サムスン電子事故 ―経営会議の議事録から漏れた極秘戦略

～3層防御(People/Process/Technology)が必須となる理由～

2023年3月、サムスン電子の半導体部門は、内部のChatGPT利用禁止を解除した。リテラシー教育のないまま、社員に一斉に使わせたのである。約20日後の4月1日、社内セキュリティ監査でわずか3週間の間に3件の重大インシデントが発覚した。

半導体測定データベースのソースコードをChatGPTに貼り付け、最適化を依頼
歩留まり・欠陥測定機器のコードをChatGPTに送信、デバッグを依頼
経営会議の録音をテキスト化してChatGPTに送り、議事録を生成

特に第3のケースが致命的であった。経営会議の議事録には、競合分析、自社の強み、次期スマートフォンの販売戦略までが含まれていた。これらの情報は、OpenAI側のサーバーに残った状態となった。サムスンは即座に全生成AIツールを社内禁止とし、後にエンタープライズ環境を整備した上で再開している。

注目すべきは、いずれのインシデントも「悪意ある内部犯」ではなく、業務効率を上げようとした真面目な社員によるものだった点である。教育がないと、善意の社員ほど事故を起こすのだ。

この事故が示すのは、3層防御の必要性である。

People(人):全従業員へのAIリテラシー教育
Process(規程):利用ルール(SOP・ガイドライン)の整備
Technology(技術):DLP・API制限・監査ログ等の技術的統制

ルールだけで縛っても人は間違える。技術だけでも、教育がなければザルである。3層が揃って、初めて機能する。

医薬品・医療機器業界に置き換えれば、これはまさにGMPの「Man-Machine-Method」三原則のAI時代版である。教育記録、AI利用SOP、技術的アクセス制御の3点セットを、AIガバナンス文書として一体運用する必要がある。

読者へのアクション:自社の「生成AI利用ガイドライン」が、教育・規程・技術統制の3層揃っているか今すぐチェックしていただきたい。一つでも欠けていれば、それは穴である。