データ漏えいとプライバシー侵害の可能性は明白ですが、有効な対策は容易ではありません。
SamsungがApple、Google、Metaなど各社がひしめくAI搭載スマートグラス市場に参入したことを受け、CISOやITリーダーたちは改めて、こうしたデバイスに対して企業として利用制限を設けるべきかどうかを検討せざるを得なくなっています。データ漏えいやプライバシー・コンプライアンス上の問題が生じる可能性が高いためです。
そして、こうしたIT責任者たちがそのようなポリシーを導入すべきだと判断したとしても、オフィスの外でそれを一律に徹底させるには、ほぼ乗り越えがたい運用上のハードルが立ちはだかります。
例えば、デバイスの設定をどうするかは装着者本人の判断に委ねられているため、データの取得・利用に関するIT側のポリシーを徹底させるのは困難です。さらに厄介なことに、AIデバイスにはガードレールを無視してきた実績があります。つまり、データの使い方を制限する設定が組み込まれていても、それが必ず守られるとは限らないということです。
一つの緩和要因として、スマートグラスには一般に、録画中であることを示すフレーム上のライトが搭載されています。しかし、従業員がこのライトを無効化したり覆い隠したりして自分の行動を隠す簡単な方法も数多く存在します。
徹底はほぼ不可能
しかし、独立系テクノロジーアナリストのCarmi Levy氏によれば、「一部の組織は対面・仮想を問わず職場からスマートグラスを物理的に締め出そうと試みてきましたが、企業の技術管理者にとって悲しい現実は、あらゆるデバイスを職場から完全に排除する方法など存在しないということです」。
従業員がスマートかどうかを問わず何らかの眼鏡を着用することを止める手立てはない、と同氏は指摘します。「そうした締め出しを試みれば、視力の問題を補正するために処方箋入りスマートグラスを必要とする従業員から、障害者差別訴訟を起こされ、雇用主側が不利な立場に置かれかねません」。
また、世界のデバイス動向調査を担当するIDCのディレクター、Jitesh Ubrani氏は、スマートグラスの利用ルールを策定する上での最大の課題として、データ漏えい問題自体は新しい話ではなく、しかもグラスに限った話でもない点を挙げています。
「AIスマートグラスを一律に禁止したいという衝動は理解できますが、それは根底にあるリスクが新しいものではないという点を見落としています。スマートフォンは、ホワイトボードや画面、会話を録画・録音できる能力を約20年前から持っていました」と同氏は述べます。「変わったのは『摩擦の少なさ』です。グラスは目に見える形でスマートフォンを掲げたり向けたりする必要がないため、隠密な撮影がほぼ苦もなく行え、気づかれにくくなっています。これは悪用のしやすさという点で確かに大きな進化ですが、根本的に新しい能力というよりは、程度の違いにすぎません」。
実際のところ、Ubrani氏はこう主張します。「CISOにとって難しいのは、その徹底の部分です。紙の上でルールを作るのは簡単です。しかし社内での徹底はすでに難しく、MetaのRay-Bansをはじめとする現行世代のデバイスの多くは、見た目では普通の眼鏡と区別がつきません」。
さらに同氏は次のように付け加えます。「ハイブリッドワークや在宅勤務環境での徹底となると、ほぼ不可能に近いでしょう。IT部門には、自宅からのZoom会議で相手が何を装着しているかを確認する実用的な手段がありません。オフィス内での検知手段、例えば既知のメーカーIDに紐づくBluetoothやBLEのアドバタイジング信号をスキャンする方法にしても、再設定されていないデバイスか、たまたまその時に信号を発信しているデバイスしか捕捉できません」。
新たなリスク
コネクテッドグラス自体には数十年に及ぶ歴史がありますが、企業がこれを真剣に受け止めるようになったのは今年に入ってからです。
一方、Moor Insights & StrategyのプリンシパルアナリストAnshel Sag氏は、この問題を技術的というより心理的な問題だと位置づけています。
「人々が禁止したがるのは、どう対処すればよいか分からないからです。しかし、それは解決策どころか、むしろ多くの問題を生み出すだけです。これはかなり反射的な恐怖反応にすぎません」とSag氏は述べます。「私たちは今や、カメラがいたるところに存在する時代に生きているのです」。
Gartnerのシニアプリンシパルアナリスト、Meghan Hollis氏も、スマートグラスにばかり焦点が当たるのは的外れだという見方に同意します。今日ではヘッドホンでさえ、翻訳や文字起こしのために音声を取得できるからです。Hollis氏によれば、変化しているのはデータ取得そのものではなく、そこに映像が加わったという点です。
