生成AIサービスの利用時の情報セキュリティの問題と解説 | 情報セキュリティマネジメント

正解：イ

各選択肢の解説

ア一度審査して承認したサービスなので、改定の内容は確かめずに利用を続けさせる。
誤り。承認は、審査した時点の規約と設定を前提にしたものです。規約が変われば、入力データの扱いなど承認の条件そのものが崩れているかもしれません。審査は一度で終わりではなく、前提が変わったときにやり直します。
イ改定後の規約で入力データの扱いが変わっていないかを確かめ、承認の条件と照らす。
正解。外部のサービスは事業者の都合で中身が変わります。承認の条件だった入力データの扱いが改定後も守られるかを確かめ、変わっていれば利用の条件を見直します。
ウ規約は利用者と事業者の間の問題なので、各利用者に改定内容を読ませて判断させる。
誤り。会社の情報を入力する以上、その扱いを受け入れるかは組織として判断することです。利用者ごとに判断させると、同じサービスでも入力してよい情報の基準がばらばらになり、承認の仕組みを設けた意味がなくなります。
エ事業者が第三者認証を維持しているかを確かめ、維持されていれば利用を続けさせる。
誤り。第三者認証は、事業者が自社の管理の仕組みを運用していることを示すものです。入力データを学習に使うかどうかは規約や設定で決まる契約条件の話で、認証が続いていても、その条件が変わっていないことの裏づけにはなりません。

理解を深めるために

承認は「その時点の条件」に対して出したもの

社外の生成AIサービスに入力した情報は、事業者のもとに渡ります。だからこそ、入力データがどう扱われるか（学習に使われるか、どれだけ保存されるか）を確かめてから利用を認めます。ただし、その確認は審査した時点の規約と設定についてのものです。外部のサービスは、事業者が規約や機能を変えることで、利用者が何もしなくても前提が変わります。

外部サービスを使い続けるときの管理

利用を始める前: 入力データの扱いを規約で確かめ、入力してよい情報の範囲を決めて承認する
使っている間: 規約の改定や機能の追加の通知を受けたら、承認の条件が保たれているかを確かめる
条件が崩れたら: 設定の変更、入力してよい情報の見直し、利用の停止などを判断する

外部委託やクラウドサービスでも同じで、相手の変化を追い続けることまでが利用者側の管理です。確かめる窓口を担当者に決めておくと、通知を見落としにくくなります。

混同しやすいものとの違い

対応	問題点
改定後の規約を承認の条件と照らす	前提の変化を確かめる正しい対応
承認済みなので確かめない	承認の前提だった条件が変わっても気づけない
各利用者に判断させる	組織の情報の扱いを個人任せにし、基準がばらばらになる
第三者認証の維持だけを確かめる	認証は管理の仕組みの話で、入力データの扱いの条件は保証しない

一度承認したかどうかではなく、承認の前提がいまも成り立っているかで判断します。