投稿者 global-ai-media 
OpenAIはChatGPTのアカウント保護機能として、パスキーやハードウェアキーによる高度なセキュリティ設定を導入しました。本記事では、このアップデートの背景にあるAI時代の情報漏洩リスクと、日本企業が取り組むべきアクセス管理・ガバナンスのあり方について解説します。
ChatGPTが導入した高度なアカウントセキュリティとは
OpenAIは、ChatGPTのアカウント保護を目的とした新たなセキュリティ機能の提供を開始しました。具体的には、パスキー（スマートフォンの生体認証などを利用したパスワードレスの認証技術）や物理的なハードウェアセキュリティキーによるサインインを可能にするものです。注目すべきは、この機能を有効にした場合、従来のパスワードログインが無効化されるだけでなく、メールやSMSを用いたアカウントの復旧（リカバリー）機能も完全に削除されるという点です。
生成AI利用における認証強化の背景
なぜ今、生成AIのサービスにおいてこれほど厳格なアクセス制御が求められているのでしょうか。それは、大規模言語モデル（LLM）との対話履歴が、企業にとって極めて機密性の高い情報資産となっているからです。業務効率化や新規事業のアイデア出し、あるいは社内文書の要約など、ChatGPTに入力されるプロンプトには、未公開の経営情報や個人情報が含まれる可能性があります。万が一アカウントが乗っ取られた場合、これらの情報が外部に流出するリスクは計り知れません。
パスキーとハードウェアキーがもたらす防御効果
従来のIDとパスワードの組み合わせは、フィッシング詐欺や、他サービスから流出したパスワードを使い回す「パスワードリスト攻撃」に対して脆弱でした。パスキーや専用のハードウェアキーを利用した認証は、これらの攻撃に対して極めて高い耐性を持ちます。デバイスの所持と生体認証（指紋や顔認証など）を組み合わせることで、遠隔からの不正アクセスを物理的かつ技術的に困難にするのが最大のメリットです。
厳格化に伴うリスクと日本の組織における課題
一方で、メールやSMSによるアカウント復旧機能の削除は、セキュリティを高める反面、運用上のリスクも伴います。もし認証に使用しているスマートフォンやセキュリティキーを紛失した場合、アカウントへのアクセスを完全に失う（ロックアウトされる）可能性があります。日本の企業においては、従業員のITリテラシーにばらつきがあり、厳格すぎるルールやリカバリー不能な仕組みは、業務部門の混乱や反発を招くケースも少なくありません。利便性とセキュリティのトレードオフをどう設計するかが実務上の大きな課題となります。
シャドーIT対策から組織的な管理・ガバナンスへ
日本企業がChatGPTをはじめとするAIサービスを業務で安全に利用するためには、個人アカウントでの利用（いわゆるシャドーIT）を黙認するのではなく、組織として適切な管理体制を敷くことが重要です。多くの企業では、法人向けプラン（ChatGPT Enterpriseなど）を導入し、シングルサインオン（1度のユーザー認証で複数システムを利用できる仕組み：SSO）を通じて、自社のID管理基盤と連携させるアプローチが主流です。今回のOpenAIのアップデートは、個人や小規模チームでの利用において強固な保護を提供するものですが、中堅・大企業としては、会社として一元的なアクセス制御とログ管理を行うことが本筋と言えます。
日本企業のAI活用への示唆
今回のセキュリティ強化から得られる、日本企業がAIを活用する上での重要な実務的示唆は以下の通りです。
・認証基盤の近代化を急ぐ：生成AIに蓄積されるデータの価値とリスクを再認識し、パスワードのみの脆弱な認証から、パスキーや多要素認証（MFA）への移行を全社的に進める必要があります。
・可用性（アクセスの維持）とリカバリー手順の整備：強固なセキュリティは、デバイス紛失時などに業務が停止するリスクを伴います。代替のログイン手段の確保や、管理部門による迅速なサポート体制など、日本の組織文化に合わせた運用ルールの策定が不可欠です。
・法人向けプランとSSOによるガバナンス確立：個人のリテラシーに依存するセキュリティ対策には限界があります。法人向けプランを導入し、自社のID基盤と統合することで、コンプライアンスを担保しながら業務効率化を推進することが推奨されます。