「モデル学習には使われなかった」ということと、「会社が管理すべき健康情報が外部サービスへ渡った」ということは別である。誰がアクセスできたのか。データはどこまで残ったのか。確認中だった事項は最終的にどうなったのか。対象者から見れば、こちらも知りたい情報だろう。
1週間が経っても説明されない「全体像」
ライザップは特定保健指導プログラムについて、2025年10月時点で導入数534団体を突破したと公表している。もちろん、この534団体すべてが今回の事故に関係しているわけではない。
そうであるからこそ、今回対象となったのが何団体なのかを明らかにする意味がある。委託元が一つずつ発表するたびに「ここも対象だった」とわかる状態では、対象外の団体や加入者にも余計な不安を生じさせる。
ライザップは再発防止策として、未承認の生成AI利用を禁止するルールの再徹底、アクセス権限や利用環境の見直し、AIマネジメントシステムの導入検討などを挙げている。いずれも必要な取り組みである。
ただし、シャドーAIは教育だけでは防ぎにくい。社員が扱えるデータを業務上必要な範囲に絞る。未承認の外部AIへ個人情報や機密情報を送信できないよう制御する。大量のデータをダウンロードした場合には検知する。そして仕事で生成AIを使う必要があるなら、会社が管理できる安全な環境を用意する。こうした仕組みまで整えなければ、別の社員が別のサービスで同じことを繰り返す可能性は残る。
今回のライザップ事案は、シャドーAIの危険を示す国内の具体例となった。しかし、発表から日数が経つにつれて、別の問題もはっきりしてきた。
なぜ8月20日の発覚から公表まで約2週間を要したのか。なぜライザップ自身は1万9996人という全体規模を記載しなかったのか。何団体が対象なのか、なぜ明らかにしなかったのか。そして9月3日に確認中としていた事項について、なぜその後の説明がないのか。
それぞれに合理的な理由があるのかもしれない。しかし、現時点の公開資料からはわからない。情報セキュリティ事故を完全になくすことは難しい。社員が規則に反する行動を取ることもある。生成AIが急速に普及すれば、会社の把握しないところで利用される機会も増えるだろう。
だからこそ、事故が発生した後の対応が重要になる。何がわかっているのか。何がまだわからないのか。対象はどの程度なのか。そして、いつ次の説明を行うのか。約2万人分の健康関連情報を扱う事業で起きた問題である以上、委託元の発表を集めなければ全体像が見えない状態をいつまでも続けるべきではない。
シャドーAI対策では、AIをどう使わせるかだけでなく、事故が起きたときにどう知らせるかまで準備しておく必要がある。今回のライザップの事案は、そのことまで企業に突きつけている。
※ログイン後、コメント入力が可能です。