生成AIの利用制限は仕事にどう影響する？アンケートから考える企業のセキュリティ対策

生成AIの業務利用が急速に広がる一方、企業では情報漏えいや機密情報の入力、著作権、誤情報などのリスクを踏まえ、「利用できる生成AIサービスを限定する」という動きも進んでいます。

では、会社から生成AIの利用を制限された場合、従業員の生産性や仕事への意欲にはどのような影響があるのでしょうか。正直、生成AI活用の促進も支援している私としては、非常に意外な結果でしたが、下記のようなアンケート回答がありました。

158人を対象に実施したアンケートでは、最も多かった回答は「特に影響はない」の36.1％でした。一方、「生産性が少し下がると思う」が20.3％、「生産性・仕事のやる気ともに下がる」が20.9％となり、合計41.2％が生成AIの利用制限によって生産性やモチベーションにマイナスの影響が出る可能性を感じていることが分かりました。

また、「安心して使えるので、むしろ仕事しやすい」と回答した人も22.8％います。

この結果から見えてくるのは、「生成AIを制限すれば安全になる」という単純な問題ではないということです。

企業に求められているのは、生成AIを一律に禁止することではなく、従業員が安全かつ業務効率を落とさず利用できる環境を整備することではないでしょうか。

生成AIの利用を制限すると仕事にはどのような影響がある？

今回のアンケート結果は次の通りです。

• 安心して使えるので、むしろ仕事しやすい：22.8％
• 特に影響はない：36.1％
• 生産性が少し下がると思う：20.3％
• 生産性・仕事のやる気ともに下がる：20.9％

「特に影響はない」と「むしろ仕事しやすい」を合わせると58.9％となり、過半数は企業による生成AIの利用制限を大きな問題とは捉えていません。

これは、企業が利用可能な生成AIを明確にすることに一定のメリットがあることを示しています。

従業員から見ても、

「この生成AIは仕事で使っていいのか」

「入力したデータはAIの学習に使われないのか」

「顧客情報を入力しても問題ないのか」

といった判断を個人で行うことには負担があります。

企業側で安全性を確認した生成AIを指定すれば、従業員は判断に迷うことなく利用できます。その意味では、適切な利用制限はセキュリティを高めるだけでなく、従業員の安心感にもつながります。

一方で見逃せないのが、約4割が生産性や仕事への意欲に悪影響を感じているという点です。

生成AIをすでに日常業務に取り入れている人ほど、突然利用できなくなった場合の影響は大きくなる可能性があります。

文章作成、情報整理、アイデア出し、要約、翻訳、プログラミングなど、生成AIが日常的な業務プロセスに組み込まれ始めているためです。

なぜ企業は生成AIの利用を制限するのか

企業が生成AIの利用を制限する大きな理由の一つが、情報セキュリティ上のリスクです。

生成AIサービスは非常に便利である一方、使い方を誤ると企業の重要情報が外部へ送信される可能性があります。

たとえば、次のような情報を生成AIに入力してしまうケースが考えられます。

• 顧客の氏名や連絡先などの個人情報
• 未公開の製品・サービス情報
• 社内会議の議事録
• 契約書や見積書
• ソースコード
• システム構成情報
• IDやパスワードなどの認証情報
• 取引先から預かっている機密情報

こうした情報を従業員が個人向けの生成AIサービスへ入力すると、企業側からはデータがどこへ送信されたのか、どのように保存されるのかを十分に管理できない場合があります。

そのため、「どの生成AIでも自由に使ってよい」という状態は、企業のセキュリティ管理としては大きな課題を抱えます。

生成AIの利用ルールを設けること自体は、決して過剰な対応ではありません。

重要なのは、どのように制限するかです。

「生成AIを禁止すれば安全」とは限らない

企業が生成AIのリスクに気付いたとき、最も分かりやすい対策は「利用禁止」です。

しかし、禁止すればすべての問題が解決するとは限りません。

むしろ、過度な制限によって新たなセキュリティリスクが発生する可能性があります。

その代表例が「シャドーAI」です。

シャドーAIとは？

シャドーAIとは、企業や情報システム部門が許可・把握していない生成AIサービスを従業員が業務で利用することを指します。

たとえば会社が生成AIを禁止していても、従業員が、

• 個人のスマートフォンから生成AIを利用する
• 個人アカウントでAIサービスへログインする
• 会社が許可していないAIサービスをブラウザから利用する
• 業務文書をコピーして外部AIへ入力する

