AIサービスのオプトアウトポリシー

生成AIサービスなどで、利用者が入力したデータをサービス提供者がAIの学習に使うことを、利用者が拒否（オプトアウト）できるかどうかと、その手続を定めた方針。業務で使う際は、機密情報や個人情報が学習に使われないよう、オプトアウトの可否と設定を確かめる。

組織が把握・許可していない生成AIなどのAIサービスを、従業員が業務で使うこと。シャドーITのAI版で、外部の無料サービスに機密情報や個人情報を入力して漏えいさせる、出力の誤りや権利侵害に気付けないといったリスクがある。一律に禁止するより、許可するサービスと使い方をAI利用ポリシーで示し、安全な代替手段を用意することが有効とされる。

生成AIが、学習データを集めた時点より後の出来事を知らないために、古くなった情報を現在も正しいものとして出力するリスク。法令の改正や製品の仕様変更などを反映していない回答が生じるため、最新の情報源で確かめてから使う必要がある。

組織の従業員が生成AIなどのAIを業務で使うときのルールを定めた方針。利用してよいサービス、入力してはならない情報（機密情報や個人情報）、出力内容の確認と責任、著作権への配慮、利用目的の範囲などを定める。AIガバナンスの一部として整備し、許可されていないAIの利用（シャドーAI）を防ぐ役割もある。

生成AIがコードを生成する際に実在しないパッケージ名を提案してしまう現象（パッケージハルシネーション）を悪用する攻撃。攻撃者は、AIが提案しがちな架空のパッケージ名でマルウェアを仕込んだパッケージを公開リポジトリに登録し、AIの提案をそのまま使った開発者にインストールさせる。タイポスクワッティングになぞらえた造語で、依存パッケージの実在と信頼性を確認することが対策となる。

生成AIが、事実に基づかない内容や存在しない情報を、もっともらしい文章として出力する現象。大規模言語モデルは学習データからもっともらしい単語の並びを生成するため、架空の文献や誤った数値をそれらしく示すことがある。RAGで根拠となる文書を参照させる、出典を確認する、人間が内容を検証するといった対策をとる。

深層学習などのAI技術を用いて実在の人物の顔や声を合成し、本物と見分けにくい偽の画像・動画・音声を作る技術、またはそれによって作られたコンテンツ。偽情報の拡散、経営者の声をまねた送金指示のようななりすまし詐欺、名誉毀損などに悪用される。電子透かしや来歴情報による真正性の確認、検知技術などの対策が進められている。