AI時代のプライバシーリスク対策に
シャドーAIによる機密情報や個人情報流出の不安はありませんか
AIのプライバシーリスク対応はプライバシー専門支援におまかせください
生成AI導入活用が進まない理由
日本企業の50%が活用方針を持っていません
自社がサービスのプラットフォームとしてプログラムを開発している企業の生成AIの活用は進んでいます。生成AIはコーディングに最も適しています。しかしながら、AIサービスを利用して個人情報を処理する一般的な企業は個人情報の漏洩の不安などから活用は進んでいません。AI導入はしなくてはいけないと考えていてもそれにより業務効率化や付加価値を得るための活用方針まで持っている日本企業は50%なく、慎重な企業ほど検討のタイミングなのです。
✔ AI導入リスク
生成AIを早期に導入している事業者では、生成AIのトラブルがありました。エンジニアがチャットに入力したソースコードが流出したこと、カスタマーサービスにAIチャットボットを利用した航空会社が、AIチャットが存在しない補償を客に伝えたことで企業の責任となりました。業務利用にはリスクがあることが明らかになりました。
✔ シャドーAIの不安
従業員が個人のアカウントのAIを業務で利用していると、企業としてはデータの管理が及ばない状況になります。特に個人用AIは利用者のデータをAI学習に利用されるため、個人情報がある場合には第三者提供や目的外利用にあたります。
✔ 活用ができない不安
AIを導入している企業では、AI活用をしているものの望んだ結果が伴わないケースがあります。労働時間の短縮を目的とした場合に手直しが必要で従来よりも20%も時間がかかるケースがあります。時間短縮が成功したが、見た目が良いものの中身が伴っていない成果物で役に立たないことがあります。AI利用を過度にすすめた社員がアイディアを考える能力を失う危険性もあります。
生成AI活用がもたらすリスク
サービス用AIにも炎上や法的リスクがあります
2022年のChatGPTのデビュー以来、AIが社会で利用されるようになると数年でAIの便益と同時に問題点や被害も発生しています。AIを利用する環境や用途、これまでの利用方法との置き換えや社会慣習との違いから、情報流出以外にも権利侵害による訴訟、AI評価から発生する差別、利用者の自殺や脳への影響もあります。利用する価値の高いものは相反してリスクも存在するため、リスクを許容範囲に収めるために、リスクの認識と抑えるルールの策定が必要です。
■ 技術リスク
生成AIは事前学習に無いことなど虚偽の情報を生成するハルシネーションがあります。生成AIの利用規約では正確ではないことを明記しています。個人用AIは無料で利用できる代わりに事後学習データに利用される仕様になっています。
■ 人権侵害・生命・安全リスク
学習データに含まれる人間の無意識な差別がAIの成果に反映することがあります。精神的な問題を抱える場合には自殺を助長したことで訴訟となっているケースがあります。
■ 情報空間と倫理のリスク
AIを利用したこと広告がユーザーから受け入れられないことや生成AIの写真集の出版差し止めがありました。高品質なAI生成が大量にネットに出る「AIスロップ」と問題もあります。ディープフェイクは詐欺犯罪にも利用されます。プロンプトインジェクションではAIのプロンプトから機密情報が盗み出される犯罪があります。
■ 社会問題
生成AIによるプログラマーや事務職の人員削減。残された労働者はAIの利用が求められ同時に利用者はAIの責任を負う。超知能AIが労働市場の人間をAIに置き換える。AI投資加熱で半導体の価格上場や電力コストの上昇など。AIの普及とAIの能力の向上、適用範囲の拡大が予想されるため、AIリスクについては、国家、企業、家庭、個人のそれぞれのレイヤーで今後も増えてゆくことが予想されます。
生成AIのリスクベースアプローチ
AIの処理の利用によってプライバシー影響が懸念されます
欧州では機械学習AI時代の2018年のGDPR（一般データ保護規則）においてもAIの導入前のプライバシー影響評価があり、2026年では段階的にAI法が導入され、AI利用の禁止や高リスクAIの義務、限定的リスクでの透明性の確保を定めているハードローの仕組みがあります。
日本にはAI推進法で、AIの義務などのルールを定めることなく、問題になったときに公表し対応するソフトローの仕組みを導入しています。事業者のAI利用を8割にすることを目標として推進する予算を確保しています。
米国は州ごとに発行するAI関連法を連邦法が無効とするハードローのソフトロー化を進めており、国がAI推進を優先している状態です。
ソフトローでは、AIの問題が起こった後に対応をするため、政府のガイドラインを遵守するハードローの感覚でいると、AIリスクの地雷を踏むことになります。
■ AI法の7つの倫理原則
- ・ 人間の主体性と監視
