「ChatGPTなどの生成AIを業務で使いたい」
現場からそのような要望が上がってきたとき、多くの組織で最初に、そして最も重く立ちはだかる壁が「情報漏洩リスク」です。特に、顧客の個人情報や社内の極秘プロジェクトの内容が、意図せずAIの学習データとして吸い上げられ、競合他社や悪意ある第三者に漏れてしまうことへの懸念は、決して大げさなものではありません。
データセキュリティ企業のCyberhavenが2023年に発表したレポートによると、従業員の約4%が企業の機密データをChatGPTに入力してしまった経験があるとされています（出典：Cyberhaven, "The First Report on Generative AI in the Workplace"）。これは、1万人の従業員がいれば400人がリスクある行動をとっている計算になります。
その結果として、「とりあえず社内での利用は全面禁止」「個人情報は絶対に入力しないよう誓約書を書かせる」といった、厳格な運用ルールでの縛りを選択するケースをよく見かけます。皆さんの職場でも、似たような議論がなされているのではないでしょうか？
しかし、長年の開発現場で培った知見と経営者としての視点から申し上げます。
「人間の注意」に依存したセキュリティ対策は、いつか破綻する可能性があります。
うっかりミスは誰にでも起こりえますし、何が機密情報にあたるかの判断も、人によって、あるいは状況によって異なるからです。AI活用のスピード感を損なわずに安全性を担保するには、人間ではなく「システム」による制御が必要です。まずは動く仕組みを作り、検証しながら最適化していくアプローチが、ビジネスへの最短距離となります。
今回は、生成AIへの入力データから機密情報（PII）を自動で検知し、安全な形に変換してからAIに渡す「自動マスキング・クレンジング」の技術についてお話しします。Microsoft Presidioなどの具体的なツール名も挙げながら、エンジニアではない法務や情報システム部門の方にも直感的に理解いただけるよう、仕組みの裏側を解説していきます。
これを読めば、「禁止」以外の実践的な選択肢が、きっと見えてくるはずです。
AI導入の最大のブレーキ「情報漏洩」の正体と、禁止以外の選択肢
生成AIの導入を検討する際、多くの担当者が最も懸念するのは「社員が顧客データや社外秘の情報をそのままプロンプト（指示文）に入力してしまうこと」です。もしそのデータがAIモデルの再学習に使われれば、最悪の場合、競合他社を含む別のユーザーへの回答としてその情報が出力されてしまう可能性があります。
なぜ「気をつけて使う」という運用ルールだけでは不十分なのか
「個人情報は入力しないこと」というガイドラインを策定し、社員教育を徹底する。これはガバナンスの基礎として重要ですが、防御壁としては不完全です。
AI活用が高度化する現在、状況はより複雑になっています。例えば、ChatGPTのDeep Research機能やCanvas機能のように、AIは単なるチャットボットから「自律的なリサーチパートナー」や「共同編集者」へと進化しています。これに伴い、ユーザーは断片的な質問だけでなく、背景情報を含む大量のドキュメントやコードベース全体をAIに渡す機会が増えています。
こうした状況下で、議事録の要約や高度な分析をAIに依頼すると仮定しましょう。その議事録の中に「取引先の担当部長が、来月の新規プロジェクトについて...」という記述があった場合、これは機密情報でしょうか？
厳密には機密ですが、業務に集中している社員は「具体的な企業名が入っていないから大丈夫」と判断するかもしれません。あるいは、コピー＆ペーストした大量のテキストの中に、うっかり電話番号やAPIキーが含まれていることに気づかないこともあります。
一般的なインシデントの傾向として、カスタマーサポートの対応履歴を分析しようとした際に、ログの中に顧客のクレジットカード番号やメールアドレスが含まれていることに気づかず、そのままAIに入力しかけた事例があります。これは悪意があったわけではなく、扱う情報量が増えたことによる単なる「認知の漏れ」です。
ヒューマンエラーをゼロにすることは不可能です。だからこそ、リテラシー教育に依存するのではなく、システム側で「入力された瞬間に検知し、止める（あるいは書き換える）」技術的な仕組みが必要になるのです。
