DSS ver.2.0ではどう位置付けられているか

DSSのDXリテラシー標準は、生成AIを「問いを立てる」「仮説を立てる・検証する」といったビジネススキルと組み合わせる姿勢を示しています。同時に、期待しない出力、著作権などの権利侵害、情報漏えい、倫理的問題への注意も明記しています。

さらに「How」の留意点には、セキュリティ、モラル、コンプライアンスがあります。生成AIの操作方法だけでなく、個人情報、知的財産、利用規約、データ流出の影響を考えることまでが、全ビジネスパーソンのリテラシーです。

入力前に見る4つの観点

顧客名、メールアドレス、顔写真、社員評価、未公開の売上、ソースコード、契約書などは慎重に扱う必要があります。氏名を消しても、部署、役職、案件名などの組み合わせで本人や企業を推測できる場合があります。

「便利そうだから」ではなく、要約、分類、草案作成など利用目的を明確にします。個人情報を扱う場合、もともと特定した利用目的の範囲内かも確認します。

入力データの保存期間、学習利用の有無、管理者設定、提供先、利用地域、削除方法はサービスや契約プランで異なります。画面上の設定だけでなく、利用規約、プライバシーポリシー、法人契約の条件を確認します。

AIの回答は自然な文章でも正しいとは限りません。外部公開、顧客回答、採用・評価、法務判断など影響が大きい用途では、根拠確認と人間の承認を組み込みます。

「便利だから」「法人契約だから」だけでは判断できません。同じサービスでも、契約プラン、管理設定、入力する情報、利用目的によってリスクは変わります。

参加者名、取引条件、未発表施策が含まれていました。対策は、承認済みサービスを使い、必要部分だけに絞り、識別情報や機密情報を可能な範囲で除くことです。

署名、電話番号、相談内容まで貼り付けると、個人情報を外部サービスへ送る形になり得ます。テンプレート化した架空情報で草案を作り、最後は社内で実データに置き換える方法があります。

ログにはアクセストークン、IPアドレス、ユーザーIDが混ざることがあります。自動マスキングを導入し、秘密情報が含まれないことを確認してから扱います。

学習されなくても、一定期間保存されたり、保守のために処理されたりする可能性は残ります。学習設定は確認項目の一つであり、安全性や適法性を単独で保証するものではありません。

個人情報保護委員会は、事業者が個人情報を含むプロンプトを入力する際、特定した利用目的の達成に必要な範囲内かを確認するよう注意喚起しています。また、本人同意なく個人データを入力し、提供者が回答生成以外の目的で扱う場合は、個人情報保護法に違反する可能性があるとしています。

これは「個人情報の入力は一律違法」という意味ではありません。情報の性質、利用目的、本人同意、提供者の取扱いなどで判断が異なります。迷う場合は個人情報保護・法務・セキュリティ担当へ確認してください。

生成AIを安全に使う第一歩は、プロンプトを書く技術より「何を渡してよいか」を判断する力です。まずは入力情報を減らし、承認済み環境を使い、重要な出力は人が検証する。この3点をチームの共通ルールにしましょう。