データを外に出さずに AI 開発を外部に委託する:社外のチームは自社のシステムの内側でどう働くのか

社外に出してはならない文書を扱う AI システムでも、外部の会社が構築し、運用することはできる。文書は自社のサーバーに置いたままにし、その会社のエンジニアは、自社が発行して無効にもできるアカウントで、自社が管理するマシンから文書にアクセスする。開発には自社のチームが承認したサンプル文書を使い、実際の文書を扱うのは自社のサーバー上に限る。このやり方で働ける会社を見つけるには、過去のクライアントの文書にその会社のエンジニアがどうアクセスしたのか、そして最後に何を削除したのかを尋ねる。

データを外に出せない場合でも、外部の会社に AI システムを作ってもらうことはできるのか

できる。言語モデルをどこで動かすかは別の判断で、上でリンクした閉じた境界についての記事が扱っている。この記事が扱うのは、システムを作る人たちと、その人たちが何を見て、何をコピーできるかである。エンジニアがプロンプト（モデルが従う指示）を試そうと実際の文書のフォルダをノート PC に保存してしまえば、モデルを自社のサーバーで動かしていても、守れるものはほとんどない。

エンジニアが自社の文書を読むだけでも、データが外に出たことになるのか

EU のデータ保護法では、個人データを読むことさえ処理にあたる。GDPR 第4条(2) は、処理を、個人データに対して行われるあらゆる操作と定義しており、その列挙には「参照」、つまりデータを見ることも含まれている。仕事のためにエンジニアがそうしたアクセスを必要とする会社は、通常、自社にとっての処理者になる。処理者とは、自社に代わって個人データを取り扱う会社を指す GDPR の用語だ。第28条は、処理者との間で、契約またはその他の拘束力のある法律行為を結ぶことを求めている。

その会社が欧州経済領域（EEA）の外に拠点を置いているなら、データが画面に表示されるだけであっても、その会社によるリモートアクセスは、データの国外への移転にあたる。EU 各国のデータ保護当局で構成される欧州データ保護会議（European Data Protection Board）が、ガイドライン 05/2021 でそう述べている。

移転には、GDPR 第5章に基づく法的根拠が要る。その一つが十分性認定で、その会社の所在国は個人データを十分に保護していると欧州委員会が認める決定である。もう一つが標準契約条項（SCC）で、欧州委員会が2021年6月4日に採択した、そのまま使える契約条項だ。これに依拠する前に、当事者は、欧州データ保護会議の勧告 01/2020 が説明するとおり、その会社の所在国の法律を評価する。

米国では、連邦取引委員会（FTC）のセーフガード規則（Safeguards Rule）が、住宅ローン業者やペイデイローン業者など、FTC の監督下にある金融機関に適用される。これらの機関は、顧客情報を保護できるサービスプロバイダーを選ぶために合理的な措置を講じ、その保護を契約に書き込み、プロバイダーを定期的に確認しなければならない。さらに、セキュリティ責任者が合理的に同等またはそれ以上に安全な管理策を書面で承認しない限り、「あらゆる情報システムにアクセスするあらゆる個人」に多要素認証でのサインインを課さなければならない。社外の誰かにアクセスを与える前に、これらの規則のうちどれが自社に適用されるのかを法律顧問に確認する。

外部のエンジニアは、データを持ち出さずにどうアクセスするのか

社員にアクセスを与えるのと同じやり方で、ただし制限をより厳しくして与える:

• 一人ひとりに、自社のシステムの中で作成した本人専用のアカウントを割り当て、多要素認証でサインインさせる。共有のログインでは、誰がどの文書を開いたのかをログで示せない
• 作業場所は一か所に絞る:仮想デスクトップ、つまり自社のサーバー上にあって、エンジニアからは画面としてしか見えないコンピューターである。自社が管理するノート PC でもよいが、文書はその仮想デスクトップを通じてしか開かないことが条件だ。ファイルやテキストをほかのデバイスにコピーすることはブロックする
• 役割に応じたアクセス。実際の文書には、期限付きの別個の承認がなければアクセスできないようにする
• 作業用マシンからのインターネットアクセスは、作業に必要な範囲に限る。文書を公開のウェブサイトやオンラインのチャットツールに貼り付けられないようにするためだ
• サインインとファイルアクセスのログ。自社のセキュリティチームが保管し、その会社には編集できないようにする

最初のエンジニアが作業を始める前に、自社の側の誰かに、思いつくかぎりの経路で作業用マシンから文書を持ち出そうとしてもらう。持ち出せた経路はすべて塞ぎ、構成を変えるたびにこのテストを繰り返す。

