会社PCで私用AIツール使うの普通に危なくないか

議事録、顧客情報、コード断片を雑に投げてる人がいる。便利さと情報漏えいの境界をちゃんと話したい。

それセキュリティ的にアウトだぞ 議事録はまだしも顧客名とか案件名入れた瞬間に普通に事故候補

「便利だから」で会社の情報を外に投げるやつｗ さすがっすね（棒

俺の場合は〜、社内の要約ツールだけ使えって言われてる でも隣の席のやつ普通に無料のやつ開いてて草も生えん

それなすぎて😭 顧客情報コピペはさすがに怖い、名前伏せても文脈でバレそう🥺

正直、スピード優先ならAI活用しか勝たん ただし会社PCで私用アカウントはガバナンス死ぬ。そこはピボット検討中

>>6 ピボットで済むならインシデント対応いらねえんだわ 個人情報だぞ消せ

顧客の問い合わせ全文ぶちこんで「返信文作って」ってやつ見たことある 素晴らしい効率化ですね（笑

俺の経験だと、禁止って言うだけだと絶対抜け道探す 会社が使っていいやつ用意しないと無理 まあ俺は怖くて触らんけどな

>>8 それ普通に震える😭 伏せ字にしてても口調とか契約内容で「あっ」てなるやつ

VCが言ってたけど、ログ取れる法人版に寄せるのが現実解っぽい ランウェイ18ヶ月でも情報漏えい一発で終わるし

>>11 急にそれっぽいこと言うな CEOごっこキャラが崩れるだろ

コード断片も危ないぞ APIキーそのものがなくても、社名、内部URL、設計思想で特定されるぞ

>>13 俺の場合は〜、昔ログ貼っただけで環境名から部署バレたことある 笑い話っぽくしてるけど普通に冷や汗

今北 会社PCで私用AIって、会社の冷蔵庫に私物の鍋入れるくらいのノリ？ いや鍋より燃えるかw

>>15 鍋は漏れても汁だけだからな 顧客情報は漏れたら謝罪文までAIに書かせそうで草

>>11>>13 無料AIと法人AIを同じ箱に入れるな 法人版は管理者設定、学習利用オフ、契約、ログ確認がある 無料版に会社情報入れるのはそれセキュリティ的にアウトだぞ

