最初にやるのは記録。削除はその後
履歴を消したくなるのは、消せばなかったことになる気がするからです。なりません。入力した内容はすでに事業者のサーバーに届いていて、画面から消えても手元の記録が消えるだけです。
そして消した瞬間、何を入れたのかを誰も説明できなくなります。後から「どの顧客の、どの項目が、いつ出たのか」を聞かれたときに答えられない。これが一番まずい。
画面をスクリーンショットで残してください。入力したプロンプト全文、日時、使ったサービス名とアカウント、返ってきた内容。この4点が揃っていれば、後の判断はだいたいできます。
スクリーンショットは個人のスマホではなく、会社の共有フォルダか担当者のPCに置きます。あとで本人が退職しても残るようにしておく、という意味です。
30分以内に、何が出たかを確定させる
記録が取れたら、中身を分類します。ここで必要なのは正確さより速さです。完璧に分類しようとして時間を使うより、ざっくり分けて次に進んだほうがいい。
| 入っていたもの | 影響 | この後 |
|---|---|---|
| 氏名・住所・電話・メールなど、特定の個人がわかる情報 | 大きい | 個人情報保護法の検討が必要。件数を数える |
| 病歴・信条・犯罪歴など要配慮個人情報 | とても大きい | 上に加えて、より慎重な扱いが要る |
| 取引先の社名入りの見積や契約条件 | 大きい | 秘密保持契約の確認。報告義務があることが多い |
| 自社の設計図・ソースコード・原価 | 中〜大 | 社内判断。営業秘密としての管理状況を確認 |
| 社内の会議メモで、固有名詞を含まないもの | 小さい | 記録だけ残して様子を見る、で足りることが多い |
件数を数えるのを忘れがちです。「顧客情報を入れました」と「顧客情報を1,200件入れました」では、この後の対応がまったく変わります。
報告するかどうかの線引き
社内で止めるか、外に報告するか。ここで迷って一晩置く会社が多いのですが、置くほど選択肢が減ります。
個人データが漏れた、あるいは漏れたおそれがある場合、個人情報保護法では個人情報保護委員会への報告と本人への通知が求められる類型が定められています。要配慮個人情報が含まれる場合、財産的被害のおそれがある場合、不正の目的によるおそれがある場合、そして1,000人を超える場合。このどれかに当たりそうなら、早い段階で弁護士か、委員会の相談窓口に当たってください。
個人情報保護委員会は相談窓口を設けています。「報告が必要か分からない」という段階で聞いて構いません。自社だけで「たぶん大丈夫」と判断して、後から指摘されるほうがダメージが大きい。
取引先の情報が出た場合は、秘密保持契約を読み直します。多くの契約に「漏えいまたはそのおそれが生じた場合は直ちに通知する」という条項が入っています。黙っていて後から発覚すると、情報が出たこと自体より、報告しなかったことのほうが問題になります。
やってしまった本人を責めない
実務としていちばん効くのはこれだと思っています。
本人が怒られると、次から報告が上がってこなくなります。報告されない事故は、対処もされません。半年後に取引先から指摘されて初めて知る、というのが最悪の展開です。
生成AIへの入力は、メールの誤送信と同じで、誰でもやります。手が滑ったことを責めるのではなく、報告が早かったことを評価する。そういう運用にしておかないと、情報が集まらない。
実際、報告が30分で上がってくる会社と、3日後に上がってくる会社では、使える手の数が全然違います。
ここまで終わってから、削除する
記録を取り、中身を分類し、報告の要否を判断した。ここまで来てようやく削除です。
各サービスには会話の削除機能があります。ただし削除してもすぐに消えるわけではなく、事業者側のバックアップから消えるまでには期間があるのが普通です。「削除したので解決」と報告書に書くと、後で揉めます。
学習に使われるかどうかは、削除では変わりません。入力時点の設定で決まっています。だから設定は事前にやっておく必要があります。
一度やると、だいたい覚える
ここまで読んで「面倒だな」と思ったなら、それが正しい感想です。面倒です。
ただ、この順番を一度でも通しておくと、本番で迷いません。逆に知らないままだと、最初の30分で履歴を消して、記録もなく、報告もできない状態になります。そこから挽回するのはかなりきつい。
紙に書いて、生成AIを使う人の見える場所に貼っておくくらいでちょうどいいと思います。