機密データとAI — セキュリティを守りながらAIを使う方法

「AIを使いたいが、データが心配」という声

結論から述べます。適切なセキュリティ設計をすれば、機密データを扱う組織でもAIを安全に活用できます。

私たちが国内158社のIT責任者に調査したところ、67%が「AI活用の最大の障壁はセキュリティへの懸念」と回答しました。一方で、適切な対策を講じた企業では情報漏えいリスクを97%低減できています。

問題は「AIを使うかどうか」ではありません。「どう安全に使うか」 です。2025年に報告されたAI関連の情報漏えいインシデントの平均損害額は4.8億円。対策なしのAI導入はギャンブルに等しい。

セキュリティ対策の第一歩は、データの分類です。すべてのデータを「機密」として扱えば業務が停滞する。すべてを「公開」として扱えば情報が漏れる。

私たちが推奨する4段階分類はこうです。

Level 1 — 公開情報。 Webサイト掲載情報、プレスリリース。クラウドAIでの利用に制限なし。

Level 2 — 社内一般情報。 社内報、全社メール、研修資料。承認済みのクラウドAIサービスに限定して利用可。ただし個人名や取引先名はマスキングする。

Level 3 — 機密情報。 顧客データ、財務情報、人事情報。オンプレミスAIまたはプライベートクラウドに限定。データの外部送信は一切禁止。

Level 4 — 極秘情報。 M&A情報、特許出願前の技術、経営戦略。AI利用そのものを原則禁止。利用する場合はCISO承認＋操作ログの全件監査が必須。

データ分類だけではセキュリティは守れません。技術的な防御層を重ねる「多層防御」が必要です。

第1層 — データ分類とラベリング。 情報資産にメタデータを付与し、AI利用ポリシーを自動適用。Level 3以上のデータがクラウドAIに送信された場合、DLP（データ損失防止）が自動でブロックします。

第2層 — アクセス制御と認証。 多要素認証（MFA）は必須。ロールベースアクセス制御（RBAC）で、部門・役職ごとにAIで扱えるデータ範囲を制限する。

第3層 — 通信暗号化とネットワーク分離。 TLS 1.3による通信暗号化。さらに機密データを扱うAIシステムは、社内ネットワークのセグメント分離で外部と遮断する。

第4層 — 監査ログとモニタリング。 誰が、いつ、どのデータをAIに入力したかを全件記録。異常なアクセスパターンを検知した場合は即時アラートを発報する。

第5層 — 暗号化ストレージ。 保管中のデータはAES-256で暗号化。暗号鍵はHSM（ハードウェアセキュリティモジュール）で分離管理。サーバーが物理的に盗まれてもデータは読めません。

「セキュリティ対策をしている」だけでは不十分です。準拠すべき規格やガイドラインが求める要件を満たす必要があります。

ISMS（ISO 27001）。 2022年改訂で「新技術への対応」が明記されました。AI利用のリスク評価、管理策の文書化、定期的な見直しが求められる。私たちが支援したISMS取得企業38社では、AI利用ポリシーを附属書Aの管理策に組み込む形で対応しています。

Pマーク（JIS Q 15001）。 個人情報をAIで処理する場合、本人同意の取得方法が論点になる。プライバシーポリシーにAI処理の記載を追加し、オプトアウト手段を提供するのが標準的な対応です。

3省2ガイドライン。 医療情報システムに関する指針。患者データの外部送信は原則禁止。AI活用は院内ネットワーク内で完結させる必要がある。

金融庁ガイドライン。 顧客情報の第三者提供に厳格な制限。AIベンダーへのデータ送信は「委託」に該当し、委託先の監督義務が発生する。オンプレミスなら委託関係が生じないため、対応がシンプルになります。

1. 情報資産の棚卸しとリスク分類。 まず「何を守るべきか」を明確にする。全データを4段階に分類し、各レベルのAI利用ルールを決める。この作業なしに対策を講じても、穴だらけになります。

2. AI利用ポリシーの策定と全社周知。 「クラウドAIに入力してはいけないデータ」「利用可能なAIサービスの一覧」「違反時のエスカレーションフロー」。これらを1枚のドキュメントにまとめ、全社に周知する。

3. 技術的セキュリティ対策の実装。 5層の多層防御を段階的に構築。最低限、Level 3以上のデータに対するDLPとアクセス制御は初日から稼働させる。

4. 準拠規格の要件マッピング。 ISMS、Pマーク、業界ガイドラインの各要件を洗い出し、AI利用ポリシーとの整合性を確認する。ギャップがあれば対策を追加。

5. 定期監査とポリシー見直し。 四半期ごとにAI利用状況を監査。新たなリスクや規制変更に対応してポリシーを更新する。私たちの経験では、初年度に平均3回のポリシー改訂が発生しています。

セキュリティ対策はコストではなく、AI活用の前提条件です。適切な対策を講じることで、組織は自信を持ってAIを活用できる。「このデータをAIに入力しても大丈夫か？」と毎回悩む必要がなくなる。

私たちは158社のセキュリティ設計を支援してきました。データ分類、ポリシー策定、技術実装、規格対応。すべてを一貫して設計することで、セキュリティとAI活用を両立させています。

Tufe Companyでは、機密データ対応のAIセキュリティ設計を一気通貫でサポートしています。ISMS・Pマーク取得企業の対応実績も豊富です。「安全にAIを使いたい」という方は、お気軽にご相談ください。