AIツールのデータセキュリティとは、組織のデータが人工知能システムを通過する際に、どれほど安全に扱われるかを決定づける、技術的な制御、契約上の保護、運用上の慣行の組み合わせを指します。データが転送中にどのように暗号化されているかから、ベンダーが御社の入力を将来のモデルの学習に使用するかどうかまで、あらゆることを網羅しています。

AIツールによる生産性の向上は、業界を問わず現実のものであり、十分に文書化されています。それと同様に、組織がAIツールを主に能力面で評価し、セキュリティを二次的な考慮事項として扱った導入の後に発生したデータセキュリティ事故も同様です。従業員が機密性の高い顧客情報を公開AIインターフェースに貼り付けた事例。データ処理契約書を締結せずに顧客データがベンダーのインフラ上で処理された事例。利用規約がモデル改善のためにそのコードの保持を許可しているAIコーディングアシスタントに、独自のビジネスロジックが送信された事例。これらのシナリオのいずれも、洗練された攻撃を必要とするものではありません。組織がAI採用を急ぎ、自社のデータがどこに行き、そこに到達した後に何が起こるかについて正しい質問を投げかけなかったというだけのことです。本ガイドでは、AIツールのデータセキュリティが実際に何を必要とするのか、御社の組織が検討しているツール全体でそれをどのように評価するのか、そして最も重大なセキュリティ上の決定が実際にはどのようなものかを説明します。

なぜAIツールは標準的なITコントロールでは見落とされるデータセキュリティの課題を生み出すのか

新たなデータフローの問題

AIツールを導入するあらゆる組織は、既存のセキュリティインフラが監視や制御を想定していなかった新たなデータフローを生み出します。従業員がAIツールに要約のために文書を送信したり、AIアシスタントに分析のために顧客レコードを送信したり、AIコーディングツールにレビューのためにソースコードを送信したりすると、そのデータは組織が所有しないインフラへと移動し、組織が検査することのできないサーバー上で処理され、組織にまったく可視性のないログや学習データセットの中に残存する可能性があります。

従来のデータ損失防止ツールは、メール、ファイル転送、USBデバイス、クラウドストレージアプリケーションといった既知のチャネルを通じて動くデータを監視するために構築されました。AIツールは、トラフィックがデータ漏えいよりも合法的なウェブアプリケーションの利用のように見えるため、DLPシステムが正しく分類しないことの多いデータ流出のカテゴリーを代表しています。技術的経路はウェブサービスへの標準的なHTTPSリクエストです。セキュリティ上の帰結は、他のデータ共有形態を統制する諸々のコントロールを経ずに、潜在的に機微な組織データがネットワーク境界を越えて流出することです。

これは仮想的なリスクではありません。金融サービス、医療、法務、テクノロジー分野の組織は、従業員がAIツールを使用して組織の管理環境から決して出るべきではなかったデータを処理した事例を文書化しており、コンプライアンス違反から競合情報の露呈、データ取り扱いが明らかになった際の顧客関係の毀損に至るまでの帰結を生んでいます。

標準的なセキュリティの前提が崩れる箇所

AIツールのデータセキュリティは、従来のソフトウェアにはおおむね当てはまるものの、AIシステムに適用すると崩れてしまう、いくつかの前提を見直すことを必要とします。

処理のためにベンダーに送信されたデータは主に契約によって統制されるという前提は、AIシステムにおいては複雑になります。なぜなら、同じデータが、ユーザーが読まずに同意する利用規約によって許可される形で、直接のサービス以外の目的、具体的にはモデルの学習や改善のために使用される可能性があるからです。契約はサービスを統制します。利用規約は、契約が明示的に禁止していないデータの利用を許可している可能性があります。

システムからデータを削除すれば、そこに含まれていた情報も消えるという前提は、データが学習中にモデルの重みに影響を与えた可能性があるAIシステムにはきれいには当てはまりません。学習プロセスを通してモデルにエンコードされたデータは、元のレコードを削除するだけでは単純に削除できません。データ削除や忘れられる権利に関する規制上の義務を負う組織にとって、これは従来のデータ管理の慣行が対応していないコンプライアンスの複雑さを生み出します。

