AIツール利用時のプライバシーの守り方
AIチャットボットに入力した内容は、提供企業から見える状態にある。オンラインに保存されたクエリは、ハッキングや漏えいの対象となったり、誤って一般に公開されたりする可能性がある(UK NCSC)。
規制当局とサイバーセキュリティ機関の助言
- 機微な情報を公開チャットボットに入力しない。 英国国家サイバーセキュリティセンターは、公開AI言語モデルへのクエリに機微な情報を含めないこと、また公開された場合に問題となるようなクエリを送信しないことを推奨している(NCSC)。
- まず利用規約とプライバシーポリシーを読む。 NCSCによると、クエリは保存され、いずれサービス開発に使われる可能性がほぼ確実であるため、機微な質問をする前に利用規約とプライバシーポリシーを理解しておく必要がある(NCSC)。
- 個人情報を含めない。 スペインのデータ保護機関は、氏名、住所、電話番号、身分証明書番号、人物の画像などの個人データや、医療・金融情報などの機微な情報をAIツールと共有しないよう助言し、代わりに架空の事例として説明することを勧めている(AEPD)。
- 他人の画像を新たなコンテンツの生成に使わない。 特に子どもの画像は避けるべきである。同機関は、データ保護法に違反し、犯罪に当たる可能性さえあると警告している(AEPD)。
- 職場では組織の規則に従う。 情報やセキュリティに関する規則を守り、組織、職員、顧客に関する機密情報を含めてはならない(AEPD)。
- チャット履歴の設定。 イングランドおよびウェールズの裁判官とその支援職員向けの指針は、公開AIチャットボットでこの選択肢がある場合はチャット履歴を無効にするよう求めている。データがチャットボットの学習に使われるのを防げるはずだからである。ただし、履歴をオフにしても入力したデータは開示されているものと想定すべきだと警告している(司法指針)。
- 他者が書いたコンテンツを処理するAIツールには注意する。 履歴書などの文書に隠されたテキストが、AIシステムによって指示として扱われることがある。NCSCはこれを間接的プロンプトインジェクションと呼び、こうした攻撃は完全には緩和できない可能性があるとしている(NCSC)。
- 企業はプライバシーに関する約束を守らなければならない。 米連邦取引委員会(FTC)は、他者が利用するAIモデルを開発・ホストする「モデル・アズ・ア・サービス」企業に対し、ユーザーや顧客へのプライバシー上の約束(顧客データをモデルの学習といった秘密の目的に使わないという約束を含む)を守らなければ、FTCが執行する法律の下で責任を問われる可能性があると警告している(FTC)。
- 自分のデータが不適切に扱われたと考える場合は、多くの場合、まず当該組織に懸念を伝える。英国では、その対応に不満があれば、情報コミッショナーオフィス(ICO)に苦情を申し立てることができる(ICO)。
出典
- ChatGPT and large language models: what's the risk?、英国国家サイバーセキュリティセンター、2023年3月14日。
- Prompt injection is not SQL injection (it may be worse)、英国国家サイバーセキュリティセンター、2025年12月8日。
- La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA、スペインデータ保護機関(AEPD)、2026年1月27日。
- Artificial Intelligence (AI) – Judicial Guidance (October 2025)、裁判所・審判所司法部門、2025年10月31日。
- AI Companies: Uphold Your Privacy and Confidentiality Commitments、米連邦取引委員会。
- Check if you can complain、英国情報コミッショナーオフィス。