AIは会社のアカウントで。個人のアカウントではなく。

個人アカウントではなく、会社のアカウントを

中小企業で最もよくあるAIのリスクは、情報漏洩ではありません。従業員が顧客リストや契約書、ソースコードを個人のChatGPTアカウントに貼り付けることです。そこでは会社に可視性も保存期間の管理もなく、その人が退職したときに削除する手段もありません。

ChatGPT Business（以前ChatGPT Teamとして販売されていたプラン）とChatGPT Enterpriseは、その大半を解決します。OpenAIは、これらのプランのビジネスデータはデフォルトでモデルの学習に使用しないと明言しています。管理者には、ワークスペース分析、IDとアクセスの設定、権限とロール、保存管理、SAMLシングルサインオンを備えたコンソールが提供され、Enterpriseではドメイン検証、SCIMプロビジョニング、監査ログ用のCompliance APIが加わります。当社がワークスペースを設定し、お客様のMicrosoft EntraまたはGoogleのIDに接続し、誰にライセンスを割り当てるかを決め、そのうえで個人アカウントを秩序立てて閉じます。必要なデータは移し、残りは削除します。

AnthropicのClaude TeamプランとEnterpriseプランも同じ考え方です。コンテンツはデフォルトでモデルの学習に使われず、どちらのプランもシングルサインオンに対応し、EnterpriseではSCIM、ドメインキャプチャ、監査ログ、ロールベースのアクセス制御、コンプライアンスAPIが加わります。エンジニア、弁護士、アナリストがClaudeを好むなら、影で黙認するのではなく、同じ規律で設定します。

すでにあるデータの中で動くAI

Gemini for Google WorkspaceとMicrosoft 365 Copilotは、チャット画面とは別物です。本人がすでに開く権限を持つメール、ファイル、チャットを読み取るため、長年にわたって広く共有されすぎていたものもすべて表面化します。

Google側では、誰かがGeminiを有効にする前に、Driveの権限、膨れ上がって手に負えなくなった共有ドライブ、リンク共有のデフォルト設定、外部共有を確認し、まず少人数のグループでパイロットを実施します。

Microsoft側では、Copilotの導入準備評価を行います。データがどこにあり、誰が開けて、初日に何が表示されるかです。次に、人事、財務、法務から順にSharePointとOneDriveの過剰共有を整理し、Copilotから見える場合でも機密情報が機密のまま保たれるようMicrosoft Purviewの秘密度ラベルを適用し、ポリシーで禁止されたものを貼り付けたり送信したりできないようデータ損失防止を設定します。権限が正しいテナントは、Copilotのライセンスを買うかどうかにかかわらず、より安全です。

Perplexity、Meta AI、Mistral Le Chat、Grok

従業員は4つのツールで止まりません。当社も同じです。各ツールについて、同じ3つの質問に答えます。管理機能付きのビジネスアカウントは存在するか、それが必要か、無料版を使い続ける従業員は何を知っておくべきか。

• Perplexity：営業チームやリサーチチームに人気があります。Perplexity Enterprise ProとEnterprise MaxではSSOとSCIM、ユーザー管理、監査ログ、設定可能なファイル保存期間が加わり、Perplexityはエンタープライズ顧客のデータでモデルを学習しないと明言しています。当社はヘビーユーザーをエンタープライズワークスペースに移し、たまに使うユーザーはポリシーの範囲内で利用してもらいます。
• Meta AI：WhatsApp、Instagram、Facebookに組み込まれています。WhatsAppの個人チャットはエンドツーエンドで暗号化されたままでMeta AIからは見えませんが、Meta AIに送った内容はすべてMetaに届きます。WhatsAppが主な顧客チャネルである企業では、明確なルールを定めます。Meta AIは顧客データ、契約書、財務情報には使わず、業務のチャットは会社が管理するWhatsApp Businessのツール上で行います。
• Mistral Le Chat：Mistralはフランスの企業で、これはドイツをはじめEUの買い手にとって重要な点です。Le ChatにはFree、Pro、Team、Enterpriseがあり、Teamではロールベースのアクセス制御と一元的な請求、EnterpriseではSAMLシングルサインオン、監査ログ、一元的なユーザー管理、そしてセルフホストまたはプライベートクラウドでの運用という選択肢が加わります。欧州法の下にある欧州のプロバイダーを望む企業にとっては有力な選択肢であり、当社はそれに応じて設定します。
• Grok：xAIのアシスタントで、Xに組み込まれています。一般向け版は個人のXアカウントに紐づくため、会社がライセンスと組織管理機能を備えたxAIのビジネスまたはエンタープライズワークスペースを設定していない限り、「会社のデータには使わない」リストに入ります。

守られるAI利用ポリシーと、必要なときのプライベートAI

AIポリシーの多くは3ページあり、誰も読みません。当社のポリシーは1ページに収まります。承認済みのツールとアカウント、どのAIツールにも決して入力しないデータ、AIの出力を顧客に届ける前にどう確認するか、そして誰に聞けばよいか。お客様と一緒に作成し、欧州のGDPRやコロンビアのLey 1581のような現地のデータ保護法に合わせて調整し、ツールの変化に合わせて最新に保ちます。

一部の業務は、いかなる公開AIサービスにも出すべきではありません。秘匿特権のある法務案件、未公開の財務情報、患者データ、契約上のソースコードなどです。そうしたケースでは、お客様が管理するハードウェアやクラウド上で動くオープンモデル、またはデータを保存しないエンタープライズ展開として、プライベートまたはセルフホスト型のAIを構築します。データがどこで処理されるかも文書化するため、データ保護責任者や顧客に示すことができます。