生成AIの業務利用が進む一方で、機密情報や個人情報へのリスクが懸念されています。取り扱いを誤ると、情報漏洩につながるおそれがあるため注意が必要です。
この記事では、生成AIによる情報漏洩が発生する原因や実際の漏洩事例、企業が講じるべき具体的なセキュリティ対策を分かりやすく解説します。安全な運用ルールを構築し、リスクを回避しながら業務効率化を実現したい人はご覧ください。
※参考：個人情報保護委員会｜生成AIサービスの利用に関する注意喚起等について
生成AIの情報漏洩リスクとは？
生成AIは入力されたテキストデータを元に文章生成や分析を行うシステムです。利便性が高い反面、入力したデータが学習用データとして再利用されたり、システムの脆弱性を突いた攻撃を受けたりすることにより、社内の秘密情報や個人情報が意図せず外部へ流出する危険性を抱えています。
企業が適切な安全管理措置を講じずに業務利用を進めた場合、重大な漏洩事故を引き起こすリスクがあります。
※参考：総務省｜AI事業者ガイドライン 経済産業省｜AI事業者ガイドライン
生成AIで情報漏洩が発生する原因
生成AIにおける情報漏洩は、主に利用者の過失やシステム上の不具合、管理体制の不足によって引き起こされます。
機密情報や個人情報をプロンプトへ入力する
従業員が生成AIのプロンプト（指示文）に対して、自社の未公開情報や顧客の個人情報を誤って入力することが主な要因です。入力されたデータは、そのままAIの外部サーバーへと送信されます。
入力データの取り扱いに関する意識が不十分な場合、日常的な業務処理の過程で過失による情報流出が引き起こされるリスクが高まります。
※参考：個人情報保護委員会｜生成AIサービスの利用に関する注意喚起等について
入力データが学習に利用される設定になっている
生成AIの無料版や初期設定では、ユーザーが入力したデータがモデルの再学習に利用される仕様になっている場合があります。
入力した情報が学習データに取り込まれると、第三者が別の質問をした際の回答として出力され、間接的に情報漏洩へつながるおそれがあります。利用前に学習非利用（オプトアウト）の設定変更が必要です。
システムのバグが発生する
生成AIのシステム自体にプログラム上の不具合やバグが存在する場合、他のユーザーに情報が閲覧されるリスクが生じます。
過去には、システムのバグが原因で第三者のチャット履歴や個人情報が画面上に表示される障害が発生しました。サービス側の技術的欠陥によって意図しないデータ漏洩を引き起こす可能性もあります。
※参考：IPA（独立行政法人情報処理推進機構）｜情報セキュリティ白書
不正アクセスやサイバー攻撃を受ける
外部からの不正アクセスやサイバー攻撃によって、AIシステム内に保管されているデータが盗まれる危険性があります。ログイン情報の管理が甘い場合やアカウントが乗っ取られた場合、過去の対話履歴や登録情報が第三者に流出する事態を招きます。
また、VPN機器やアプリケーションの脆弱性を突いた標的型攻撃により、機密情報が漏洩することも珍しくありません。多要素認証の導入など強固な防御体制の構築が必要です。
※参考：JPCERT/CC（一般社団法人 JPCERT コーディネーションセンター）
社内ルールやセキュリティ教育が不足している
生成AIの安全な運用手順や禁止事項に関する社内ガイドラインが整備されていない場合、従業員が自己判断で危険な操作を行う原因になります。
また、情報セキュリティに関する教育が不十分な環境では、機密情報の入力が情報漏洩へつながるリスクを従業員自身が認識できません。組織全体での明確なルール策定と継続的な意識啓発の実施が不可欠です。
※参考：一般社団法人日本ディープラーニング協会（JDLA）｜生成AIの利用に関するガイドライン
生成AIによる情報漏洩の事例
生成AIの不適切な利用やシステム障害により、実際に社内データや個人情報が流出する事故が起きています。
機密情報が流出した事例
2023年4月に海外の大手半導体メーカーにおいて、従業員が業務効率化のために自社の機密プログラムコードや社内会議の記録テキストをChatGPTに入力したことで、機密情報が外部に漏洩した事故が発生しました。
入力されたデータが学習用に利用可能な状態となっていたことが原因です。企業秘密や知的所有権の保護において、入力データの取り扱いに関する厳格な統制が求められます。
※参考：経済産業省｜営業秘密・知財戦略セミナー・ガイドライン関連資料
チャット履歴が閲覧された事例
2023年3月に生成AIサービスのプログラムに障害が生じ、ログインしているユーザーの画面に第三者のチャット履歴タイトルや会話内容が表示される事故が発生しました。
他者のアカウント情報や決済に関連する一部データが一時的に閲覧可能な状態となったケースもあります。サービス側の不具合やシステム障害によって情報が漏洩する危険性を示す典型的な事例です。
アカウントへの不正アクセスが発生した事例
2024年3月に対話型生成AIサービスのアカウント情報が窃取され、第三者によって不正ログインが行われる事故が報告されています。