ベンダーが保有するセキュリティ認証がそのすべての製品に一律に適用されるという前提は、AIベンダーにおいては推論ではなく検証が必要です。なぜなら、エンタープライズAI製品は、同じ会社が提供するコンシューマー製品とは別に認証されたインフラ上に構築されることが多いからです。あるベンダーのクラウドインフラを対象とするSOC 2認証は、そのインフラ上で稼働するAIアシスタント製品に、監査範囲が明示的にそれを含めない限り自動的に適用されることはありません。

AIセキュリティの評価フレームワークがAI特有のデータセキュリティに関するこれらの考慮事項にどう対応しているかをレビューすることは、従来のITセキュリティのレビューでは見落とされる脆弱性を捉える評価プロセスを構築する助けとなります。

AIツールのデータセキュリティの中核的な側面

転送中および保存中のデータ

AIツールのデータセキュリティの基礎となる層は、データが御社のシステムとAIツールのインフラとの間を移動する間にどのように保護されるか、およびそのインフラ上に保管されている間にどのように保護されるかを取り扱います。これらは、ほとんどのセキュリティ専門家がまず評価する制御であり、馴染みのあるセキュリティ概念に対応していて比較的評価しやすいものだからです。

転送中のデータは、御社のシステムとベンダーのインフラとの間のすべての接続にわたって、現行のTLS標準を用いて暗号化されるべきです。これには、主要なユーザーインターフェースの接続だけでなく、API接続、webhookコールバック、AIツールが接続するその他のシステムとの統合も含まれます。データフロー内のすべての接続に適用される暗号化標準を確認できないベンダーは、そのセキュリティ文書化に深い調査を正当化するギャップを抱えています。

保存中のデータの暗号化は、推論ログ、会話履歴、キャッシュされた文書、その他AIツールが保持する持続的ストレージを含め、ベンダーのインフラ上に保管されているデータがどのように保護されるかを取り扱います。AES-256または同等の標準を用いた保存中の暗号化は、あらゆるエンタープライズAIツールに対するベースラインの期待であり、その暗号化を取り巻く鍵管理の慣行、具体的には誰が鍵を制御し、どのような条件下でアクセスできるかは、暗号化標準そのものと同等に重要です。

最も高いデータセキュリティ要件を持つ組織にとっては、御社の組織がベンダーのインフラ上で御社のデータを暗号化するために使用される鍵を制御する顧客管理型暗号化鍵は、標準的なベンダー管理型暗号化では提供されない、意味のある追加の制御層を提供します。いくつかのエンタープライズAIツールのベンダーは、最高水準のサービスティアでこの機能を提供しています。

データ保持と学習への利用

暗号化の次に、ほとんどのAIツール導入にとって最も重大なデータセキュリティの問いの2つは、ベンダーがシステムを通して処理されたデータをどのくらいの期間保持するか、そしてそのデータがモデルの学習や改善に使用されるかどうかです。

保持の慣行は、ベンダーやティアによって大きく異なります。コンシューマーティアの一部のAIツールは、既定で会話履歴を無期限に保持します。一部のエンタープライズティアは、デバッグや品質目的のために、推論ログを定められた期間保持します。一部のベンダーは、直接の推論リクエスト以上のデータを保管しないゼロ保持構成を提供しています。適切な保持プロファイルは、御社のデータの機微度と規制要件に依存しますが、いかなる保持も、導入前に理解され、契約で定義される必要のある露呈の期間を生み出します。

学習データの利用は、AIツールを通して独自のまたは機微な情報を処理する組織にとって、最も直接的に影響する問いです。利用規約が送信されたコンテンツのモデル改善への使用を許可しているベンダーは、実質的に顧客に対し、最終的に同じプラットフォームを使用する競合他社に利益をもたらす可能性のある共有リソースに独自情報を提供することを求めていることになります。主要なAIベンダーとのエンタープライズ契約では、ほぼ一律で学習データの利用を標準条項として禁止していますが、組織はそれを前提とするのではなく、明示的に確認する必要があります。

データセキュリティの側面	確認すべきこと	なぜ重要なのか
転送中の暗号化	TLSバージョンと全接続にわたるカバレッジ	伝送中の傍受を防ぐ
保存中の暗号化	暗号化標準と鍵管理のアプローチ	インフラ侵害から保管データを保護する
保持期間	データカテゴリーごとの具体的な保持期間	各インタラクションを超える露呈の期間を定義する
学習データの利用	オプトイン例外のない明示的な禁止	独自データが共有モデルを学習させることを防ぐ
ログへのアクセス制御	ベンダー側の誰が、どのような条件下で推論ログにアクセスできるか	御社の組織データへのインサイダーアクセスを制限する
データ削除	要求時または契約終了時の削除のプロセスと所要期間	消去義務へのコンプライアンスを可能にする
サブプロセッサーの開示	御社のデータにアクセスできる第三者の完全なリスト	ベンダーのベンダーを通じた間接的なデータ露呈を明らかにする

