AIマーケティングツールとデータの扱い：中小企業のためのプライバシーとセキュリティのガイド

AIマーケティングツールは、Webサイトやアクセス解析、場合によってはお客様からのメッセージまで読み取ります。何かを接続する前に、その情報がどこへ渡るのかを知っておく必要があります。小規模なサービス業にとっての主なリスクは、情報の渡しすぎ、甘いアクセス管理、あいまいなベンダーのポリシーです。リスクを減らすには、次の点を確認します。ツールが必要とするデータは何か。誰が見られるのか。どのくらいの期間保存されるのか。削除できるのか。このガイドでは、それぞれを順に説明します。最後に、私たちを含むどのベンダーにも使えるチェックリストを紹介します。

AIマーケティングツールは実際にどんな情報を扱うのか

AIマーケティングツールとは、機械学習を使ってマーケティング素材を分析・作成・修正するソフトウェアです。扱うのは、あなたが渡した情報と、接続後にツールがアクセスできる情報です。

こうした情報は、主に次のグループに分かれます。

• 公開しているWebサイトのコンテンツ。 ページ、サービス紹介、掲載している料金、ブログ記事など。
• アクセス解析と検索のデータ。 表示回数（検索結果にページが表示された回数）、クリック数、訪問者の行動などの数値。
• 問い合わせとお問い合わせフォームの入力内容。 氏名、電話番号、メールアドレス、連絡してきた理由。
• チャットボットでの会話。 サイトのチャット画面に訪問者が入力した内容。
• 社内の業務情報。 料金の計算根拠、仕入れ先との条件、スタッフのメモ、まだ公表していない計画。
• アカウントへのアクセス権。 Webサイト、サーバー（ホスティング）、アクセス解析のログインID、パスワード、接続キー。

パン屋が公開しているメニューなら、リスクはほとんどありません。一方、歯科医院の予約依頼や法律事務所への相談内容は話が違います。健康状態や法的なトラブルが分かってしまうからです。多くの国では、こうした情報はプライバシー関連の法律で特に手厚く保護されています。

AIシステムにデータを渡すと何が起こりうるのか

問題の多くは、ハッカーが原因ではありません。ごく普通の人が、間違ったものを間違った場所に貼り付けることで起こります。

よくある例は次のとおりです。

• 機密文書。 法律事務所が、依頼人への手紙を一般向けのチャットボットに貼り付けて「make it sound friendlier」（もっと柔らかい表現に）と頼む。その時点で、依頼人の氏名や案件の詳細が第三者のシステムに入ります。
• 顧客情報。 水道修理業者が、マーケティングのアイデアを得るために過去の顧客一覧の表計算ファイルをアップロードする。そのファイルには、お客様がそのツールに渡すことに同意していない住所や電話番号が含まれています。
• ログイン情報。 Webサイトやアクセス解析のパスワードを、「just for setup」（初期設定のためだけ）にツールやフリーランスの人に教え、その後変更しないままにする。
• 機密性の高い業務情報。 クリニックが競合との比較を頼む際に、料金体系のすべてと出店計画まで渡してしまう。

リスクの大きさは、ベンダーが入力内容をどう扱うかで変わります。入力内容を保存したり、自社システムの改善に使ったりするサービスもあります。他の情報と分けて管理し、削除できるようにしているサービスもあります。どちらに当たるかは、そのサービスの資料を読まなければ分かりません。

特に重要なプライバシーとセキュリティの管理項目は何か

ベンダーを判断するのに、IT担当者は必要ありません。確認すべきことは5つです。

アクセス管理

アクセス管理とは、誰がログインでき、それぞれが何をできるかを決める仕組みです。1つのログインを共有するのではなく、一人ひとりに個別のアカウントがあるかを確認しましょう。各自が変更できる範囲を制限する「役割（ロール）」があるかも見ます。スタッフが辞めたときに、その人のアクセス権を一度の操作で削除できることが望ましいです。

データの保存期間

データの保存期間とは、ツールがあなたの情報をどのくらいの期間保持するかです。期間を自分で設定できるか、削除したデータが本当に消去されるかを確認しましょう。

ベンダーのポリシー

プライバシーポリシーと、データ処理に関する契約条件を読みましょう。データがどこに保存されるか、他のどの会社（再委託先）が扱うか、あなたのコンテンツがAIモデルの学習に使われるかを確認します。

