情報セキュリティと情報漏洩リスク

概要
AI利用に伴う情報漏洩リスクの性質、種類
AIの契約内容、利用方法、実装形態による情報漏洩リスクの違い
選択にあたっての考え方
本学における情報の取り扱いの規則
目安
関連ページ

概要

AI利用にあたっては、責任あるAI利用で述べたような一般的な注意の他に、日々遭遇する実践的な問題として、「非公開の情報などをどこまでAIに入力してよいか」という問題があります
これは情報の内容に加えて、利用方法、サービスの運用形態、クラウドサービスであればそのサービスの契約内容、によっても答えが大きく異なるもので、倫理的、社会規範上の問題よりも、リスクと有用性のバランスをどう取るかという、技術的な性格の強い問題です
そして、（他の問題と同様）明確な線引きは困難であり規則、ガイドラインに従うと曖昧さなく答えが導かれるというものではありません
本節ではそれを踏まえ
- リスクの性質、種類
- AIの契約内容、利用方法、実行場所によるリスクの違い
- 本学における情報の取り扱いの基本原則
- それらを踏まえた、場面ごとに取りうる適切な方法（目安）

について説明します

AI利用に伴う情報漏洩リスクの性質、種類

データの学習利用
- 一部のクラウド型サービス、特に無料サービスでは、ユーザの入力をAIモデルの学習に使用するという利用規約になっているものが多くあります
- このような契約においては、ユーザの入力に含まれる情報がモデルに学習され、結果として他のユーザへの出力に反映される、すなわち間接的に情報が流れることが、原理的にはありえます
会話履歴・個人化
- 多くのクラウド型有料サービスでは、利用規約中に、データを学習利用しない こと、より広くデータ保護方針、プライバシー方針（データが他のユーザに漏れないことなど）が明記されています
- しかし過去の会話履歴が保存され、同一ユーザとの将来の会話 に反映されることはあります
- その会話の内容をユーザの不注意によって漏洩させれば（意図しない範囲の人と共有する、Zoomの画面に出すなど）、あなたの情報が漏洩することがありえます
データ送信・保存
- クラウド型サービスを利用するということは、入力した情報がインターネットを通じてサービス事業者のサーバに送信・保存されることを意味します
- したがって、サービス事業者のセキュリティ体制、データセンターの所在地（準拠法が異なる場合がある）、情報漏洩事故のリスク、行政機関による開示命令への対応ポリシーなどが情報漏洩リスクに関わります
- 本学で定める機密性の高い情報を扱う場合には、この点を特に意識する必要があります
エージェント型AI・ワークスペース統合によるアクセス範囲の拡大
- Microsoft 365 CopilotやGoogle Gemini for Workspaceのように、メール・カレンダー・ドキュメントなどの業務データに横断的にアクセスするAI機能が普及しています
- このような「エージェント型」のAIでは、ユーザが明示的に入力した情報だけでなく、ワークスペース上に存在するデータが自動的にAIの処理対象となるため、意図せず機微情報がAIに渡るリスクが生じます

AIの契約内容、利用方法、実装形態による情報漏洩リスクの違い

AI（ここではさしあたりChatGPTのような言語やファイルを与えて質問への回答やタスクを実行させるものを考えます）の典型的な契約内容、利用方法、実行場所として以下のような形態があり、それらを区別しておくことが情報漏洩のリスクを判断する上で重要です。

「入力を学習に使う」とする契約（≒ 無料サービス）
「入力を学習に使わない」としている・またはそうできる契約（≒ 主に有償サービス）
「プライベートモード」（主に有償サービスで可能な利用方法）
「API利用」（プログラムから呼び出す）
「UI部分のセルフホスト」（UI部分を自分で管理するサーバ上で動かす）
「モデルのセルフホスト」（AIモデル自身を自分で管理するサーバ上で動かす）
「ローカルLLM」（自分のラップトップなどで動かす）