アクセス制御と認証

組織内のAIツール導入のセキュリティは、ベンダーの外部セキュリティ制御と同じくらい、内部でアクセスがどのように管理されるかに依存します。ベンダー側のセキュリティが強固であっても、御社のアイデンティティ管理インフラと統合されていないAIツールは、他のあらゆるシステムを統制する制御を回避するチャネルを通して同じ組織データを露呈する、アクセスガバナンスのギャップを生み出します。

エンタープライズAIツールの導入は、御社の組織のシングルサインオンインフラと統合され、他の組織システムと同じプロビジョニングおよびデプロビジョニングのプロセスによってアクセスが統制されるべきです。従業員が組織を離れたり役割が変わったりした際には、そのAIツールへのアクセスは、別個の手動プロセス、つまり追いつかない可能性の高いものを通してではなく、他のシステムアクセスを扱うのと同じワークフローを通して削除または調整されるべきです。

AIツール内のロールベースのアクセス制御は、異なるユーザーカテゴリーがシステムに何を送信できるか、ツールがどのデータソースから取得できるか、ツールがどのような出力を生成または書き出すことができるかを制限すべきです。最小権限の原則は、他の組織システムと同様にAIツールへのアクセスにも直接適用され、すべてのユーザーに対して一律に広範なアクセスを付与してAIツールを構成する組織は、スコープを限定したアクセス制御によって防止されたはずのデータ露呈リスクを受け入れていることになります。

アイデンティティ統合とアクセス制御を巡るAIアーキテクチャの意思決定が、AIツール導入の実務的なセキュリティ姿勢にどう影響するかを理解することは、一般用途向けに設計された既定の構成を受け入れるのではなく、組織が自身の実際のリスクプロファイルに合わせてシステムを構成する助けとなります。

IMAGE SUGGESTION: A clean diagram showing an AI tool deployment within a corporate network boundary with visible access control layers including authentication, role permissions, and data classification filters between users and the AI system, professional security architecture diagram style, no text overlays.

AIがデータセキュリティの改善にどう使われているか

AIとデータセキュリティの関係は双方向に流れており、新たな課題を生み出すだけでなく、AIがセキュリティプログラムを積極的に強化している方法に目を向ける価値があります。

機械学習で動作する脅威検知システムは、ネットワークトラフィック、ユーザーアクティビティ、システムログ全体にわたる行動パターンを分析し、ルールベースの検知では見落とされる異常を識別します。AIによって動作するセキュリティ監視システムは、御社の特定の環境にとっての通常の姿を学習し、調査を正当化する逸脱を浮かび上がらせることで、アナリストの時間を浪費する偽陽性率と、本物の脅威が気づかれずに通過することを許す偽陰性率の両方を低減します。

自然言語処理を用いるデータ分類ツールは、文書、メール、コミュニケーション内の機微なコンテンツを、手動分類では及ばない規模と一貫性で自動的に識別します。AIが、文書がシステムに入る時点で個人の医療情報、財務データ、または法的特権を有するコンテンツを含むと自動的に分類できるとき、その分類は、すべての文書に手動レビューを必要とすることなく、適切な取り扱い制御を起動させることができます。

AIを使用するセキュリティ運用プラットフォームは、複数のデータソースにわたるイベントの相関付け、関連する過去の文脈の浮上、評価された深刻度に基づくアラートキューの優先付けで、アナリストの調査ワークフローを支援します。これまで業務時間の大半をアラートトリアージに費やしていたアナリストは、本当に人間の判断を必要とする複雑な調査により多くの時間を費やすようになり、AIはそのトリアージを支えるパターン認識作業を担います。

AIをセキュリティに応用するこれらの事例は、両者の関係が敵対的ではないことを示しています。AIツールは慎重な管理を必要とするデータセキュリティの課題を生み出します。AIの能力はまた、それなしには実現困難であったセキュリティの改善も提供します。最も効果的に対処している組織は、両方の側面を現実のものとして扱い、リスクのみに専念して防御的応用を無視するのではなく、両者を同時に取り扱っています。

