NDAの情報をAIに食わせた？ ”ルール整備”以外のAIリスク回避策をGUGAに聞く：どうすればいい？ 生成AI活用、情シスの関わり方【前編】
従業員の安全な生成AI活用を推進、定着させるには、ルールの整備以外にどのようなことをすればいいのか。生成AIパスポート試験を運営する生成AI活用普及協会（GUGA）に尋ねた。
「生成AIツールを企業として導入したのに、現場でほとんど使われない」「従業員が未承認のAIツールを業務に利用し、社内や取引先のデータを入力してしまう」――。
情報システム部門（以下、情シス）の中には、正式に導入した生成AIツールが使われない問題と、未承認の生成AIツールが管理外で使われる問題の両方に対応する場面に直面している人もいる。
こうした課題を避けるには、利用ルールやシステムを整えるだけでなく、従業員自身が生成AIの特性とリスクを理解し、安全な使い方を判断できる状態をつくる必要がある。
企業は、生成AIの活用促進とリスク管理をどのように両立すればよいのか。一般社団法人生成AI活用普及協会（以下、GUGA）で業務執行理事兼事務局長を務める小村 亮氏に聞いた。
生成AI導入後、情シスを待つ2つの失敗
併せて読みたいお薦め記事
どうすればいい？ 生成AI活用、情シスの関わり方
シャドーAIの関連記事
総務省が毎年公開している「情報通信白書」によると、生成AIの利用率は増加傾向にある。小村氏によると、企業は生成AIを「使うか、使わないか」ではなく、「使うことを前提に、どのように付き合うか」を考える段階に入った。
一方、企業ごとの活用状況には大きな差がある。メール文の作成や簡単な調査にとどまる企業もあれば、自律的に業務を遂行するAIエージェントの活用を検証する企業もある。
小村氏によると、AIエージェントについては、多くの企業がまだ検証段階にある。一方、生成AIの導入方法や推進人材の選び方が分からず、活用の入り口で立ち止まる企業も少なくないという。
情シスの立場から見ると、生成AIの導入後に起こり得る問題は、大きく2つに分けられる。
1つは、企業が正式に生成AIツールを導入しても、従業員が使わないことだ。利用目的が曖昧だったり、リスクへの不安が強かったりすれば、ツールを用意しても活用は定着しにくい。
もう1つは、企業が利用環境を整備する前に、従業員が個人の判断で未承認のAIツールを使い始めることだ。こうした「シャドーAI」が広がれば、情シスが把握できない場所で機密情報や取引先のデータが扱われる恐れがある。
情シスには、生成AIを単に「使わせる」「禁止する」のではなく、正式な利用環境を整えながら、安全な活用を組織全体に広げる役割が求められる。
GUGAはAIリテラシー向上をどう支援するのか
GUGAは、生成AIの社会実装と安全な活用の普及を支援する。生成AIの基礎知識やリスク、基本的な活用方法を学ぶ資格試験「生成AIパスポート」を運営する他、企業向けの講演やセミナー、団体受験の支援、有識者の紹介などを実施している。
生成AIを業務に導入する際には、システムや利用ルールの整備だけでなく、従業員が「どの情報を入力してよいのか」「出力結果をどこまで信用してよいのか」を判断できる状態をつくる必要がある。
GUGAは、専門的にAIを開発する人材だけでなく、日常業務で生成AIを利用する一般の従業員を含め、組織全体のAIリテラシーを底上げすることを重視している。
企業間の生成AI活用の格差を生む要因の1つとして、小村氏は組織規模を挙げる。企業規模が大きいほど、株主や投資家などから生成AI活用への期待を受けやすく、資金や人材も投じやすい。一方、中小企業では、「どのように活用を進めればよいか分からない」「誰を推進担当者にすべきか分からない」といった、導入前の課題を抱えやすいという。
ただし、規模や資本力だけで活用の成否が決まるわけではない。もう1つの大きな要因が、経営トップのコミットメントである。
「トップ自らの言葉で『うちはこの方針でやっていく』と発信しない場合、社内で生成AI活用に抵抗する力が働きやすくなり、推進の障壁となってしまう可能性があります」（小村氏）
経営層が生成AIを何のために使うのかを明確にしなければ、情シスは利用環境やルールの整備を進めにくい。正式な利用環境が整わない中で、シャドーAIの活用が進む恐れもある。
経営と現場の「目線のズレ」
経営トップが生成AI活用の方針を示したとしても、それだけで現場への定着が進むわけではない。小村氏によると、生成AIの導入後に活用が広がらない企業には、共通する課題がある。
その1つが、経営層と現場の「目線のズレ」だ。
小村氏によると、現場の従業員は、メールの返信文の作成や議事録の要約など、自分の日常業務にひも付けて生成AIの活用を考える。一方、経営層は、新規事業の検討や業務プロセスの抜本的な変革といった、より大きな成果を期待する。
両者が異なる目的を持ったままでは、「生成AIを何のために使うのか」という議論がかみ合わない。
この間に立つ情シスは、経営層が掲げる方針を、現場で利用できる環境やルールに落とし込む必要がある。加えて、情報漏えいや著作権侵害、未承認ツールや個人アカウントの利用、AI利用に伴うコストなども考慮しなければならない。
もう1つの課題は、生成AIツールの導入自体が目的になっていることだ。「生成AIを使って何を改善するのか」が曖昧なまま環境を整備しても、従業員の活用は進まず、成果も見えにくい。
小村氏は、手段であるはずの生成AI活用が目的化すると、本来のユーザー価値よりも「生成AIを使うこと」が優先される恐れがあると指摘する。
利用ルールだけではシャドーAIを防げない
生成AIのリスクを抑えるため、多くの企業が利用ルールやガイドラインを整備している。しかし、ルールを作り、禁止事項を周知するだけでは、シャドーAIの発生を完全に防ぐことは難しい。
小村氏は、今後顕在化する可能性があるケースとして、NDA（秘密保持契約）を締結した取引先から共有されたデータを、従業員がAIツールに読み込ませ、提案資料を作成する行為を挙げる。
より良い提案を作ろうとした結果であっても、取引先の許可なくデータを生成AIツールに入力すれば、契約上の問題に発展する恐れがある。今後は、AI利用を前提として契約書やNDAの内容を見直す議論も必要になる。
企業が承認した生成AIツールと個人契約の生成AIツールの違い、AIの出力に誤りが含まれる可能性、情報漏えいや著作権侵害のリスクなども、従業員自身が理解する必要がある。
また、業務用の端末で個人アカウントにログインし、会議の議事録などを誤って個人環境へ保存するケースも考えられる。企業が正式なAI環境を整えても、アカウントの使い分けを誤れば、管理外に業務データが残る可能性がある。
一方、情シスが禁止事項やリスクばかりを強調すると、従業員が「使わない方が安全だ」と考え、正式に導入した生成AIツールまで敬遠する恐れがある。
小村氏は、ルールの整備に加え、セキュリティシステムによる機械的な制御も必要だと話す。従業員各自の判断に頼るのではなく、教育、ルール、システムによる制御を組み合わせることが重要になる。
生成AIを安全に定着させるには、利用環境やルールを整えるだけでなく、従業員自身が安全な使い方を判断できる状態をつくる必要がある。では、企業は全従業員にどの程度のAI知識やスキルを求め、どのように教育を広げればよいのか。後編では、全従業員に求めるAIリテラシーの水準と、生成AIパスポートを活用した全社展開の方法を紹介する。
Copyright © ITmedia, Inc. All Rights Reserved.