これにより新たなリスクが生じ、この新機能が企業環境に持ち込まれることで「企業の知的財産が漏えいする潜在的な可能性」が生まれる、とHollis氏は述べます。
もう一つ見落とされがちな問題がデータ主権です。仮にグラスメーカーが特定の国でのみデータを保管すると約束していたとしても、その方針は容易に変更されたり、単にサードパーティのベンダーが切り替えられたりする可能性があります。
「輸出管理上の問題が生じ、情報の伝送が規制上の管理に抵触する可能性もあります」とHollis氏は指摘します。
もっとも、Hollis氏によれば、許可されていないデバイスの使用が発覚した従業員を処罰すると脅すのは「最後の防衛線」であり、当初取るべき最善のアプローチは取り締まりではなく教育であるべきだといいます。
「エンドユーザーに対して継続的に繰り返し教育を行い、『こういうことをすれば、会社や顧客・取引先にこのような損害を与えかねません』と伝える必要があります。それに加えて、『そして、もしこれを行えば、あなたに対して処分を下します』と組み合わせて伝えるべきです」。
段階的なポリシーが必要
Hollis氏は、リスクは従業員が最初に録音・録画してはいけないものを記録してしまうことにとどまらない、と指摘します。例えば、ある技術系の会議で、従業員が出席者全員に議論の録音許可を求めたとします。全員が同意し、彼は録音を開始します。
会議終了後、彼は自分のオフィスに戻ろうと退室します。オフィスに着いたら録音機能を切るつもりでいました。ところがその途中、廊下で偶然SVP(上級副社長)と鉢合わせし、前触れもなくこう告げられます。「ちなみに、取締役会がたった今、Smith Corp.への敵対的買収を承認したよ。詳細は明日午前10時に検討する。君のチームもそこに来てくれ」。役員はそのまま立ち去ります。
録音が回り続けたまま、この極めて機密性の高いデータはそのままクラウドへ送信されてしまいました。
IDCのUbrani氏は、こうした状況こそがスマートグラスのガバナンスをより難しくしていると指摘します。「企業のITおよびセキュリティ責任者は、『禁止か許可か』という二択で考えるのをやめ、実際のリスクがどこにあるかに基づいた段階的なポリシーを構築する必要があります」と同氏は述べます。「役員会議室や研究開発ラボ、そして企業秘密や規制対象データが目に見えたり口頭で話し合われたりする空間では、そうした部屋ですでに実施されている携帯電話禁止と同じ形で徹底される、厳格なウェアラブル禁止ルールがふさわしいでしょう」。
オープンフロアの一般的なオフィス空間には、そこまでの制限はおそらく不要だと同氏は言いますが、会議のルールとしては、録画・録音が可能なデバイスを持ち込んでいる場合には申告を義務づけるべきだとしています。これは、一部の企業がすでに機密性の高いブリーフィングにおいて個人所有の録音デバイスを扱っているやり方と似ています。
「あらゆる環境に一律に適用できる包括的なルールを作ろうとする企業は、それが実施不能であるか、あるいは厳しすぎてアクセシビリティを損なうかのどちらかに行き着くでしょう。一部の従業員はこうしたデバイスを支援技術として頼りにしているからです」と同氏は述べます。
一方で、Info-Tech Research Groupのプリンシパルリサーチディレクター、Brian Jackson氏は、企業のCISOやITディレクターははるかに厳格な姿勢を取る必要があると主張します。
「組織は、個人所有のテクノロジーに関する利用規定を早急に更新すべきです」と同氏は述べます。「約15年前、スマートフォンが消費者の生活から職場へと入り込んでいった経緯を振り返ってみてください。私たちは今、BYODの定義そのものが見直される局面の入り口に立っているのかもしれません。しかし、それはまず、AIウェアラブルおよび類似デバイスの使用に対する極めて厳格なポリシーから始める必要があります」。
同氏はさらにこう付け加えました。「組織は、職場での個人的な録音・録画を許さない一線を守り抜き、コンプライアンス基準だけでなく、職場文化そのものを維持する必要があります。ただし、この制限を全面禁止にまで押し進めることはできません。Walt Disney Worldが、ある従業員にMetaのグラス使用を禁じたことで訴訟に巻き込まれた例を見ればわかるはずです。とはいえ、この例外は限定的な範囲にとどめることができますし、他の従業員は自分が録画・録音されていることを知らされるべきだと明確にしておくべきです」。
