はじめに

フクロウラボの情報システム担当をしております、高島です。
今回は、以前に弊社noteでも公開させていただいた「フクロウラボにおけるAIサービスの利用ガイドラインを策定しました」の記事を作成した目的と背景、また作成する際に検討、考慮した点について少し詳しく紹介したいと思います。

利用ガイドラインを作成した目的と背景

生成系AIの登場から3ヶ月ほどが経ち、
・どのサービスをどこまで利用していいのか。
・個人でアカウントを作成していいのか。
・利用するにあたってどんなリスクがあるのか。
などが明示的に定まっていないと、
「情報漏洩のリスクが高まる」
「社員の方は安心してサービスを利用できない」
「社内の情報統制がとれていない状態に陥る」
など、会社や社員の方にとってマイナスな作用を引き起こすと考えたためです。

また、大前提として弊社では生成系AIサービスの利用を積極的に推進し、社員の方の生成系AIに対するリテラシーを向上させたい。といった方針があります。
これは若杉CTOの

という考えを基に、弊社が決定した方針です。（この考えには情報システム担当の私自身も強く共感しました。）
そのため、いち早く利用ガイドラインを作成し、社内で生成系AIの活用を進めていきたい意向があったためです。

作成前に確認した前提条件

1. OpenAI社のChatGPTの利用シーンをメインに検討する

2. Web版のChatGPTではモデル学習に利用される可能性がある

3. 新しいサービス故、API経由だとしても情報漏洩リスクは避けられない

4. 会社単位でアカウントを管理できる体制をとりたい

5. 今後サービス利用規約が変更される可能性が高い

6. 新しいサービス故、完全に網羅されているガイドラインが存在していない

前提条件をもとに検討、考慮した事項

上記の前提条件を加味し、ガイドラインを作成しました。
どのような点を考慮したか、一つずつ解説していきたいと思います。

OpenAI社のChatGPTの利用シーンをメインに検討する

生成系AIにおいてはガイドライン作成の時点において、また、現在にても依然として「ChatGPT」がその代表格として存在感を示しています。
また、ソフトウェア開発のプラットフォーム「Github」は1億人のユーザー数を抱え、ソースコード管理の標準といっても過言ではありません。
その「Github」と「OpenAI」が連携し、「Github Copilot」としてプログラミングにまつわる各種作業を支援するサービスを提供しています。
開発部門を抱える弊社としてはこのサービスを利用することは必然となります。
上記の状況を踏まえると、OpenAI社のサービス（＝ChatGPT）を利用するケースを想定してガイドラインを作成することで、追従する他の生成系AIサービスに対しても流用が効くことになると想定したためです。

Web版のChatGPTではモデル学習に利用される可能性がある

こちらに関しては、情報漏洩リスクの観点から、Web版のChatGPTの利用を一律で禁止にしました。
モデル学習に情報が利用されないと規定されているOpenAI ChatGPT APIを使用して、弊社内でChatGPTライクなサービスを開発する想定でいたためです。

新しいサービス故、API経由だとしても情報漏洩リスクは避けられない

上記で「API経由ではモデル学習に情報が利用されないと規定」と記載しましたが、サービス提供から日が経っていないこともあり、入力データ情報のセキュリティ対策がきちんと行われているか、実績もなく、検証のしようもない状況です。
そのため、たとえAPI経由での利用だとしても、ユーザーが入力するデータを区分し規定を行いました。（下記の画像を参照ください）

これにより、なにかしらの形で情報が流出することがあったとしても、企業へのマイナスな影響を抑えることができると考えました。

会社単位でアカウントを管理できる体制をとりたい

ガイドラインを作成する以前より、新サービスへの興味・関心が高いメンバーは個人でアカウントを作成し、それを業務利用しているといった状況も散見しておりました。
そのため、会社としてガバナンスが効いた状態を担保するため、業務利用するアカウントは一律で会社作成のメールアカウントにて作成し組織の管理下におくことで、誰がアカウントを持ち、どれくらいの利用を行なっているのかを把握することが可能となります。
幸いにもOpenAIには「Organization」という単位でメンバーを管理するアカウント管理体制が提供されていたため、この運用方針を採択しガイドラインに盛り込みました。

今後サービス利用規約が変更される可能性が高い

こちらも新しいサービス故の懸念点でした。
現在はモデル学習にユーザーが入力した情報を使用しないと謳っていますが、今後その規定が変更になるケースも考えられます。
そのためにも上記で記載した「情報区分表」を作成、入力可能なデータに制限をかけることで今後の変化にも対応できるようにしました。

新しいサービス故、完全に網羅されているガイドラインが存在していない

この点がガイドラインを作成する上で一番苦労しました…
他社様はもとより、国単位でもこの技術革新に対してどのようなアプローチを行なっていくべきか、試行錯誤のフェーズであると考えます。
そんな中、会社としての方針をドキュメントとして発出することに対しては少なからずプレッシャーを感じておりました。
ただ、本件に関して先駆けてガイドラインを作成、対外的に発出してくださった「クラスメソッド様」「Zaim様」「SmartHR様」のガイドラインより
・基本的な書き方
・ガイドラインに盛り込むべき事項
などを参考にさせていただき、無事第一版を作成することができました。
参考にさせていただいた企業様には感謝しかありません。

さいごに

いかがでしたでしょうか。
生成系AIの利用に限らず、ガイドライン作成においては考慮すべき事項を作成前に洗い出し、自社の置かれている状況やITリテラシーなどに応じて記載内容をアレンジしていく必要があります。
・ガイドラインってなんのために作るの？
・社内向けのガイドライン作成ってどうやって作るの？
・作成者の思考プロセスってどんな感じ？
など、私個人が気になっていました。
そのため、同じような状況におられる方の参考になれば嬉しいです！
以上、お読みいただきありがとうございました！