エンタープライズセキュリティプラットフォームのAI機能が、AIによって動作する検知および応答能力をどう実装しているかをレビューすることは、AIセキュリティ投資が御社のAIツールガバナンスプログラムを補完する形で防御姿勢を強化しているかを評価する助けとなります。

AIツールのデータセキュリティプログラムを構築する

まず解決しなければならない棚卸しの問題

組織は、自らが地図化していないAIツールのデータフローを保護することはできません。AIツールのデータセキュリティプログラムの出発点は、中央IT部門の関与なしに個々のチームや従業員が採用したものを含め、組織全体で現在使用されているAIツールの完全な棚卸しです。

この棚卸しは、中央IT部門のチームが予想するよりも多くのツールを一貫して浮かび上がらせます。なぜなら、AI機能は、ユーザーが独立したAIツールの利用として認識しないかもしれない形で、広く使用されている生産性アプリケーション、コミュニケーションプラットフォーム、ビジネスソフトウェアに組み込まれているからです。ワードプロセッサに組み込まれたAI執筆アシスタント、メールクライアントのスマートリプライ機能、文書管理システムの自動要約、CRMの予測分析は、いずれも独立したAIツールの採用には見えなくとも、セキュリティ評価に属する組織データのAI処理を表しています。

棚卸しが存在したら、各ツールは上述のデータセキュリティの側面に照らして評価され、特定のデータカテゴリーに対して承認されるか、制限付きで承認されるか、またはセキュリティレビューが完了するまで禁止されるべきです。目標はAIツールの利用を排除することではなく、御社の組織が使用するすべてのAIツールが、能力のみによって採用されるのではなく、御社のデータセキュリティ要件に照らして評価されるようにすることです。

整備されている必要のある契約上の保護

技術的なセキュリティ制御は、ベンダーのインフラ上のデータを保護します。契約上の保護は、そのデータがどのように扱われるかを統制する法的義務と、それらの義務が満たされなかった場合に御社の組織が有する救済を定義します。両方とも必要であり、いずれも他方の代わりにはなりません。

導入される具体的なAIツールを対象とするデータ処理契約は、それらのツールを通して組織データが流れる前に整備されている必要があります。EUの個人データを扱う組織にとって、これはGDPR上の法的要件です。保護対象の医療情報を扱う医療機関にとって、HIPAAはBusiness Associate Agreementを義務付けています。金融サービス組織については、業界固有のデータ取り扱い契約が適用される場合があります。規制要件を超えて、AIベンダーとのデータ処理契約は、規制上の義務とは独立して組織の利益を保護するデータ保持の上限、学習データの禁止、違反通知義務、データ削除手順を定義します。

契約上の保護	対象とする範囲	必要とする組織
データ処理契約	EU個人データ処理におけるGDPR準拠	EUの個人データを扱うあらゆる組織
Business Associate Agreement	保護対象医療情報におけるHIPAA準拠	医療機関およびそのベンダー
学習データの禁止	モデル学習へのデータ使用を契約上明示的に禁止する条項	独自または機微なデータを処理するすべての組織
違反通知のコミットメント	定められた期間内に通知するベンダーの義務	すべての組織、GDPR下では通常72時間
データ削除契約	要求時または契約終了時にデータを削除するベンダーのコミットメント	データ消去義務を有する組織
サブプロセッサー管理	自社のベンダーとともにセキュリティを維持するベンダーのコミットメント	所在連鎖の要件を有する組織

データセキュリティのためのAIベンダー契約の構成に関する包括的なAIガイドは、組織が初期導入時のみならずAIツールの関係のライフサイクル全体を通じて自社の利益を保護する契約フレームワークを構築するのに役立ちます。

シャドウAIの問題とそれへの対処法

シャドウAI、つまり中央で承認・管理された導入の外側で従業員がAIツールを使用することは、AIを広く採用しているほとんどの組織における管理されていないデータセキュリティリスクの最も重大な源泉です。クラウド採用時代にシャドウITリスクを生み出したのと同じ動学が、AIツールにおいてはしばしばより速く、より重大なデータセキュリティへの影響を伴って繰り広げられています。なぜなら、AIツールに送信されるデータには、セキュリティプログラムが保護することを意図された組織情報そのものが含まれることが多いからです。

