ChatGPTに「入れてよい情報」を決めていますか？

生成AIを業務に取り入れようとすると、最初に問題になるのが「どの情報を入力してよいのか」という判断です。

便利な機能に注目が集まりやすい一方で、利用するサービスや設定、入力する情報によっては、顧客情報や社内情報の取り扱いに注意が必要です。

大切なのは、生成AIを一律に禁止することではありません。業務で安全に活用するために、入力できる情報と入力してはいけない情報の基準を、あらかじめ決めておくことです。

生成AIに入力した内容も「外部に渡す情報」と考える

クラウド型の生成AIを利用する場合、入力した文章やファイルは外部のサービス上で処理されます。

サービスや契約プラン、設定によってデータの取り扱いは異なりますが、「自分のパソコンの中だけで処理されているわけではない」という前提で考える必要があります。

経済産業省のAI事業者ガイドラインでも、AIサービスに機密情報などを不適切に入力しないよう注意することが示されています。またIPAも、クラウド型AIに営業秘密を入力しないことを、利用者向けの基本的なセキュリティ対策として挙げています。

まずは情報を3段階に分ける

複雑なルールを最初から作る必要はありません。

まずは、業務で扱う情報を次の3段階くらいにに分けるだけでも、判断しやすくなります。

比較的入力しやすい情報

• 自社ホームページなどですでに公開している情報

• 一般公開されている制度や用語に関する質問

• 会社名や個人名を含まない架空のケース

• 社外に出ても支障がない一般的な業務課題

• 自社が権利を持つ公開済みの商品・サービス情報

例えば、

• 自社サイトに掲載済みのサービス内容から、顧客が疑問に感じそうな点を洗い出す

• 公開済みの商品情報をもとに、比較検討時に確認されやすい項目を挙げる

• 架空の条件を使って、導入前に検討すべき事項を整理する

内容を加工してから入力する情報

• 会議のメモ

• 顧客アンケート

• 業務上の相談記録

• 売上やアクセス解析のデータ

• 社内向け資料

• 見積書や提案書の参考情報

例えば、顧客アンケートの傾向を整理したい場合は、氏名、会社名、メールアドレス、電話番号、個別の取引内容などを削除し、回答内容だけにしてから扱います。

また、売上データを分析する場合も、実際の顧客名や案件名をそのまま入力せず、「商品A」「顧客区分B」などに置き換えます。

単に名前を消すだけでなく、他の情報と組み合わせることで個人や企業を特定できないかも確認が必要です。

一例ですが、

株式会社○○から、売上金額が○円である新規事業について相談された

ではなく、

不動産系の中小企業のから、新規物件の◯◯◯の予算について相談された

という形に置き換える。といった方法です。

原則として入力しない情報

• 顧客や従業員の個人情報

• パスワード、APIキー、認証情報

• 公開前の契約書や機密資料

• 取引先から秘密保持を求められている情報

• 未発表の商品・事業計画

• 営業秘密や独自技術

• 医療、健康、金融など特に慎重な管理が必要な情報

判断に迷った場合は、「この内容を、取引先ではない外部の事業者に見せても問題ないか」と考えると分かりやすくなります。

入力内容だけでなく、出力内容にも注意する

生成AIは、もっともらしい文章を短時間で作れますが、内容が常に正しいとは限りません。

日付、金額、制度、法律、製品仕様、会社名などは、必ず元の資料や公式情報を確認する必要があります。

また、生成された文章をそのまま顧客に送るのではなく、

• 事実関係に誤りがないか

• 相手に失礼な表現がないか

• 自社の方針と一致しているか

• 著作権や引用上の問題がないか

を、人が最終確認することも重要です。

生成AIから得られた内容は、判断材料の一つとして扱います。

顧客に提出する文章、提案内容、契約や制度に関する説明などは、

担当者が根拠を確認し、責任を持って最終判断する必要があります。

中小企業でも決めておきたい5つのルール

生成AIを業務利用する場合は、最低限、次の5点を決めておくとよいでしょう。

1. 業務で使用してよい生成AIサービス

2. 入力してよい情報と禁止する情報

3. 個人情報や会社名を削除する方法

4. AIの出力を誰が確認するか

5. 問題が起きたときの相談先

社員数が少ない会社でも、口頭だけでなくA4一枚程度にまとめておくと、判断のばらつきを減らせます。

IPAの導入・運用ガイドラインでも、組織で生成AIを利用する際には、利用ルールの策定と文書化、リスクに応じた管理が重要とされています。

「使わない」より「安全に使える状態」をつくる

生成AIには注意点がありますが、すべてを禁止してしまうと、業務改善や情報整理に活用できる機会も失われます。

重要なのは、

• 何に使うのか

• どのサービスを使うのか

• どの情報まで入力できるのか

• 最終確認を誰が行うのか

を整理することです。

まずは、公開情報を使った用語の確認、想定される質問の洗い出し、検討項目の整理など、機密情報を扱わない範囲から試すのが現実的です。

SDPlanningでは、生成AIの導入そのものだけでなく、現在の業務や扱っている情報を確認しながら、無理なく運用できる使い方やルールづくりを一緒に整理しています。

生成AIを業務で使いたいが、何から決めればよいか分からない方へ

現在の業務や情報管理の状況を確認し、活用できる作業と注意すべき情報を整理します。お気軽にご相談くださいね！