セキュリティ・ガバナンス

機密情報を守るAIツールの選び方 企業がチェックすべき5つの観点

Meliorra編集部
機密情報を守るAIツールの選び方 企業がチェックすべき5つの観点

この記事の要点

機密情報を扱う業務で生成AIを安全に使うには、データポリシー・契約・アクセス制御・監査機能・サポート体制の5観点でツールを評価する必要がある。企業のAIツール選定で使えるチェックポイントを解説する。

結論

機密情報を扱う業務でAIツールを選ぶとき、確認すべき観点は5つだ。データポリシー（学習への利用有無）・契約書類（DPA）・アクセス制御（管理コンソール）・セキュリティ認証・インシデント対応体制。この5点を評価することで、セキュリティ要件を満たすツールを選べる。

観点1：データポリシー（学習への利用有無）

最も重要な確認事項だ。入力したデータがAIモデルの訓練・改善に使われるかどうかで、情報漏洩リスクが大きく変わる。

確認する質問：

  • 入力データは学習に使われるか（Yes/No/条件付き）
  • データの保存期間はどのくらいか
  • データはどの国のサーバーに保存されるか
  • データにアクセスできる従業員の範囲はどこまでか

主要サービスの方針（2026年6月時点、最新は公式で確認）：

サービスAPI利用法人向けSaaS
OpenAI APIデフォルトで学習に使わないChatGPT Enterprise：学習に使わない
Anthropic APIデフォルトで学習に使わないClaude for Work：学習に使わない
Google Gemini APIデフォルトで学習に使わないGemini for Workspace：プランによる

観点2：契約書類（DPA）の確認と締結

データが外部のサービスで処理される場合、適切な契約を結ぶことが法的な義務を果たすことになる。

確認・締結すべき書類：

データ処理補足規約（DPA）：サービス事業者がデータをどのように処理するかを定めた補足契約。個人情報保護法上の委託契約の要件を満たすかを確認する。

サブプロセッサーリスト：そのサービスが再委託しているクラウド事業者（Amazon AWS・Google Cloud等）の一覧。データが最終的にどの事業者のインフラで処理されるかを把握できる。

利用規約の日本語版確認：英語の利用規約をそのまま適用するより、日本語で内容を把握することを推奨する。機械翻訳でもよいので主要条項を確認する。

観点3：アクセス制御と管理コンソール

組織での利用では、誰がどのように使っているかを管理できることが重要だ。

確認する機能：

  • 招待制で登録ユーザーを管理できるか
  • 部門・役職ごとに使える機能を制限できるか
  • 利用量・利用者を管理者が確認できるか
  • SSOとの連携はできるか
  • 退職者のアクセスを即時停止できるか

管理コンソールが充実しているほど、アクセス権限管理・ログ監査・コスト管理がしやすくなる。

観点4：セキュリティ認証と第三者評価

事業者のセキュリティ管理体制を自社で評価することは難しい。第三者機関による認証の有無が一つの指標になる。

主なセキュリティ認証：

認証内容
SOC 2 Type II情報セキュリティ管理の独立監査（米国基準）
ISO 27001情報セキュリティ管理の国際標準認証
ISO 27018クラウドにおける個人情報保護の国際標準
GDPR準拠EU一般データ保護規則への対応
HIPAA準拠医療情報保護に関する米国規制への対応

業種・要件に応じて必要な認証が変わる。金融・医療は特定の認証要件が厳しいため、自社のコンプライアンス部門に確認することを推奨する。

観点5：インシデント対応体制

AIサービスのセキュリティインシデント（データ漏洩等）が発生したとき、サービス事業者がどう対応するかを事前に確認しておく。

確認する点：

  • インシデント発生時に通知を受けられるか（タイミング・方法）
  • インシデントの影響範囲をどのように特定・開示するか
  • 日本語でのサポートがあるか
  • 問い合わせに対応するサポートチャンネルがあるか

インシデント発生後の対応に日本語サポートがあるかどうかは、実際に問題が起きたときの対応速度に直結する。

業種別の追加チェックポイント

金融業：金融機関として適用される法規制（金融商品取引法・銀行法等）との整合性・データの越境移転制限への対応を確認する。

医療・製薬：要配慮個人情報（患者情報）の取り扱いに関する規制・臨床データの外部処理への規制への対応を確認する。

法律事務所・コンサルティング：守秘義務との整合性・DPAの文言がNDA上の「委託」として整理できるかを法務に確認する。

ツール評価の実務的な進め方

  1. 候補ツールを3〜5つ選定：利用目的・予算・社員の使いやすさから候補を絞る

  2. データポリシーと利用規約を確認：上記の5観点でチェックリストを使って確認する

  3. DPAの取り寄せ・確認：候補ツールのDPAを取り寄せて法務に確認を依頼する

  4. 無料トライアルでの評価：実際に使ってみて機能・使いやすさを評価する

  5. 最終選定と導入：評価結果を経営層・情シスに共有して承認を得る

ゼロデータ保持（ZDR）の詳細はゼロデータ保持（ZDR）とは？企業のAIツール選定で確認すべき点を、法人向けAIのデータ取り扱いの詳細は法人向けAIのデータ取り扱い確認ポイントを参照してほしい。

まとめ

機密情報を扱う業務でのAIツール選定は、データポリシー・DPA・管理コンソール・セキュリティ認証・インシデント対応体制の5観点で評価する。無料プランから法人向けプランへの移行判断は、「入力する情報の機密性」と「組織として管理が必要か」の2点で考えると判断しやすい。選定後も定期的な再評価を行うことで、AIサービスの規約変更や新たなリスクに対応できる状態を保てる。

#AIツール選定#機密情報#セキュリティ#生成AI#エンタープライズAI

よくある質問

機密情報を扱う業務でどのAIツールを選べばいいですか

一般的な基準として、データが学習に使われない（ZDR対応）・法人向けのデータ処理補足規約（DPA）が締結できる・管理コンソールでアクセス制御できる、の3点を満たすサービスを選ぶことを勧めます。ChatGPT Enterprise・Claude for Work（Anthropic）・Microsoft Copilot等の法人向けプランが基本的な候補になります。

AIツールのセキュリティ評価でどんな書類を確認すればいいですか

データ処理補足規約（DPA）・プライバシーポリシー・利用規約・SOC 2またはISO 27001などのセキュリティ認証・サブプロセッサーリスト（再委託先の一覧）を確認することを勧めます。

AIツールのセキュリティ評価に情シスは必ず必要ですか

規模によります。中小企業であれば、データポリシーと利用規約を推進担当者が確認して法務に相談する形でも対応可能です。大企業や厳格なコンプライアンスが求められる業種では、情シス・法務が関わる正式な評価プロセスを設けることを勧めます。

無料の生成AIツールは業務に使えますか

公開情報の調査・一般的な文章作成など機密性の低い用途であれば使えます。ただし顧客情報・機密文書・個人情報を含む業務には、法人向けの有料プランへの切り替えを推奨します。

関連記事