販促企画のための“AI壁打ち”で、7万人の会員情報が外部に流出… どうやったら防げた？

2026年10月16日 11時00分更新

文●大塚昭彦／TECH.ASCII.jp

提供: フォーティネット

■今回のストーリー：

　漫画／アニメグッズの販売店舗とオンラインショップを全国展開するW社。2000年代半ばに創業し、ゆっくりと成長を続けてきたW社だが、近年は“推しブーム”やインバウンド客の増加といった追い風もあり、業績は急速に伸びている。

　多くの漫画／アニメファンがW社のショップを好む理由は、W社が提供する会員プログラムが魅力的だからだ。

　一般的な小売店の会員プログラムと同じように、W社のショップでも会員には買い物額に応じた割引ポイントが付与される。ただし、ファンにとって真に魅力的なのは「会員限定」のイベントやサービスだ。たとえば、人気商品の先行販売、アニメ作品コラボのオリジナルグッズ販売、ファン交流会への参加権などが会員限定で提供される。これがファンの心を強くつかんでいた。

　こうした施策の効果もあって、現在の登録会員数は20万人を超えている。漫画／アニメファン界隈での認知度も高く、SNSでは「W社への会員登録は“沼”にはまる第一歩！」という冗談が飛び交うほどだ。

　ある年の初夏、W社のマーケティング担当者であるK氏は、数カ月後の年末商戦シーズンに行う、会員向け販促キャンペーンの企画立案に取り組んでいた。

　今年のキャンペーンは「休眠会員の掘り起こし」が大きなテーマだ。これまで1、2回しか購買履歴のない休眠会員を対象に、何か購買特典を提供することで、ふたたびW社のショップで買い物をしてもらえるよう導く。実際のところ、会員20万人の8～9割が休眠会員であり、その一部でも掘り起こせれば大きな成果につながる。新規会員の獲得を目指すよりも効率が良いのも利点だ。

　しかし、いったいどんな特典を提供すれば、休眠会員を動かせるのか。K氏は頭を悩ませていた。「アクティブ会員がW社で買ってくれる理由」ならば、豊富な購買データから仮説を立やすい。だが、その反対の「休眠会員がW社で買ってくれない理由」となると、分析に使えるデータが乏しく、仮説を立てるのが難しい。

　実際、K氏は昨日からずっと、休眠会員の属性データや購買履歴をさまざまな角度から分析していた。しかし、答えにつながる道筋は見えてこなかった。そろそろ企画の方向性を固め、具体的な施策立案に進まないと、明日の会議に間に合わない。K氏はあせり始めていた。

　ここでふと思いついたのが、生成AIツールを使った定性的な分析だ。W社では会員登録の際、自由記述形式で「ふだんの購買行動」や「ショップに望むこと」などのアンケートを取っている。その回答を生成AIに分析させることで、何かヒントがつかめるかもしれない――。K氏はそう考え、さっそく実行に移した。アンケート回答があった約7万人分の会員データを抽出し、プライベートで何度か試したことのある生成AIツールにそのままアップロードした。

　生成AIの“思考”には20分ほどかかったが、結果は上々だった。生成AIはアンケートデータやWeb上のデータを引用しながら、アクティブ会員と休眠会員の購買行動がどう違うのか、それはどういう価値観の違いから生まれているのかという仮説を提示してみせた。その仮説は、ベテランマーケターであるK氏をも納得させる見事なものだった。

　解決の糸口が見えたことで、K氏はAIとの“壁打ち”にのめり込んでいった。K氏が仮説を補強する情報を追加すると、生成AIは効果的な購買特典のアイデアも次々と提示した。これで、K氏の企画立案業務は一気に進んだ。

　翌日の会議でも、K氏が発表した「休眠会員の掘り起こし」キャンペーンは高い評価を受け、年末シーズンに実施することが決まった。実際には、プランの大部分を書き上げたのは生成AIだったのだが、K氏はその事実を黙っていることにした。やがて、キャンペーン実施に向けた業務が忙しくなり、K氏自身もそのことを忘れてしまった。

　W社の会員情報が外部流出していることが発覚したのは、11月中旬のことだ。K氏が提案した販促キャンペーンがスタートし、成果も少しずつ出始めた矢先のことだった。

　発覚のきっかけは、K氏と後輩マーケターY氏との何気ない会話だ。企画立案に行き詰まっていたY氏がアドバイスを求めたところ、K氏は「そういえば……」と“AI壁打ち”が効果的だったことを教え、生成AIツールの画面を見せながら手順を説明した。

