【そのファイル、生成AIにアップロードして大丈夫？】AI時代に考えたい機密情報の守り方

こんにちは。「FINAL CODE」製品担当です。
「この資料を要約してほしい」「このデータを分析してほしい」
生成AIにファイルを読み込ませ、業務を効率化する。そんな使い方を考えたことがある方も多いのではないでしょうか。
一方で、そのファイルに顧客情報や未公開の事業計画、設計情報などが含まれていたらどうでしょう。便利な機能を利用するつもりが、会社の許可なく重要な情報を外部サービスへ渡すことにつながる可能性があります。
今回は、生成AIに機密情報を含むファイルがアップロードされるリスクに着目し、利用ルールとファイル保護の両面から、情報漏えい対策を考えます。

1. 「業務を効率化したい」が、情報の持ち出しにつながる可能性

例えば、顧客一覧を使った集計、会議資料の要約、開発中の製品仕様書の翻訳などです。担当者に悪意がなくても、作業を早く終わらせたいという思いから、機密情報を含むファイルを生成AIへアップロードしてしまうことがあります。

また、必要なのは資料の一部分でも、ファイル全体をアップロードすれば、分析に不要な個人情報や社外秘情報まで送信してしまうおそれがあります。

実際に、スポーツジムを経営する企業の子会社では、社員が個人で利用している外部の生成AIサービスへ顧客情報を誤ってアップロードしたという事案もありました。当該社員は関係データの集計作業中でした。

ここで注意したいのは、「アップロードした情報が必ずAIの学習に使われる」ということではありません。会社が認めていないサービスや利用方法によって、機密情報が外部に送信されてしまうことが、情報管理上の問題なのです。

2. ファイルが生成AIへ渡る経路は一つではない

まず想定したいのは、自社の従業員が業務中にファイルをアップロードするケースです。普段から閲覧できる資料だからといって、生成AIへの入力まで許可されているとは限りません。

さらに、取引先や委託先に共有したファイルが、相手側で生成AIへアップロードされる可能性もあります。例えば、見積書の比較や仕様書の要約に使われるケースです。

このように、社外共有はリスクが生じる経路の一つです。対策を考える際には、自社内での利用を起点に、機密ファイルを扱う人や共有先まで視野を広げる必要があります。

3. 「利用ルール」に「技術的な対策」を重ねる

まずは、利用できる生成AIサービスと、入力・アップロードしてよい情報の範囲を明確にしましょう。承認したサービスであっても、すべての情報を無条件に扱ってよいわけではありません。契約条件や設定、業務上の必要性を踏まえた判断が大切です。

そのうえで、利用できる生成AIサービスの制限や入力内容の制御、利用状況の確認など、ルールを支える技術的な対策を組み合わせることが重要です。

さらに備えたいのが、ファイルそのものの保護です。利用者の注意だけに頼るのではなく、ファイルを暗号化し、閲覧できる人やファイルに対して行える操作を制限することで、意図しない利用につながる経路を減らしていきます。

「生成AIへ送信させない対策」と「権限のない相手に内容を読み取らせない対策」。

この二つを組み合わせることが、情報を守るうえで重要になります。

4. 「FINAL CODE」でファイルそのものを保護する

ファイル暗号化・遠隔削除ソリューション「FINAL CODE」は、重要なファイルを暗号化し、閲覧者や操作権限を管理できます。

「透過暗号機能」では、対象ファイルを作成・保存したタイミングなどで自動的に暗号化できます。毎回手作業で暗号化する負担を減らし、社外に送るときだけでなく、社内で扱う段階からファイルを保護する運用につなげられます。

「FCL形式」で変換すれば、閲覧者の指定に加えコピー＆ペーストや印刷、元ファイルの取り出しなどの操作を制御できます。例えば、資料の閲覧は許可しながら、内容を別の画面へコピーしたり、暗号化されていないファイルとして取り出したりする操作を制限する運用が考えられます。

暗号化の仕組みに照らすと、暗号化が維持されたままファイルが送信され、その内容を読み取ることはできません。これは、アップロード自体を止める対策とは異なる、ファイルの内容を保護する考え方です。

社外に共有する場合には、共有後の権限変更やアクセス履歴の確認も活用できます。大切なのは「渡した後」だけでなく、日常業務の中で機密ファイルを保護しておくことです。

5. 生成AI時代、「使うサービス」と「扱う情報」の両方を管理する

生成AIを安全に活用するためには、「使わせるか、使わせないか」だけでなく、「どの情報を、どのような条件で扱わせるか」を考えることが欠かせません。

利用ルールを整え、送信する情報を制御する。そして、機密情報を含むファイルは、あらかじめ暗号化と権限制御で保護する。

自社の従業員による利用から、取引先・委託先との共有まで、機密ファイルが生成AIへ渡る可能性を踏まえて備えることが重要です。

生成AIの便利さを生かしながら、大切な情報を守るために。「FINAL CODE」によるファイル保護を、情報漏えい対策の一つとして考えてみてはいかがでしょうか。