会社で生成系AIの業務利用ガイドラインを爆速で作ったときに考えたこと

この記事を書いている2023年4月現在、世間は chatGPT もとい LLM (大規模言語モデル) を用いた生成系 AI (以下「生成系 AI 」) の話題で大盛り上がり。IT 企業である私の勤務先でも話題にならない訳はなく、ある日、社長からこんな命令を下されます。

「chatGPT を業務利用する際に、最低限守るべきポリシーを考えてください」

業務終わり間際に突如降ってきた無茶振り...ですが、この無理難題に応えずして何が経営管理かと思い、翌日1日かけて生成系AIを業務利用する際のガイドラインを作りました。このときに考えたことを、備忘録としてブログにまとめておきたいと思います。

何はなくとも chatGPT に聞いてみる

生成系 AI のメリットは「指示命令 (プロンプト) が適切であれば、確度の高い結果を瞬時に生成してくれること」なので、何らかのタスクをこなすときの初動にはもってこい。なので、本作業でも chatGPT を活用することにしました。

Q : chatGPTを企業で安全に活用するためのガイドラインを作成して

機密情報の取り扱いについて chatGPTを利用する際には、機密情報が含まれる可能性があるため、機密情報が含まれる場合は、会話の内容を記録しないようにすることが重要です。また、機密情報を含む会話は、必要最小限の関係者のみがアクセスできるようにする必要があります。

自動応答の設定について chatGPTを利用する際には、自動応答の設定に注意が必要です。自動応答は、正確な情報を提供するために設定される必要があります。また、自動応答による回答が不十分な場合は、人間が介入することができるようにすることが重要です。

偽情報の拡散について chatGPTを利用する際には、偽情報の拡散に注意が必要です。偽情報を拡散することは、企業の信頼性を損なうことにつながります。そのため、chatGPTを利用する際には、正確な情報を提供するようにすることが重要です。

セキュリティについて chatGPTを利用する際には、セキュリティに注意が必要です。chatGPTには、機密情報が含まれる可能性があるため、セキュリティ対策をしっかりと実施することが重要です。セキュリティ対策としては、アクセス制御や暗号化などを実施することが挙げられます。

A : これは使えないな、うん。

chatGPT を使って生成した出力は、いずれの内容も「具体的な行動」に焦点が当たっていないだけでなく、ガイドラインという文書の「立ち位置」までは考慮されていません。単にスクリプトが単純すぎただけかもしれませんが、それでも、これらのメタ領域まで考えられた出力にはまだ至っていないような内容です。

他社事例をいくつかチェックしてみる

chatGPT を使ったズルは出来なさそうなのが一先ず分かったところで、先行する他社事例のチェックを行います。すると、既に取り組まれていて外部にその内容を公表している企業・団体がごく少数ではあったものの存在していたので、参考にさせていただきました。

utelecon.adm.u-tokyo.ac.jp

dev.classmethod.jp

blog.zaim.co.jp

上記の内容からエッセンスを抜き出し、自社の事情と照らし合わせて「あるべき姿」から必要な行動指針をガイドラインとして文書に落とし込んでいきます。

自社の生成系 AI 利用のガイドラインに盛り込んだこと

そのような経緯で出来上がった自社向け生成系 AI 業務利用ガイドラインですが、次のようなエッセンスを盛り込んだ文書となりました。

ガイドラインそのものは「規制」ではなく「向き合い方」

「ガイドライン」と聞くと何となく行動を規制する文書のような印象を受けるかもしれませんが、今回作ったガイドラインは「挑戦・検証は推奨、業務利用はちょっと待って」ぐらいの内容で「生成系 AI との向き合い方」を主軸にした内容にしています。業務利用する際に発生しうるリスクだけなく、そのリスクとどう向き合うのかを言語化することで、会社の花形であるエンジニアたちの挑戦の芽を潰さないことを心がけました。技術が好きでたまらない人から技術をとったらそれは悲しいことですので...。

やっていけない「NGゾーン」は明確化する

とはいえ、会社を運営している以上は社会的責任が少なからず発生するため、情報漏洩や差別的内容の出力など、社会通念上良しとされないことを明確なNGゾーンとして明記するだけでなく、万に一つ怪しいと思ったところがあったら上長に相談などの行動指針を明確化しました。こういった文書を作る目的には「適切な情報を与えて、自律的な意思決定を促すこと」が含まれていると考えており、今回作ったガイドラインも例外ではないと思っています。

「スコープ」を定めて、汎用的な内容にしすぎない

上記と同じような内容になりますが、ガイドラインの内容をより具体化させるために対象範囲 (スコープ) をある程度定めています。具体的にいうと、今回作ったガイドラインは chatGPT や GitHub Copilot のような文章生成 AI サービスの利用に焦点を当てた内容にし、業務文書やプログラムのソースコードを書く際の向き合い方を言語化しました*1。こうすることで読んでいる側も自分事として捉えやすく、内容の遵守だけでなく今後の改良でも良い効果が得られると考え、そのようにしています*2。

ガイドラインの内容そのものは社内文書のため公表はできませんが、盛り込んだエッセンスは特定企業に依存しない内容だと思うので、よろしければ是非参考にしてみてください。