オフショアAIチームへのデータ・プロンプト・モデル委託時のデータ保護

このガイドは、顧客データ・プロンプト・モデルをオフショアAIチームに委託しようとしているCTO、VPエンジニアリング、ファウンダー、またはコンプライアンス担当者を対象としています。対象チームは、専任開発チームまたはオフショア開発センター（ODC）のいずれかを想定しています。アウトソーシング概要、IP保護チェックリスト、パートナー選定に向けたセキュリティ審査質問リストをすでにお読みいただいていることを前提とし、本ページはそれらがカバーしていないAI固有のデータ取り扱い管理策についてより深く掘り下げます。本内容は一般的な情報提供を目的としており、法的またはセキュリティ認証に関するアドバイスではありません。

本ガイドの内容

• オフショアAIチームがデータ・プロンプト・モデルを漏洩させる3つの経路とは？
• 3つの漏洩経路の比較
• 各漏洩経路への対処
• AIの活用領域
• 存在する納品実績と存在しないもの
• 代替手段：管理策の確認方法
• 本ガイドの適用範囲と限界
• よくある質問
• 次のステップ

オフショアAIチームがデータ・プロンプト・モデルを漏洩させる3つの経路とは？

コードセキュリティについて審査済みのパートナーであっても、AI利用を通じてデータが漏洩する可能性は残ります。一般的なセキュリティ審査に合格したベンダーであっても、以下の3つの経路すべてで問題が生じる場合があります。第一に、ベンダーのエンジニアがプロジェクトで承認されていないAIコーディングツールに、データ・プロンプト・独自ロジックを貼り付けるケースがあります。調査では「シャドーAI」と呼ばれるこの行為は広く見られ、ほとんどの組織はAIツールが介在した際のデータフローを把握できていません。第二に、チームが使用するAIプロバイダーまたはモデルベンダーが、プロンプト・出力・ファイルを監視・トラブルシューティングのために保持したり、自社モデルの学習・改善に利用したりする可能性があります——契約やアカウントのプランで別途定めない限りは。第三に、プロバイダーが処理リージョンを明示している場合でも、推論・ログ・バックアップがダッシュボードの表示とは異なるリージョンで実行されることがあり、キャパシティ問題発生時のフェイルオーバーにより、誰も設定を変更することなく越境でトラフィックが切り替わる場合があります。いずれも、セキュリティ審査チェックリストが問う一般的な管理策では対処できず、エンゲージメント終了後に生成された評価セットや学習済みモデルの所有権とも別の問題です。

3つの漏洩経路の比較

存在する納品実績と存在しないもの

Netbase JSC のコントリビューターはNDAのもとで業務を行っており、NDAおよびデータ処理契約はクライアントの求めに応じて提供可能です。セキュリティ慣行には、セキュアコードレビューとバージョン管理、転送中のTLSおよび保存時のAES暗号化、ロールベースのアクセス制御、管理ダッシュボードへのMFA、脆弱性スキャンとペネトレーションテスト、ディザスタリカバリが含まれます。Netbase JSC はISO 27001認証およびSOC 2 Type II認証を取得し、GDPR準拠・HIPAA準拠・CCPA準拠の慣行に従っています。これらはNetbase JSC 自身の運営を対象とするものであり、クライアント自身のAIプロバイダーアカウントやモデル選定については別途考慮が必要です。Netbase JSC のカスタム開発では、クライアントのために作成された成果物のIPはクライアントに帰属します。Netbase JSC 自身のプロダクト化されたモジュールおよびBusiness Divisionの製品はライセンス供与であり、移転はされません。これはクライアントのAI出力および学習済みコンポーネントがクライアントに帰属することと同じ考え方です。Netbase JSC のほとんどのプロジェクトはディスカバリ後に合意した固定価格（請負）契約で提供されており、マイルストーン型・月額チームリテイナー型・KPI連動型も提供しています。本ガイドのデータ保護管理策は、いずれの契約モデルにも同様に適用されます。

存在しないもの。公開されているNetbase JSCの記録の中に、特定の処理リージョン保証・ベンダーによる学習オプトアウト（自社のモデル非依存の慣行として明示しているもの以外）・上記の匿名AIエンゲージメントの件数・期間・成果を記載したものはありません。本ページは、特定クライアントエンゲージメントにおいて特定の管理策が交渉されたことの証拠ではなく、特定のDPAに関する専門家の審査に代わるものでもありません。

代替手段：管理策の確認方法

Netbase JSC のカスタム開発では、データ取り扱い慣行がリクエストに応じて組み立てられるのではなく、標準的なエンゲージメントの一部として文書化されています。エンタープライズ対応のモデル非依存AIツール、NDAおよびDPAをデフォルトで提供、クライアントのデータと成果物がクライアントに帰属するIPの分割体制が整っています。このサービスは専任開発チームおよびオフショア開発センター（ODC）として提供されています。これらの管理策を契約前に確認するニーズが多い方には、AIナレッジアシスタントソリューションおよびプロフェッショナルサービス業界ページも隣接するデリバリー形態として参考になります。

本ガイドの適用範囲と限界

• 本ガイドは一般的な情報提供を目的としており、法的またはセキュリティ認証に関するアドバイスではありません。データ保護法と越境移転に関するルールは国によって異なるため、本ガイドに記載された管理策に依拠する前に、現地の法律専門家にご相談ください。
• アウトソーシング時のIP保護にあるIP譲渡およびGDPRプロセッサー条項チェックリスト、パートナーへのセキュリティ審査質問リストにある一般的な審査質問、アウトソースAIプロジェクトの契約条項にある条項の文案については、本ガイドでは繰り返しません。これらを本ガイドと合わせてお読みください。
• 本ガイドは、Netbase JSC 自身の登録済みセキュリティおよびAIツール慣行を超えた、特定のデータレジデンシー保証・学習オプトアウト・管理策をNetbase JSC のコミットメントとして記載するものではありません。
• 漏洩が確認された後の対応については本ガイドの対象外です。それは予防チェックリストではなく、インシデント対応と規制上の通知に関する法律専門家への相談事項です。

次のステップ

検討中のオフショアチームが使用予定のAIツールとモデルをお知らせいただければ、署名前にエンタープライズアカウント・データ利用・レジデンシーの管理策を確認するソリューションレビューをご予約します。ベトナムでのオフショアAIエンジニアリングチームの採用方法やアウトソースAIプロジェクトに必要な契約条項もご参照ください。また、Netbase JSC インサイトの他の記事もご覧いただけます。

関連サービスとソリューション