正解：イ
各選択肢の解説
ア既存ツールのAI機能は、ツールの契約で管理されているので、ポリシーの対象外のままとする。
誤り。ツールの契約は、AI機能が加わる前の条件で結ばれたものかもしれません。 入力した情報がどこで処理され、どう扱われるかを確かめないまま対象外にすると、ポリシーの穴が残ります。
イ入力した情報を社外で処理するAI機能は、ツールの種類を問わず対象とし、同じ区分を当てる。
正解。守りたいのは入力する情報なので、対象はサービスの名前ではなく、情報を社外で処理するかで決めます。 こうすれば、既存ツールに新しいAI機能が加わっても同じ基準で入力の可否を判断できます。
ウ既存ツールのAI機能が見つかるたびに、その製品名をポリシーの対象一覧に書き足していく。
誤り。製品名を並べる方式では、見つかるまでの間は対象外のまま使われ、今回と同じことが繰り返されます。 AI機能は既存ツールに次々と加わるので、名前ではなく性質で対象を決めるほうが漏れません。
エ契約した生成AIサービス以外のAI機能は、業務での必要性を問わず一律に使用を禁止する。
誤り。一律の禁止は、業務に必要な機能まで使えなくし、従業員が許可のない手段に流れる原因にもなります。 問題は対象の決め方にあるので、禁止の範囲を広げるのではなく、同じ基準で判断できるようにします。
理解を深めるために
ポリシーの対象は「名前」ではなく「情報がどこへ行くか」で決める
「A社の宅配便で社外秘を送ってはいけない」という決まりでは、B社の宅配便なら送れてしまいます。 守りたいのが書類の中身なら、「社外秘は、どの業者を使うかにかかわらず社外へ出すときの基準に従う」と書くはずです。 AI利用ポリシーも同じで、入力した情報を社外で処理するかどうかで対象を決めると漏れが生じにくくなります。
なぜ製品名で決めると穴があくのか
AI機能は、専用の生成AIサービスだけでなく、翻訳ソフト、Web会議ツール、文書作成ソフトなど、 すでに使っているツールにも後から加わります。
- 製品名で対象を決めると、新しく加わった機能は対象外のまま使われる
- 一覧に書き足す方式では、気づくまでの間に今回と同じことが起きる
- 情報の行き先で決めれば、新しい機能にも同じ入力の区分を当てて判断できる
一律に禁止すると、業務に必要な機能まで使えなくなり、許可のない手段に流れる原因にもなります。 許可のない手段に流れた状態は、シャドーAIと呼ばれます。
混同しやすいものとの違い
| 見直し | 結果 |
|---|---|
| 情報を社外で処理するAI機能を広く対象にし、同じ区分を当てる | 新しい機能にも同じ基準で判断できる |
| ツールの契約に任せて対象外のまま | 契約の条件を確かめないまま穴が残る |
| 見つかるたびに製品名を書き足す | 見つかるまでの間は対象外になる |
| 契約したサービス以外を一律禁止 | 必要な機能も使えず、シャドーAIの原因になる |
ポリシーの見直しを問う問題では、「次に新しいAI機能が出てきたときも同じ基準で判断できるか」で選択肢を比べると、 対象の決め方の良し悪しが見えてきます。