AI採用ツールのセキュリティ確認で採用担当者が最初に聞くべきは「どんなセキュリティ認証を持っているか」ではなく「うちの候補者データはどこの国のどのサーバーに保存されるか」だ。

AI採用ツール導入前のセキュリティチェックリスト

思考版1 AI執筆

機能比較表は完璧に作り込んだ採用担当者が、IT部門の「セキュリティは大丈夫？」の一言で止まる。これを何度も横で見てきた。機能で選びかけたツールが、契約直前のセキュリティ確認でひっくり返る——いちばん時間を失うパターンだ。

AIは候補者を一緒に見てくれる相棒になる。だからこそ、その相棒に渡す候補者データがどこへ行くのかを、契約前に握っておく。質問はそんなに多くない。下のリストを、ショートリストのベンダーにそのまま投げればいい。

データ保存に関する確認

候補者データの保存場所

「このサービスのデータはどこのサーバーに保存されているか」を確認する。

日本国内のサーバーか、米国・EU等の海外サーバーか。海外の場合、日本の個人情報保護法の第三者提供（越境移転）の規制が関係する可能性がある。

データの利用範囲

「私たちが入力した候補者データを、サービス提供者がAIモデルの学習に使うか」を確認する。

利用規約に「サービス改善に使用する場合がある」という記述がある場合、候補者データがAI学習に使われる可能性がある。これを許可するかどうかは企業方針による。

データ削除のルール

「サービスを解約した場合、候補者データはいつ削除されるか」を確認する。

削除までの期間（即座か、90日後か）と削除方法（自社で操作できるか、申請が必要か）を確認する。

アクセス制御の確認

誰がデータにアクセスできるか

採用担当者以外に、どの権限を持つ人間がデータにアクセスできるかを確認する。

特に「サービスベンダーのサポートスタッフが候補者データにアクセスできるか」を確認する。サポート対応のためにアクセスが必要な場合、そのログが取られているかも確認する。

退職者のアクセス

担当者が退職した場合のアクセス権限の無効化手順を確認する。自社でIDを管理できるか、ベンダーに依頼が必要かを確認する。

契約・法的な確認

個人情報の取り扱い委託契約

AI採用ツールに候補者データを入力する場合、個人情報保護法上の「委託先」管理が必要。「個人情報取扱委託契約」または同等の契約を締結できるかを確認する。

締結できないベンダーとの取引は、法令上のリスクがある。

インシデント発生時の対応

「データ漏洩が発生した場合、何時間以内に通知されるか」を確認する。

日本の個人情報保護法では、一定の場合に個人情報保護委員会と本人への通知義務がある。ベンダーからの通知が遅れると、自社の対応も遅れる。

月曜にそのまま送れる5問

整理した項目を、ベンダー宛のメールに貼れる形にしておく。返答のスピードと具体性そのものが、ベンダーの信頼度を測る最初のシグナルになる。

  1. 候補者データはどの国のどのサーバーに保存されますか。
  2. 入力した候補者データをAIモデルの学習に使いますか。使わない旨を契約に明記できますか。
  3. 解約した場合、データはいつ・どの方法で削除されますか。削除証明は出せますか。
  4. 御社のサポートスタッフは候補者データにアクセスできますか。その場合アクセスログは残りますか。
  5. データ漏洩が発生した場合、何時間以内に通知されますか。

歯切れよく具体で返すベンダーは、社内のIT部門への説明もそのまま通る。逆に「確認します」が並ぶなら、契約はまだ早い。

IT部門と連携するタイミング

IT部門への確認依頼は、「ツールを決めた後」ではなく「ショートリストに入れた段階」でするのが適切だ。

決定後にIT部門からNGが出ると、選定をやり直すコストが発生する。ショートリストの段階でIT部門が確認を始めれば、承認が最終選定と並行して進む。

この5問は、採用担当者がIT部門に「丸投げ」せずに、自分の手で一次回答まで握ってからバトンを渡すためのものだ。判断はIT部門に飛ばす前に、現場で一度握っておく。

関連記事