OpenAIの生物防衛AIを見て、セキュリティ要件を改めて考えた

先日、OpenAIが「Rosalind Biodefense」というプログラムを立ち上げたというニュースを読みました。生物防衛や公衆衛生、パンデミック対策に取り組む審査済みの開発者やアメリカ政府パートナーに対して、GPT-Rosalindへのアクセスを拡大するという内容です。

すぐに思ったのは、「これを経営陣に見せたらどう反応するだろう」ということでした。うちは製造業で、バイオ分野とは畑が違います。ただ、政府機関向けに特定のAIアクセスを「審査制」で提供するという設計思想は、私たちの社内のAI導入方針を考えるうえでも参考になると感じました。

「誰が使えるか」を設計することの意味

Rosalind Biodefenseのポイントは、フロンティアAIを使えるのは「vetted developers」、つまり審査を通った開発者に限るという点です。オープンに使わせるのではなく、アクセスを絞り込むことで安全性と信頼性を担保するという考え方です。

私が今取り組んでいるのも、まさにこの「誰に何のAIを使わせるか」という設計の部分です。部下25名のうち、AIツールを日常的に活用しているのはまだ7〜8名ほどです。残りのメンバーは「使っていいのか分からない」という状態が正直なところで、社内のセキュリティポリシーが整備される前に自己判断で使い始めることへの不安があるようです。

これは個人の問題ではなく、ルール設計の問題だと思っています。使っていいツール・ダメなツール・申請が必要なツール、この三層をきちんと整理した一覧を作ることを、来月の部内ミーティングの議題に入れようと決めました。

稟議書に「政府機関も導入」は効くのか

OpenAIがアメリカ政府パートナーと連携してこのプログラムを動かしているという事実は、稟議書を書く立場からすると使いやすい材料です。「米国政府機関が安全保障領域で採用しているフロンティアAI技術」という文脈は、経営陣に対してリスクの低さを説明するときの一つの根拠になります。

ただ、それだけで通るほど社内は甘くありません。情報システム部門からは毎回「国内法との整合性は？」「データがどこのサーバーに保存されるか確認しているか？」という質問が来ます。実際、去年のある提案では、ベンダーのデータ保存先がシンガポールだったことが判明して、一度持ち帰りになりました。結局3ヶ月かけて国内データセンター対応版への切り替え確認をしてから、ようやく稟議が前進したという経緯があります。

今回のRosalindのような話は、技術的な先進性を示す材料としては優れています。ただ、投資対効果と国内セキュリティ要件への適合を別立てで資料化しないと、経営会議には乗せられないというのが現実です。

部下への展開より先に、自分が理解する

部下に何かを使わせる前に、自分がある程度の理解を持っておくことを私は重視しています。以前、ベンダー提案を精査せずに現場に「まず試してみろ」と渡した結果、誰も責任の範囲が分からないまま使い方がバラバラになってしまった失敗があります。その後の整理に余計な工数がかかりました。

今回のOpenAIの発表を読んで、AIのアクセス設計や審査プロセスという観点を自分の言葉で説明できるようにしておこうと感じました。次に情報システム部門と打ち合わせするときに、「どのレベルのセキュリティ要件を満たすツールを、どの業務に使わせるか」という整理表を持ち込んでみます。

バイオ防衛とうちの営業DXは全然違う世界ですが、「信頼できる利用者に、適切な範囲でAIを使わせる」という設計の発想は、どの業種でも共通しているはずです。

あなたの会社では、AIツールの利用資格を誰がどう管理していますか。