生成AI利用時に情報漏えいが疑われた場合の初動対応の考え方

情報漏えいは「起きないようにする」対策と同じくらい、「起きてしまった後、最初の数時間・数日でどう動くか」が被害の大きさを左右します。ここでは、生成AI利用中に情報漏えいが疑われた場合の初動対応を、時系列のステップで整理します。

ステップ1：発覚直後（0〜1時間）にやるべきこと

1. 気づいた職員は、まず現場の判断だけで対応を進めず、管理者・情報管理責任者にすぐ報告する
2. 該当のやり取り（入力内容・出力内容・送信先など）のスクリーンショットやログを、可能な範囲で保全する
3. 同様の事象が他にも起きていないか、直近の利用履歴を確認する
4. この段階では「誰が悪いか」の追及より「何が、どこまで起きたか」の事実確認を優先する

ステップ2：初動調査（当日〜数日）

この段階では、次の観点を整理していきます。

ステップ3：関係者への連絡

• 法人内部：理事長・施設長等への報告ルートに沿って速やかに連絡する
• 顧問弁護士・専門家：報告義務の要否や対応方針について助言を求める
• 生成AIベンダー：ベンダー側に起因する可能性がある場合、契約上の連絡窓口に事実確認を依頼する
• 指定権者：運営基準等に基づく報告が必要と判断される場合、様式に沿って連絡する
• 利用者・家族：事実関係が一定程度整理できた段階で、誠実に説明する

ステップ4：再発防止策の検討

初動対応が落ち着いた後は、次のような観点で再発防止策を検討します。

• 入力可能な情報の範囲を見直す（システム上の入力制限、テンプレート化など）
• 職員のアカウント管理・権限設定を見直す
• 研修を通じて、同様の事象が起きやすい業務フローを職員間で共有する
• 生成AIベンダーとの契約内容やインシデント対応フローを再確認する

平時からの備えが初動の質を決める

実際に事案が発生してから対応フローを一から考えるのでは、初動が遅れがちです。誰が第一報を受け、誰が事実確認を行い、誰が対外的な説明の窓口になるのかを、平時のうちに文書化しておくことが望ましいでしょう。具体的な対応方針の判断については、個別事案ごとに専門家へ相談することをおすすめします。

Hope Care AIでは、万が一の事象発生時にも事実確認がしやすいよう、利用ログの記録機能を備えています。機能紹介やセキュリティのページもご参照ください。