【情報セキュリティマネジメント】技術者倫理と情報の信頼性、適法でも足りないことがある｜偽・誤情報・ファクトチェック・生成AI

情報技術を利用するとき、法令に違反していないことだけで判断を終えることはできません。

誤った情報、AIの出力、システムによる判断は、利用者の安全、財産、プライバシー、評判、意思決定へ影響します。科目Bでは、情報の内容と発信意図を分け、一次情報へさかのぼり、AIの出力を人が検証・承認するという順序で判断します。

この記事を読み終えると、事例を見て「どこで確認が止まっているか」を判断できるようになります。

先に結論：四つの問いで判断する

「法律に禁止されていない」「多数が共有している」「AIが自信をもって回答した」という事情だけでは、正しさや適切さの根拠になりません。

1．SGシラバスでの位置付け

SGシラバス Ver.4.1では、情報倫理・技術者倫理、フェイクニュース、マルインフォメーション、ディスインフォメーション、ミスインフォメーション、デジタルタトゥー、ファクトチェックが用語例に明示されています。

また、システム活用促進の用語例には、AI（生成AIほか）が明示されています。

したがって、本記事の主要論点はシラバス非明示の補助論点ではありません。一方、特定団体の倫理綱領の条文暗記やAIガイドラインの細かな項目暗記までは求めず、科目Bの行動判断に必要な範囲で参照します。

2．技術者倫理では法令の先にある影響も考える

法令遵守は重要ですが、それだけで倫理上の判断が完了するわけではありません。

情報処理学会の倫理綱領も、安全・財産、人格・プライバシー、知的財産、事実とデータ、情報技術が社会へ与える影響などを考慮する姿勢を示しています。

倫理綱領は、個別事例の答えを自動的に決める法律ではありません。複数の利益が衝突する場面で、専門家が根拠を示して判断するための参考になります。

3．偽・誤情報は内容と意図で分類する

三類型では、発信媒体ではなく、内容の真偽と害を与える意図を見ます。

この三類型は、Council of Europeが公表したInformation Disorderの枠組みでも整理されています。

作成者と共有者の意図を分ける

最初の作成者が虚偽と知って作った情報を、別の利用者が正しいと信じて共有した場合、両者の行為を同じ意図として扱いません。

また、誤りがあっただけで悪意を断定しません。作成経緯、利益関係、訂正への対応、反復性など、確認できる事実から判断します。

4．ファクトチェックは検証可能な主張へ分解する

真偽不明の投稿を見つけても、投稿全体を直ちに「全て正しい」「全て虚偽」と決めません。

1. 日付、人数、発言、仕様、原因など、検証可能な主張へ分ける
2. 法令、公式発表、原記録、統計、ログなどの一次情報を確認する
3. 情報の日付、版、地域、製品、適用条件を確認する
4. 原文と前後の文脈、複数の証拠を照合する
5. 確認済み、未確認、推測を区別する
6. 誤りが判明したら、訂正内容と周知先を決める

拡散数、検索順位、多数意見、単一のスクリーンショットは、単独では正しさの証明になりません。

確認できない事項が残る場合は、その状態自体を明示します。調査中の推測を確定した事実として公表しないことも、情報の信頼性を守る対応です。

5．デジタルタトゥーを前提に対応する

デジタルタトゥーは、インターネット上の情報が、元の投稿を削除しても転載、スクリーンショット、検索結果、保存データなどに残り続ける性質を表す言葉です。

自社に関する真偽不明の情報が拡散した場合は、証拠を保存し、原記録やログで事実を確認し、法務・広報・情報セキュリティ・経営層で連携します。

「誤りと断定できるまで何もしない」ことも、「検証前に全て虚偽と発表する」ことも適切ではありません。確認できた事実と未確認事項を分けて説明し、削除後も複製・転載の残存を確認します。

投稿削除や発信者情報開示の法的手続は「通信・電子取引に関する法律」で扱います。

6．生成AIへ入力する前に情報の扱いを確認する

生成AIへ入力した情報の保存、サービス改善への利用、管理者による制御などの条件は、サービス、契約、プラン、設定によって異なります。

入力前に、少なくとも次を確認します。

• 組織が承認したサービス・アカウント・設定か
• 個人情報、顧客情報、営業秘密、ソースコードを入力してよいか
• 契約上の守秘義務や社内規程に反しないか
• 必要な情報だけへ削減、匿名化、マスキングできないか

業務品質を上げる目的であっても、未承認の外部サービスへ機密情報を入力してよい理由にはなりません。

7．生成AIの出力は人が検証し、承認する

生成AIの出力には、もっともらしい誤り、存在しない出典、古い情報、偏りなどが含まれる可能性があります。

業務へ採用する前に、

• 数字、日付、固有名詞、引用、法令、仕様を一次情報と照合する
• 出典が実在し、主張を正しく支えているか確認する
• 著作権、個人情報、プライバシー、秘密情報への影響を確認する
• 差別的・不公平な表現や危険な手順を含まないか確認する
• 権限を持つ人が最終版を承認する

という手順を取ります。

AIサービス提供者側にも契約・法令上の責任が生じる場合はありますが、利用組織が自らの業務成果物として採用する以上、確認せずに採用してよいことにはなりません。

誰が入力し、誰が検証し、誰が採用を決め、誰が最終承認したかを追跡できる形にします。

8．科目Bでの使われ方

判断の順序は、法令・規程 → 内容と意図 → 一次情報 → 影響 → 検証・承認です。

担当者としては、確認が済んでいない情報を確定した事実として伝えず、確認済み・未確認・推測を分けて記録します。生成AIへ業務情報を入力してよいか、出力を社外へ出してよいかは担当者限りで判断せず、上位者や情報システム・法務の担当部署へ確認します。

よくある取り違え

まとめ

• 法令遵守だけでなく、安全、権利、公平性、社会的影響を検討する
• ミスインフォメーションは害意のない誤情報、ディスインフォメーションは害意を伴う虚偽情報
• マルインフォメーションは事実に基づく情報を害する目的で利用する類型
• 三類型は発信経路ではなく、内容の真偽と意図で判断する
• ファクトチェックでは一次情報、日付、版、対象、文脈を確認する
• 調査中は確認済み・未確認・推測を区別する
• デジタルタトゥーを前提に、削除後も複製・転載の残存を確認する
• 生成AIへの入力条件を確認し、出力は人が検証・承認する

関連記事

• C8-T09：ガイドラインと内部統制関連法
• C8-T02：個人情報の取扱いルール
• C1-T12：AIと攻撃
• C7-T07：情報セキュリティ教育と訓練

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
• 情報処理学会「倫理綱領」（2022年6月27日改訂）
• 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」
• IPA・AIセーフティ・インスティテュート「AI利用者のためのセキュリティ豆知識」
• AIセーフティ・インスティテュート「AIセーフティに関する評価観点ガイド（第1.20版）」
• Council of Europe, Information Disorder: Toward an interdisciplinary framework for research and policy making (2017)

関連する問題

• 情報セキュリティマネジメント 法務・標準・情報倫理 一問一答 第26問〜第30問
• 情報セキュリティマネジメント 法務・標準・情報倫理 択一式（応用） 第26問〜第30問