シャドウAIに対する最も効果的な対応は、3つの要素を組み合わせます。AI関連のネットワークトラフィックとアプリケーション利用を監視することによる可視性は、無許可のツール利用が重大な露呈を生み出す前にそれを識別するためにセキュリティチームが必要とする認識を提供します。明確でアクセスしやすい承認済みツールプログラムは、AIの能力を必要とする従業員が実際のニーズを満たす承認済みオプションを持つことを保証することで、シャドウ採用への動機を低減します。そして、既に未承認のツールを使用してしまった従業員のための非懲罰的な報告メカニズムは、組織が既存の露呈をインシデントを通じて発見するのではなく、識別し封じ込めるのに役立つ自己開示を促進します。

シャドウAIに対して提供よりも禁止を中心とする対応をする組織は、AI能力に対する根底にあるニーズが消えるのではなく、組織の可視性と制御がさらに限定される個人デバイスと個人アカウントに移行することを発見します。

知っておくべき事項

組織が望んだよりも遅く発見することの多い、AIツールのデータセキュリティに関するいくつかの重要な現実：

同じAIツールのコンシューマー版とエンタープライズ版は、根本的に異なるセキュリティ特性を持ちます。同じベンダーが提供するあるAIツールの無料または個人向けティアとそのエンタープライズ相当版は、データ保持の慣行、学習データの利用、暗号化標準、利用可能な契約上の保護において、しばしば劇的に異なります。コンシューマーティアが利用可能で機能的であっても、ビジネスデータについてエンタープライズティアを評価することはオプションではありません。

セキュリティ認証は、最新性と範囲について検証される必要があります。18か月前のSOC 2レポートや、インフラを対象としているがAI製品層を対象としていないものは、見かけよりも少ない情報しか伝えません。現在のセキュリティ姿勢の証拠として認証に依拠する前に、必ずレポート期間、監査範囲の境界、対象となる具体的な製品を確認してください。

30%ルールは、データセキュリティガバナンスに有用に適用されます。AIツールは、データ処理ワークフローのおよそ30%、具体的には十分に確立されたセキュリティ制御を備えた感度の低いデータカテゴリーを含むものを自律的に扱うと信頼されるべきであり、より感度の高いまたは規制されたデータカテゴリーを含む70%は、追加の人間による監視、より厳しいツール選定基準、またはより強いセキュリティ保証を提供する代替処理アプローチを必要とします。

APIおよび統合接続は、データ露呈の表面を倍化させます。AIツールがメール、カレンダー、文書ストレージ、CRMシステムと統合されている場合、能動的に送信する特定のデータだけでなく、それらのシステムのデータ環境全体へのアクセスを獲得します。深く統合されるAIツールのセキュリティ評価は、統合されたデータアクセスを包括的にカバーする必要があります。

AIデータセキュリティ事象に対するインシデント対応計画は、特定の準備を必要とします。推論ログ、APIアクセス記録、ベンダーインフラのイベントログを含むAIデータセキュリティインシデントに関連する証拠の種類は、従来のインシデント対応プレイブックが構築されているネットワークやシステムのログとは異なります。インシデント発生前に、AI特有の証拠収集とベンダー調整の手続きをインシデント対応計画に組み込んでおくことは、必要となった時の対応能力を劇的に向上させます。

AIインフラによって引き起こされる国際的なデータ移転は、多くの法域で特定の法的メカニズムを必要とします。推論インフラが御社の規制管轄外で稼働するAIツールは、規制対象データが法的にそれを通して処理される前に、Standard Contractual Clauses、十分性決定、または同等のメカニズムによって満たされなければならない、越境データ移転要件を引き起こす可能性があります。

AIツールのデータセキュリティを競争上の基盤として扱う

強力なAIツールデータセキュリティプログラムを構築する組織は、その投資がリスク低減を超えた配当を生むことを発見します。エンタープライズ顧客は、ビジネスの条件としてAIデータの責任ある取り扱いの証拠をますます要求するようになっています。AIガバナンスプログラムを検査する規制当局は、データセキュリティを中核的な構成要素として評価します。そして、厳格なAIツールセキュリティ評価を生み出す組織的規律はまた、セキュリティに焦点を当てた評価が、セキュリティの側面だけにとどまらず、優れたベンダーパートナーシップを予測するベンダーとの関係の質、契約上の保護の利用可能性、運用上の成熟度を浮かび上がらせるため、全体的により良いAIツール選定の意思決定をもたらす傾向もあります。

