入力内容とアクセス権限を見直す10の対策
役に立つ回答を得るための情報は共有し、流出すると被害につながる情報は渡さない。プライバシー保護では、必要なデータだけを扱う考え方を「データ最小化」と呼ぶ。英国の情報コミッショナー局は、目的に対して十分かつ関連性があり、必要な範囲に限られたデータを保持する原則だと説明する。
プライバシーポリシーをざっと読むだけでは十分ではない。ピュー・リサーチ・センターの調査結果によると、米国人の56％は、内容を読まずに頻繁に「同意」をクリックしている。情報の扱いを確認する習慣を持つため、次の10項目を実践したい。
（1）記憶機能の初期設定を確かめる：メモリーや過去のチャット参照は、Claudeの無料・Pro・MaxプランやGeminiなど、一部製品で初期設定がオンになっている
（2）必要に応じてモデル学習への利用を拒否する：OpenAIのデータ管理機能が一例だ。ただし、学習利用を拒否した後でも、高評価や低評価のフィードバックを送ると、会話全体が学習に使われる場合がある
（3）機微な相談には一時チャットなどを使う：ChatGPTの一時チャットは新しいメモリーを作成・更新しない。既存のメモリーも参照させたくない場合は、開始前に「パーソナライズなし」を選ぶ。Claudeのシークレットチャットもメモリーを作成・更新せず、Geminiの一時チャットは個人向けの回答調整やモデル学習に使われない
（4）機微情報は入力しない：OWASPが機微情報として挙げる身分証明番号、パスワード、金融口座情報、医療記録、業務上の機密ファイルは入力しない
（5）記憶された情報を確認して整理する：チャットを削除しても、記憶情報が自動的に消えるとは限らない。OpenAIは管理方法として、設定の「パーソナライズ」からメモリーの概要を管理し、必要に応じて情報を含むチャットやファイルも削除するよう案内している。Claudeにも記憶内容を管理する機能がある
（6）接続したアプリを点検する：不要な連携を解除し、OWASPの最小権限の指針に沿って、必要な範囲だけにアクセスを許可する
（7）保存期間と規約変更を確かめる：「一時」と表示されても、入力内容が直ちに削除されるとは限らない。グーグルによれば、Geminiの一時チャットは最長72時間保持される。米連邦取引委員会（FTC）は、AI学習を認めるよう利用規約をひそかに変更する行為が不公正または欺瞞的になり得ると警告している。設定は定期的に見直したい
（8）出所が信用できない情報を読み込ませない：メモリーや接続アプリにアクセスできるAIに、不審なファイル、メール、リンクを渡すと、間接的なプロンプトインジェクション攻撃を受けるおそれがある
（9）業務では会社が認めたツールを使う：OpenAIの学習方針によると、ChatGPT Business、Enterprise、Eduの情報は初期設定でモデル学習に使われない。業務資料を個人用アカウントではなく、勤務先が管理する環境で扱う理由になる
（10）アカウント自体を保護する：他のサービスで使っていないパスワードに多要素認証を組み合わせ、第三者によるアカウントの乗っ取りを難しくする
