生成AI(ChatGPT等)の業務利用について、ISMS上、どのような管理が必要ですか？

生成AIの業務利用に際しては以下が求められます。
①利用ルールの文書化(どのツールを・どのような情報を入力してよいか)
②個人情報・機密情報・著作権が関わる情報の入力禁止規定
③従業者への教育・周知
④AIエージェントを利用するような場合の情報源に対するアクセス権とアウトプットの開示範囲の整合性
⑤利用状況のモニタリング

ISMSのリスクアセスメントでも、生成AIの利用リスクを明示的に扱うことが推奨されています。

経産省や総務省のガイドラインも参考にしながらルールを整備することが望まれます。