ビジネスマナー問題｜個人情報・生成AI・内部通報の実践判断 第5集
問題 1
会員1,200人へニュースレターを送った直後、BCCではなくCCに全員のメールアドレスを入れ、受信者同士からアドレスが見える状態だったと判明した。担当者の初動として最も適切なものはどれか。
解説を見る
1,000人を超える本人のメールアドレスをCCで相互に見える状態にした事案は、個人情報保護委員会が漏えい等報告の対象例として示しています。担当者は独断で謝罪や隠蔽をせず、直ちに所定の責任者へ報告し、調査に必要な送信記録を保ちながら被害拡大防止、本人通知、委員会への報告等の判断につなげます。
問題 2
従業員一人の健康診断結果を、同名の別会社担当者へ誤送信した。相手は「開かずに削除した」と返信している。送信者の対応として最も適切なものはどれか。
解説を見る
健康診断結果は要配慮個人情報に当たり、少人数でも漏えい又はそのおそれを責任部署が評価する必要があります。相手の削除連絡は影響評価の重要な事実ですが、送信者が事故ではないと確定する根拠にはなりません。記録を保って直ちに報告し、本人通知や対外報告の要否を組織として判断します。
問題 3
外出先のカフェで、未公表の人員削減案を扱うWeb会議の開始時刻になった。イヤホンはあるが、画面は隣席から見え、発言も周囲に聞こえる可能性がある。最も適切な対応はどれか。
解説を見る
イヤホンは相手の音を周囲へ漏らしにくくしますが、自分の発言や画面ののぞき見までは防ぎません。公共の場所で機密議題をそのまま扱わず、主催者へ早めに知らせ、承認された安全な場所への移動、機密部分だけの欠席、議題変更などを調整します。私用端末への録画送付は別の情報漏えいを生みます。
問題 4
役員会のWeb会議で未公表の買収案件を説明する直前、社員名に似ているが見覚えのない表示名の参加者が入室した。主催者の対応として最も適切なものはどれか。
解説を見る
表示名は本人確認にならず、招待URLが転送された可能性もあります。機密事項を開示する前に共有を止め、参加予定者と照合し、必要なら既知の社内連絡先など別経路で本人と権限を確認します。会議の認証・待機室・参加制御は、内容と参加者に応じて事前に設定することも重要です。
問題 5
営業担当者が、会社では利用承認されていない無料の生成AIに、顧客名を削除した契約書全文を貼り付けて要約しようとしている。最も適切な判断はどれか。
解説を見る
氏名を除いても、契約条件、価格、取引関係などから機密性が失われるとは限りません。生成AIでは入力情報の保存・学習・アクセス条件がサービスや契約で異なります。担当者の推測で入力せず、情報区分、利用可能なAI環境、入力可能な情報、相談先を社内ルールで確認します。
問題 6
生成AIに新制度の説明資料を作らせたところ、もっともらしい条文番号と行政機関のURLが記載された。明日、顧客へ配布する予定である。担当者が行うべき確認として最も適切なものはどれか。
解説を見る
生成AIは、存在しない条文番号やURLを自然な文章で示すことがあります。同じAIへの再質問だけでは独立した検証になりません。対外資料では一次資料に当たり、適用時点や引用範囲まで確認し、人が出力の適切さを判断したうえで組織のレビューを通します。
問題 7
人事部が、生成AIの適性スコアだけで応募者を自動的に不採用とし、判定理由は応募者にも採用担当者にも示さない仕組みを提案した。導入前の対応として最も適切なものはどれか。
解説を見る
採否は人の機会へ大きく影響します。AIの点数だけを理由不明のまま最終判断にすると、誤りや偏りを発見・是正しにくくなります。導入前に目的、データ、精度、偏り、説明可能性を評価し、担当者が出力を検証して判断できる仕組みと、問い合わせ・異議への対応を設けます。
問題 8
部署が、会議音声を自動で文字起こしする生成AIサービスを独自に契約しようとしている。無料試用では利用規約への同意だけで開始できる。管理者が導入前に行うべきことはどれか。
解説を見る
会議音声には氏名を消しても、顧客情報、技術情報、発言者を推測できる内容が含まれ得ます。利用者のクリック同意だけでなく、保存・学習利用・再委託・アクセス制御・削除・データ所在などを組織として確認し、調達・セキュリティ手順で承認してから試用範囲を決めます。
問題 9
内部公益通報の調査担当者が、通報者の氏名と所属を把握している。調査に必要なのは購買記録の確認であり、定例の管理職会議には調査と無関係な部門長も参加する。情報共有として最も適切なものはどれか。
解説を見る
通報者を特定させる情報は、調査・是正に必要な最小限の範囲で扱います。役職があることだけで共有の必要性は生じません。購買記録の確認に通報者名が不要なら、調査対象の事実を分離し、通報記録と本人情報へのアクセスを限定します。
問題 10
匿名の内部公益通報に、発注先選定の不正を示す具体的な日時と文書番号が記載されていた。部長は、事実確認より先にアクセスログから通報者を特定するよう部下へ指示した。最も適切な対応はどれか。
解説を見る
匿名でも、具体的な資料や事実を手掛かりに調査できる場合があります。必要性の高い調査が実施できないなどの限定的な事情なしに、通報者の特定自体を目的としてログを調べたり聞き回ったりするのは適切ではありません。まず所定の窓口で秘密を守り、指摘された取引事実を客観的に確認します。