが、設定により学習利用をオフにすることもできます。

一方、ChatGPT Business、Enterprise、Edu、APIでは、デフォルトで入力・出力がモデル学習に使われないとされています。導入前には、自社が利用するプランで、入力・出力がモデル学習に使われるか、管理者機能やログ管理が利用できるかを確認することが重要です。 

出力内容に誤情報や不適切な表現が含まれるケースがある

AIが生成する回答は、もっともらしい文章であっても、必ずしも事実とは限りません。AIが事実と異なる情報を生成してしまう現象は「ハルシネーション（もっともらしいウソ）」と呼ばれています。また、学習データに偏りがある場合、差別的な表現や不適切な表現が含まれるケースもあります。これらの回答を人間が確認せずにそのまま顧客向けのメールや公開用の資料に利用してしまうと、誤った案内によるクレームや、企業の信用問題に発展しかねません。業務利用では、人による最終確認を行う運用が求められます。

危険性はツールそのものではなく「使い方」にある

ここで押さえておきたいのは、ChatGPTそのものが悪意を持った危険なツールではないということです。情報漏えいや誤情報の拡散といった問題は、多くの場合、利用する人間の「使い方」や「リテラシーの欠如」に起因します。リスクを懸念して全面禁止にしてしまうと、競合他社がAIを活用して業務を効率化するなかで、自社だけが取り残されてしまうおそれがあります。逆に、何のルールもなく全面解禁してしまうと、リスクを制御できません。自社の業務実態に合わせた適切な利用ルールを設けることで、リスクの低減につながります。

ChatGPTの企業利用で把握したい主なリスク

「危険性」を単なる抽象論で終わらせず、情シスが管理対象として把握しておきたい具体的なリスクを整理します。

情報漏えいリスク

情報漏えいは、テキストボックスへの入力だけが原因ではありません。近年はファイルをアップロードして内容を読み込ませる機能や、チャット履歴を共有できるリンク機能など、利便性を高める機能が充実しています。こうした機能を適切に管理しないと、社内資料を誤って共有したり、外部サービス連携や拡張機能との連携を通じて、データが外部へ渡ったりするおそれがあります。 

個人情報・機密情報の誤入力リスク

現場の従業員が悪意を持って情報を漏らすケースよりも、日常業務のなかで「便利だから」と悪意なく個人情報や機密情報を入力してしまうケースの方が起こりやすいといえます。

例えば、「顧客への返信文を考えて」と指示する際に顧客の氏名や連絡先をそのまま貼り付けたり、「経営会議の議事録を要約して」と未公開の財務データを含めてしまったりするケースです。ChatGPTは手軽に利用できるため、機密性を十分に意識しないまま情報を入力してしまうおそれがある点に注意が必要です。

アカウント管理や権限管理のリスク

誰が、どの環境で、どのようなアカウントを使ってChatGPTを利用しているのかを情シスが把握できていない状態は、管理上のリスクにつながります。従業員が個人の無料アカウントでログインして社内業務を行っている場合、退職後もそのアカウントを通じて社内情報が残存する可能性があります。また、個人のスマートフォンや保護されていないネットワーク経由で機密情報を扱うことで、会社として利用状況を適切に管理できなくなります。

シャドーAI化のリスク

会社として正式な利用ルールや推奨ツールを定めていないと、現場の従業員が会社の承認を得ずにAIツールを業務で利用する「シャドーAI」化が進むおそれがあります。シャドーAIは情シスの管理対象外となるため、どのようなデータが入力されているか把握しにくくなります。万が一、情報漏えいなどのインシデントが発生した際にも、状況の把握や原因の特定が難しくなり、対応が後手に回ります。

ChatGPT利用における社内ガイドラインの基本項目

企業での安全な導入を進めるためには、まずどのようなルールを決めたらよいかを整理します。ガイドラインは、従業員が安全に利用するための判断基準となります。

入力してよい情報・入力してはいけない情報

ガイドラインの根幹となるのが、情報の取り扱いルールの明確化です。顧客の個人情報、取引先との契約情報、未公開の製品開発データ、財務情報などは、入力を禁止するルールを定めます。同時に、「公開済みのプレスリリース情報の要約」や「一般的なビジネスメールのひな型作成」など、入力しても問題のない情報の範囲を具体例を交えて提示することが重要です。

これにより、現場の従業員が「使っていいのかダメなのか」を適切に判断しやすくなります。

利用できるアカウント・プラン・サービス範囲

業務で利用するアカウントやサービスのルールも不可欠です。個人アカウントでの業務利用を禁止し、会社が契約・管理できる法人向けプランや承認済みサービスの利用に限定する、といった方針を定めます。

その際は、入力・出力がモデル学習に使われないこと、管理者機能、ログ管理、データ保持、外部共有制御などの条件を確認することが重要です。また、ChatGPT以外の生成AIツール（GeminiやClaudeなど）の利用可否についても、会社として許可するサービスの範囲を明確にしておくことが求められます。

ファイルアップロードや共有リンクの利用ルール

ChatGPTでは、テキスト入力だけでなく、ファイルアップロードやチャット共有リンクなどの機能を利用する場面があります。社内資料や顧客情報を含むファイルをアップロードしてよいか、共有リンクを社外に送ってよいか、外部サービス連携を許可するかなどを事前に決めておくことが重要です。 

出力内容の確認ルール

AIが生成した内容をそのまま鵜呑みにせず、業務に用いる際の確認プロセスも明記しましょう。特に、社外への提出資料、WebサイトやSNSでの公開コンテンツ、重要な意思決定の根拠として利用する場合には、「必ず担当者が事実確認を行う」「上長を含めた複数名でダブルチェックをする」といったルールを設けます。これにより、誤情報や不適切な表現によるトラブルを防ぎやすくなります。

