2026年9月10日
生成AIサービスの利用が急速に普及しています。それにともない、組織が把握していない生成AIサービスの利用、いわゆる「シャドーAI」への懸念が高まっています。
そのような状況下で、業務委託関係における委託先での「シャドーAI」によるインシデントが発生しました。本記事では、当該インシデントについて、インシデント発生までの流れとインシデント発生後の委託先の対応を確認し、組織における「シャドーAI」への対策例をご紹介します。
※インシデント：情報の漏えいや改ざん、破壊・消失、情報システムの機能停止、またはこれらにつながる可能性のある事象等のこと。
本インシデントについて、委託元、委託先それぞれから公表がなされています。インシデントの詳細については公表情報を直接ご確認ください。
■委託元からの公表
特定保健指導委託業者における個人情報の不適切な取扱いに関するご報告とお詫び（全国土木建築国民健康保険組合 2026年9月3日）
※複数の委託元から公表がなされていますがここでは一例のみあげます。
■委託先からの公表（委託先の親会社による公表）
子会社における外部生成AIサービスへの お客様情報の誤ったアップロードに関するお詫びとお知らせ（RIZAPグループ株式会社 2026年9月3日）
以下では、シャドーAI問題への参考として、インシデント発生までの流れとインシデント発生後の委託先の対応をまとめます。
■複数の委託元から業務委託に伴って委託先に個人情報が提供される
■委託先において、社員が個人で利用する生成AIサービスに
委託により提供を受けた個人情報を誤ってアップロード
■事象発見直後、当該社員により以下を実施
・当該チャット履歴の削除
・学習データの利用停止設定
■即時照会し、以下の可能性はないことを確認
・当該個人情報が第三者に閲覧された可能性
・当該個人情報が生成AIの学習に利用された可能性
■以下の可能性については確認中
・当該AIサービス運営事業者の役職員等が
当該個人情報を閲覧可能な状態にあった可能性
・アップロードされた個人情報が生成AIの学習へ利用されるリスク
・第三者への回答へアップロードされた個人情報の出力されるリスク 等
※参考：生成AIサービスの利用に関する注意喚起等（個人情報保護委員会 令和5年6月2日）
生成AIサービスには無料で使えるものも多く、シャドーAIが非常に発生しやすい状況です。また、運営会社・サービス・利用プラン等によって、セキュリティ面や入力された情報の学習への利用の有無等が異なります。
そこでまずはじめに、組織として利用を承認する生成AIサービス及びプラン等を選定する必要があります。従業者からのヒアリング等を実施し、業務に有効なサービスを選定することが望まれます。
組織的な対応の土台となる社内規程を策定、周知します。先に選定した承認済み生成AIサービスを規定内、もしくは別表等で指定し、未承認のサービス及びプラン等の利用を禁止します。
シャドーAIの問題のみならず、生成AIサービスの利用には様々な観点からのリスクが伴います。以下のようなリスクを踏まえ、内容を検討する必要があります。
入力した情報が生成AIの学習に利用され、学習された情報が第三者からの質問への回答として出力されるリスクがあります。対象となる情報は個人情報のみならず、営業秘密情報、財務情報等の組織の未公開情報、また認証情報等も含まれる点に注意が必要です。
また、著作権の観点では、故意に有名な作家名やキャラクター名等を入力して成果物の生成を指示することにはリスクが生じる恐れがあります。
生成AIは、もっともらしく嘘の回答を出力することがあります。これをハルシネーションと言います。また、AIが回答に至った判断の過程を把握することは不可能です。AIの回答を鵜呑みにするのではなく、利用者自身で情報の真偽を確認する必要があります。
また、既存の著作物に酷似した出力物が生成された場合に、それらを利用等すると著作権侵害に問われるリスクがあります。
※参考：AIと著作権について（文化庁）
セキュリティ対策ソフトウェアを導入し、システム面における対策を実施することも有効です。一例として、以下のような製品の導入が考えられます。
従業員のクラウドサービスの利用を監視し、適切なセキュリティ対策を行う
未承認の生成AIサービスへのアクセスをブロックする
ブログの新規公開をニュースレターにてお知らせしております。配信ご希望の方はフォームよりお気軽にお申込みください。
当機構は中小企業向けに個人情報保護・情報セキュリティ対策のコンサルティングを承っております。コンサルティング内容はご状況をヒアリングし、課題を整理した上でご提案しております。ヒアリングは無料ですので、まずはフォームよりお気軽にお申込みください。
個人情報に関わる資格制度の運営や社員教育、認証付与など総合的ソリューションを提供し、個人情報保護の推進に貢献してまいります。