以下を理解するうえで、通常AIと対話している時にどこに何が送られ、保存されているかのイメージ図を示します。

AIと対話の図

利用者が入力した会話は、ユーザインタフェース（ブラウザで目にしているインタフェース）を担当するサーバに送られます
- 過去の会話の履歴が保存されているのもこのサーバです
そこから、これまでの会話の履歴（文脈）とともに実際のAIモデルを実行しているサーバに送られます
多くの利用形態では両方のサーバとも、Google, MicrosoftなどのAI事業者の管理するデータセンター内にあります

1. 「入力を学習に使う」とする契約（≒ 無料サービス）

多くの無料サービスが該当し、あるユーザの入力がモデルの学習を通じて他のユーザへ間接的に流れることがあり得ます
例えて言うならばこのリスクは、ファイルを誰でも見られる場所に公開するのと同じで、公開可能な情報以外の入力は避けるべきです
本学ではCopilot, Geminiの組織契約をしており、あえて無料サービスを使わないといけない状況は多くはありませんので、基本は避けて下さい
あえて活用する場面は、色々なサービスの色々なモデルを無料で試したい場合でしょう

2. 「入力を学習に使わない」としている・またはそうできる契約（≒ 主に有償サービス）

多くのクラウド型有料サービスでは、利用規約中に、データを学習利用しない こと、より広くデータ保護方針、プライバシー方針（データが他のユーザに漏れないことなど）が明記されています
本来はその方針をきちんと読んで確認すべき事項ではありますが、基本的にはそのような契約の場合、入力した内容が直接あるいは間接（AIモデルの学習を通じて）他のユーザに流れるようなことはありません。詳しくは以下をご覧下さい
- Microsoft Copilot Chat
- Google Gemini
例えて言うならばこのリスクは、このリスクは、クラウド上にファイルを置くときののリスクと似ています
- つまり、デフォルトの状態ではAIへの入力はあなたにしか見られず、漏洩することはありません
- あなたが間違って意図しない人と共有して漏洩させるとか、あなたのアカウントが侵入を受ける、サービス自身が侵入を受けたり情報を漏洩させる、などが考慮すべきリスクになります
本学でのAI利用も、この範疇の利用が多いと思われます
- サービスにアクセスするためのアカウントをしっかりと守る、会話の内容を共有する際に間違いがないか、などに気をつけて下さい

通常のサブスクリプション

3. 「プライベートモード」（主に有償サービスで可能な利用方法）

一部の有償サービスでは、会話履歴の保存を無効にする「プライベートモード」（または「履歴をオフにする」設定）が提供されています
このモードでは、会話セッション終了後に入力・出力が保存されないとされており、履歴が他の会話に反映されたり、サーバに長期間残ったりするリスクをなくせます
良い例えが浮かびませんが、このリスクは、ファイルをクラウドにアップロードしてすぐに消す、というようなものに近いです
そのため情報漏洩のリスクは低いものですが、サービス業者にデータを送信しているというリスクは残ります
データが自ら管理する区域をでてはいけない、大学をでてはいけない、国境からでてはいけない、などの守るべき方針があればそれに照らして利用可否を判断すべきものです

プライベートモード

4. 「API利用」（プログラムから呼び出す）

OpenAI API, Anthropic APIなど、プログラムから呼び出す形態です
多くのAPI利用規約では、デフォルトで入力データを学習に使用しないことが明記されています（サービスにより異なるため確認が必要）
また、会話履歴はAIを呼び出すプログラムが管理して毎回サーバに送信することが想定されていることがほとんどであり、サーバは、少なくとも長期的には保存していないと考えられます（それを実際に検証するのは困難ですが）
ただしデータがサーバに送信されることは変わらないため、機密性の高い情報の扱いには引き続き注意が必要です。研究グループで開発したシステムにAPIを組み込む場合は、そのシステムの利用者がどのような情報を入力しうるかも考慮した設計が求められます。
APIは通常の（ブラウザ経由で使うサービスのサブスクリプションの）有償契約には含まれておらず別途系やうする必要があることが多いです
本学ではOpenAI社のモデル中心ですが、UTokyo Azure経由で各種AIモデルのAPIを利用可能です

