これまでの個人情報保護は、データを保管する場所と、そこに入れる人を管理することが中心でした。生成AIが業務に入ってきてから、リスクが生じるのは文書を使う場面に変わっています。閲覧を許された担当者が、文書の中身をチャットの画面に貼り付ける場面です。守る場所も、AIに渡す前の手元のパソコンの中へ移す必要があります。
安全管理措置が守ってきたもの
個人情報保護法第23条は、事業者に「個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置」を講じるよう求めています。個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」は、別添でその内容を、組織的、人的、物理的、技術的な措置などに分けて示しています。
技術的安全管理措置としてガイドラインが挙げるのは、アクセス制御、アクセス者の識別と認証、外部からの不正アクセスなどの防止、情報システムの使用に伴う漏えいなどの防止の4つです。その多くは、権限のない人や外部からの攻撃をデータに近づけないための仕組みです。顧客管理システムや人事データベースのように、データの置き場所が決まっている間は、この考え方で十分に守れていました。
生成AIで変わったこと
変わったのは、AIサービスの安全性ではありません。管理された保管場所にある情報を、担当者がその場で社外のサービスに渡せるようになったことです。
たとえば、担当者が社内の共有フォルダーから契約書を開き、内容をChatGPTに貼り付けたとします。閲覧の権限はあり、会社が支給したパソコンを使っているので、アクセス権限のルールには反していません。それでも、契約書の氏名、住所、金額は、会社が中身を確かめられない社外のサーバーに渡っています。会社としてその事業者と契約を結んでいるとは限らず、何を送ったかの記録も社内には残りません。
- アクセス制御が確かめるのは、担当者がファイルを開く権限を持っているかどうかまでです。開いた後の操作は対象になりません。
- データベースの側で値を置き換えていても、担当者が文書を開けば、画面には元の値が表示されます。
- 通信の監視で分かるのは、多くの場合、HTTPSの通信の宛先だけで、送った中身までは分かりません。
従来の対策の多くは、アクセスを管理すれば、その後の使い方も管理できることを前提にしていました。貼り付けによる持ち出しは、アクセスの記録に何の痕跡も残さず、一度に大量の情報を外に出せます。
個人情報保護法第24条は、従業者に情報を扱わせる事業者に、「当該従業者に対する必要かつ適切な監督」を求めています。研修や社内規程はこの監督の一部ですが、貼り付ける瞬間に担当者が規程を思い出すかどうかに頼る仕組みです。忙しい日の一度の貼り付けまでは防げません。
通信の途中で取り除く方法の限界
社内のプロキシでAIサービスへの通信を検査し、個人情報を取り除いてから送る方法もあります。何もしないよりは効果がありますが、次のような限界があります。
- HTTPSの通信の中身まで検査する必要があり、導入と運用の負担が大きくなります。
- 新しいAIサービスが出るたびに、設定を追加する必要があります。
- 形の決まった番号は見つけやすい一方、文章の中の氏名や住所は見つけにくくなります。業務文書には、こうした氏名や住所が多く出てきます。
- 私物のスマートフォンや自宅のパソコンからの利用は、検査の対象外です。
個人情報保護委員会の「生成AIサービスの利用に関する注意喚起等」（2023年6月2日）も、確認を求めている相手は入力する事業者の側です。個人情報を含むプロンプトを入力する場合は、利用目的の達成に必要な範囲内かを十分に確認するよう求めています。あらかじめ本人の同意を得ずに「個人データを含むプロンプト」を入力する場合には、生成AIサービスの提供事業者が「当該個人データを機械学習に利用しないこと等を十分に確認すること」を求めています。
パソコンの中で、AIに渡す前に守る
守るべきなのは、情報が担当者のパソコンを離れる前です。社員が何を送るかを見張るのではなく、どのAIサービスに渡しても差し支えない状態の文書を用意しておきます。
AIが仕事をするのに必要なのは、文書の構成、言葉、文脈です。「山田 太郎、1987年3月14日生、東京都千代田区〇〇1-2-3、顧客番号A-0000」といった情報がなくても、条項の分析はできます。識別につながる記述を取り除き、条項を残しておけば、分析に必要な情報は文書に残ります。
promptShieldの仕組み
promptShieldでは、検出、文字認識、黒塗りを、お使いのパソコンの中で行います。文書がパソコンの外に出ることはありません。promptShieldのサーバーが受け取るのは、ライセンスの確認に使う情報と、処理した文書の件数やファイル形式などの匿名の件数情報で、文書の内容は受け取りません。検出は次の方法を組み合わせて行います。
- パターン：メールアドレス、電話番号、口座番号など、形の決まった情報を検出します。
- 固有名詞の検出：パソコンの中のAIモデルで、文脈から氏名、組織名、地名などを検出します。1ページ目で見つけた名前は、4ページ目の同じ名前にも反映されます。
- AI詳細分析：任意の機能で、既定ではオフです。判断の難しい箇所を確認します。
見つかった値は、[P7Q3K]のような形式のコードに置き換わります。先頭の文字は情報の種類を表します。コードと元の値の対応はパソコンの中のコード台帳に保存され、同じフォルダーの中では同じ値に同じコードが使われます。
コード化した文書は、どのAIサービスにも貼り付けられます。AIの回答を受け取ったら、パソコンの中でデコードして元の値に戻します。自動の検出ですべてが見つかるとは限らないので、ダウンロードの前に結果を確認する手順があります。ほかの保護の方法との違いは、個人情報を守る方法の比較にまとめています。
変わること、変わらないこと
この方法が対処するのは、管理された文書から社外のAIサービスへ情報が渡る経路です。アクセス制御や監査ログに代わるものではなく、社員への教育も引き続き必要です。
変わるのは、社員が顧客の文書でChatGPTを使ったときに、社外に出るものです。AIが受け取るのは、条項の組み立て、数値の関係、契約の構成で、識別につながる記述は含まれません。これまでの対策は保管場所を守るものでしたが、これからは、文書が開かれて使われる場面でも守る必要があります。
よくある質問
今の安全管理措置では、なぜこの経路を防げないのですか？
多くの対策は、データを保管しているシステムに誰が入れるかを管理するために作られています。生成AIに貼り付けるには、システムとの連携も特別な権限も必要ありません。ファイルを開ける担当者がコピーして、ブラウザーに貼り付ければ済みます。
AIサービスの側で個人情報を取り除いてもらうことはできませんか？
取り除けるのは、文章が事業者に届いた後です。その時点で、情報はすでに社外に出ています。
対策はどこで行えばよいですか？
文書がパソコンを離れる前に、文書そのものに対して行います。識別につながる記述をコードに置き換え、対応表を手元に残し、回答を受け取ってから元に戻します。この手順を、社内の生成AIの利用ルールに組み込んでおきます。