- ・ 技術的堅牢性と安全性
- ・ プライバシーとデータガバナンス
- ・ 透明性 (Transparency)
- ・ 多様性、非差別、公平性
- ・ 社会的および環境的ウェルビーイング
- ・ アカウンタビリティ / 説明責任
生成AIは良さそうだけど難しそうという不安は正解だったのです。
生成AIにプライバシーアプローチ
ー 生成AIの利用による人権問題にはプライバシー権の関わりがある
EUのAI法は、AIの倫理原則が基となっています。経産省と総務省のAI事業者ガイドラインではOECDのAI原則を基として、人間中心の原則にしています。原則の中にはプライバシーやセキュリティも含まれていますが、人类の脳の仕組みや無意識の差別などを防ぐことは容易ではありません。
OECDプライバシー原則のアラン・ウェスティン博士の自己情報コントロール権の「自分の情報は自分のもの」の視点とGDPRによるわかりやすさを重視した透明性が、消費者の社会的な監視を機能させることができます。
事業者は経済合理性から明確な違法ではない活動をします。テクノロジーの負の側面は顕在化するまでは突っ走ります。ユーザーはテクノロジーの便益を享受する反面、権利侵害があれば、黙っていません。
生成AIの利用目的が人に関わる場合には、プライバシー情報の自己情報コントロール権と高い透明性、わかりやすい説明による同意、データソースの適正な取得、可能であればデータ処理結果の説明などは、権利侵害の争いを予防できる可能性があります。
プライバシーに関わる情報の処理もしくは結果によるプライバシーの影響のいずれにしても、ユーザーの権利侵害を防ぐためには、OECDのプライバシー原則に自己情報コントロール権とGDPRのプライバシー原則のプライバシーを基本的人権としてのアプローチは、開発者やAI導入事業者のサービス設計やウェブサイトデザイン、ステートメントに役立ちます。
AI時代にプライバシーで支援
ー PrivacyJP（認定機関STEKWIRED）のミッション
STEKWIREDは、個人情報保護法施行時よりTRUSTe認定機関としてOECDプライバシー原則の自己情報コントロール権でウェブサイトのアドバイスとプライバシーステートメントの支援、研修機関としてCPA/CPP資格とプライバシー研修をしてきました。
生成AIの担当者に人間のプライバシーの安心を
オンライン行動情報のビッグデータの機械学習によるプライバシーの懸念の時代から、生成AIに悩みごとのようなセンシティブ情報の処理やAIエージェントで業務全般を任せる時代になりました。
AIの生成物の著作権は認められず、AI利用による損害は人間が責任を負います。AIの利用頻度を評価とする企業がある一方、AIに思考を委ねると認知的オフローディングで思考ができなくなり、新人が仕事を覚える機会を失います。これほど生成AIとの付き合い方、距離・バランスでリスクコントロールが変わります。
人間の社会で生成AIを利用している以上、AIの責任は人間というルールがあります。AIの責任を取らなければならない担当者が不安の全てをAIに頼るのはメンタルヘルスにも問題になります。
AIが苦手とする人間の気持ち、ユーザーの気持ちを外部のプライバシー原則を持つ人間が担当者をサポートすることで、お客様のAI利用とユーザーの良好な関係の維持と成長に役立ちたいと考えています。
生成AIで人が更に重要に
ー 従業員の個人用AIの利用制限だけでなく、法人AIでも個人情報保護に注意
従業員が個人用AIで業務を行う場合には、AI学習の利用のリスクがあることやプロンプトや会話内容の漏洩、サイバー犯罪に合うリスクがあります。
従業員の私生活にビジネスの関わりがあり、個人用AIでも十分に業務に利用できる能力があることから業務利用するとプライベート情報にビジネスの機密情報や個人情報が混ざり、情報流出になります。
AIはユーザーを理解するために公私の区別がないため、プライベート情報が業務に入り込むこともあります。シェアが一番あるChromeブラウザを利用するGoogleアカウントが個人用である場合には検索結果からAI相談によるアウトプットの生成など、セキュリティのない状態で使われることになります。個人AIを禁止のルールを定めてもWEB検索など必要な業務があるならば守ることは難しくなります。個人AIの利用制限には従業員の認識が必要です。
GoogleWorkspace の法人Googleアカウントであれば、AI学習はしない設定になっています。法人用のAIであってもチャットで個人情報が含まれた相談をすれば、AIデータの保存領域に個人情報が保存されます。それらはデータベースではないため削除することもできません。
GoogleのGmail、カレンダー、スプレッドシート、スライド、NotebookLMなどのサービスに含まれた機密情報や個人情報は、セキュリティがありますが、AI生成として適したデータの利用になるかどうかという問題が発生します。謝罪メールをAI作成をした場合に受け取った取り引き先の人がAI作成であることを誠実を感じないという問題もあります。