入力データがAIに学習されるリスクの再確認
多くの生成AIサービス（特に無料版や個人向けプラン）では、デフォルトでユーザーとの対話データをモデルの改善（学習）に利用する規約になっていることが一般的です。これが「情報漏洩」の最大の懸念点です。
企業向けのプラン（例：ChatGPT EnterpriseやAPI利用）では、学習利用されない設定（ゼロデータリテンション方針など）が可能です。しかし、AIモデルの進化は速く、最新の推論モデルやエージェント機能を利用する際、データ処理の透明性が完全に担保されているか、常に最新の規約を確認し続けるコストは無視できません。
また、規制の厳しい業界では「外部のサーバーに生データ（Raw Data）が送られる」こと自体をポリシー上許容できない場合も多くあります。
そこで現在、業界のベストプラクティスとして注目されているのが、データがAIプロバイダーに届く前に、自社の管理下（ゲートウェイ）で情報を無害化（サニタイズ）するというアプローチです。「漏れても意味のないデータ」に変換してしまえば、AI側の学習仕様がどうであれ、情報漏洩のリスクは劇的に下がります。
基礎知識：「PII（個人識別情報）」とは何か？なぜAIに見せてはいけないのか
技術の話に入る前に、そもそも何を隠すべきなのか、PII（Personally Identifiable Information）について整理しておきましょう。ここを曖昧にしたままツールを導入すると、過剰に情報を隠してAIを役立たずにするか、逆に隠すべき情報を見落とすことになります。
氏名や住所だけではない、保護すべき情報の範囲
PIIとは、特定の個人を識別できる情報を指します。米国国立標準技術研究所（NIST）の定義などに基づくと、一般的には以下のようなものが該当します。
- 直接的な識別子: 氏名、住所、電話番号、メールアドレス、マイナンバー、パスポート番号、運転免許証番号など
- 間接的な識別子: 生年月日、性別、職種、位置情報、IPアドレス、Cookie IDなど
AI活用において特に厄介なのは、単体では個人を特定できない情報でも、複数を組み合わせることで特定可能になる（モザイク効果）という点です。
AIにおける「コンテキスト（文脈）」と情報の紐づき
例えば、「40代男性」「東京都港区在住」「IT企業役員」「趣味はトライアスロン」という情報がバラバラにあれば特定は困難です。しかし、これらが一つのプロンプト内で文脈（コンテキスト）として語られた瞬間、特定の人物が浮かび上がってしまう可能性があります。
生成AIは、この「文脈を理解して繋ぎ合わせる」能力が極めて高いため、人間なら見落とすような情報の断片から個人を特定してしまうリスクがあります。
さらに、法的な観点も見逃せません。欧州のGDPR（一般データ保護規則）や米国のCCPA（カリフォルニア州消費者プライバシー法）、そして日本の個人情報保護法（APPI）など、世界的なプライバシー規制は年々厳格化しています。
特にGDPRでは「データ最小化の原則（目的に必要な最小限のデータのみを処理する）」や「忘れられる権利（データの削除権）」が重視されます。一度AIモデルに取り込まれて重み（パラメータ）の一部となってしまった情報を「削除」することは技術的に極めて困難です。この問題は「Machine Unlearning（機械学習の忘却）」という研究分野でも議論されていますが、実用レベルでの完全削除はまだ難しいのが現状です。だからこそ、「最初からAIに個人データを見せない（入力しない）」ことが、コンプライアンス遵守の最適解となるのです。
解決策の図解：人間ではなくシステムが守る「自動マスキング」の仕組み
では、具体的にどうやって守るのか。ここで登場するのが「PIIマスキング・プロキシ」というアーキテクチャです。イメージとしては、ユーザーとAIの間に立つ「関所」や「通訳」のようなものです。
AIにデータが渡る前の「関所」としての機能
ユーザーがChatGPTなどの画面に文章を入力し、「送信」ボタンを押したとします。通常なら、そのデータはインターネットを通じて直接AIサーバーへ飛びます。
しかし、マスキングシステムを導入している場合、データはまず社内ネットワーク（または専用のプライベートクラウド）にある「中継サーバー（プロキシ）」を通ります。ここで以下の処理がミリ秒単位で行われます。