実際の文書を見る前、外部のエンジニアは何をもとに開発するのか

仕事の多くは、実際の文書を必要としない。届いたファイルの読み込みから、レビュアーが答えを確認する画面まで、コードの大半は承認済みのサンプルで作れる。良いサンプルになるのは、同じ種類の公開されている文書と、自社のテンプレートから自社のサーバー上で生成した架空の文書である。

実際の文書が必要な仕事は二つある。一つは受け入れセットだ。これは正しい答えのラベルを付けた実際の文書の集まりで、リリースのたびにシステムをこれで採点する。もう一つは、サンプルではカバーできないケースに合わせたシステムの調整である。どちらも自社のサーバー上で、実際の文書を見ることを承認された人が行う。

名前を消しても、文書が匿名になるとは限らない。口座番号や、日付と金額の組み合わせから、なお一人の人物にたどり着けることがあるからだ。GDPR の前文第26項は、仮名化されたデータ、つまり名前を置き換えても、追加の情報によってなお特定の人物と結びつけられうるデータは、個人データにあたるとしている。だから、そうしたサンプルは、データ保護責任者が匿名であると確認するまで自社のサーバーに置いておく。

プロジェクトのあいだに、自社の文書のコピーはどこに残るのか

稼働しているシステムは、ログや検索インデックスの中に自らコピーを作る。それらは、上でリンクした AI パイロットについての記事が列挙している。見落としやすいのは、構築の途中で人が作るコピーのほうだ:

• プロンプトをオフラインで試すために、エンジニアのノート PC に保存したサンプル
• その会社のタスク管理ツール、チャット、メールに貼ったスクリーンショットや文章の抜粋。その会社のシステムとバックアップに残り続ける
• AI コーディングアシスタントやチャットツールに貼り付けたテキスト。ツールの提供元に送られることがある
• 時間を節約するためにその会社自身のクラウドアカウントに置き、自社のデータを読み込ませた、システムのテスト用コピー
• 自社の上層部向けのデモのために作られ、その後転送されたエクスポート

検索インデックスは、文書と同じように扱う。インデックスには各断片が埋め込み、つまり意味をとらえた数値の列として保存されており、多くの構成では断片のテキストもその隣に置かれている。研究によれば、テキストは数値だけから復元できる。

2023年の国際会議 EMNLP で、Morris らは、32トークンの断片の92%を一字一句違わずに復元した（トークンとは、単語または単語の一部のこと）。彼らが使ったのは、あるオープンなモデルが作った埋め込みで、そのモデルには繰り返し問い合わせることができた。商用のモデルや、より長い断片では、完全に復元できた割合は下がった。同じ手法で、臨床記録のデータセットから氏名の89%が復元されている。

自社の文書と、検索インデックスや受け入れセットのようにそこから作られたものはすべて、自社のシステムにとどめることを書面に残す。

外部のエンジニアは、どのツールを使ってよいのか

文書にアクセスできるマシンで使ってよいのは、その会社と合意した短いリストにあるツールだけだ。リストを作るには、その会社のエンジニアが毎日使っている AI コーディングアシスタントとオンラインツールを尋ねる。そのそれぞれについて、目にしたコードや貼り付けられたテキストを外部のプロバイダーに送るかどうかを尋ねる。

チームが AI コーディングアシスタントを使いたいなら、自社の境界、つまり自社が管理するネットワークとシステムの内側にあるモデルにつなぐ。それができないなら、文書を一切扱わないマシンにだけインストールする。リストは契約に盛り込み、ツールの追加には自社の承認を必要とする。

その会社との契約には、何を書くべきか

EU の個人データについては、契約に含めなければならない内容を GDPR 第28条が列挙している。なかでも、その会社は自社の文書化された指示にのみ従って行動し、アクセスできる者は全員、データの秘密を守らなければならない。また、その会社は第32条が求めるセキュリティ措置を講じ、自社による監査を受け入れ、自社の事前の書面による許可なしにほかの処理者を加えない。サービスが終わったら、その会社は自社の選択に応じてデータを削除または返却し、既存のコピーも削除する。ただし、EU 法または加盟国の法律が保存を求める場合は除く。

こうしたプロジェクトには、さらにいくつかの条項が必要になる:

• アクセスできる全員の名前と役割、そして各人が働いている国
• 誰かがプロジェクトに加わるとき、または抜けるときは、自社が定めた期間内に通知すること
• 個人データを含まない文書であっても、自社の書面による同意なしに再委託先を使わないこと
• 最後に、ノート PC、アカウント、バックアップを含めて、コピーが一つも残っていないことを確認する署名入りの書面

