ChatGPT、OpenAI、および他の8つのAIアシスタントがユーザーの機密データを密かに追跡

ChatGPTを含むウェブブラウザに組み込まれたAIアシスタントは、多くの人がプライベートであると想定しているサイトから機密個人情報を収集していることが、英国とイタリアのチームによる新しい研究で示されました。

研究者たちは、OpenAIのChatGPT、Microsoft Copilot、Google Chrome用のMerlin AIなどを含む10の一般的なAI対応ブラウザと拡張機能を調査し、大学の健康記録システムのようなパスワードで保護されたポータルを含むオープンウェブサイトとパスワード保護ポータルの両方でテストを行いました。

プライベートなサイトがChatGPTや類似のツールに情報を露出

研究の結果は衝撃的でした。これにより、10のツールのうち9つが、医療履歴、銀行の詳細、学術成績表、さらには社会保障番号を含む個人データを取り、送信していることが明らかになりました。

Perplexity AIは、そのようなデータを収集していないように見える唯一のツールでした。

「これらのアシスタントは、これまでに見たことのないレベルのオンラインアクティビティへのアクセス権を持っています」と、研究の主任著者でありロンドン大学カレッジの助教であるAnna Maria Mandalari氏は語りました。

「それらは物事をより迅速かつ簡単にしますが、私たちの証拠は、場合によってはそれがプライバシーの犠牲を伴い、場合によっては法律を破る可能性があることを示しています。」

Mandalari氏。

テストを実行するために、チームは毎日のブラウジング、オンラインショッピング、医療結果の確認、銀行口座へのログインを模倣し、その後、アシスタントに「最新の医療訪問の理由は何でしたか？」などのフォローアップ質問を行いました。

ユーザーのブラウザ、AI企業のサーバー、サードパーティのトラッカー間で移動するデータを傍受および復号することにより、研究者たちは、いくつかのアシスタントが依然として supposedly secure（安全とされる）サイトからのフルページコンテンツを収集および送信していることを発見しました。

Merlinについては、研究者たちは健康記録、銀行の詳細、試験結果、納税者の社会保障番号を含む機密データの混合を発見しました。

Peers SiderのAIアシスタントとTinaMindは、ユーザープロンプトをGoogle Analyticsに送信し、IPアドレスなどの重要な情報を特定しているのが確認されました。このデータは、ターゲット広告やクロスサイト追跡に使用される可能性があります。

研究者によると、CopilotやMonicaなどの他のアシスタントは、セッション終了後もブラウザ内に完全なチャットログを静かに保持していました。

特定のブラウザ統合を通じてアクセスされると、OpenAI製のChatGPTは、ユーザーの推定年齢、所得レベル、性別、興味に基づいてユーザーをプロファイリングし、それに応じて回答を調整しました。

「情報が収集された後、それがどこに行くのかをユーザーが知る明確な方法は単に存在しません」とMandalari氏は警告しました。

最近、OpenAIのCEOであるSam Altmanは、プライバシーの懸念についてユーザーに警告し、ChatGPTのようなチャットボットを特定の目的で使用するには注意が必要だと述べています。なぜなら、それらは例えば実際の医師や弁護士が持つようなプライバシー保護措置を備えていないからです。

AIツールは法律を違反している可能性がありますか？

研究は米国で実施されましたが、チームは、いくつかのAIアシスタントが米国のプライバシー法と欧州のプライバシー法の両方を違反している可能性があると結論付けました。米国では、特定のケースが医療情報の保護規則を違反しているように見え、EUでは、個人データの保存と共有に厳格な制限を設けている一般データ保護規則（GDPR）の潜在的な違反を示唆する発見がありました。

企業がプライバシー通知を公開している場合でも、細字の条項は驚くべきものです。例えば、MerlinのEUおよびUKのポリシーは、名前、連絡先詳細、ログイン資格情報、取引記録、支払い情報、および入力されたすべてのテキストを収集する可能性があるデータとしてリストしています。これは、パーソナライゼーション、カスタマーサポート、または法的遵守に使用される可能性があるとしています。

Siderも同様の開示を行い、ユーザーデータが「洞察」のために分析されたり、新しいサービスの開発を支援するために使用されたりすると追加しています。Google、Cloudflare、Microsoftを可能なデータ受信者として挙げつつ、パートナーは契約によって個人情報を保護する義務を負っていると保証しています。

OpenAI自身の利用規約は、UKおよびEUのユーザーからのデータがこれらの地域外に保存されることを確認していますが、同社はユーザーの権利は影響を受けないとしています。

「これらの製品は、ウェブ利用をより速く、よりスマートにするものとして売り込まれています」と彼女は語りました。「しかし、裏側で起きていることは、多くの場合、あなたのオンラインでのプライベートな生活の詳細な記録です。」

規制当局がデータ保護規則を強化し、テクノロジー企業がインターネットの隅々までAIを組み込むために急いでいる中、これらのツールへの監視は増大する可能性があります。

現時点では、研究者たちは注意を促しています。Perplexity AIはテストでプライバシーの落とし穴を回避しましたが、他のほとんどは回避しませんでした。「オンラインであなたが何をしているかをAIに見せると、Mandalari氏は言います、『どこかで、何らかの方法で、その情報が保存され、おそらく共有されていると想定すべきです。』