　最初は興味深そうに聞いていたY氏だが、K氏が会員データの抽出やアップロードの方法を説明した途端、顔色を変えた。「Kさん、それ、かなりマズいかもですよ……」。Y氏はマーケティング部の個人情報管理責任者を務めており、K氏の行動は見過ごせなかった。Y氏がコンプライアンス室に通報したことで、問題が明るみとなった。

　聞き取り調査の結果、K氏はいくつもミスを犯していた。まず、W社が業務利用を許可していない、プライベート利用の生成AIツールに会員データをアップロードしたこと。その際、氏名や住所といった個人情報を消し忘れていたこと。そして、K氏が使った生成AIツールは、利用規約上、ユーザーが入力したデータをAIの学習やその他の用途で使う可能性があること、などである。

　W社が会員に公開しているプライバシーポリシーでは「同意なく会員情報を第三者提供しない」ことが明記されており、K氏の行動はこのポリシーに抵触する。さらには、個人情報保護法にも違反する可能性が濃厚だった。

　事態を重く見たW社では、個人情報保護委員会に報告するとともに、該当する約7万人の会員に対しておわびと事情説明のメールを送った。この事故はニュースとして報じられ、SNSではW社への批判が一気に巻き起こった。販促キャンペーンは続いていたが、もはやそれどころではなく、退会する会員も続出した。

　もちろんK氏本人の責任は重大だが、W社の側にもシャドーAIを防ぐ仕組みが欠けていた点で問題があった。今後も社員任せで運用を続けるならば、やがて“第2、第3のK氏”が現れ、同じような事故が再び発生することになりかねない。……この事故は、どうやったら防げたのだろうか？

※このストーリーはフィクションです。実在する組織や人物とは関係ありません。

止められない企業内のシャドーAIは「コンプライアンス／法令違反リスク」も生む

　現在、あらゆる企業で浮上しているのが「シャドーAI」の問題だ。シャドーAIとは、企業として業務利用を承認していないAIツールを、社員個人や現場部門の判断で勝手に利用してしまうことだ。企業が利用状況を把握できないため、今回のストーリーのような事故リスクが高まる。

　実際、多くの企業がシャドーAIに対するガバナンスの欠如に苦慮している。ガートナージャパンが2026年2月に実施した国内調査によると、「シャドーAIを把握できていない」企業が43％、「把握しているが、有効な対策を取れていない」企業が30％に上ったという（出典：ガートナープレスリリース）。

　シャドーAIのリスクとしてよく知られるのが「情報漏洩リスク」である。知的財産を含む機密情報や個人情報をアップロードしてしまい、情報流出につながるという事故は、生成AIの業務活用が始まった当初から何度も報じられている。

　ただし、シャドーAIが生むのは情報漏洩リスクだけではない。「コンプライアンス／法令違反のリスク」もある。これは、シャドーAI利用をする社員個人では気付きにくい観点だろう。

　たとえば今回のストーリーのように、顧客の個人データを本人の同意なく生成AIツールに入力した場合、AI事業者側のデータの取扱方法によっては、個人情報保護法に抵触する可能性がある（第三者提供規制の違反）。

　また、安全保障上重要かつ高度な技術情報、機密性の高い設計図や仕様書、製造ノウハウなどを、国外の生成AIツールに入力した場合も、AI事業者側のデータの取扱方法によっては「技術情報の海外流出」に該当し、外為法（安全保障貿易管理）に抵触するリスクが出てくる。

個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月）より（枠線は筆者が加筆）

経済産業省貿易経済安全保障局「技術流出対策ガイダンス第2版」（2026年4月）より

　医療や法律といった業界では、また別種の法的リスクもある。たとえば医療の場合、医療機器として承認されていないAIツールを医学的判断に用いると、薬機法に抵触しうる。また弁護士の業務利用では、利用方法が不適切であれば、秘密保持義務違反や非弁行為に該当する可能性が生まれる。

　企業が公式に生成AIツールを導入する場合は、こうした法的懸念点まで幅広く検討したうえで、導入するツールを選び、利用ルールも策定／周知するはずだ。一方で、シャドーAIの場合、利用者個人がこうしたコンプライアンスリスクまで深く理解しているとは考えにくい。そのため、まったく予期しない問題にまで発展するおそれがある。

前へ 1 2 次へ

ツイートする

Fortinet トップへ

本記事はアフィリエイトプログラムによる収益を得ている場合があります

この連載の記事

この連載の一覧へ