【組織のAI活用#190】法人におけるAIのガイドライン策定に関して(2) GeminiなどのGoogle系AIサービスを使う上で学習データの取り扱いで押さえておきたいこと

こんにちは！寺田です。

現在は、デジタル関連会社のAI推進者などのAI活用者のコミュニティである「AI Digital Community (ADC)」の代表理事や、組織のAI活用を仕組みで加速させるプロダクトを提供するAI Portalize(株)の代表取締役を務めており、様々な側面から組織のAI活用をサポートしています！

ここ最近、企業において生成AIの活用が急速に進んでいます。ただ、社員が入力したデータが、AIの学習に使われてしまうのではないかという懸念は、多くの法務や情報システム担当者が抱える課題です。

AIの社内ガイドラインを策定する際、まず押さえておきたいのが、学習されるサービスとされないサービスの線引きです。冒頭に図解を入れさせていただきましたが、この全体像を把握することが非常に重要です。

ということで、今回はGeminiをはじめとするGoogle系のAIサービスを利用する際の、学習データ扱いの構造について書いていこうと思います。

Google系AIサービスにおける学習データ取り扱いの構造

GoogleのAIサービスにおける学習データの取り扱いは、冒頭の図解の通り、大きく分けて2つの層に整理できます。一つは学習される可能性が高い層であり、もう一つは法人利用で推奨される学習されない前提の層です。

入り口が違うと前提が変わるということを、まずはしっかりと社内で周知することが重要です。つまり、どのサービスからアクセスするかで、データの取り扱いが全く異なるということです。

学習に利用される可能性のあるサービス群

この層のサービスは、入力した内容や生成結果が、AIのモデル改善や開発に利用される可能性があります。機密情報や顧客情報の入力は、絶対に避けるべき領域です。

例えば、Google AI Studioの無料枠です。これは個人のGoogleアカウントで利用する開発者向け環境であり、送信内容が改良に利用され得るため、オプトアウトができない前提で考える必要があります。

また、個人向けのGeminiも同様です。一般的なGoogleアカウントで利用するWeb版のGeminiであり、アクティビティの設定次第では会話履歴がモデルの改善に使われる可能性があります。

さらに、BetaやPreviewなどの一般提供前サービスも注意が必要です。通常サービスと利用条件が異なる場合があります。仮に、概念実証などで利用するのだとすると、必ず事前に法務や情報システム部門への確認が必要です。

法人利用における推奨サービス群

企業が業務データを扱う場合は、基本的にこちらの層を利用する必要があります。学習されない前提で設計されているため、セキュリティを担保した運用が可能です。

例えばですが、Workspace with Geminiです。Google DocsやSheets、ChatなどのWorkspace環境内で利用するGeminiであり、入力内容はモデルの学習に使われない前提です。Workspaceの強力なセキュリティ制御下で安全に利用できます。

また、Vertex AI経由のGemini APIもこちらに該当します。Google Cloud Platformプロジェクトを通じて契約し利用するエンタープライズ向けのAPIです。顧客データが学習や微調整に使われない前提となっており、実データを扱う本番環境はこちらを利用します。

API利用時の留意点

開発者やエンジニアがAPIを利用する際、どちらのキーを使っているかが非常に重要な分岐点になります。AI Studioの無料APIキーは個人検証向けであり、学習に利用される前提です。

逆に言うと、Vertex AIのGemini APIは法人本番向けであり、学習されない前提です。概念実証の段階で無料のAI Studioを使っていて、そのまま実データを入れてしまうという事故を防ぐ仕組みが必要です。

システム的な切り分けが重要ではないかなと思っています。というのも、入り口のミスが重大なインシデントに繋がりかねないからです。

ガイドライン策定と運用における実務的なポイント

これらの構造を踏まえ、法人でAIガイドラインを策定し運用する際のポイントは3つあると考えます。1つ目は、入り口を明示することです。業務で利用してよいAIの入り口を、Workspace with GeminiとVertex AIのみに限定し、社内に明確にアナウンスします。

2つ目は、概念実証と本番環境を明確に分けることです。AI Studioの無料枠は、あくまで個人レベルの技術検証までとルール化します。実際の業務データを利用するフェーズに移行する前に、必ずVertex AI環境へ移行するプロセスを組み込みます。

3つ目は、システム的なガードレールを設けることです。ルール化だけでなく、シングルサインオンの活用や社内ポータルの整備、ネットワーク制限などを設けます。個人向けAIサービスのシャドーIT化を抑制する仕組みづくりが重要という印象です。そのうえで、社員への教育を継続していく必要があります。

安全なAI活用のための環境整備

最大の注意点は、AI Studio無料枠や個人Geminiには、絶対に機密情報や顧客情報を入力しないことです。法人ルールに基づき、データを扱う環境とそうでない環境を明確に切り分けることが、安全なAI活用の第一歩となります。

イメージとしては、社内データの入り口に明確な関所を設けるような形です。一言でいうと、ガイドラインはツールへのアクセス経路を整理するための設計図です。

もちろん、新しいツールの登場で状況は変わると思いますが、ガイドライン策定の際は、ぜひ冒頭の図解とこの構造をベースにルール作りを進めていくのが良いのではないかなと思います。結果的に、それが企業と従業員を守ることにつながります。

読んでいただきありがとうございました！
過去のAI関連記事はこちらです！

ちなみに、組織におけるAIの推進についてまとめた本も出版させていただいております。もしよければご覧ください。