アカウント内に保存されていた過去のプロンプト履歴や、入力された業務データが外部へ閲覧・抽出されました。認証情報の使い回しやID管理の不備は被害を拡大させる一因です。多要素認証の導入によるアクセス制御の強化が欠かせません。
個人情報が第三者へ流出した事例
2023年3月、生成AIを運用する外部サービスの脆弱性を突いた不正アクセスにより、顧客の氏名やメールアドレスなどの個人情報が大量に漏洩した事故が発生しました。
漏洩した情報は不正利用やフィッシング詐欺に悪用される危険性があり、企業は多額の損害賠償や社会的信用の失墜という深刻な被害を受けることになります。適切な安全管理措置と定期的な監査が必要です。
企業が実践すべき生成AIの情報漏洩対策
企業が生成AIによる情報漏洩を防ぐためには、技術的措置と運用管理の両面からの対策が必要です。
機密情報や個人情報を入力しない運用ルールを作る
生成AIの利用では、プロンプトに入力してよい情報と禁止する情報を明確に分類した運用ルールの作成が重要です。顧客の個人情報や自社の未公開データ、ソースコードなどの機密情報を入力禁止対象として指定します。
具体的な禁止例や判断基準を提示して社内へ周知徹底することで、誤操作や過失による情報漏洩を未然に防ぎます。
企業秘密を学習しない設定を有効にする
生成AIを利用する際は、入力データがAIの学習に利用されない設定（オプトアウト）の選択が必要です。管理画面でのオプトアウト申請や、API経由での利用、学習利用を行わない法人向けライセンス契約の締結が有効となります。
入力データの二次利用を技術的に防ぐ環境の構築により、企業秘密の意図しない漏洩を回避できます。
セキュリティ対策ツールを活用する
生成AIによる情報流出を防ぐためには、専用のセキュリティ対策ツールや監視ソリューションの導入が効果的です。
DLP（データ漏洩防止）ツールを活用することで、社内ネットワークから外部サービスへ送信されるプロンプトに含まれる機密データや個人情報を検知し、自動的に送信をブロックできます。
従業員教育で適切な利用方法を周知する
定期的なセキュリティ研修を実施し、生成AIの適切な利用手順や情報漏洩のリスクを従業員へ周知します。業務での利用ルールや禁止事項、過去の事故発生事例を具体的に伝える取り組みが効果的です。
従業員のITリテラシーや安全意識を高めることにより、過失による情報流出やセキュリティ事故を未然に防ぎます。
生成AIを安全に利用するための運用ポイント
生成AIを自社で安全に利用するには、ツール導入にとどまらず組織的な運用体制の構築が重要です。
社内ガイドラインを見直して継続的に改善する
生成AI技術の進歩や法規制の変更、新たな脅威の出現に対応するため、社内ガイドラインの定期的な見直しと更新を実施します。最新のリスク要因を反映し、ルールを随時改善する体制を構築することが重要です。
運用実績や従業員からのフィードバックを収集し、実用性と安全性を兼ね備えた内容に保ちます。
※参考：総務省｜AI事業者ガイドライン
法人向け生成AIサービスを選ぶ
個人向けサービスと比べ、法人向け生成AIサービスは高いセキュリティレベルを備えています。入力データの学習利用が既定で無効化されているほか、管理者が利用ログを監視できる機能や、アクセス制限を設定できる仕組みが整っています。
情報漏洩リスクを最小限に抑えつつ業務へ導入するためには、法人向けサービスの導入が必要です。
高セキュリティの生成AIサービスを利用する
安全性を極限まで高めた生成AIサービスを選ぶことが重要です。通信時や保管時のデータ暗号化、IPアドレス制限、シングルサインオンなどの高度な保護機能が備わっているサービスであれば、第三者の不正アクセスを防止できます。
国際的なセキュリティ認証を取得したサービスを選択することで、情報漏洩リスクを最小限に抑えられます。
まとめ
生成AIは、機密情報や個人情報の入力、学習設定、システムのバグ、不正アクセスなどによって情報漏洩につながるリスクがあります。一方で、適切にコントロールして安全に活用できれば、生成AIは業務効率や生産性を大きく向上させる強力な武器となります。
そこで注目したいのが、生成AI（LLM）を活用したAIセキュリティソリューション「AiSE Guard」です。
AiSE Guardは、Microsoft 365（ExO）、Google Workspace（Gmail）、CyberMailをはじめ、企業が利用中の主要なメール環境と連携し、生成AI（LLM）による高度な自然言語処理を活用して、ビジネスメールの誤送信や情報漏洩をリアルタイムに検知・防止します。
人間の判断だけに依存するのではなく、AIによってメールの内容などから情報漏洩につながる危険を判別できるため、従業員が生成AIやメールを利用する際のセキュリティ対策にも役立ちます。
生成AIの利便性を活かしながら、情報漏洩のリスクを抑えたい企業は、AiSE Guardの導入を検討してみてはいかがでしょうか。
