【組織のAI活用#189】法人におけるAIのガイドライン策定に関して(1) 法人契約と個人契約における学習データ取り扱いの前提

こんにちは！寺田です。

現在は、デジタル関連会社のAI推進者などのAI活用者のコミュニティである「AI Digital Community (ADC)」の代表理事や、組織のAI活用を仕組みで加速させるプロダクトを提供するAI Portalize(株)の代表取締役を務めており、様々な側面から組織のAI活用をサポートしています！

ここ最近、業務の効率化を目指して、社員が自主的に様々なAIツールを活用するケースが増えています。非常にポジティブな動きである一方で、個人で契約したAIツールに業務データを入力してしまうことへの懸念も高まっています。

情報漏洩のリスクを防ぐためには、AIツールを契約する形態によって、データがどのように扱われるのかを理解しておく必要があります。

ということで、今回はGeminiやClaudeを例に挙げながら、法人契約と個人契約における学習データの取り扱いの違いについて書いていこうと思います。

契約形態による学習データ取り扱いの違い

AIツールを利用する際、冒頭に添付した図解の通り、契約形態によってデータの取り扱い前提が大きく変わります。

大きく分けると、法人向けの商用プランと、個人向けの個別契約プランの2つに分類されます。この両者は、機能面だけでなく、入力したデータがAIの学習に利用されるかどうかという根本的なルールが異なります。

法人契約におけるデータ保護の基本

まず、法人契約や商用プランの基本ですが、入力データは学習に使われないという前提で設計されています。例えば、Gemini for Google Workspaceや、ClaudeのTeamプラン、Enterpriseプランなどがこれに該当します。

これらの法人向けプランでは、ユーザーが入力したデータがAIのモデル学習に利用されることはなく、人の目によるレビューも行われません。

つまり、法人契約の環境においては、特別な設定変更などの対応をしなくても、機密情報がAIの学習に回されることはないと考えます。既存のセキュリティ制御の対象にもなるため、企業として安全にデータを扱える環境が整っているという印象です。

個人契約における設定確認の必要性

ただ、個人契約や個別契約のプランについては注意が必要です。

個人向けのGeminiやClaudeといったサービスは、対話内容がモデルの改善や学習に使われる場合があります。もちろん、ユーザー自身で設定を変更すれば学習を防ぐことができるケースもありますが、デフォルトでは学習に利用される状態になっていることが多いです。

例えばですが、Geminiであれば「Gemini アプリ アクティビティ」の設定を、Claudeであれば「Help improve Claude」の設定を確認する必要があります。

一言でいうと、個人契約のアカウントでは、原則として業務データや機密情報の入力を避けるべきです。

運用ルールで押さえておくべき実務ポイント

こうした前提の違いを踏まえたうえで、社内運用において押さえておくべきポイントは3つあると考えています。

1つ目は、業務利用を法人アカウントに統一することです。
業務でAIを利用する場合は、WorkspaceやTeamプランなどの法人契約環境に集約し、入り口を一本化します。

2つ目は、個人契約の利用ルールを明文化することです。
個人アカウントで業務データや顧客情報を扱わないというルールを、ガイドラインとして明確に定めて社員に周知します。

3つ目は、学習と保存を分けて考えるという視点です。
データが学習に利用されるかどうかという問題と、データがシステム上に一定期間保持されるかどうかという監査のログ設定などは、別軸で管理する必要があります。

セキュアな環境構築のためのアクション

最大のポイントは、法人契約と個人契約では、初期状態でのデータの扱いが全く異なるという事実を認識することです。逆に言うと、企業側が適切な法人プランを用意し、そこへ誘導する仕組みを作ることができれば、情報漏洩のリスクは大幅に軽減できます。

理由としては、社員も安全な環境が提供されていれば、あえてリスクのある個人環境で業務を行う必要がなくなるからです。
結果的に、それが組織全体のリスクマネジメントを強化することに繋がります。

次回の記事では、Google系のAIサービスに特化して、より具体的なサービスの切り分けについて解説していきたいと思っています。

読んでいただきありがとうございました！
過去のAI関連記事はこちらです！

ちなみに、組織におけるAIの推進についてまとめた本も出版させていただいております。もしよければご覧ください。