内部不正とAIの利用

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

内部不正というと、悪意のある社員による持ち出しを思い浮かべるかもしれません。実際には、ルールを知らずに社外のサービスに社内の情報を入れてしまうといった、悪意のない行為が問題になることもあります。生成AIの利用が広がると、こうした場面は増えていきます。この記事では、内部不正の対策の基本を、AIの利用に当てはめて整理します。

なぜ、内部不正とAIの利用を一緒に考えるのですか？

IPAの「情報セキュリティ10大脅威 2026」では、組織にとっての脅威として、3位に「AIの利用をめぐるサイバーリスク」、7位に「内部不正による情報漏えい等」が挙げられています。この2つは、社内の人の行動が起点になる点で重なります。

生成AIを使うと、次のようなことが起こりえます。

• 集める・まとめる作業が速くなる： 社内の共有フォルダや文書を検索して要約するAIは便利ですが、権限が広すぎると、本来見る必要のない情報まで短時間で集められてしまいます
• 社外のサービスへの入力： 会社が認めていないAIサービス（シャドーAI）に、顧客の情報や社外秘の資料を入れてしまうことがあります
• 持ち出しの形が変わる： 資料そのものではなく、AIで要約した内容を持ち出すといった形も考えられます

いずれも、AIそのものの問題というより、誰が、どの情報に、どの道具でアクセスできるかの問題です。

IPAのガイドラインは、どのような原則を示していますか？

IPAの「組織における内部不正防止ガイドライン」（第5版、2022年4月改訂）は、犯罪が起きにくい状況をつくる「状況的犯罪予防」の考え方を応用し、次の5つを基本原則としています。

1. 犯行を難しくする（やりにくくする）
2. 捕まるリスクを高める（やると見つかる）
3. 犯行の見返りを減らす（割に合わない）
4. 犯行の誘因を減らす（その気にさせない）
5. 犯罪の弁明をさせない（言い訳させない）

ガイドラインは、これらの原則のもとで、基本方針、資産管理、技術・運用管理、職場環境、事後対策など10の観点から、33項目の対策を整理しています。第5版は、テレワークの普及や雇用・人材の流動化といった事業環境の変化を踏まえて改訂され、テレワークに関する対策の全体を見渡せる付録も加えられています。

5つの原則を、AIの利用にどう当てはめればよいですか？

5つの原則をAIの利用に置き換えると、たとえば次のようになります。

• やりにくくする： AIが参照できる情報の範囲を、その人の業務に必要な範囲に絞ります（最小権限）。会社が認めたAIサービスを用意し、それ以外への業務の情報の入力を禁止します
• 見つかるようにする： 誰が、いつ、どのAIサービスを使ったかを記録します。大量の情報の取得など、ふだんと違う使い方に気づける仕組みを検討します
• 割に合わなくする： 重要な情報は分類して印を付け、持ち出しても使いにくくする手段（暗号化など）を検討します
• その気にさせない： 使い方に迷ったときに相談できる窓口を設け、困りごとを言い出しやすい職場にします
• 言い訳させない： 入力してはいけない情報を具体的に示し、ルールを周知して、理解したことを確かめます。「知らなかった」をなくすことが目的です

退職や異動のときは、何に気をつけますか？

ガイドラインは、雇用が終わる間際に持ち出しなどの内部不正が起こりやすいことを指摘し、情報資産の返却や、IDと権限の削除などを対策に挙げています。AIのサービスでも、アカウントの停止や、個人の環境に残った履歴の扱いを、退職・異動の手続きに含めておくと安心です。

記録を残す仕組みは、社員の個人の情報も扱うことになります。目的と範囲を決め、社員に知らせてから運用すると、安心して使える環境につながります。具体的な進め方はシャドーAIへの対策と営業秘密を守りながらAIを使うもあわせてご覧ください。