職場での生成AIツール活用には、さらなるセキュリティ対策が必要

F5エコシステム | 2023年8月22日

生成AIは、誰もが目を奪われずにはいられない、ひときわ輝く存在のようなものです。

世界中のほぼすべての企業が、生成AIツールによるビジネス変革の可能性に熱い視線を注いでいます。それも当然です。

生成AIは、自然言語によるリクエストに応じてテキストや画像などのコンテンツを生成する機械学習の一種であり、状況を一変させるテクノロジーです。生産性の向上からパーソナライゼーションの改善まで、生成AIツールはさまざまなメリットをもたらします。

たとえば、Gartnerが最近実施した調査では、2,500人を超える経営幹部が、生成AIへの投資の主な目的として顧客体験と顧客維持（38%）を挙げています。次いで、収益拡大（26%）、コスト最適化（17%）、事業継続（7%）などが挙げられています。

さらに、IBMが3,000人のCEOを対象に実施した別の調査では、CEO回答者の69%が、生成AIは組織全体に幅広いメリットをもたらすと考えています。しかし、CEO以外の上級幹部で、自社が生成AIを責任ある形で導入する準備ができていると回答した割合は、わずか30%でした。

“生成AIが急速に進化する中、組織は瞬く間に困難な状況に陥る可能性があります。”

率直に言えば、これは憂慮すべき状況です。生成AIを責任ある形で導入する準備が自社に整っていると回答した経営幹部は、3分の1未満にとどまっているのですから。

生成AIツールの活用で得られる可能性のあるさまざまなメリットに、つい目を奪われがちです。しかし、忘れてはなりません。生成AIツールの利用は、重大なリスクや課題をもたらす可能性があります。

生成AIが急速に進化する中、従業員による生成AIツールの利用方法を適切に管理し、生成AIのインターフェースに入力されるデータを把握していなければ、組織はたちまち深刻な問題に直面する可能性があります。

生成AIによる有益で良好な体験が、突如としてコストのかかる厄介なセキュリティ問題に変わるケースは数多くあります。以下はその一例です。

企業の機密データの漏えい。
すでに耳にしたり、記事で読んだりした方もいるかもしれませんが、Samsungの従業員が誤ってOpen AIのチャットボットにコードをアップロードした事例がありました。チャットボットはChatGPTです。この事例では、専有データが流出しただけでなく、Samsungにとって世界規模の深刻な広報上の問題にも発展しました。同様の事態が発生した、または今後発生する可能性がある組織は、Samsungだけではないでしょう。次は自社かもしれません。
誤情報やバイアスの拡散
ChatGPTのような生成AIツールは、大規模言語モデル（LLM）を基盤としています。LLMは、記事やWebサイトをはじめ、誤った情報や不正確な情報も含む、あらゆるデータセットを使ってトレーニングされています。生成AIツールが誤った情報を生成したり、誤認させられたりすることはなく、バイアスを助長することもないと思い込み、その出力をキャンペーンに使用したり、前提を組み立てる根拠にしたりしがちです。しかし、気づかないうちに真偽の境界が曖昧になり、企業の評判も損なわれかねません。さらに、生成AIチャットボットが生み出すバイアスや不正確な情報だけでなく、AIハルシネーションがもたらす問題もあります。
個人を特定できる情報（PII）の不適切な取り扱い。
生成AIツールとのやり取りでは、PIIが収集される可能性があります。厳格なデータプライバシー対策を維持する責任は、こうしたツールを提供する企業にあります。企業が対策を怠ると、アカウント乗っ取りへの対応を迫られる可能性があります。また、悪意のある第三者がお客さまのPIIを入手した場合、深刻な法的問題に直面し、お客さまからの信頼を損なうおそれもあります。

幸い、多くの組織が安全な利用慣行を維持するための対策を講じています。生成AIのメリットとデメリットに関する研修を提供する企業や、責任ある調査や試行を従業員に促す企業もあります。また、従業員による確認と遵守を求めるガイダンスを盛り込んだ生成AIポリシーを策定している企業もあります。

こうした対策には確かに意義があります。しかし、生成AIツールの普及度、複雑さ、進化の速さを考えると、さらなるセキュリティ対策が必要です。さらに、人的ミスを完全になくすことはできません。

一度は耳にしたことがあるでしょう。何度も聞いたことがあるかもしれません。「見えないものが害を及ぼすこともある」と。職場での生成AIツールの利用について、これほど的を射た言葉はありません。実態を把握していなければ、企業が不利益を被るおそれがあります。

“ゼロトラストセキュリティで優先すべき重要な戦略の1つは、生成AIツールへのアクセスを検知することです。”

職場での生成AIの利用に伴う脅威から保護するため、企業はゼロトラストのアプローチを採用する必要があります。ゼロトラストの基本原則は「決して信頼せず、常に検証する」であることを忘れないでください。今すぐ優先すべきゼロトラストセキュリティの重要な戦略の1つは、生成AIツールへのアクセスを検知することです。

従業員が職場で生成AIツールをどのように活用しているかについて、可視性を高め、きめ細かな制御を可能にすることで、セキュリティチームは潜在的なリスクを特定し、管理できるようになります。これにより、組織は次のことが可能になります。