「無料で賢いから実質福利厚生」とか言って顧客情報投げるやつｗ すごい発想ですね（笑

>>17 結局そこなんだよな 法人AIに寄せてSAML、監査ログ、学習オフを最低ラインにする 月額高いとか言うけど漏えい対応のバーンに比べたら誤差

最近の若者は便利なら何でも突っ込む 俺の若い頃はな、コピー1枚でも上長の目があったんだよ 緊張感が足りん

>>20 古参的にはこうなんだよ 禁止だけ貼り紙してもシャドーITが増えるだけ 使える道具と使っちゃダメなデータを分けないと無理

兵站考えろ 現場に補給しないで「敵の物資を使うな」は破綻する 会社公認のAIを配備しないなら私用AIに流れるのは時間の問題

コード断片は本当に危ない 一部だけなら平気って言うやついるが、関数名、エンドポイント、コメント、社内用語で特定されるぞ

>>23 「秘密情報は消しました！」 なおinternalPaymentGatewayとprod_customer_syncが残ってる模様 さすがっすね（棒

コードは特に境界が難しい バグ説明したいだけなのに設計思想とか業務フローまで漏れる うちならまずリポジトリ単位で入力禁止ルール決めるわ

そもそも仕事のコードを外に持ち出す感覚がわからん 俺の若い頃はな、ソース印刷して持ち帰るだけで怒鳴られたぞ

>>26 印刷して持ち帰るのも普通にアウト寄りで草 まあ俺に言わせればな、媒体が紙からAI入力欄に変わっただけなんだよ

「AIに聞いただけで外部送信じゃない」って言ってるやつ見た へー大変だね（鼻ホジ 送信ボタン押してるの誰だよ

>>28 外部送信だぞ 利用規約、保存期間、学習利用、第三者提供、全部確認しろ 個人情報だぞ消せ案件になる

監査ログは味方の偵察機みたいなもん どこで何が起きたか見えない戦場は負ける ただし兵士を常時監視しすぎると士気が落ちる

>>30 監視されて困るようなことをするな 最近の若者は自由ばかり欲しがる 会社のPCだぞ会社の物だぞ

>>31 出た、全部根性で解決おじさん 監査ログの範囲を決めろって話なのに精神論で殴るの素晴らしい意見ですね（笑

監査ログは必要だけど、入力全文を上司が見放題は悪手 インシデント時にセキュリティ担当が追える、普段は集計だけ このへんが落とし所じゃないか

>>33 同意 全文ログはそれ自体が機密の塊になる ログの保管期間、閲覧権限、削除手順まで決めないと二次漏えいする

このスレも変わったな 最初は私用AIこわいで終わると思ったら、ログのログまで危ない話になってる でも実務はそこなんだよな

>>34 弾薬庫を作ったら弾薬庫の警備が必要になるやつ 監査ログは武器だけど、置き場所を間違えると自軍が吹っ飛ぶ

難しく考えすぎだ 機密は入れるな、入れたら処分 これでいい ゆとりは甘え

>>37 そのポスター貼って誰も読まずに終わる未来が見える そして事故ったら「周知済みでした」 完璧なコンプラですね（笑

ルールは三段階でよくね 無料AIは業務データ禁止 法人AIは社内公開可の情報まで 機密、顧客情報、未公開コードは専用環境だけ

>>39 分類は必要 ただ「社内公開可」も人によって解釈が揺れる 具体例を出せ、顧客名、契約条件、障害ログ、ソースコードは明示的に禁止しろ

まあ俺に言わせればな、研修で実例を見せるのが一番効く 「この一文で部署が特定できます」みたいなやつ 抽象論だけだと現場は寝る

>>41 歴史的に見ると、失敗事例の共有は強い ただし晒し上げにすると報告が止まる 戦訓化するなら個人攻撃を避けろ

結論：無料AIに雑投入するな、法人AIでも何でも入れるな、監査ログにも気をつけろ 便利ツールのはずなのに運用が普通に重装備で草

俺の場合は〜じゃなくて同僚の話なんだけど 営業が提案書のたたき台を作るのに、既存顧客向け資料をそのままAIに食わせてた 会社名は伏せたつもりでも、業界、拠点数、導入時期、金額レンジが全部入ってて普通に分かるやつ

