--- id: "ia-010" title: "Web会議のAI文字起こしボットと拡張機能 : CISOと情シスを脅かす見えない情報漏洩リスク" description: "未承認のAI議事録ボットやブラウザ拡張機能がもたらす情報漏洩リスクとは。OAuth連携の危険性、個人情報保護法や秘密保持への影響、シャドーAI対策をCISO・情シス向けに解説します。" canonical: https://startbrain.io/ja/cybersecurity/shadow-ai-meeting-bots-browser-extension-risk-ciso/ slug: "shadow-ai-meeting-bots-browser-extension-risk-ciso" date: "2026-08-20" category: "ia" product: "superchallenge" lang: ja author: "Brain Security · サイバー＆ヒューマンリスク研究開発部門" frameworks: "IPA · 経済産業省(METI) · 個人情報保護法(APPI) · JPCERT/CC · ISO 27001" --- # Web会議のAI文字起こしボットと拡張機能 : CISOと情シスを脅かす見えない情報漏洩リスク 現在、多くの日本企業や組織で毎日のように目撃される光景があります。Microsoft Teams、Zoom、Google Meetなどで役員会議や戦略ミーティングを開始した瞬間、見慣れない参加者が入室してくる事例です。「〇〇のAIアシスタント」。同僚の社員に悪気はありません。「議事録作成の手間を減らし、業務効率化を図りたい」という一心で、SNSで見かけた無料ツールのアカウントを作成したり、ブラウザ拡張機能をわずか数クリックでインストールして社用カレンダーを連携させたに過ぎません。 従業員にとっては即効性のある業務効率化ツールでも、CISO（最高情報セキュリティ責任者）、情報システム部門、プライバシー管理責任者にとっては重大なセキュリティホールとなります。セキュリティ評価や法務確認を経ないまま、外部の未知のサービスが社内の会話すべてを録音・文字起こしし、さらには社内グループウェアへの広範なアクセス権限限を獲得してしまうからです。この新しい形態の「シャドーAI」は、あらゆる社内ミーティングを潜在的なインシデントのリスクへと変貌させています。 --- ## 未検証のAI議事録・録音アシスタントがもたらす機密保持リスクとは？ > **要点まとめ : 未承認のAIミーティングアシスタントは、会議内の音声や議論内容を外部サーバー（多くは海外拠点）へ自動転送・保存します。スケジュール連携によって取引先情報などのメタデータも取得され、営業秘密の流出や個人情報保護法（APPI）、さらには海外法規制（GDPR等）への違反リスクを直激にもたらします。** 「会議終了後、数分で要約を自動生成する」という利便性の裏で、こうしたツールの挙動は情報ガバナンスに極めて深刻な課題を突きつけます。 - **全発言の無制限な録音とテキスト化 :** 要点を手動でメモする場合と異なり、AIボットは会議中のすべての音声を記録します。未公開の財務数値、新規事業の構想、機密性の高い顧客名、人事考課の議論、システムの脆弱性に関する検討まで、あらゆる情報が網羅的にデータ化されます。 - **外部クラウドサーバーへのデータ送信 :** 録音データや文字起こしテキストは、サービス提供元の外部クラウド基盤に送信されます。そのデータはどこに保管されているのか、保存時に暗号化されているのか、サービス運営企業がパブリックAIモデルの再学習に利用していないか。法人契約やセキュリティアセスメントを経由していない場合、契約上の保護や安全性の裏付けは存在しません。 - **同意取得の形骸化と法令違反 :** 参加者の明確な事前合意なく録音を行う行為は、コンプライアンス上の大きな問題となります。事前の通知や合意なしに社外の協業先、サプライヤー、採用面接の候補者との通話にAIボットを同席させた場合、企業の社会的信用を失墜させるだけでなく、個人情報保護委員会（PPC）の指針や関連法規に抵触するリスクを抱えることになります。 --- ## ブラウザ拡張機能とOAuth認証連携がリスクをさらに深刻化させる理由 > **要点まとめ : 多くのAI文字起こしツールは、利用開始時にカレンダー、連絡先、メールボックスへの過剰なOAuth連携権限を要求します。また、侵害されたブラウザ拡張機能はセッション情報や閲覧データを静かに窃取し、機密情報を外部へ漏洩させる足がかりとなります。** リスクはWeb会議中の通話内容だけにとどまりません。アシスタントツールを導入する際、Google WorkspaceやMicrosoft 365のアカウント連携を求められるのが一般的です。多くの従業員は、要求されている権限の詳細を精査することなく「同意する」「アクセスを許可」をクリックしてしまいます。 ### メタデータの網羅的な収集 共有カレンダーへのフルアクセス権限をサードパーティ製アプリに与えることで、外部事業者は企業のビジネス動向を詳細に把握できるようになります。商談中の顧客名、進行中の提携案件、外部アドバイザーの氏名、法律事務所との面談頻度など、これらのメタデータは標的型攻撃やビジネスメール詐欺（BEC）、産業スパイ活動において格好の偵察情報となります。 ### 拡張機能という名のトロイの木馬 ブラウザ拡張機能は、表示中のWebページの内容を読み取る広範な権限を保持しているケースが少なくありません。拡張機能の開発者アカウントが乗っ取られたり、運営元の買収によって悪意あるコードが仕込まれた場合、セッションCookieやパスワード、画面上に表示された機密データがバックグラウンドで不正に外部送信される危険性があります。 --- ## イノベーションを阻害せず安全なガバナンスを確立する方法 こうしたAIツールの一律な全面禁止は、必ずしも根本的な解決にはなりません。