company code を AI tool に送るとき、どの security/privacy consideration がありますか？

Question

Accepted Answer

AI provider は **任意の third-party data processor** と同じように扱います。貼ったものは自社境界を出て、その provider の handling、retention、training policy の対象になります。core question は *この data はどこへ行き、誰が見られ、model training に使われるのか* です。

## 送る前に確認すること

- **Data handling and retention** — provider は prompt を保存するか？どのくらい？retention を opt out できるか？
- **Training policy** — input は future model training に使われるか？consumer tier では default で yes のことが多く、proprietary logic が漏れる可能性があります。
- **Data processing agreement** — DPA はあるか？compliance needs（GDPR、SOC 2 など）を満たすか？

## 絶対に漏らしてはいけないもの

- **Secrets** — API keys、tokens、passwords、connection strings。貼る前に redact し、漏れたものは rotate します。
- **PII / customer data** — name、email、health/financial records。bad idea というだけでなく regulatory violation になることがあります。
- **IP and licensing** — proprietary algorithms や restrictive licenses の code。外に送ることも、出所不明の AI output を受け入れることも legal risk があります。

## より安全な practice

- sensitive work には **enterprise / zero-retention tiers** または **self-hosted models** を使う — training exclusion と retention minimization が contractually に定義されます。
- secret と PII を **redact** し、file 全体ではなく minimal で anonymized な snippet を共有する。
- **company policy に従う** — 多くの org には approved-tools list があります。unsanctioned tools に code を流さない。
- 便利さより **real data agreement** のある tool を優先する。

## なぜ重要なのか

code は company の最も sensitive な asset の 1 つです。IP、security design、しばしば customer data も encode しています。間違った AI tool に貼ると、training corpus への permanent leak、compliance breach、vet していない third party への proprietary logic 提供になり得ます。安全な mindset は単純です。AI endpoint は external processor なので、vendor と同じ scrutiny を適用します。policy を読み、送るものを minimize し、contractually に data を守る tier/tool を選びます。