「ChatGPTに議事録を頼んだだけ」が、なぜ会社の大問題になるの？：宮田健の「セキュリティの道も一歩から」（125）（1/2 ページ）

「モノづくりに携わる人」だからこそ、もはや無関心ではいられない情報セキュリティ対策。今回は、個人で利用する生成AIサービスへの顧客情報の誤アップロード事例を基に、業務で生成AIを利用する際の情報漏えいリスクと、組織に求められる対策について考えます。

[TechFactory]

本記事は「TechFactory」に掲載された会員限定コンテンツをMONOist向けに再編集した転載記事となります。［全文を読む］には、会員登録（無料）およびログインが必要になります。

　ヘルスケア／美容業界で著名なRIZAPグループが、大変気になるインシデントレポートを公開していました。ひと言でいえば、子会社のRIZAPの従業員が、特定保健指導管理システムに関するデータ集計作業中に、個人で利用している外部の生成AIサービスへ、要配慮個人情報を含む顧客情報を誤ってアップロードしていたという事象です。

　RIZAPはこの発表の中で、アップロードした顧客情報について、当該生成AIサービスの運営事業者以外の第三者に閲覧された可能性と、生成AIの学習に利用された可能性はないことを確認したとしています。また、第三者が当該生成AIサービスを通じて関連する質問をした場合でも、個人情報やそれに付随する情報などが出力される可能性はないと判断しています。

図1　子会社における外部生成AIサービスへのお客様情報の誤ったアップロードに関するお詫びとお知らせ｜RIZAPグループ（https://www.rizapgroup.com/news/detail?topics_id=1548）

　これを見て、皆さんはどう感じましたでしょうか。筆者はとうとうこのような内容もインシデントとして公開されるようになったことに、時代の変化を感じました。

そもそもなぜ、生成AI利用にはリスクが伴う？