AI を保護するには、まず組織がユーザーとデータについて何を目指し、何を懸念しているかを把握する必要があります。生成 AI に対する全体的なリスク許容度を揃えるうえで、この最初のステップは AI セキュリティが初めての人にとって特に重要です。
受け入れられるリスクの大きさによって、対応の速さと、セキュリティ対策をどこまで深く入れるかが決まります。具体的な懸念は、AI 利用を監視し制御するためのセキュリティ手法を決める指針になります。
戦略を固めるために、次の問いを検討してください。
- 承認済み AI と Shadow AI: 従業員はすでに承認済みの AI サービスを使っていますか。それとも、リスクになりうる未承認アプリケーション、いわゆる Shadow AI が主な懸念ですか。注: 承認済みベンダーでも、組み込みの AI 機能を提供していることがあります。そうした AI サービスもリスクかどうかを検討してください。
- データの機密度: いま監視、分類、保護している機微データの種類は何ですか。これを把握すると、従業員が AI とやり取りするときに守るべき対象が分かります。まだ決めていない場合は、機微データを定義する を参照してください。
- ユーザー行動の促し方: AI との関わりを促しますか、それとも制限しますか。従業員が承認済みの管理された方法で AI をどの程度使うことを想定していますか。