それセキュリティ的にアウトだぞ 顧客名を消しても案件特定できる 見積条件、導入スケジュール、担当部署が揃ったら個人情報じゃなくても機密だぞ消せ

プロンプト共有自体は悪じゃない うちもシード調達した時に営業テンプレ整備したけど、入力例は全部ダミー化した 実データ入りプロンプトをそのまま共有する文化がやばい

まあ俺に言わせればな プロンプト共有文化って名前がきれいすぎるんだよ 実態は、うまくいった業務データ付きコピペの回覧になりがち

お前らまだ気づいてないのか 知り合いの元外資コンサルが言ってたけど、入力欄に入れた時点で向こうの勝ちなんだよ これマスコミは絶対報じないぞ

医学的にはそれ感染症みたいなもんで 一人が雑に貼ると部署全体に習慣として広がる エビデンスない精神論じゃ止まらん

俺の経験だと、最初はみんな気をつけるんだよ でも一回便利さを覚えると、顧客名だけ消せばセーフみたいになる で、消した本人だけがセーフだと思ってる

顧客名を伏せたから安全、が一番危ない 障害日時、製品名、契約年数、担当人数で普通に特定されるぞ 特定されるぞって冗談じゃなく本当に特定される

禁止だけで回すのは無理だと思う 現場は提案書、メール、議事録で毎日バーンしてる 安全な法人環境と入力ガイドを出さないと、無料ツールへシャドーAI化する

出た、禁止だけでは無理論 でもこれは正しいんだよな 禁止ポスターより、ここに入れていい、ここから先はダメ、を画面上で分けた方が早い

分けるならDLPも入れろ メールアドレス、電話番号、顧客コード、ソースコードっぽい文字列を検知して止める 人間の注意力に依存した運用は脆弱性ある

お前ら知らないだろうけど、大企業ほど便利ツールの裏で全部吸われてる 知り合いの元官公庁が言ってたけど、監査ログも別会社が見てるからな

監査ログを誰が見るか問題は陰謀抜きで大事 医学的にはカルテの閲覧履歴みたいなもん 見る権限が広すぎたら二次被害になる

俺の場合は営業部でプロンプト集作ってたけど 良い例として過去案件の文面がほぼそのまま載ってた 社内wikiだからセーフって空気だったけど、閲覧権限ゆるゆるだった

社内wikiだからセーフじゃない 閲覧権限ゆるい場所に案件情報を置いた時点でアウト寄り しかも検索に引っかかるなら拡散性が高い

このスレ急に実務の地獄になってきたな 無料AIに投げるなだけじゃなくて、プロンプト集、ログ、wiki、研修資料まで全部漏えい経路になる

だから会社としてAI作業台を用意するしかない 入力分類、履歴、マスキング、承認フローまで最初から入れる ランウェイ18ヶ月でもそこはケチると後で燃える

承認フロー重くすると誰も使わなくなるぞ 俺の経験だと、3クリック増えただけでみんな裏道探す まあ俺は真面目に申請する方だけどな

裏道を探す前提で設計しろ ブラウザ拡張、外部AI、個人アカウントをネットワーク側で見えるようにしないと無理 ただし監視するなら就業規則と告知も必要

教育派と環境整備派で割れてるけど、どっちか片方は無理 手洗いの教育だけして消毒液置かない病院みたいな話 まあ医者行け案件ではないが

教育とか言ってる時点で甘い 知り合いの元SIerが言ってたけど、だいたい上の人間が最初に破る 役員が議事録丸投げして下にだけ禁止するんだよ

それはある 古参的にはこうなんだよ、ルールは偉い人が守って初めて現場に降りる 上が特例だらけだと研修は全部茶番になる

前職であったわ 役員会の議事録を要約させたいからって、秘書が外部AIに貼りかけた 止めた人が逆に面倒な人扱いされてて、あれは空気が終わってた

役員会議事録は最悪クラス M&A、人事、予算、未公開方針が混ざる それを私用AIに入れるのは情報漏えい以前に統制が壊れてる

経営陣ほど専用環境を先に配るべきなんだよな 現場だけ締めても意味ない VC向け資料とか資本政策とか、AIで整えたい誘惑が一番強い層だし

欲求が強いところに対策を置くのは合理的 医学的には依存症対策に近い、たぶん エビデンスない説教より、使える安全な導線を作る方が効く

安全な導線とか言っても、その法人AIの会社を誰が信用するんだよ お前らまだ気づいてないのか 大企業の規約なんていつでも変わるぞ

だから契約と設定を見る 学習利用の有無、データ保持期間、サブプロセッサ、監査権、削除手順 信用じゃなく確認と証跡で管理する

スレの温度上がってるけど、ここ大事だな 信用するかしないかじゃなくて、何を入れてよくて、誰が確認して、事故ったらどう止めるか

営業資料の実例で言うと、文章だけじゃなく添付の表がやばかった 単価、値引き率、競合名、次回更新月が入ってた 顧客名を消しても、担当者なら一発で分かる

値引き率と更新月は営業秘密だぞ 競合名まで入ってたら交渉戦略そのもの 個人情報じゃないからOKという判断は完全に危ない

ここまで来ると教育資料にそのまま使えるな もちろん実案件は伏せて、ダミー化して この項目が危ない、って営業向けに見せるのが一番刺さる

まあ俺に言わせればな 禁止、監視、教育、安全な環境の4点セットだわ どれか一つだけで解決すると思ってる会社から順番に事故る

まあ俺に言わせればな まず入力禁止リストを決めろって話 顧客名、個人情報、契約金額、値引き率、未公開の人事、M&A、コード、鍵、ログ ここを曖昧にすると全部「ちょっとだけ」で崩れる