また、生成された文章や画像を社外向けに利用する場合は、既存コンテンツとの類似性や著作権・商標権などの権利侵害リスクがないかも確認します。 

相談・申請・インシデント報告の流れ

万が一、禁止されている機密情報を誤って入力してしまったり、不適切な利用が発覚したりした際の報告ルートを整備しておくことも大切です。

従業員が情シスや管理部門へ速やかに相談・報告できる体制や報告フローをガイドラインに明記します。併せて、報告窓口や対応フローを明確にしておくことで、インシデント発生時にも対応を進めやすくなります。 

ChatGPTを安全に使うために進めたい運用対策

ガイドラインは作成して終わりではありません。実際に現場でルールが守られる運用体制を整えることが重要です。

データコントロールや管理機能を理解する

情シス担当者は、ChatGPTの仕様や設定を正しく理解し、データコントロール機能を適切に活用することが重要です。設定や契約プランによっては、入力データの学習利用を制御できる機能を利用できます。

また、法人向けプランでは、入力・出力がデフォルトでモデル学習に使われないことに加え、管理者向けの設定やセキュリティ機能を利用できる場合があります。

自社で必要なログ管理、権限管理、データ保持、外部共有制御などの機能が備わっているかを確認することが重要です。 

アカウント管理・アクセス管理を整える

利用状況を可視化するためには、アカウント管理やアクセス権限の整備が欠かせません。誰が、どの部門で、どのような用途で利用しているかを明確にします。

ChatGPTに限らず、企業向け生成AI環境を選定する際は、既存の認証基盤やアクセス管理と連携できるかも重要です。

たとえばMicrosoft 365環境が整っている企業では、Microsoft 365 Copilotを選択肢に入れることで、Microsoft Entra IDによるアクセス管理や多要素認証、Microsoft 365内の権限管理と組み合わせた運用を検討できます。 

教育とレクチャーをセットで進める

ガイドラインを社内ポータルに掲示するだけでは、ルールは浸透しません。ガイドラインを周知するとともに、従業員へのリテラシー教育を実施することが重要です。「機密情報は入力禁止」と伝えるだけでなく、「議事録の要約時には、顧客名やプロジェクト名をA社、Xプロジェクトなどにマスキングする」といった、実務で迷いやすい具体的なケーススタディを交えたレクチャーを行うことで、ルールの意味が理解され、安全な利用が定着しやすくなります。

定期的に見直せる運用にする

生成AIの技術や提供されるサービスは、数か月単位で新しい機能が追加されるなど、非常に速いスピードで進化しています。そのため、一度作成したルールや運用方法をそのまま維持するのではなく、新たな機能や外部サービス連携の追加、社内での利用状況の変化に合わせて、定期的にガイドラインやセキュリティ設定を見直せる柔軟な運用体制を想定しておく必要があります。例えば半年に一度を目安に、ガイドラインや運用状況を見直す機会を設けるとよいでしょう。

自社だけで安全な運用体制を整えるのが難しい場合の進め方

ChatGPTをはじめとする生成AIを安全に活用するためには、ガイドラインの策定だけでなく、ツールの仕様検証や利用可否の判断、アカウント管理、社内教育、問い合わせ対応など、多くの運用業務が発生します。

特に人員が限られた情シス部門では、日常のシステム運用や障害対応と並行してこれらの業務を担うことは容易ではありません。無理に内製化を進めると担当者の負担が増え、ルール整備や運用が形骸化するおそれもあります。

ここでは、自社だけで対応が難しい場合の現実的な進め方を紹介します。

運用設計や定着支援は外部連携も有効

自社だけでリソースが不足している場合は、ルール作成や運用設計を外部のITアウトソーシングサービスを活用する方法もあります。ITインフラやセキュリティの専門家に、他社の事例を踏まえたルールの策定や、利用開始後のヘルプデスク対応、社内教育を任せることで、情シスの負担を軽減できます。

例えば、『FGLテクノソリューションズ』が提供する「ITアドバイザリーサービス」や「社内システム運用管理サービス」では、企業のIT戦略立案から日々の安定運用までを一貫してサポートしています。

大切なのは“導入”より“安全に運用し続けること”

ツールを導入し、ルールを作ることが最終的なゴールではありません。大切なのは、導入後に従業員がルールを守りながら、トラブルのリスクを抑えて安全に運用し続ける体制を構築することです。自社のリソースやノウハウを踏まえ、すべてを内製化することにこだわらず、必要に応じて外部の専門家を活用することも大切です。継続的に運用できる体制を整えることが、生成AIを安全に活用するためのポイントとなります。

まとめ

この記事では、ChatGPTの企業利用に潜む危険性について以下の内容を解説しました。

• ChatGPTの危険性とは

• ChatGPTの企業利用で把握したい主なリスク

• ChatGPT利用における社内ガイドラインの基本項目

• ChatGPTを安全に使うために進めたい運用対策

• 自社だけで安全な運用体制を整えるのが難しい場合の進め方

生成AIの活用は、企業の競争力を大きく高める可能性を秘めている一方で、適切に管理できなければ情シスの業務負担やセキュリティリスクにつながる可能性があります。まずは現状のリスクを正しく把握し、安全な運用体制を構築することで、ツールを効果的に活用できる環境を整えていきましょう。

『FGLテクノソリューションズ』では、Microsoft 365やMicrosoft Azure環境の運用支援をはじめ、ID・アカウント管理、ヘルプデスク対応、IT資産管理など、生成AIを安全に活用するためのIT環境整備と運用を幅広くサポートします。生成AIを安全かつ継続的に活用できる体制づくりについてお悩みの方はお気軽にご相談ください。