同意

同意とは、本人が自分の情報の使われ方を了承していることです。チャットボットやお問い合わせフォームで個人情報を集めるなら、その情報がどう扱われるかを訪問者に伝える必要があります。プライバシーポリシーには、その情報を処理するツールについても記載しましょう。

プライバシーに関する法的義務

EUのお客様を相手にしているなら、GDPR（EU一般データ保護規則）が適用されます。トルコでは、KVKK（個人データ保護法）が同様のルールを定めています。どちらも、あなたに代わって個人データを扱うサービスを把握し、それらと適切な契約を結んでおくことを求めています。詳細は状況によって異なります。分からない場合は、専門家に相談してください。

Webサイトやアクセス解析に接続する前に、なぜツールを確認すべきなのか

ツールの接続は簡単です。あとから外すのは簡単ではありません。

Webサイトへのアクセス権を得たツールは、ページを公開したり変更したりできる場合があります。アクセス解析を見られるツールは、訪問者に関するデータを読めます。中には、必要のない広い権限を求めるツールもあります。

接続前に確認しておくと、次のことができます。

1. ツールの役割に必要な分だけのアクセス権を与える。
2. プライバシーポリシーのどこを更新すべきかを把握する。
3. チームの誰が変更を承認するかを、前もって決める。
4. ツールが合わなかったときに、データを書き出して利用をやめる方法を把握する。

スタッフ5人の歯科医院なら、この確認は1時間ほどで済むかもしれません。「私の問い合わせはどこへ行ったのか」という患者さんからの苦情に対応するより、ずっと早く終わります。

AIマーケティングソフトを評価するための実践チェックリスト

ベンダーを比較するときは、この表を使ってください。どのベンダーにも同じ質問をして、回答を書き留めておきましょう。

申し込む前に、次のことも確認しましょう。

• アップロードする予定の文書から、機密情報を取り除く。
• パスワード、依頼人のファイル、健康に関する情報は、一般向けのAIチャットボットに絶対に貼り付けない。
• アクセスが必要なスタッフごとに、個別のアカウントを作る。
• ツールが訪問者や顧客のデータを扱うなら、プライバシーポリシーを更新する。
• 数か月ごとにアクセス権を見直すよう、リマインダーを設定する。

AMOSでのデータの扱い

AMOSはSoftalikaの製品です。従業員がおよそ5〜50人で、Webサイトから新規のお客様を獲得していて、SEO・コンテンツ・ITの担当チームを持たないサービス業向けに作られています。以下は、AMOSの仕組みと、あなたが決めることについて、私たちが言える範囲の内容です。

• 分離された環境。 AMOSの各お客様は、それぞれ専用に分離されたCloudflareの環境で動いています。導入、更新、監視は私たちのチームが行います。
• 招待したユーザーのみ。 ワークスペースにログインできるのは、あなたが招待した人だけです。各自がメールで届くコードでログインし、それぞれに役割が設定されます。
• 保存期間はあなたが決める。 データをどのくらいの期間保存するかは、あなたが決めます。データはいつでも書き出し・削除できます。
• あなたの承認が前提。 AMOSは、あなたの承認なしにWebサイトへ何も公開しません。修正、記事、サイトの変更、翻訳のすべてが対象です。
• 確認が必要な文の提示。 AMOSが下書きを作るときは、まだあなたの確認が必要な文をすべて一覧にします。公開前に事実関係を確認できます。
• 保護されたお問い合わせフォーム。 AMOSがWebサイトを構築・ホスティングする場合、お問い合わせフォームにはボット対策が組み込まれます。

これは概要であり、すべてを説明したものではありません。Webサイトを接続したりデータを共有したりする前に、パイロットに適用されるポリシーと契約条件を私たちに請求し、目を通してください。初回の打ち合わせで、一緒に内容を確認することもできます。

パイロットの始め方

パイロットは、Webサイト、チーム、販売している市場についての短い打ち合わせから始まります。その後、あなた専用に分離されたクラウド環境にAMOSを設定します。プライバシーに関する質問は、この打ち合わせに持ってきてください。質問するにはちょうどよいタイミングです。

パイロットの期間と条件は、打ち合わせで決めます。パイロットのお申し込みは、お問い合わせページかチャットボットからどうぞ。1営業日以内にご返信します。