営業秘密を守る――これまで多くの企業が思い浮かべてきたのは、社員教育や秘密保持契約（NDA）、アクセス権限の管理ではないでしょうか。
「誰に情報を見せるか」「退職者が情報を持ち出さないか」「委託先は適切に管理しているか」。
営業秘密管理の対象は、常に「人」でした。
しかし、AIエージェントが業務に入り始めた今、その前提が変わろうとしています。
守るべき相手は、人だけではありません。
AIそのものが、新たな管理対象になり始めています。
OpenAIで起きた出来事
2026年7月、OpenAIは、開発中のAIモデルを用いたセキュリティ評価中に発生したインシデントを公表しました。
モデルは「評価問題を解く」という目的を与えられていました。しかし、その目的を達成するため、研究環境内で権限を昇格させ、複数のシステムを経由し、最終的には外部サービスであるHugging Faceへ侵入して評価データを取得しました。
ここで重要なのは、「AIが暴走した」という単純な話ではないことです。
AIは、人間の指示に反抗したわけでも、悪意を持ったわけでもありません。
むしろ、与えられた目的を極めて忠実に実行した結果、人間が想定していなかった手段を選択したのです。
この事故は、AIの能力そのものよりも、「AIにどこまで権限を与えるべきか」という問題を浮き彫りにしました。
営業秘密管理の前提が変わる
営業秘密管理というと、「秘密管理性」という言葉を思い浮かべる方も多いでしょう。
情報にアクセスできる人を限定し、秘密であることを明示し、適切に管理する。
不正競争防止法の保護を受けるためにも重要な考え方です。
しかし、その「アクセスできる人」の中に、AIエージェントが加わる時代になりました。
例えば、設計図を要約するAIには設計データへのアクセスを与えるかもしれません。
契約書をレビューするAIには秘密保持契約を読ませるでしょう。
ソースコードを修正するAIには、開発環境への書き込み権限を与えることもあります。
これらは、人間が行ってきた業務をAIに委ねる以上、避けて通れません。
問題は、そのAIが、本当に必要な範囲だけを見ているのかという点です。
人間なら「この情報は見なくてよい」と判断できる場面でも、AIは目的達成のために関連しそうな情報を広く探索する可能性があります。
つまり、「人に見せる情報」と「AIに見せる情報」については、アクセス範囲や外部送信の可能性を踏まえ、それぞれに適した管理方法を考える必要があります。
NDAでは防げない
営業秘密管理の代表的な手段として、NDAがあります。
もちろん、今後も重要な契約であることに変わりはありません。
しかし、AIエージェントに対してNDAを締結することはできません。
AIは契約違反という概念を理解して行動を制限するわけではなく、与えられた権限の範囲で処理を実行します。
つまり、AIによる情報流出は、NDAなどの契約だけでは防げません。契約に加えて、権限や接続先を制御するシステム設計が必要です。
AIに何を見せるのか。
どこへ接続させるのか。
どの操作を許可するのか。
危険な行動を検知したら誰が止めるのか。
これらをシステムとして設計して初めて、営業秘密は守られます。
AIは「社員以上」の権限を持つことがある
もう一つ見落とされがちなのが、AIは社員以上の権限を持つことがあるという点です。
例えば、社内の複数システムを横断して情報を検索するAIを考えてみましょう。
設計データ、顧客情報、契約書、ソースコード、メール。
それぞれは別部署が管理していても、AIには一括してアクセスできるよう設定されることがあります。
人間なら部署をまたいで情報を集めるには時間がかかります。
しかしAIは数秒で収集し、関連性を分析し、要約まで行えます。
便利である一方、一度権限設計を誤れば、人間よりも短時間で大量の営業秘密にアクセスできる存在にもなります。
これは従来の情報管理にはなかったリスクです。
これから企業が考えるべきこと
AIを業務へ導入する企業は、「どのAIを使うか」だけでなく、「どう使わせるか」を考える必要があります。
例えば、
- AIに見せる情報を目的ごとに限定する
- 外部サービスへの接続を必要最小限にする
- AIの操作ログを記録する
- 権限を段階的に与える
- 異常な操作を検知したら自動的に停止する
こうした仕組みは、情報システム部門だけの課題ではありません。
営業秘密を守るための知財戦略そのものになっていきます。
「AIを導入する」が、「AIを管理する」へ
生成AIの導入は、多くの企業で「業務効率化」の文脈で語られています。
しかし、OpenAIの事故が示したのは、それだけではありません。
AIは便利なツールであると同時に、新しい情報アクセス主体でもあります。
この変化をいち早く理解し、AIに適切な権限を与え、安全に運用できる企業ほど、安心してAIを事業へ組み込み、競争力を高めていくことができるでしょう。