個人情報・機密情報の入力管理とは
個人情報・機密情報の入力管理は、生成AIに入力してよい情報の範囲を組織で決め、守る運用です。顧客の氏名や連絡先、社員の人事情報、未公開の財務情報、取引先との契約内容などが主な対象です。
入力した情報は、サービスの提供者のサーバーに送られます。設定や契約によっては、保存されたり、サービス側の改善に使われたりします。いったん外部に出た情報は、後から取り消すことが難しくなります。
個人情報保護委員会は2023年6月の注意喚起で、事業者が個人情報を含むプロンプトを入力する場合は、利用目的の範囲内かを十分に確認するよう求めました。本人の同意なく個人データを入力し、応答の出力以外の目的で扱われる場合は、法律に違反する可能性があるとしています。
実務では、情報を「入力してよい」「加工すれば入力してよい」「入力禁止」に分け、例を添えて周知します。氏名を記号に置き換える加工（マスキング）と、使ってよいサービスの指定を組み合わせます。
具体例
情報の区分表を作る
ある会社は、社内の生成AI利用ルールに区分表を付けました。公開済みの資料は入力してよい。顧客名を含む議事録は、氏名を「A社」「Bさん」に置き換えれば入力してよい。未発表の決算情報や人事評価は入力禁止。迷ったときの相談先も明記しました。区分表は年に一度見直し、新しく使い始めたサービスの扱いも追記します。
問い合わせメールの返信案を作る
顧客のメールをもとに返信案を作るときは、氏名・電話番号・注文番号を伏せてから入力します。返信案ができたら、伏せた部分を人が戻します。AIに必要なのは問い合わせの中身であり、個人を特定する情報ではありません。