AI人材の情報漏洩対策｜外部委託時に整えるべきセキュリティ体制

外部のAI人材に業務を任せる際、多くの企業がまず気にするのはスキルや実績です。しかし、AI活用に関わる業務は生成AIツールへの入力を伴うことが多く、通常の業務委託以上に情報の取り扱いに注意が必要な領域だと考えられます。契約締結を急ぐあまり、情報セキュリティの体制整備が後回しになり、受け入れが始まってから慌てて取り決めをすり合わせるケースは少なくありません。

この記事では、外部のAI活用人材を受け入れる際に押さえておきたい情報漏洩対策を、秘密保持契約(NDA)、アクセス権限の設計、生成AIツールへの入力データの扱い、貸与端末と私物端末の考え方という4つの観点から整理します。契約形態の選び方はAI人材の業務委託活用ガイドで解説しているため、本記事では情報セキュリティの運用面に絞って掘り下げます。

秘密保持契約(NDA)で押さえておきたい基本項目

外部人材と業務委託契約を結ぶ際、秘密保持契約(NDA)を別途取り交わすか、業務委託契約書の中に秘密保持条項を盛り込むのが一般的な対応です。NDAで整理しておきたい主な項目は以下のとおりです。

• 秘密情報の定義(どの範囲の情報を秘密情報として扱うか)
• 利用目的の限定(委託業務の遂行以外への利用を禁止する)
• 第三者への開示・再委託の可否と条件
• 契約終了後の秘密保持義務の存続期間
• 秘密情報の返却・破棄の方法とタイミング

特にAI活用の文脈では、「業務データそのもの」だけでなく、「業務データを生成AIツールに入力する行為」自体が秘密情報の第三者提供に該当し得るかどうかが論点になりやすいと考えられます。この点は後述する生成AIツールへの入力データの扱いともあわせて、契約書上で明確にしておくことが望ましいでしょう。なお、NDAの具体的な条文設計や自社にとっての妥当性の判断は、最終的に弁護士など専門家への確認をおすすめします。

アクセス権限は「最小化」を原則に設計する

外部人材に業務を任せる以上、一定の情報・システムへのアクセス権限を付与する必要があります。ここで重要になるのが、必要最小限の権限だけを付与する「最小権限の原則」です。

• 委託する業務の遂行に必要な範囲のフォルダ・システムのみアクセスを許可する
• 個人情報や機密度の高い経営情報など、業務上不要な領域には最初からアクセスできない設計にする
• 権限の付与状況を定期的に棚卸しし、不要になった権限は速やかに削除する
• 契約終了時にアクセス権限を確実に停止する手順をあらかじめ決めておく

権限設計は、委託開始前に「どの範囲まで見せるか」を洗い出す作業とセットで行うことが望ましいと考えられます。受け入れ担当者が曖昧なまま「とりあえず全部見えるようにする」という運用は、情報漏洩対策の観点では避けたい進め方です。

生成AIツールへの入力データの扱いを事前にルール化する

AI活用人材が業務の中で生成AIツールを使う場合、入力したデータがどう扱われるかを事前に確認しておく必要があります。生成AIサービスの多くは、入力データを学習に利用するかどうかを設定で切り替えられる仕組みを提供していますが、挙動はサービスやプラン、設定状況によって異なります。個別のサービスの学習利用ポリシーは、必ず利用時点の公式ドキュメントで確認することが前提です。

実務上、次のような運用ルールを事前にすり合わせておくと、情報漏洩のリスクを下げやすくなります。

• 業務で利用してよい生成AIツールを会社側で指定する(委託先が任意のツールを自由に使う状態にしない)
• 顧客情報・個人情報・未公開の経営情報など、機密度の高いデータをそのまま入力しない運用を徹底する
• 入力前に匿名化・マスキングが必要なデータの範囲を具体的に決めておく
• 契約書・覚書に、生成AIツールへの入力に関するルールを明記する

「どのツールを、どんなデータで、どこまで使ってよいか」を曖昧にしたまま委託を始めると、悪意がなくても意図しない情報の流出につながる可能性があります。

貸与端末か、私物端末(BYOD)か

外部人材が業務に使用する端末をどうするかも、情報漏洩対策の重要な論点です。大きく分けて、会社が端末を貸与する方式と、私物端末の利用を認めるBYOD(Bring Your Own Device)方式があります。

貸与端末は、セキュリティソフトの導入状況やアクセス制御を会社側で統一的に管理できる点が利点です。一方で、外部人材が複数のクライアントの業務を兼務している場合、貸与端末の運用は現実的でないこともあります。私物端末の利用を認める場合は、以下のような最低限のルールを取り決めておくことが望ましいと考えられます。

• ウイルス対策ソフトの導入状況を確認する
• 業務データを私物端末のローカルに保存しない運用にする(クラウド上での作業を基本とする)
• 端末の紛失・盗難時の報告義務と対応手順を契約書に明記する
• 契約終了時に業務データを完全に削除したことを確認する手順を決めておく

貸与かBYODかは、委託する業務の機密度や委託期間、受け入れ体制の整備状況によって判断が分かれる部分であり、どちらか一方が常に正解というわけではありません。

情報漏洩対策チェックリスト

これまでの内容を、実務で確認しやすいチェックリスト形式にまとめます。

受け入れ側で継続的に運用したいこと

情報漏洩対策は、契約書を整えて終わりではなく、委託期間中も継続的に運用してこそ機能します。

• 定期的なレビューの場で、情報の取り扱い状況についても確認事項に含める
• 委託先の担当者が交代する場合、引き継ぎ時にもセキュリティルールを再共有する
• 契約終了時のチェックリスト(アクセス権限の停止、端末上のデータ削除、秘密情報の返却)を運用フローとして固定化する

受け入れ担当者が情報セキュリティの専門知識を持っている必要は必ずしもありませんが、「何を確認すべきか」のチェックリストを持っておくことで、属人的な判断に頼らない運用が可能になります。

まとめ

外部のAI活用人材を受け入れる際の情報漏洩対策は、秘密保持契約の整備、アクセス権限の最小化、生成AIツールへの入力データの取り扱いルール、端末管理という4つの観点を押さえることで体系的に整理できます。いずれも契約締結前に一度整理しておけば、委託開始後の運用はチェックリストに沿って回せるようになります。

契約形態の選び方や受け入れ体制の全体像はAI人材の業務委託活用ガイドで解説しています。自社の情報セキュリティ体制に照らして委託の進め方を具体的に検討したい場合は、企業からのご相談も選択肢としてご検討ください。