業務データをAIに使う前に確認すること——個人情報・機密情報・委託先

最初に、AIを使うかどうかではなく、どの業務の何を助けたいのかを言葉にします。問い合わせの要約、書類の分類、文章の下書きなど、目的が具体的になるほど、必要な入力情報と不要な情報を分けやすくなります。

業務で実際に入力しそうな例を一つずつ確認し、氏名・連絡先・顧客番号など個人を識別しうる情報、社外秘の資料、契約や認証に関する情報が含まれるかを洗い出します。名前を消しても、珍しい属性や組み合わせから個人や取引先が推測できる場合があります。

サービス名や一般的な説明だけで判断せず、利用するプランに適用される規約、契約書、プライバシー説明を確認します。組織向けと個人向けで条件が異なることもあるため、実際に使うアカウントと用途に紐づく条件を確かめてください。

説明が見つからない、意味が読み取れない、契約内容と画面上の説明が食い違う場合は、推測で進めず提供者や社内の契約担当に確認します。処理場所や国外移転の検討が必要かは、情報の種類、契約、業務上の義務などに応じて判断します。

利用できる人と用途を決め、個人ごとに管理できるアカウントや必要最小限の権限を検討します。共有アカウントは、誰が何を入力したかを追いにくくし、異動・退職時の権限見直しも難しくするため、避けられるか確認します。

利用ルールには、入力してよい情報、避ける情報、出力の確認方法、困ったときの相談先を含めます。誤送信や不適切な入力が起きた場合に、誰へ連絡し、どの記録を残すかも、実際の社内体制に合わせて決めておくと対応しやすくなります。

安全対策は注意喚起だけに頼らず、日々の手順に組み込みます。入力前に対象情報を確認する、不要な識別子を除く、AIの回答を業務記録へ転記する前に確認する、といった作業を誰がどのタイミングで行うかを明確にします。

AIの出力を確認することと、その内容を顧客や取引先へ送る承認は、同じ作業とは限りません。誤りの影響が大きい文書や判断では、確認者と送信承認者を分ける必要があるか検討します。例外が発生したときに従来の手順へ戻れるよう、代替方法も残します。

確認事項は、業務の責任者だけで抱えず、個人情報や情報セキュリティを担当する人、契約・調達を確認する人など、組織で該当する関係者と共有します。適用される法令や契約上の義務は、事業や情報の内容、取引関係などの個別事情に照らして確認してください。

条件が確認でき、必要な予防策を用意できた場合でも、最初から業務全体を置き換える必要はありません。匿名化した例での確認、対象者と業務を限定した試行、利用を見送って別の方法を選ぶことも、状況に応じた現実的な判断です。