API利用

5. 「UI部分のセルフホスト」（UI部分を自分で管理するサーバ上で動かす）

「入力を学習に使わない」としている・またはそうできる契約（≒ 主に有償サービス） のリスクの多くは、過去の会話履歴が長期にわたって保存されている点にあります

公開されているモデルを自分で管理しているサーバに展開する形態です。入力データがサービス事業者に送信されることはなく、情報の流れや保存場所を明確に制御できます。そのため、機微情報・非公開研究データを扱う場合のリスクを管理、明確化しやすいです。一方で、サーバの管理・セキュリティ・アップデート対応などの運用コストは発生しますし、長期運用するのであればそれがおろそかになって侵入リスクが増加する可能性もあります。

本学ではmdxやUTokyo Azureに仮想マシンを起動してそこで、LLMサービスを導入することで利用可能です。

UIのセルフホスト

UI部分を自分のラップトップで動かすこともできます。Open WebUI
このために強力なGPUなどは不要です

UIのセルフホスト

6. 「モデルのセルフホスト」（AIモデル自身を自分で管理するサーバ上で動かす）

モデルのセルフホスト

7. 「ローカルLLM」（モデルまで自分のラップトップなどで動かす）

手元のPC・ノートPCでモデルを実行する形態です。入力・出力がすべてローカルで完結し、ネットワーク経由で外部に情報が送出されることはありません。情報漏洩リスクという観点では最も安全な形態です。ただし、利用できるモデルのサイズ・性能はハードウェアに依存し（特にメモリ容量）、大規模モデルを高品質に動かすためには相応のスペックが必要です。

モデルのセルフホスト

選択にあたっての考え方

仕事のためにAIを使う場合、「入力を学習に使う」とする契約（≒ 無料サービス）をあえて使う場面は、ほとんどありません。
多くの場合、「入力を学習に使わない」としている・またはできる契約（≒ 主に有償サービス）は機能性（データの読み取り、画像などの各種メディア処理）、モデル性能（高度な推論機能）、高速性を兼ね備えていますので、使い勝手を重んじる際には良い選択肢となります。
有償サービスを使う際、セッションを越えて記憶を維持する設定（デフォルトがそうなっている場合が多い）は、個人の仕事の効率化には貢献しますが、過去の入力（例えば過去の質問など）がその後の応答に紛れ込むリスクを作りますので、グループで共有している機微性の高い情報を入力するのは避け、「プライベートモード」を用いるのが賢明です。
「プライベートモード」を用いれば、情報保持はそのセッション内に限られるため、リスクはかなり軽減され、概ねクラウドストレージにデータを保管するのと同程度、またはそれ以下となります。多くのケースに適した選択肢になるでしょう。
API利用は、会話履歴をサーバ側に保存しない場合が多く、たとえ一時的であってもクラウドのデータセンターにデータを保存するリスクを最小化したい場合に有用です。ただし、有償サービスには、システムプロンプト（※）や、高度な推論をするモードなど、回答の質を上げるための工夫が作り込まれていますので同等レベルの回答を得ることが難しい場合もあります。
クラウドサービスにデータを送信することのリスクを避けたい（許容しない）場合、セルフホスト型もしくはローカルLLMが選択肢になります。いずれの場合も、
- APIを用いる場合と同様の弱点がある。さらに、
- 使えるAIモデルが公開（オープンウェイト（†））のものに限定される
- 使える計算機の性能によっても制限される、特にローカルLLMは自分のラップトップの性能に制限されるという制限も加わります。機密性が非常に高い情報に対して、比較的定型的な処理（翻訳）を行う場合に適していると言えるでしょう。また、セルフホスト型の場合、きちんとしたサーバセキュリティを確保できることが前提となります。

