韓国半導体大手の流出事故に学ぶ：ChatGPT業務利用の情報漏洩リスクと5つの対策

2023年4月、韓国の大手半導体メーカーで衝撃的なインシデントが連続発生しました。社員がデバッグ目的でChatGPTに機密ソースコードを入力し、別の社員は社内会議の議事録をそのまま貼り付け。設備関連の機密情報の入力を含め、わずか1ヶ月で計3件の漏洩が確認されたのです。

同社はすぐにChatGPTの業務利用を全面禁止しました。しかし「禁止すれば解決」とはなりません。セキュリティ企業Cyberhavenの2023年調査では、企業ネットワーク内のChatGPTへの機密データ貼り付けが急増していることが報告されています。日本企業も同様のリスクにさらされています。

なぜChatGPTへの入力は「情報漏洩」になるのか

ChatGPTに入力したテキストは、OpenAIのサーバーに送信・保存されます。WebアプリのデフォルトではOpenAIのモデル改善・追加学習に入力データが利用される場合があります。社員が「便利なツール」として使った入力が、そのまま外部への漏洩経路になり得るのです。

業務現場で起きる3つの典型的な漏洩パターン

実際のインシデントを分析すると、漏洩は「悪意」ではなく「業務効率化の善意」から起きています。この構造が最大の盲点です。

• コード貼り付け型：ソースコード・設計書をデバッグや補完のために入力する
• 文書要約型：社内会議の議事録・契約書・企画書をChatGPTに要約させる
• メール作成型：取引先情報・交渉内容を含むメール文面を作成させる

技術部門では「コード貼り付け型」、管理部門では「文書要約型」が特に多いパターンです。1回の入力に複数の機密情報が含まれることが多く、被害範囲が広くなりやすい点が共通の特徴です。

企業が直面する4つのリスク領域

情報漏洩が発生した場合のリスクは「情報の流出」だけにとどまりません。法的・競争・信頼・内部統制の複合リスクとして、経営課題に直結します。

• 法的リスク：個人情報保護法・不正競争防止法への抵触と損害賠償請求
• 競争リスク：営業秘密・技術情報の流出による競争優位性の喪失
• 信頼リスク：取引先・顧客への報告義務とビジネス関係の損失
• 内部統制リスク：上場企業では投資家への説明責任が発生

今日から取れる5つの対策

「禁止」は手軽ですが効果は限定的です。社員は私用端末やVPN外でChatGPTを使い続けるからです。実効性のある対策は、技術的制御とルール整備を組み合わせた多層防御です。

• 【即日】ChatGPTのデータ学習設定をオフにする（設定 → データコントロール）
• 【1週間】入力禁止情報の一覧をポリシー化し全社員に周知・徹底
• 【2週間】DLPツールでAI関連の通信を監視・フィルタリング設定
• 【1ヶ月】部署別ユースケースを整理した全社AIガバナンスポリシーを策定
• 【継続】四半期ごとに利用実態を監査し、ベンダー規約の改定に合わせて更新

ガバナンス体制の構築：4ステップで進める整備

ガバナンス整備は「一度作れば終わり」ではありません。AIベンダーの規約は頻繁に改定されます。Step 4の「監査・改善」を仕組み化し、ポリシーのアップデートをルーティン化することが継続的なリスク管理の鍵です。

• Step 1: ネットワークログ分析でシャドー利用の実態を把握する
• Step 2: 法務・情シス・現場担当が連携してポリシーを共同策定する
• Step 3: Microsoft PurviewやZscalerなどDLP製品の生成AI対応機能を活用
• Step 4: 半年に1回OpenAIの規約ページをチェックし変更点を記録する

まとめ：「使わせない」から「安全に使わせる」へ

韓国の大手半導体メーカーの事故は、「便利さ」と「リスク」が表裏一体であることを示す典型事例です。重要なのは禁止ではなく、社員が安全に活用できるルールと仕組みを整えることです。

まず今日できることから始めてください。ChatGPTのデータ学習設定のオフ確認と、入力禁止情報の社内周知——この2つが最初の一歩です。AI活用のセキュリティ設計についてのご相談はお気軽にどうぞ。