AIエージェントの利用で自分の代わりにメール送信や別サービスにログインなどをする場合にAIの誤解やハルシネーション、サイバー犯罪の被害にあった場合には利用者の責任になります。AIは責任主体になれません、AIの責任がとれる人にならないといけないのです。
STEKWIREDは、担当者やキーパーソンを通じてAIトラブルを防ぐお手伝います
あなたがAI利活用で気になるところを支援
AIの利活用の不安をAIに聞いても仕方がありません
AIは責任能力がないため、利用者の責任になります
AIプライバシー支援は受託による人間の支援
ヒト
AIプライバシーイネーブルメント
従業員の私用AIや企業AIの個人情報の利用のデータ漏えい（シャドーAI）を内部通達で守らせるのは難しくありませんか？
ヒトは理解と納得がなければ行動変容はありません。プライバシー教育の専門家があなたの代わりに研修やサポートで説得し、シャドーAIやAIリスクから守る支援をします。
ウェブサイト
AIプライバシーアドバイス・デザイン
AIの生成結果のハルシネーションやデータ流出などのトラブルや権利侵害の対策は難しくありませんか？
サービスで生成AI利用にはプライバシー対策が予防策になります。プライバシー専門家が高い透明性のステートメントでユーザー同意を得る支援をします。
組織
マーク完全取得
機密情報の生成AI入力による流出やなんでもAIによる低品質（AIスロップ）を防ぐのは難しくありませんか？
組織にあったAIの利用ルールが安全対策になります。プライバシー専門家が適材適所や従業員の責任能力やメンタルヘルスの応じたAI倫理やガイドラインを支援します。
担当者のプライバシーの不安ご相談ください
ウェブサイトやアプリでデジタル広告の登録率が低下したり、退会率が高くなったり、SNSで自社サービスに対する不評のコメントが増えたりすることは、サービス設計においてプライバシー対策が不十分であることが原因である場合があります。また、ウェブサイトのリニューアルやAIサービスの利用など、個人情報の新たな取り扱いには、利用者からの批判や炎上などのプライバシーリスクがあります。
個人情報に関わるSNSの炎上や海外のプライバシー訴訟などのトラブル事例では、OECDおよびGDPRのプライバシー原則やAI法によりプライバシー対策が必要であるにもかかわらず、対応できていないことが多くあります。OECDおよびGDPRのプライバシー原則に基づいて、サービスにおけるデータの取り扱いや公表内容をチェックすると、プライバシー対策の課題が見えてきます。
国内の法人向けサービスの担当者を対象として、「AIを導入したが、社員のシャドーAIで個人情報が漏えいするかもしれない」「自社サービスでAIを利用した場合にトラブルがあるかもしれない」「自社サービスのプライバシー対策ができていない」「ユーザーからのクレームで個人情報に対する不安が増えた」「SNSに悪い評判のコメントが増えている」など、個人情報に関して気になることがあれば、プライバシーの専門的な視点から、リスクの有無や対策を講じるとすればどのようなことが必要なのかについてご相談を承ります。
mailメール相談
外部のプライバシー支援はそもそも自社に必要であるのかは分からないと思いますので、あなたが個人情報に関して漠然とする不安やご関心があるサービスがありましたら具体的な内容を記載し、問い合わせフォームで投稿してください。サービス紹介ページの簡易診断にあてはまる項目があれば、ご相談に該当部分を含めてお送りしてください。相談内容が開発案件などでオンライン相談を希望している場合についても相談内容をメールでご連絡ください。相談内容の回答をメールで差し上げます。
※対象：国内の法人向けサービス（外国の法人、個人に関する相談は対応いたしかねます）
※同業者、プライバシー以外の相談、冷やかし、営業メールなど本件以外は対応いたしかねます
video_camera_frontAIプライバシーリスクオンライン相談
相談内容を総合的に判断してAIプライバシーリスクオンライン相談の候補日と参加URLを含めたご案内いたします。
初回のクライアント様でサービス見積もりを依頼されている場合については、オンラインにて見積もりのためのヒアリング会の候補をお送りいたします。
※対象：国内の法人向けサービス（外国の法人、個人に関する相談は対応いたしかねます）
※同業者、プライバシー以外の相談、冷やかし、営業メールなど本件以外は対応いたしかねます
※ご相談の内容・種類・規模など複合的に判断し相談会の案内を行うかを検討します。
※サービス提案を希望されている場合にはオンライン提案の案内をさしあげます
自社のプライバシーについて気になることリスクのご相談は
まずは、フォームからご相談ください。