といった行動を取れば、企業側から利用状況を把握することは難しくなります。

表面上は生成AIの利用者がゼロになっていても、実際には企業が管理できない場所でAI利用が続いている、という状態になりかねません。

これはセキュリティ対策として非常に厄介です。

生成AIを制限した結果、リスクそのものがなくなるのではなく、「見えていたリスク」が「見えないリスク」に変わってしまう可能性があるからです。

生成AIセキュリティでは「禁止」より「管理」が重要

生成AI時代のセキュリティ対策では、

利用禁止か自由利用か

という二択で考えるのではなく、

どの範囲なら安全に利用できるのか

を設計することが重要です。

企業が検討すべき代表的な対策として、以下が挙げられます。

1．業務で利用してよい生成AIを明確にする

まず必要なのは、会社として利用を認める生成AIサービスを明確にすることです。

単に「生成AIは禁止」と伝えるのではなく、

「このサービスは業務利用可能」

「この用途なら利用可能」

と具体的に示すことで、従業員の判断負担を減らせます。

利用可能な生成AIを選定する際には、

• 入力データがAIモデルの学習に利用されるか
• 入力データの保存期間
• 管理者による利用者管理が可能か
• SSOに対応しているか
• 利用ログを取得できるか
• データの保存場所
• 契約上のデータ取り扱い
• 法人向けセキュリティ機能の有無

などを確認しておくことが重要です。

2．生成AIに入力してはいけない情報を定義する

利用可能な生成AIを指定しただけでは十分ではありません。

従業員が「何を入力してよいのか」を判断できるルールも必要です。

特に、

「機密情報を入力しないこと」

という表現だけでは、人によって「機密情報」の解釈が異なります。

そのため、

• 個人情報
• 顧客情報
• 営業秘密
• 未公開情報
• 認証情報
• 契約上秘密保持義務を負う情報

など、具体的に示すことが重要です。

さらに、

入力してはいけない情報だけでなく、入力してよい情報の例も示す

と、従業員にとってさらに分かりやすいガイドラインになります。

3．生成AIの利用状況を把握する

生成AIのセキュリティ管理では、「誰が何を利用しているのか」を把握できる仕組みも重要です。

企業によっては、

• SSO
• アクセス制御
• CASB
• SWG
• DLP
• エンドポイント管理
• SaaS利用状況の可視化
• AIサービスのアクセスログ

などを活用し、生成AIの利用状況を管理する方法も考えられます。

重要なのは、従業員を監視することそのものではありません。

企業として把握できる環境で生成AIを利用してもらうことが目的です。

利用実態が分かれば、リスクの高い使い方を早期に発見したり、利用ルールを改善したりすることもできます。

4．生成AIの出力結果にも注意する

生成AIのセキュリティというと、「何を入力するか」に注目しがちですが、「何が出力されるか」にも注意が必要です。

生成AIはもっともらしい内容を生成していても、その情報が必ず正しいとは限りません。

そのため、

• AIが生成した内容をそのまま顧客へ送信しない
• 重要な数値や事実は一次情報で確認する
• ソースコードはレビューしてから利用する
• 著作権やライセンスを確認する
• 最終的な判断は人間が行う

といったルールも必要です。

「入力データの保護」と「生成物の適切な利用」の両方を考えることが、生成AIガバナンスでは重要になります。

5．従業員教育を「禁止事項の説明」で終わらせない

生成AIに関する教育というと、

「個人情報を入力してはいけない」

「会社が認めていない生成AIを利用してはいけない」

といった禁止事項の説明になりがちです。

しかし、それだけでは従業員が安全にAIを使いこなせるようにはなりません。

たとえば、

• 安全なプロンプトの作り方
• 情報を匿名化して利用する方法
• AIの回答を検証する方法
• AIに任せてよい業務・任せるべきではない業務
• 生成物を利用するときの注意点

など、実務でどのように安全に使うかまで教育することが重要です。

生成AIを使える人と使えない人の差は、今後さらに広がる可能性があります。

セキュリティ教育とAI活用教育を別々に考えるのではなく、セットで実施することが望ましいでしょう。

6．現場から利用したいAIを申請できる仕組みをつくる

生成AIサービスは次々と登場しています。

情報システム部門やセキュリティ部門だけですべてのAIサービスを把握し、業務ニーズを先回りすることは困難です。

そこで、

「このAIサービスを業務で使いたい」

という要望を従業員から申請できる仕組みを用意することも有効です。

セキュリティ部門がサービスの安全性を評価し、問題がなければ許可する仕組みにすれば、シャドーAIを抑制しながら新しいAI活用も促進できます。

利用制限を固定的なルールにするのではなく、業務ニーズに応じて更新できる仕組みにすることがポイントです。

生成AIのセキュリティ対策では「生産性」も評価する

今回のアンケートで特に注目したいのは、41.2％が生成AIの利用制限による生産性やモチベーションへの悪影響を感じている点です。

従来のセキュリティ対策では、

「事故を防げるか」

「情報漏えいを防げるか」

といった安全性が中心的な評価指標でした。

もちろん、これは今後も重要です。

しかし、生成AIのように業務効率へ直接影響するツールの場合、セキュリティだけを基準に考えると、別の問題が発生する可能性があります。

たとえば、

生成AIを禁止する
↓
従業員の作業時間が増える
↓
利用者が不便を感じる
↓
個人アカウントなどで生成AIを利用する
↓
企業側から利用状況が見えなくなる

という流れが生まれれば、本来のセキュリティ対策が逆効果になる可能性もあります。

そこで生成AIのルールを導入するときには、

• セキュリティリスクが低減したか
• 従業員の生産性が低下していないか
• シャドーAIが発生していないか
• 利用者がルールを理解しているか
• 許可したAIが実際の業務ニーズを満たしているか