これは法的助言ではない。自社の法域に合わせた条項は、法律顧問が起草する。

誰かがプロジェクトを離れるとき、あるいはプロジェクトが終わるときはどうなるのか

アクセスは、仕事が終わるその日に終わらせるべきだ。米国の標準化機関である NIST は、セキュリティ管理策のカタログ SP 800-53 の管理策 PS-7 で、システムを開発する会社を含む外部の人員を扱っている。この管理策が求めるのは、自社のログイン情報やアクセス権を持つ人が別の仕事に移ったり辞めたりしたときに、自社が定めた期間内に報告するよう、その会社に義務づけることである。

最終日には、自社のチームがアカウントと仮想デスクトップを無効にし、自社が管理するノート PC を貸していれば回収する。外部のエンジニアが知っていたパスワードと鍵は同じ日にすべて変更し、どのコピーを削除したのか、そして一つも残っていないことを、その会社に書面で確認してもらう。プロジェクトが続いていて、エンジニアが一人だけ抜けるときも、同じ手順を踏む。

アクセスを与える前に、会社をどう見極めればよいか

候補リストに載せた各社に書面での回答を求め、それらを並べて比べる:

• 似たルールのもとで進めた過去のプロジェクトで、そちらのエンジニアがクライアントの文書にどうアクセスしたのかを、クライアントの名前を出さずに説明してほしい
• 当社のプロジェクトで誰がアクセスすることになるのか、その人たちがどこで働いているのか、社員なのか再委託先なのかを示してほしい
• 実際の文書を見る前に何をもとに開発するのか、そしてサンプルを誰が承認するのかを示してほしい
• 過去のプロジェクトの終わりに署名した削除確認書を、クライアントの情報を取り除いたうえで見せてほしい

会社の計画や契約に見られる危険信号は何か

• 会社が「早く始めるため」と言って、自社のデータをその会社自身のクラウドにエクスポートするよう求めてくる
• エンジニアが一つのログインを共有することになっている。あるいは、誰がアクセスすることになるのかを会社が答えられない
• 計画では、エンジニアがその会社自身のノート PC で、実際の文書を使ってプロンプトを試すことになっている
• 契約が、再委託先について、あるいは最後に残るコピーについて何も触れていない

amBrain はどこに位置づけられるか

amBrain が公に説明している言語モデルのプロジェクトは、次の一件だ:「私たちは、顧客の FinTech 環境の境界内で LLM の統合を本番稼働させた:ブローカーや取引施設から届く非構造化の通知 ― コーポレートアクション、銘柄や証拠金の変更 ― を抽出・正規化し、トレーディングシステムが取り込む構造化された記録にするものだ。」

この記事は事例紹介ではない。クライアントの名前は挙げない。amBrain のエンジニアがそのクライアントのシステムの内側で作業したとも、そのプロジェクトで上のいずれかの構成を使ったとも主張しない。価格や期間も示さない。

amBrain は2019年からソフトウェアを作っている。所有権についての amBrain の一文はこうだ:「顧客は、プロダクトとコードの完全な所有権を保持する。ただし、私たちの再利用可能なコンポーネントは除く。」ほかのどの会社にもそうするように、署名の前に、amBrain にもそのコンポーネントを名前で列挙した一覧を求めること。

制限付きの文書を扱う AI システムのために外部のチームを迎え入れる前に、候補に挙がっているすべての会社に上の質問を投げかける。

よくある質問

• 外部のエンジニアは、自分たちのオフィスから作業できるのか。できる。ただし、自社のシステムには仮想デスクトップか、自社が管理するノート PC を通じてのみアクセスし、自分たちのコンピューターには何も残さない場合に限る。その会社が欧州経済領域の外にあるなら、上で述べたとおり、そのアクセスは EU のルールのもとで移転にあたる
• この構成にすると、プロジェクトの開始前に作業が増えるのか。増える。アカウント、作業用マシン、承認は、最初のエンジニアが作業を始める前に揃っていなければならない。だから、自社の IT チームに何を用意してもらう必要があるのかを、早めにその会社に尋ねておく
• 秘密保持契約（NDA）があれば十分か。十分ではない。一般的な NDA が扱うのは秘密の保持だ。終了時に文書の返却や廃棄を求めるものも多いが、会社がバックアップにコピーを残すことを認めるものもある。NDA は、本人専用のアカウントも、作業用マシンも、再委託先についてのルールも用意しない。EU の個人データについては、第28条が、NDA にはふつう含まれない条項も求めている