>>77 APIキー、アクセストークン、Cookie、エラーログ、スクショも追加 画面の端にユーザー名とか案件番号が映ってるだけで特定されるぞ

主婦だけど一言 台所で言うなら、入れちゃダメな食材を先に紙で貼っとく感じだと思う 毎回その場の判断にすると絶対ミスる

「個人情報じゃないからセーフ」とか言ってるやつｗ 値引き率と更新月を投げてるのに守秘できてるつもりなの、さすがっすね（棒

DLPは警戒線であって要塞ではない 突破される前提で、教育、承認導線、ログ確認、事故時の封じ込めまで兵站考えろ ツールだけ置いて勝った気になるのが一番まずい

昔はUSBメモリ禁止で同じこと揉めてたのにな 「仕事が遅くなる」とか言いながらみんな勝手に持ち出して事故る流れ この板も変わったな、話題だけ現代化して中身は同じ

入力前チェックで最低限これ 社外秘か 顧客を推測できるか 資格情報が含まれるか 未公開情報か ログや画像に余計な情報が映ってないか 一つでもYESなら私用AIはアウト

古参的にはこうなんだよ 禁止だけじゃなく社内AI窓口を作れ この資料を入れていいか、代替ツールはどれか、匿名化はどうするかを聞ける場所 聞く先がないと人は勝手にやる

>>84 それは分かる ママ友の間では誰に聞けばいいか分からない話ほど変な噂で回る 会社も同じで、窓口がないと詳しそうな人に適当に聞いて終わると思う

社内AI窓口作りました 回答は3週間後です その間に現場は私用AIへ直行です 素晴らしい意見ですね（笑

>>86 そこはSLA決めないと戦線崩壊する 即答できるFAQ、翌営業日で返す相談、法務セキュリティ行きの重いやつ 兵站が遅い軍は前線で勝手に補給する

DLPを入れるならログの扱いも決めろ 誰が見られるか、何日保持するか、本人通知するか、懲戒目的だけに使わないか 監視ログ自体も個人情報だぞ

新参は知らんだろうけど、監視って言葉を出すと一気に反発される 昔の社内メール検閲騒動もそうだった 目的を事故防止に絞って説明しないと炎上するぞ

このスレも変わったな 結論っぽいのは 入力禁止リスト 社内AI窓口 承認済みツール DLP 教育 事故時の報告ルート この6点セットじゃね

>>90 まともなまとめで逆に困る クソコテが機能してるとか、このスレ終盤感あるな

教育は動画を一回見せて終わりじゃなくて、部署別の例がいると思う 営業なら値引き率、開発ならコードと鍵、人事なら評価と異動 うちはこうしてるよ、って言える形じゃないと残らない

>>92 部署別は重要 全社員向けの一般論だけだと、自分の業務に置き換えられない 営業秘密、個人情報、認証情報、未公開経営情報で教材を分けるべき

ただ、全部禁止にすると現場は戦略的撤退してシャドーAI化する 承認済み環境を配って、危険な入力は止めて、相談経路を短くする 火力を奪うんじゃなく統制下に置く感じ

昔は「検索するな、社内DBを見ろ」って言って誰も守らなかった 便利なものに勝つには、もっと便利で安全なものを出すしかない この板でこんな正論言う日が来るとはな

で、肝心の>>1が静かな件 議事録と顧客情報とコード断片って具体的すぎたけど、まさか当事者じゃないよな へー大変だね（鼻ホジ

>>96 もし当事者なら今すぐ上長か情シスに相談しろ 投稿内容だけでも社内の状況が推測される可能性がある 特定されるぞ

>>1が黙ったままなのが一番怖いんだよな まあ俺に言わせればな、ここまでの話を社内ルール案にして持っていけ 怒られる前に相談した方がまだ傷は浅い

すまん黙ってた 俺、来月から全社AI利用規程の担当になった情シス寄りの人間です このスレ、研修の骨子に使っていいか？もちろん社名も具体例も全部ぼかす

>>99 はい出た研修素材スレｗ 俺ら普通に社内研修の無償コンサルしてたの草 さすがっすね（棒