生成AI利用時の内部不正・持ち出しリスク対策

個人情報保護の議論では外部からのサイバー攻撃が注目されがちですが、実際の情報漏えい事案では職員による内部不正やうっかりミスによるデータ持ち出しも一定数を占めます。生成AIツールの導入は業務効率化に役立つ一方、職員が個人のスマートフォンや私用アカウントで情報を扱う「シャドーIT」のリスクも新たに生まれています。本記事ではこの内部不正・持ち出しリスクへの対策を比較表とともに整理します。

生成AI時代に増えている内部リスクのパターン

• 業務用データを私用のスマートフォンにコピーし、個人契約の生成AIアプリに入力する
• 職員が個人的に契約した無料AIツールを、事業所の許可なく業務で使用する
• 退職予定の職員が、記録データをAIサービス経由で外部にエクスポートする
• 複数職員で共有IDを使い回し、誰がいつAIに何を入力したか分からない状態になる

組織で使うAIツールと個人利用ツールの違い

組織的な対策：ルールと仕組みの両輪で

• 業務で利用してよい生成AIツールを事業所として指定し、それ以外の利用を原則禁止とする
• 個人情報を含むデータの外部への送信（メール添付、個人クラウドへのアップロード等）を制限する仕組みを導入する
• アクセスログを定期的に確認し、不自然な大量ダウンロードやアクセスがないかをチェックする
• 退職・異動が決まった時点でアカウントの利用範囲を速やかに見直す

人的対策：教育と誓約の仕組み

• 入職時研修で、個人情報の持ち出し・私用端末利用のリスクを具体的な事例とともに説明する
• 守秘義務・個人情報の取り扱いに関する誓約書を取得し、退職時にも改めて確認する
• 内部通報窓口を設け、不審な取り扱いに気づいた職員が相談できる体制を整える

万が一、内部不正が疑われる場合の初動

内部不正の疑いが生じた場合は、事実確認を急ぎつつも、当該職員の人権やプライバシーにも配慮した対応が求められます。証拠となるログの保全、関係者への聴取、必要に応じた個人情報保護委員会への報告の要否など、対応を誤ると二次的な問題を招くこともあるため、早い段階で弁護士等の専門家に相談することが望ましいです。

技術的な監視と職員のプライバシーのバランス

アクセスログの監視や利用状況のモニタリングは内部不正対策として有効ですが、職員のプライバシーに配慮せず過度な監視を行うと、職場の信頼関係を損なう可能性があります。監視の目的や範囲を就業規則や利用規程に明記し、職員に事前に周知したうえで実施することが望ましいとされています。

• モニタリングの目的（情報漏えい防止であること）を職員に周知する
• 私的なやり取りの内容にまで立ち入らない範囲でログを取得する
• モニタリングの実施主体・確認頻度をあらかじめ定めておく

小規模事業所での現実的な対応

専任のシステム管理者を置けない小規模な事業所では、高度な技術的対策の導入が難しい場合もあります。そうした場合でも、利用してよいAIツールを限定する、誓約書を整備する、定期的に利用状況を口頭で確認するといった、コストをかけずにできる対策から始めることが現実的です。

内部不正が発覚した際の関係者対応

内部不正が実際に発覚した場合、当該職員への対応だけでなく、影響を受けた利用者・家族への説明も必要になります。事実関係が不明確な段階で軽率に外部へ公表すると、かえって混乱を招くこともあるため、事実確認・法的整理・関係者への説明のタイミングを慎重に検討することが求められます。次のような順序で対応を進めている事業所が多く見られます。

• 事実確認（ログの保全、当事者へのヒアリング）を最優先で行う
• 顧問弁護士等に相談し、報告義務の有無や対外的な説明方針を整理する
• 影響を受けた利用者・家族への説明は、事実関係が一定程度固まった段階で行う
• 再発防止策を策定し、職員全体に周知する

委託業者・派遣職員への対応も同様に

直接雇用の職員だけでなく、派遣職員や清掃・警備等の委託業者にも、情報端末や書類にアクセスできる機会が生じることがあります。これらの関係者についても、業務範囲に応じた守秘義務契約の締結や、生成AIツールへのアクセス制限を検討することが、内部不正リスクを網羅的に管理するうえで重要です。

内部通報制度と生成AI利用の可視化

内部通報窓口を整備していても、実際に相談が寄せられるのは氷山の一角であることが一般的です。生成AIの利用ログを定期的に可視化し、異常なアクセスパターン（深夜の大量アクセス、退職直前の大量ダウンロード等）を早期に発見できる仕組みを合わせて持つことで、通報に頼らない予防的な対策を講じることができます。

職員本人以外を経由した情報流出リスク

内部不正というと職員本人による意図的な持ち出しが想起されがちですが、職員が業務用端末を家族と共有していたり、私用のクラウドストレージに誤って個人情報を保存してしまったりすることで、意図せず第三者の目に触れてしまうケースもあります。生成AIへの入力履歴が端末に残ったまま、家族などが閲覧できる状態になっていないかという観点も、日頃の情報管理の中でチェックしておくことが望まれます。

• 業務用端末を私的に共有しない、共有する場合はアカウントを分ける
• 生成AIサービスの入力履歴・閲覧履歴が端末に残る設定になっていないか確認する
• 私用クラウドストレージとの同期設定を業務用端末で無効化しておく

内部不正対策と就業規則・懲戒規定との連動

内部不正が発生した際に適切な懲戒処分を行うためには、あらかじめ就業規則に個人情報の持ち出しや不正利用に関する懲戒事由が明記されている必要があります。生成AI利用ルール違反についても、単なる社内ルールとしてだけでなく、就業規則上の服務規律・懲戒事由と関連づけて整備しておくことで、万が一の際に一貫した対応が可能になります。整備にあたっては社会保険労務士に相談することが望まれます。

「性善説」に頼らない仕組みづくりを

内部不正対策というと職員を疑うようで気が引ける事業所もあるかもしれませんが、これはルールの明確化によって職員自身を守ることにもつながります。誰が見てもわかる運用ルールと、それを支える技術的な仕組みの両方を整えることが、生成AI時代の情報管理には欠かせません。