先に白状しておくと、セキュリティ業界に長くいながら私は「ガチガチのセキュリティ」が嫌いだ。守りを固めるほど現場の足かせになり、事業の発展を阻害する場面を数えきれないほど見てきた。
私は大手のガチガチなセキュリティ部隊で育った。その後ルールがほとんど何もないベンチャーに移り、両方を経験した上で起業した。だから両極端のどちらもダメだと言い切れる。大手のやり方をベンチャーに持ち込めば余裕もないのにスピードだけが落ちる。かといって何も守らずに何でも連携させるノーガード戦法もいけない。このバランスの話を、いま企業のAI対応がもう一度なぞろうとしている。
「危ないから禁止」がいちばん危ない。これが私の結論だ。 なぜそう言えるのかを、セキュリティの現場で昔から起きてきたことから書いていく。
URLフィルタリング漬けの20年が人をどう変えるか
分かりやすいのが旧来のURLフィルタリングだ。情報漏えいを恐れる組織ほどWebの閲覧制限は厳しくなり、業務に関係しそうなサイトまでブロックされていく。漏らしたら終わりの大手ほどそうなりがちで、組織防衛としてはある意味仕方がない。
ただその中にいる一個人のキャリアを考えると怖い。
新卒1年目からフィルタリングガチガチの環境で20年過ごした技術者はどうなるか。分からない単語に出会っても調べようがないから、そのうち調べない人間になる。「これって何だっけ」と思った瞬間に検索する習慣、いわゆる「ググる」が職業人生の最初から封じられているのだ。それが当たり前になった技術者が制限のない環境の技術者と同じ速度で育つとは、私には思えない。
営業も同じだ。問い合わせをくれた企業を会社端末で調べられない。これから訪問する会社の下調べもできない。そうなると何が起きるかというと、私用のスマホで調べ始めるのだ。禁止は行動を消さない。見えない場所に移すだけだ。 会社は育成の機会と統制の実態を同時に失う。
いま、AIでまったく同じことが起きている
「AIは危ないから」と恐れて使わせない会社と、リスクを分かった上で使い倒す会社。この差は1年後にとんでもない差になって表れると私は見ている。
たとえば外部連携だ。何でもかんでも連携を許可するのは論外だとしても「外部連携って何？」という人と、連携すると何ができて何が便利かを分かった上で使う人とでは同じAIを渡しても使い方に雲泥の差が出る。
判断の軸はシンプルで、「なぜダメか」を分かっているかどうかだ。APIキーをなぜAIに入れてはいけないのか。パスワードをなぜ送ってはいけないのか。ここが分かっている人なら直接入力させない作りに逃がすことで、連携の便利さを安全に取りにいける。逆に理由を飛ばして「連携は危険、禁止」とだけ通達した瞬間にAIのパワーは大きく削がれる。せっかくモビルスーツを手に入れたのに、まっすぐ歩くことにしか使わないようなものだ。
どのAIを契約するかは前回の記事に書いた。ただ契約はスタート地点でしかない。その先の「社内でどこまで使わせるか」で多くの会社がいま「全部禁止」と「野放し」の二択に吸い込まれかけている。
解決の順序は「個人で触る」が先
ではどうするか。私が有効だと思う順序は2つだけだ。
1つ目、まず個人環境で何でもやってみる。 個人のアカウントで、個人の情報で、思いつく限り試す。やらかしてもあくまで個人の責任で済むのがこの段階の価値だ。私自身、ChatGPTにパスワードをそのまま投げて警告された経験がある。「あ、そりゃそうだ」と思った。知識としては当然知っていた。それでもやらないと分からないものなのだ。
2つ目、その便利さを知った状態で会社環境の「できないこと」に触れる。 すると「こうやると危ないのか。だから禁止しているのか」が腹落ちする。順序が逆だと、つまり便利さを知る前に禁止だけを教わると、ルールは単なる足かせにしか見えない。腹落ちした人はルールを守る側から、安全に使う設計を提案できる側に変わる。
これは根性論ではなく投資の話だ。個人で月数千円と少しの時間を張れるかどうかで、1年後のキャリアも「年収」も「転職の成功率」も格段に変わる。私はそう考えている。
採用と人事は、この分かれ目の最前線にいる
この話を採用の文脈で締めたいのは、理由が2つあるからだ。
1つ目はAI禁止の号令が最初に直撃するのが採用業務だからだ。応募者情報という個人情報の塊を扱う以上「とりあえず採用ではAI禁止」は号令として一番出しやすい。ただ本当に必要なのは禁止ではなく、何を入れてはいけないかが分かった上で使う設計だ。個人情報だけを外して業務の効率は残す。その順番を設計できるかどうかで、採用チームの生産性は分かれていく。
2つ目は採用の競争力に返ってくるからだ。個人でAIに投資している人ほど、禁止だけの会社で自分が錆びていくことに敏感になる。AIを学べる環境かどうかで個人のキャリアが変わるなら、それを提供できる会社に人が集まるのは自然な流れだと思う。1年後の差は生産性だけでなく採用にも出るはずだ。
「危ないから禁止」はいちばん簡単で、いちばん高くつく。守った気になっている間に人が育つ機会と選ばれる理由が目減りしていく。禁止の紙を1枚増やす前に「なぜダメかを分かって使える人」を1人増やす方に張るべきだ。
採用業務でそれをやる場合の環境づくりと運用設計は、セコネが支援している領域だ。禁止か野放しかの二択の手前で、一度ご相談いただきたい。
※関連記事：「人事がまず契約すべきAIはどれか。比較で止まらないための結論」／「採用業務でAIに応募者情報を入れている人事の3割が知らない、5つの落とし穴」／「採用業務でChatGPTに応募者情報を入れている会社へ」
著者：高田 祥
セキュリティ人材専門の採用コンサルタント。株式会社セコネ代表。
情報処理安全確保支援士（登録番号 第019946号）。上級個人情報保護士。個人情報保護監査人。CompTIA Security+。
セキュリティベンダー・事業会社のセキュリティ採用を、職種設計からスカウト・面接設計まで一貫して支援。採用業務でのAI活用に関する整備支援にも対応。