ChatGPTなどの生成AIを仕事で使ってよいか聞かれたら

生成AIを使ってよいかという相談は、やりたい作業が決まったあとに来ます。答える前に、次の3つを聞きます。

• 何を入力したいのか
• 出力を何に使うのか
• どのサービスを使おうとしているのか

会議のメモを要約したいだけなら、会社が契約しているサービスの中で足りることが多いです。社外に出す資料の文章を作りたいなら、出力を確かめる手順まで決めておく必要があります。

IPAの「生成AIおよびAIエージェントを安全に活用するための手引書」は、組織が許可していないAIを社員が使う「シャドーAI」が、悪意ではなく業務上の必要から生じるとしています。禁止だけを先に出すと申告されない利用が増え、実態の把握がさらに難しくなるとも書かれています。

代わりの手段を示せるように、まず目的を聞きます。

個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起等」を出しています。個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合は、特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認するとしています。

もう1点は機械学習です。同じ注意喚起は、あらかじめ本人の同意を得ることなく個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性があるとしています。

そのため、サービスを提供する事業者がその個人データを機械学習に利用しないこと等を十分に確認するよう求めています。

社員に返すときは、この2つを次の質問の形にして渡します。

• その個人情報を集めたときの目的の中に、今回の使い方が入っているか
• 使おうとしているサービスは、入力した内容を学習に使わない扱いになっているか

どちらかが分からなければ、入力の前に【情シスの窓口】で止めてもらいます。社内の資料を外のサービスに出すという点では、USBメモリを使ってよいか聞かれたらと同じ判断になります。

総務省と経済産業省の「AI事業者ガイドライン」第1.2版は、AI利用者が取り組む事項として、次のものを挙げています。

• AIの出力について精度及びリスクの程度を理解し、様々なリスク要因を確認した上で利用すること
• AIシステム・サービスに機密情報等を不適切に入力することがないよう注意を払うこと
• AI提供者が定めたサービス規約を遵守すること

もう1つの確認は著作権です。文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」は、著作権侵害の要件として、既存の著作物との「類似性」と「依拠性」の双方が必要だとしています。

そのうえで、生成物の利用に先立って、既存の著作物と類似していないかをインターネット検索などで確認することが必要だとしています。

同じ資料は、生成そのものと、生成物をインターネットで配信したり複製物を渡したりすることでは、著作権侵害の判断が異なり得るとしています。社内で検討のために生成する場合と、社外に出す場合で手順を分けます。

この質問は、社内のルールがまだ無い会社で起きやすいです。IPAの手引書は、全社のガイドラインに書く観点として、次のものを挙げています。

• 対象者の範囲
• 使ってよいAIの一覧と申請の手順
• 入力してよい情報の分類と入力を禁止する情報
• 出力の取り扱い
• 禁止事項
• インシデントのときの連絡先
• 責任の分担

文化庁の資料は、AIを業務で使う側の方策として、生成AIの利用に関する内部的ルールの策定を挙げています。次のことも、望ましい取り組みとして書かれています。

• 社員に著作権制度の理解を確認しておくこと
• 生成に使ったプロンプトを後から確認できる状態にしておくこと

全部を一度に作る必要はありません。手引書も、網羅的なガイドラインを一度に整備しようとすると時間がかかるため、最低限の内容から始めて更新していく運用が現実的だとしています。

1件の質問に答えるたびに、決まっていなかった1項目を書き足します。