といった複数の観点から評価することが重要です。

生成AI利用ルールは一度作って終わりではない

生成AIを取り巻く環境は非常に速いスピードで変化しています。

数カ月前には存在しなかったAIサービスが突然普及したり、既存サービスに新しい機能が追加されたりすることも珍しくありません。

そのため、生成AIガイドラインを一度作って終わりにするのではなく、定期的に見直す必要があります。

たとえば、

• 新しい生成AIサービスの登場
• AIエージェントの普及
• 社内システムとのAI連携
• 法制度・ガイドラインの変更
• 自社で発生したインシデント
• 従業員からの利用要望

などを踏まえ、ルールを更新していくことが求められます。

生成AIのセキュリティ対策は「完成するもの」ではなく、利用状況に合わせて継続的に改善するものと考えた方がよいでしょう。

生成AIを安全に利用するための企業チェックポイント

自社の生成AI利用環境を確認する際には、次のようなポイントが参考になります。

• 利用可能な生成AIサービスが明確になっているか
• 利用禁止の生成AIが明確になっているか
• AIに入力してはいけない情報が具体的に定義されているか
• 法人向けアカウントを用意しているか
• 従業員が個人アカウントを利用する必要がない環境になっているか
• 生成AIの利用状況を把握できているか
• 出力結果の検証ルールがあるか
• 従業員向けのAIセキュリティ教育を実施しているか
• 新しいAIサービスを申請・評価する仕組みがあるか
• ガイドラインを定期的に見直しているか

すべてを一度に実施する必要はありません。

まずは「現在、従業員がどの生成AIを、どのような業務で使っているのか」を把握することから始めるのも一つの方法です。

FAQ：生成AIの利用制限とセキュリティ

Q. 会社で生成AIを禁止すれば情報漏えいを防げますか？

完全に防げるとは限りません。従業員が個人端末や個人アカウントから生成AIを利用する「シャドーAI」が発生すると、企業側が利用状況を把握できなくなる可能性があります。利用禁止だけでなく、安全に利用できる環境を用意することが重要です。

Q. 生成AIに入力してはいけない情報は何ですか？

代表的なものとして、個人情報、顧客情報、営業秘密、未公開情報、認証情報、契約上秘密保持義務を負う情報などがあります。ただし、どこまで入力可能かは利用する生成AIサービスや契約内容によって異なるため、自社で具体的なルールを定める必要があります。

Q. シャドーAIとは何ですか？

シャドーAIとは、企業が許可・管理していない生成AIを従業員が業務で利用することです。企業から利用状況が見えないため、情報漏えいやコンプライアンス上のリスクにつながる可能性があります。

Q. 企業の生成AIセキュリティ対策で最も重要なことは何ですか？

「禁止すること」だけではなく、「安全に利用できる環境をつくること」です。利用可能なAIの指定、入力データのルール、アクセス管理、利用状況の可視化、従業員教育などを組み合わせる必要があります。

Q. 生成AIガイドラインはどのくらいの頻度で見直すべきですか？

固定的な頻度だけでなく、新しいAIサービスや機能の登場、法制度の変更、自社の利用状況などに応じて見直すことが重要です。少なくとも定期的にレビューできる体制を設けておくとよいでしょう。

まとめ：目指すべきは「使わせないセキュリティ」ではなく「安全に使えるセキュリティ」

今回の158人へのアンケートでは、生成AIの利用を企業から制限された場合、「特に影響はない」が36.1％で最多となりました。

また、「安心して使えるので、むしろ仕事しやすい」という回答も22.8％あり、企業が安全性を確認した生成AIを指定することには一定のメリットがあることが分かります。

一方、「生産性が少し下がる」と「生産性・仕事のやる気ともに下がる」を合わせると41.2％でした。

この数字が示しているのは、生成AIの利用制限はセキュリティだけの問題ではなく、生産性や従業員の行動にも影響する経営上のテーマになりつつあるということです。

企業が目指すべきなのは、

「どれだけ生成AIを禁止できたか」ではなく、「どれだけ安全な生成AI利用へ誘導できたか」

ではないでしょうか。

利用可能なAIを明確にする。

入力してよい情報・してはいけない情報を定義する。

利用状況を把握する。

従業員が安全な使い方を学べる環境を整える。

そして、新しいAIサービスや業務ニーズに合わせてルールを更新する。

生成AI時代のセキュリティには、リスクをゼロにするために利用を止める発想だけでなく、リスクを適切に管理しながらAIの価値を業務へ取り込むという視点が求められています。

※本アンケートは158人を対象とした調査結果であり、すべての企業・従業員の傾向を示すものではありません。

参照