こんにちは、石川です。
ChatGPTを業務で使う前に、まず確認したい「データコントロール」の設定について記述します。
はじめに
生成AIは、文章の下書き作成、要約、整理、アイデア出しなど、日々の業務を効率化するうえで非常に便利なツールです。
一方で、活用が広がるほど重要になるのが、「入力した情報がどう扱われるか」を理解したうえで使うことです。
見落としやすいのは、特別な攻撃より「自分で機密情報を入れてしまうこと」
生成AIの情報漏洩リスクとして見落としやすいのは、
攻撃者からの不正アクセスそのものよりも、利用者が業務情報をそのまま入力してしまうことです。
- メール添削のために本文を貼る。
- 会議メモを要約させる。
- レビュー目的でコードを貼る。
こうした日常的な使い方は私自身もついやってしまいがちですが、
その中に機密情報や社内限定情報、顧客情報、設計内容などが含まれていれば、情報管理上のリスクになり得ます。
つい「詳しい先輩に相談する感覚」で使ってしまい、油断が起きやすいと感じます。
たとえば、利用予定のコードをそのままAIに入力してレビューさせた場合、入力内容の扱いによっては、情報漏洩につながるおそれがあります。
便利なツールである一方、気軽に貼り付けてしまいやすい点には注意が必要です。
実際に企業でも警戒が強まった
少し古いですが、2023年には、Samsungで社員が機密コードを生成AIに入力したことを受け、社内で生成AI利用が制限されたと報じられました。
Googleでも社員に対して、ChatGPTや自社のBardを含むチャットボットへ機密情報を入力しないよう注意していたとReutersが報じています。
※参考記事
https://www.bloomberg.com/jp/news/articles/2023-05-02/RU0AD6T0AFB401
https://www.reuters.com/technology/google-one-ais-biggest-backers-warns-own-staff-about-chatbots-2023-06-15/
まず確認したいのがデータコントロール設定
現実的には、「生成AIが危険だから使うな」とするのは難しいため、
重要なのは、便利なツールに対して従来の情報管理ルールをどう適用するかです。
そこで、最低限実施しておきたいデータコントロールの設定を紹介したいと思います。
OpenAIの公式ヘルプでは、個人用ワークスペースでChatGPTを使う場合、
会話データの共有はデフォルトで有効になっているとのことで、利用時に各設定をする必要があるかと思います。
すべて人のためにモデルを改善する
- 「すべて人のためにモデルを改善する」 → オフにする
デフォルトでは有効になっているためオフ推奨です。
新しい会話はモデル改善に使われなくなります。
逆に言うと、この設定がオンの場合、自分の投げた情報が学習データとして利用され、
今後、他の利用者の回答に含まれてしまう危険性があります。
障害対応メモ、構成情報、設計内容、社内文書、コード断片などを扱う可能性があるなら、少なくとも未確認のまま使い始めるのは避けたいところです。
その他
- リモートブラウザデータ → オフにする
- 共有済みのリンク → 必要なもの以外は作成せず、定期的に確認する
- アーカイブ済みのチャット → 定期的な整理
※「プロフィール」 → 「設定」→ 「データコントロール」で各設定。
本格的な業務利用では、利用環境の切り分けも重要
OpenAIは、ChatGPT Business、Enterprise、Edu、API Platform について、
入力や出力をデフォルトで学習やモデル改善に使わないと案内しています。
業務で継続的に使うのであれば、個人利用の延長で使うのではなく、
会社として管理された利用環境を用意したうえで運用するほうが望ましいでしょう。
私が参画している案件でも専用のAIツールが導入されており、こうした設定や運用ルールが整備されているのだと思います。
見落としがちなもう1つのリスクは、アカウントそのものの保護
情報漏洩は、自分で入力するパターンだけではありません。アカウントが乗っ取られれば、過去の会話や共有内容が第三者に見られるリスクもあります。
2023年に10万件超の保存済みChatGPT認証情報を含む感染端末を確認したとの記事もあり、MFAの有効化やアカウント保護の強化を案内しています。
※参考
https://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/
まとめ
ChatGPTは、使い方次第で業務効率を大きく高められる便利なツールです。
その一方で、入力内容やアカウント管理が甘いと、情報漏洩リスクにつながる可能性があります。
便利さだけでなく、情報の扱い方にも注意しながら活用していきたいところです。