理由を説明せずにただツールを遮断すれば、従業員は個人端末を利用するなど、情シスの目の届かない別の手段で生成AIを活用しようとするためです。技術的な制御と社内ポリシーの整備を両立させるアプローチが不可欠です。 - **管理者側でOAuthアプリの同意権限を制御 :** Microsoft Entra IDやGoogle Workspaceの管理コンソールで、一般ユーザーが未承認のサードパーティ製アプリに勝手に権限を付与できないよう設定します。新しいツールの利用には、情シスへの申請とセキュリティ審査を必須化します。 - **Web会議の待合室機能を標準化 :** すべての外部参加者に対して待合室を経由させる設定を徹底します。認証されていない自動文字起こしボットと推測されるアカウントの入室は、主催者の判断で即座に拒否する運用を定着させます。 - **会社公認の代替ツールを選定・提供 :** シャドーAIを防ぐ最も効果的な方法は、データ保護要件や保管場所（国内リージョンなど）の安全性を確認済みの公認ツールを会社主導で導入・提供することです。 - **利用規程とセキュリティポリシーの再周知 :** 会議の参加者全員の明示的な事前同意がない録音の禁止、業務データを取り扱う際の認可ツール利用義務などを情報セキュリティガイドラインに明記し、社内へ継続的に周知します。 --- ## 単なる禁止やペナルティから、全社的なAIリテラシー向上へ 強固なセキュリティは、従業員自身が取り扱うデータの重要性と背後にあるリスクを理解して初めて機能します。欧州のEU AI Act（AI法）第4条においても、組織内でAIリテラシーを高めるための具体的な施策を導入・文書化することが求められており、日本国内でも総務省・経済産業省による「AI事業者ガイドライン」などを踏まえた自律的なガバナンスが重視されています。重要なのは過度な恐怖を植え付けることではなく、従業員一人ひとりが機密情報を守る当事者意識を持つことです。 こうした課題を解決し、組織全体のリテラシー向上を後押しするために、Brain Securityは実践的かつゲーミフィケーションを取り入れた学習環境を提供しています。[Super Challenge](/en-us/catalog/super-challenge/)では、サイバーセキュリティとAIの適切な利活用に関するクイズコンペティションをテーマ別ラウンド形式で実施できます。クレジットカード登録不要の5名様無料トライアルを利用可能で、ブラウザ拡張機能の落とし穴、プロンプト入力時のデータ漏洩リスク、Web会議での安全な振る舞いを短時間で直感的に学ぶことができます。 全社的なAI利用ルールの策定や、従業員が主体的に参加したくなる実践的なセキュリティ教育プログラムの構築をご検討の際は、ぜひ[個別相談・デモ](/en-us/book-a-demo/)よりお問い合わせください。 ### Risk & Countermeasure Matrix: Web会議のAI文字起こしボットと拡張機能 : CISOと情シスを脅かす見えない情報漏洩リスク | Critical Point Identified | Operational Analysis & Mechanism | Guide Section | | --- | --- | --- | | **全発言の無制限な録音とテキスト化** | 要点を手動でメモする場合と異なり、AIボットは会議中のすべての音声を記録します。未公開の財務数値、新規事業の構想、機密性の高い顧客名、人事考課の議論、システムの脆弱性に関する検討まで、あらゆる情報が網羅的にデータ化されます。 | 未検証のAI議事録・録音アシスタントがもたらす機密保持リスクとは？ | | **管理者側でOAuthアプリの同意権限を制御** | Microsoft Entra IDやGoogle Workspaceの管理コンソールで、一般ユーザーが未承認のサードパーティ製アプリに勝手に権限を付与できないよう設定します。新しいツールの利用には、情シスへの申請とセキュリティ審査を必須化します。 | イノベーションを阻害せず安全なガバナンスを確立する方法 | | **外部クラウドサーバーへのデータ送信** | 録音データや文字起こしテキストは、サービス提供元の外部クラウド基盤に送信されます。そのデータはどこに保管されているのか、保存時に暗号化されているのか、サービス運営企業がパブリックAIモデルの再学習に利用していないか。法人契約やセキュリティアセスメントを経由していない場合、契約上の保護や安全性の裏付け… | 未検証のAI議事録・録音アシスタントがもたらす機密保持リスクとは？ | | **Web会議の待合室機能を標準化** | すべての外部参加者に対して待合室を経由させる設定を徹底します。認証されていない自動文字起こしボットと推測されるアカウントの入室は、主催者の判断で即座に拒否する運用を定着させます。 | イノベーションを阻害せず安全なガバナンスを確立する方法 | --- ## 関連コラムおよびBrain Securityのソリューション ### このテーマに関連するおすすめ記事 - **[生成AIと営業秘密の保護: 法務・R&D・マーケティング部門が知るべき情報漏洩リスクと対策](/ja/cybersecurity/generative-ai-trade-secrets-intellectual-property-japan-ciso/)** (AI Literacy & AI Act) : 生成AIの業務利用における営業秘密漏洩、特許の新規性喪失、著作権リスクを解説。総務省・経産省のAI事業者ガイドラインを踏まえ、R&Dや法務、情シスが実践すべきセキュリティ対策とプロンプト運用の要点を網羅。 - **[CISO・人事部門・AI推進リーダーが連携すべき理由 : セキュリティと生成AI教育の統合アプローチ](/ja/cybersecurity/ciso-hr-ai-governance-training-integration-japan/)** (AI Literacy & AI Act) : CISO、人事、DX・AI推進部門が連携し、シャドーAI対策とセキュリティ意識向上を両立させる統合アプローチを解説。従業員の学習疲弊を防ぎ、短時間で実効性の高い定着を実現する手法を紹介します。 - **[自律型AIエージェントと社内システム連携: 新たなサイバーリスクと企業のガバナンス指針](/ja/cybersecurity/autonomous-ai-agents-enterprise-connector-security-risks/)** (AI Literacy & AI Act) : 社内ツールと連携する自律型AIエージェントのリスクを解説。間接的プロンプトインジェクションや過剰なOAuth権限、Human-in-the-Loopの重要性、標的型攻撃やソーシャルエンジニアリングに対抗する社員教育の枠組みを網羅します。 - **[部署対抗セキュリティコンペ：参加率80％を突破するゲーミフィケーションの力](/ja/cybersecurity/inter-department-security-competition-gamification/)** (Gamification) : セキュリティ研修の受講率低迷に悩む情シス・CISO必見。部署対抗のチーム戦とゲーミフィケーションを活用し、全社的な参加率80％超を実現するセキュリティ意識向上コンペの設計手法と運用の秘訣を解説します。 ### Brain Securityの製品・ソリューション一覧 - **関連ソリューション : [Super Challenge](/en-us/catalog/super-challenge/)** : カスタマイズ自在の反射神経・セキュリティ＆AI競技：制限時間付きミニゲームでサイバー・AIリテラシーを強化。 - **[生成AIリテラシー向上プログラム「AI Spring」を見る](/en-us/ai-spring/)** - **[課題・業界別のユースケースを見る](/en-us/use-cases/)** - **[Brain Securityの製品カタログをすべて見る](/en-us/catalog/)** - **[導入のご相談・デモ予約はこちら（担当チームへのお問い合わせ）](/en-us/book-a-demo/)** --- - https://startbrain.io/ja/cybersecurity/shadow-ai-meeting-bots-browser-extension-risk-ciso/ - [Français](https://startbrain.io/fr/cybersecurite/extensions-navigateur-ia-prise-notes-reunion-risques/) - [Deutsch](https://startbrain.io/de/cybersecurity/ki-meeting-bots-browser-erweiterungen-risiko-ciso/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/ai-meeting-note-taker-security-risks/) - [English (US)](https://startbrain.io/en-us/cybersecurity/ai-meeting-notetaker-bots-security-risks/) - [Español](https://startbrain.io/es/cyberseguridad/bots-ia-reuniones-riesgos-ciso-dpo/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/bot-ia-riunioni-rischi-ciso-dpo/) - [Nederlands](https://startbrain.io/nl/cybersecurity/ai-notitie-bots-vergaderingen-risico-ciso/) - [Português](https://startbrain.io/pt/ciberseguranca/bots-notas-ia-reuniao-ciso-dpo/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/boty-ai-notatki-spotkania-ryzyko-ciso/) - [Svenska](https://startbrain.io/sv/cybersakerhet/ai-motesassistenter-webblasartillagg-ciso-dpo-risker/) - [Dansk](https://startbrain.io/da/cybersikkerhed/ai-moedereferenter-browserudvidelser-ciso-dpo-sikkerhed/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/tekoaly-kokousbotit-selainlaajennukset-ciso-tietoturvariskit/) - [Norsk](https://startbrain.io/no/cybersikkerhet/ai-moteassistenter-sikkerhetsrisiko-ciso-gdpr/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/ai-meeting-notetaker-bots-ciso-risk/) - [llms.txt](https://startbrain.io/llms.txt)