AIツールのデータセキュリティは、組織が時にそう扱う、生産的なAI採用の障害ではありません。それは、自信を持った、拡張可能なAI採用を可能にする基盤です。この区別を認識し、AIツール採用プロセスに最初からセキュリティ評価を組み込む企業は、遅れたセキュリティへの注意を、積極的なガバナンスよりもはるかに高価にするインシデント、コンプライアンスの露呈、是正コストを回避します。

よくある質問

データセキュリティに最も適したAIはどれですか？

ビジネス利用において最も強力なデータセキュリティ姿勢を持つAIツールは、現行のSOC 2 Type 2認証、利用可能なデータ処理契約、明示的な学習データの禁止、明確なデータ保持の上限を備えたベンダーによるエンタープライズティアの導入であり、Microsoft Azure AI、AWS Bedrock、Google Cloud AIは、重要なコンプライアンス要件を持つ組織にとってこれらの基準を一貫して満たしています。 可能な限り最も強力なデータセキュリティの保証を必要とする組織にとっては、プライベートインフラ上にセルフホストされたオープンソースモデルは、データが組織自身のインフラから一切外に出ないことを保証することで、ベンダー側のデータ取り扱いリスクを完全に排除します。

AIはデータセキュリティでどのように使用されていますか？

AIは、ネットワークとユーザーアクティビティ全体で異常な行動パターンを識別する脅威検知システムの動力供給、コンテンツ作成時点で適切な取り扱い制御を起動させるためのデータ分類の自動化、アラートのトリアージや調査ワークフローにおけるセキュリティアナリストの支援、ポリシー違反のためのコミュニケーションや取引の監視、ルールベースのシステムが見落とす可能性のあるデータ持ち出しの試みの検知のために、データセキュリティで使用されています。 これらのAIのセキュリティへの防御的応用は、AIツール自体がもたらすデータセキュリティリスクを管理するガバナンス制御と並んで導入されたとき、組織のセキュリティ姿勢の意味ある改善を表します。

AIにおける30%ルールとは何ですか？

AIにおける30%ルールとは、AIシステムがワークフローのおよそ30%、具体的には自動化が明確な効率上の利益をもたらす高頻度かつ十分に定義された部分を自律的に処理し、人間の判断と説明責任が、結果の大きな意思決定、機微なデータの取り扱い、組織的責任を伴う出力を含む残りの70%をカバーすべきだという原則です。 これをAIツールのデータセキュリティに具体的に適用すると、この原則は、組織がどのデータ処理ワークフローがAIツールによる自動化に適しており、どれが追加の監視、より厳しいツール選定、または感度の高いデータが要求する代替処理アプローチを必要とするかを識別するのに役立ちます。

AIセキュリティツールとは何ですか？

AIセキュリティツールは、AIで動作する脅威検知プラットフォーム、行動分析システム、自動化された脆弱性スキャナ、インテリジェントなセキュリティ情報・イベント管理システム、AI支援型のインシデント対応プラットフォームを含む、組織のセキュリティプログラムの検知、予防、応答能力を改善するために人工知能と機械学習の技術を使用するソフトウェア製品です。 これらは、ビジネスワークフローに導入されているAIシステムのためのデータセキュリティの慣行を取り扱う、AIツールを保護する問題とは別物ですが、両側面とも成熟したAI採用を行う組織にとって関連性があります。

AIツールの5つの種類とは何ですか？

ビジネスの文脈におけるAIツールの主要な5つのカテゴリーは、テキスト、コード、画像、その他のコンテンツを生成する生成AIツール、データ内のパターンと洞察を識別する分析AIツール、継続的な人間の指示なしに定義されたワークフローを実行する自動化AIツール、自然言語インターフェースを通じてユーザーとやり取りする対話型AIツール、過去のパターンに基づいて結果を予測する予測AIツールです。 各カテゴリーは、処理するデータの性質、稼働するインフラ、生成する出力に基づいて、データセキュリティに関する独自の考慮事項を生み出します。だからこそ、AIツールのデータセキュリティ評価は、すべてのAIツールを同等のセキュリティ上の考慮を提示するものとして扱うのではなく、各カテゴリー固有のリスクプロファイルに対応する必要があるのです。