（※）システムプロンプト： AIの回答の傾向を制御する全体的な指示。

（†）オープンウェイト: AIの学習結果を公開しており、ダウンロードすれば任意の計算機で動かせるようなAIモデル。多くのクラウド型AIベンダーの主要モデルはオープンウェイトではない。

本学における情報の取り扱いの規則

以上、AIの実装形態によって情報漏洩リスクの違いがあることを理解したところで、ある情報を生成AIに入力してよいか否かを決める手順について述べます。

重要なことは、

情報の取り扱い（誰にこの情報を渡してよいか）に関する原則について正しく理解すること
その上で、AIの実装形態によるリスクと必要性のトレードオフを適切に判断すること

です。短い言葉で表現できる絶対の公式はありません。

本学の「情報セキュリティポリシー・情報分類・管理編」では情報管理の一般的な枠組みを定めています。そこでは

それぞれの情報について「情報責任者」を定める
情報責任者が「情報の分類及び管理」を行う

こととされています。情報の分類には、機密性、完全性、可用性がありますが、ここで生成AIに入力してよいかどうかを決めるのは機密性です。同文書では機密性の分類として機密性1, 2, 3という3つのレベルを定めていますが、レベルよりも大事なことは「この情報を共有して良い範囲」を明示することです（会議参加者限り、部局執行部限り、教職員限り、など）。生成AIに入力してよいかどうかもその一部であると考えるべきものです。

ポリシーで定めていることは「その情報をAIに入力してよいか、をきちんとその情報の責任者が決めて下さい」ということです。では責任者とは誰でしょうか? 特に断りがなければその情報の作成者とされていますが、引き継ぐこともできますし、組織内の仕事で作る場合は当該者間で協議の上、情報責任者を定めることもできます。

目安

上述の通り、ある情報をどのような形態のAIに入力してよいかは、リスクと必要性のバランスを鑑みて情報責任者（もしくは組織）が定めるべきものですが、ここでは実践的アドバイスとして情報の性質に応じて、多くの場合許容されると考えられる範囲を示します。

機密度	典型例	無料サービス¹	有償サービス¹	プライベートモード	API利用	UIセルフホスト	モデルセルフホスト	ローカルLLM
低	公開済み論文、大学Webサイト、一般的な質問	○	○	○	○	○	○	○
中	学内向け会議資料、部局内業務文書、研究メモ草稿	✕	○	○	○	○	○	○
高	作成中の入試問題、NDA下で受領した機密情報、特許出願前の発明	✕	△²	△³	△³	△³	△⁴	△⁵

凡例：○ 多くの場合許容される　／　△ 内容、必要性など場合による　／　✕ 原則として避けるべき
¹ 本来は「無料サービス」「有償サービス」という線引きに意味はなく、サービスのデータ保護契約（データ利用規約、プライバシー方針）に基づいて決めるべきものですが、わかりやすさ及び世の中の有償サービスは多くの場合、常識的なデータ保護規則（自分の入力が直接、またはモデルの学習を通じて漏洩することはない）を持っていることからこのような書き方をしています
¹ 履歴が残るため、原則は避けるべき。
² データは送信されるが履歴は残らない。セルフホストやローカルLLMが運用コストの問題で困難な場合には推奨。
個人情報（氏名・メールアドレス・成績・健康情報等）は上記の機密度とは別に、個人情報保護法上の制約があるため注意が必要です。連絡先程度であれば機密度としては「中」相当ですが、可能な範囲で個人情報を削除して入力することが推奨されます。成績・健康情報・評価などに関わる個人情報は機密度「高」に準じて扱ってください。
判断に迷う場合は当該情報の情報責任者、部局CISO、本学CISOにご相談ください。