- スキャン: 入力テキスト全体を解析。
- 検知: 氏名、電話番号、クレジットカード番号などのパターンを見つける。
- 置換（マスキング）: 機密部分をダミーデータやトークンに書き換える。
- 送信: 安全になったデータだけを外部AIへ送る。
この分野でよく利用される技術としては、Microsoftがオープンソースで提供している「Presidio」や、Google Cloudの「Sensitive Data Protection (旧 DLP API)」、Amazonの「Macie」などが挙げられます。これらは、テキスト内の機密情報を高精度に特定するためのエンジンを持っています。プロトタイプ開発の段階からこうしたツールを組み込むことで、スピーディーかつ安全な検証が可能になります。
検知→置換→送信→復元のプロセス
この仕組みの最もスマートな点は、AIからの回答が戻ってきたときに「復元（デマスキング）」ができる点です。
例えば、人事担当者が従業員への通知メールを作成するシーンを想像してください。
入力（ユーザー）:
「田中さんの今月の残業時間は45時間です。tanaka@example.com宛に注意喚起メールを書いて。」置換・送信（プロキシ）:
「の今月の残業時間は45時間です。宛に注意喚起メールを書いて。」
※ここで「田中さん」→「」という対応表をプロキシが一時保存します。AI処理（外部）:
AIは「」という記号として認識し、文脈に沿ってメール案を作成します。
「件名：残業時間に関するお知らせ
様
今月の残業時間が...」復元・表示（プロキシ→ユーザー）:
プロキシが回答を受け取り、「」を再び「田中さん」に戻して画面に表示します。
結果として、ユーザーはいつも通り「田中さん」の話をしているように見えますが、外部のAIには「田中」という情報は一切渡っていないのです。これが、利便性と安全性を両立させる技術的アプローチです。
高度なクレンジングとは？単なる「黒塗り」との違いとメリット
「情報を隠すなら、単純に『*』とかで黒塗りして消してしまえばいいのでは？」
そう思われるかもしれません。しかし、AI活用において単なる削除は致命的な問題を引き起こします。AIの回答精度が著しく低下してしまうのです。
AIの回答精度を落とさない「エンティティ保持」の技術
生成AIは文脈（コンテキスト）を読んで回答を生成します。もし文章中の固有名詞がすべて「*」に置き換わっていたらどうなるでしょうか。
- 原文: 「山田部長が取引先との契約を承認し、佐藤課長が別の取引先への支払いを担当した。」
- 黒塗り: 「がとの契約を承認し、がへの支払いを担当した。」
これでは、誰が何をしたのか、主語と述語の関係が不明瞭になり、AIはまともな要約も分析もできません。「誰かが何かをしたようです」という無意味な回答しか返ってこないでしょう。
そこで用いられるのが、「エンティティ（実体）保持」または「仮名化（Pseudonymization）」という高度なテクニックです。
- 高度なマスキング: 「がとの契約を承認し、がへの支払いを担当した。」
このように、「人名であること（Person）」「組織名であること（Organization）」という属性（エンティティタイプ）を残しつつ、個別の識別子（ID）を割り振って仮名化します。
これにより、AIは「という人物が承認権限を持っているんだな」「とは別の組織だな」と文脈を正しく理解でき、論理的な整合性を保ったまま精度の高い回答を返すことができます。これは医療データの分析など、文脈が命となる分野では特に不可欠な技術です。
ルールベースとAI検知のハイブリッドアプローチ
この検知精度を高めるために、現在の主要なソリューションでは二つの技術が組み合わされています。
ルールベース（正規表現）:
正規表現とは、文字列のパターンを定義する記述方法です。これにより、電話番号（090-xxxx-xxxx）、メールアドレス、マイナンバー、クレジットカード番号など、形式が決まっているものを高速かつ確実に検知します。NLP（自然言語処理）モデル:
「文脈からして、これは人名だろう」「これは機密プロジェクト名だろう」という曖昧なものを判断するために、NER（Named Entity Recognition：固有表現抽出）というAI技術を使います。例えば、「さくら」という単語が「花」なのか「人の名前」なのかを、前後の文脈から見分けます。
Microsoft Presidioなどは、この両方を組み合わせることで、過剰に隠しすぎず、かつ漏らさないバランスを実現していると考えられます。NISTのプライバシーフレームワークでも推奨されているように、データの有用性を維持しながらプライバシーを保護する技術は、現代のデータガバナンスの要です。
導入担当者が知っておくべき「検知精度」と「運用」の安心材料
システム導入を検討する際、経営層や現場から必ず聞かれるのが「本当に100%防げるのか？」という質問です。
開発現場のリアルな視点から申し上げます。100%の検知は技術的に不可能です。 未知のパターンの記述や、組織内だけで通じる極めて特殊な隠語、あるいは意図的な難読化（文字の間にスペースを入れるなど）などは、すり抜ける可能性があります。
しかし、だからといって導入が無意味なわけではありません。「100か0か」ではなく、現実的なリスクコントロールとして捉えるべきです。
100%の検知は可能か？過検知と検知漏れへの対応
セキュリティの世界には「多層防御」という考え方があります。マスキングシステムは、あくまで防御層の強力な一つです。
重要なのは、「リスクを許容可能なレベルまで下げること」です。最新のモデルであれば、一般的な人名や組織名の検知精度（F値：適合率と再現率の調和平均）は90%〜95%以上に達します。9割以上の明らかな個人情報を自動でカットできれば、残り数%のリスクに対しては人間による最終確認や、契約による法的保護でカバーするという現実的なラインが引けます。
また、多くのツールでは「カスタム辞書」や「許可リスト/拒否リスト」の機能があります。組織特有のプロジェクトコード（例：Project Titan）や、役員の名前などを辞書登録しておけば、検知精度は限りなく100%に近づけることができます。導入後にログを見ながら辞書を賢くしていく運用が、成功の鍵です。
万が一のための監査ログとトレーサビリティ
法務・コンプライアンスの観点で最も重要な機能は、実はマスキングそのものよりも「監査ログ」かもしれません。
- 誰が（User ID）
- いつ（Timestamp）
- どんなプロンプトを入力し
- どの部分がマスクされたか（またはされなかったか）
これらが全て記録されていれば、万が一インシデントが疑われる事態になっても、事後追跡（トレーサビリティ）が可能です。「何が起きたか分からない」状態が組織にとって一番のリスクですから、ログが残っていること自体が強力な安心材料（Assurance）になります。
実務の現場では、このログを定期的に分析することで、「どの部署がどんなAI活用をしているか」を把握し、新たな活用事例の発掘にも役立てているケースもあります。セキュリティログは、宝の山でもあるのです。
まとめ：セキュリティを「足かせ」から「AI活用のパスポート」へ
ここまで、AIにおける情報漏洩対策としての「自動マスキング」について解説してきました。
- 人の注意には限界がある：システムで自動的にフィルタリングする方が確実で楽。
- 黒塗りではなく「仮名化」：文脈を維持する高度な変換で、AIの精度を落とさない。
- ログによるガバナンス：100%防げなくても、記録が残ることで管理と追跡が可能になる。
セキュリティ対策は、ともすれば「あれもダメ、これもダメ」というブレーキ役に見られがちです。しかし、この自動マスキング技術は違います。
これがあるからこそ、ユーザーは「漏洩したらどうしよう」と萎縮することなく、顧客データを使った分析や資料作成にAIを活用できると考えられます。つまり、これはAI活用のパスポート（通行手形）であり、ビジネスを加速させるアクセルなのです。
もし現在、情報漏洩を恐れてAI活用に二の足を踏んでいるのであれば、ぜひ一度、Microsoft PresidioやGoogle Cloud DLPといったセキュリティソリューションの導入を検討してみてください。まずは特定の部署でのプロトタイプ検証から始めてみるのも良いでしょう。
安全な環境さえ整えば、AI活用は驚くべきスピードで進展し、ビジネスに革新をもたらすはずです。
コメント