AIに聞く情報漏洩リスク：エンジニアが実践すべきNDA対策

どんな事例か

AI（人工知能）を業務に活用するエンジニアの間で、無自覚な情報漏洩のリスクが指摘されています。特に、ChatGPTやGeminiといった生成AIツールは、仕様書の要約やエラーログのデバッグなど、業務効率化に大きく貢献する可能性があります。しかし、その利便性の裏側には、機密情報が外部に流出する危険性が潜んでいます。

多くのエンジニアは、業務の効率化を重視するあまり、AIサービスの利用規約を詳細に確認したり、社内の情報セキュリティ部門に相談したりする手間を省きがちです。このような状況で、機密性の高いソースコードやログを安易にAIに入力してしまうと、意図せず情報漏洩を引き起こす可能性があります。

このリスクを認識する手軽な方法として、AIツールに直接「ここNDA（機密保持）大丈夫ですか？」と問いかけることが提案されています。実際にAIにこの質問を投げかけると、「いいえ、このチャット環境は一般的なNDAの要件を満たしていない可能性が極めて高いです。入力されたデータは、AIモデルの学習やサービス改善に利用されるリスクがあるため、未公開情報や企業の機密データなどは絶対に入力しないでください。」といった警告が返ってくることがあります。これは、ツール自身が情報漏洩のリスクを警告している状況を示しています。

AIの回答は法的な保証を伴うものではありませんが、危険な利用環境を瞬時に見破るための「ブレーキ」として機能すると考えられます。

使われた技術・ツール

この事例で言及されている技術やツールは、主に以下の生成AIサービスです。

• ChatGPT
• Gemini

これらの生成AIは、Web UIを通じて利用されることが一般的ですが、API経由での利用も可能です。API経由のツールとしては、Cursorや各種プラグイン、企業が契約するEnterpriseプランなどが挙げられています。

得られた成果

AIに直接質問するというアプローチにより、以下の成果が得られます。

• 情報漏洩リスクの即時認識: データを入力する前にAIに問いかけることで、そのチャット環境がNDA要件を満たさない可能性が高いことを瞬時に認識できます。これは、手軽で確実なセキュリティチェックとして機能します。
• 無自覚な地雷の明確化: エンジニアが陥りがちな情報漏洩の具体的なパターンが明確にされています。これには、本番環境のIPアドレスや内部DBテーブル構造、顧客IDなどの生データを含むエラーログの丸ごとコピー、競合他社に情報が流出するリスクのある自社ドメインロジックを含むソースコード、未公開の仕様やインサイダー情報を含む顧客との打ち合わせ議事録の音声・テキストなどが含まれます。
• 「履歴オフ」設定の限界認識: Web UIでチャット履歴や学習機能をオフにしても、データが運営会社のサーバー（多くは海外）に送信され、不正監視目的などで一定期間保管される規約になっているケースが多いことが指摘されています。これにより、企業のNDA（データ国外移転禁止やサードパーティ提供禁止）に抵触するリスクがあることを認識できます。
• 具体的な防衛策の提示: 情報漏洩を防ぐための実践的な防衛策が2つ提示されています。これにより、エンジニアはリスクを回避するための具体的な行動を取ることができます。

同じ規模の組織が真似できるポイント

AI利用における情報漏洩リスクを管理し、組織のセキュリティを強化するために、以下のポイントを実践することが推奨されます。

• AIへの直接質問を習慣化する: データをAIのチャット画面に貼り付けようとする瞬間、「ここNDA大丈夫ですか？」とAIに問いかける習慣を身につけることが重要です。これは、難しいセキュリティポリシーを覚えるよりも直感的で、わずか1秒でリスクを認識できる「直感的なブレーキ」として機能します。
• 情報の徹底的な抽象化: 機密性の高い情報をAIに入力する際は、その核心部分を完全に抽象化する必要があります。自社のドメインロジックや具体的な変数名は一切隠し、「一般的な二分探索のバグ修正」といったレベルまでコードや情報をぼかして入力することで、機密情報の流出リスクを低減します。
• API経由ツールの活用と契約プランの検討: Web UIでの利用ではなく、原則としてデータがAIモデルの学習に使われないAPI経由のツール（例: Cursorや各種プラグイン）や、企業が契約するEnterpriseプランの利用を検討します。ただし、API経由であっても不正監視目的で一定期間サーバーにデータが一時保管される規約が多いことを理解し、自社のセキュリティポリシーとの整合性を必ず確認することが不可欠です。
• 所属組織のセキュリティポリシーの遵守: AIサービスの利用規約やセキュリティ対策は常に更新されるため、機密情報の取り扱いに関しては、必ず所属組織のセキュリティポリシーを確認し、法務部門や情報セキュリティ担当者の指示に従うことが最も重要です。

まとめ

AIは業務効率を飛躍的に向上させる強力なツールですが、その裏側はオープンな世界と直結しており、無自覚な情報漏洩のリスクを常に伴います。エンジニアがAIを安全に活用するためには、複雑なセキュリティポリシーを全て記憶するのではなく、データを入力する直前にAIに直接「ここNDA大丈夫ですか？」と問いかけるという「直感的なブレーキ」をかける習慣が有効です。

このシンプルな行動は、情報漏洩につながる危険な環境を瞬時に見破り、自身のキャリアと所属組織の機密情報を守るための、AI時代における重要なセキュリティスキルとなります。情報の抽象化やAPI経由ツールの適切な利用と合わせて、所属組織のセキュリティポリシーを常に確認し、遵守することが求められます。

免責事項

本記事の内容は、一般的な情報提供を目的としており、法的助言を構成するものではありません。生成AIサービスの利用規約やセキュリティ対策は、サービス提供元によって常に更新されており、本記事の内容が最新の仕様と異なる場合があります。機密情報の取り扱いに関しては、必ず所属組織のセキュリティポリシーを確認し、法務部門や情報セキュリティ担当者の指示に従ってください。本記事の内容を実践したことによって生じた損害等について、責任を負いかねます。

出典: https://zenn.dev/recursivecall/articles/5244e1613ba3f8