OpenAIの録音装置事件｜内部者リスクと採用時のバックグラウンドチェック

株式会社TIMEWELLの濱本 隆太です。

2026年10月13日、米国司法省が一件の逮捕を発表しました。サンフランシスコにあるOpenAIの建物で、役員会議室のテレビの背面にあるUSBポートに、録音装置が差し込まれているのが見つかったのです。装置はトイレットペーパーに隠されていたとされ、同社のエンジニアが刑事告訴を受けて逮捕されました¹。

ニュースを読んで、「採用の段階で見抜けなかったのか」と思った方は多いと思います。ところが司法省の発表にも主要な報道にも、この被疑者が採用時にどんな確認を受けたのかは書かれていません¹²。「確認していれば防げた」と言える材料は、今のところ公表されていないのです。

それでも私は、この事件を、採用時の確認を考え直す機会にしてよいと思っています。内部者リスクの対策で最初に手を打つ場所は採用時で、優先順位は最上位に置くべきだ、というのが私の立場です。ただし、採用で全部を防げるという意味ではありません。日本では採用時に確かめられる範囲に法律の枠があり、内部者による事故の多くは、悪意ではなく不注意から起きています。

この記事では、事件の事実とまだ分かっていないことを切り分けます。そのうえで、日本の企業が採用時にどこまで確認でき、入口を通ったあとに何で補えばよいのかを、順に整理します。社内の人のセキュリティ意識がどこまでそろっているかを先に知りたい方は、AIリテラシー診断も使えます。

先に結論を書きます。採用時の確認は、内部者リスク対策の最初の関門です。入れてから見つけるより、入れる前に確かめるほうが、時間も費用も小さくて済みます。とはいえ日本では、米国のような広い身元調査はできません。できる範囲を、役割に応じて厚く、本人の同意と記録を残して行う。入口を通ったあとは、物理的な管理、誓約書、行動の記録、退職時の手順で補う。この二段構えが、私の答えです。

この記事の要点（2026年10月14日時点）

• 司法省は2026年10月13日、OpenAIの役員会議室に録音装置を設置したとして同社のエンジニアが逮捕されたと発表しました。刑事告訴に基づく逮捕で、被疑者は有罪と確定していません。採用時の確認の内容、動機、装置が市販品か自作かは公表されていません
• 内部不正は、IPAの「情報セキュリティ10大脅威 2026」の組織編で7位、11年連続の選出です。内部者リスクの調査では、インシデントの55%が不注意、25%が悪意、20%が認証情報の窃取でした
• 米国の政府機関CISAは、採用時の確認を内部脅威を減らす最初の段階の一つと位置づけています。ただし日本には、職業安定法、個人情報保護法、厚生労働省の指針があり、身元調査のような確認には強い制約があります
• 日本で現実に打てる手は、適性と能力に関わる事項の確認を目的を示して本人の同意のもとで行うこと、入社時の誓約書、そして入社後の物理・ログ・退職時の統制です

司法省の発表から分かること、まだ分からないこと

まず事実を、告訴状の主張として並べます。司法省の発表は、告訴状の内容を「主張されている」という形で伝えていて、被疑者は有罪と確定したわけではありません。弁護人は無罪の推定を受けると述べています²。この記事では被疑者の氏名と国籍には触れません。論じたいのは個人ではなく、組織の仕組みだからです。

発表によると、被疑者は2025年7月からOpenAIにエンジニアとして雇用されていました¹²。録音装置が置かれたのは9月28日ごろで、9月30日ごろに社員が見つけています。場所は役員会議室で、研究や製品計画、事業開発といった機密性の高い議論に使われる部屋だったと報じられています²。装置は暗号化されていたとされます¹。さらに10月5日には、別の建物の部屋に置かれたバッグから、よく似た二つ目の装置が警備担当者に見つかりました¹。

注目したいのは、告訴状が描く「小さな兆候の積み重ね」です。防犯カメラには、被疑者が権限なく役員会議室の付近に何度も現れる姿が映っていたとされます。装置を置く前には、社内の業務ツールで建物の住所や会議室、役員の所在を照会していました。さらに、被疑者の配偶者名義のAIチャットボットのアカウントが、9月24日から30日にかけて、録音装置の製作や設置、遠隔操作についての質問を送っていたとも主張されています¹。一つひとつは、それだけでは不正と断定できない行動です。積み重なって初めて輪郭が見えてくる、という構図でしょう。

OpenAIは装置の発見後にFBIへ連絡し、この従業員を解雇しました。モデルの重みやソースコード、顧客データに不正にアクセスした、あるいは持ち出した兆候は今のところないと説明しています²。罪名は、電子的な装置を使って口頭の会話を傍受しようとしたことで、法定刑の上限は懲役5年と25万ドルの罰金です¹。10月13日に初回の出廷があり、10月19日には勾留に関する審問が予定されています²。

区分	公表されていること	公表されていないこと
装置	役員会議室のテレビ背面のUSBポート。トイレットペーパーに隠され、暗号化されていた。設置から約2日で発見	市販品か自作か。何が録音されたか
経緯	防犯カメラの映像、社内ツールでの照会、配偶者名義のAIチャットボットの質問（いずれも告訴状の主張）	動機。外部との関係
被疑者	2025年7月入社のエンジニア。無罪の推定	採用時にどんな確認を受けたか
被害	データへの不正アクセスの兆候はないとOpenAIが説明	会話がどこまで録音されたか

表の太字の行が、この記事の出発点です。「バックグラウンドチェックをしていれば防げた」と書きたくなる事件ですが、司法省の発表にも報道にも、その根拠はありません。確認が行われていたのか、行われていて何も見つからなかったのか、そもそも見つけられる種類の情報だったのか。どれも分からないのです。分からないことを分からないと書くのが、実在の企業と個人が関わる事件を扱うときの最低限の礼儀だと、私は考えています。

では、この事件から何が言えるのか。事件を一度離れて、内部者リスク全体の話をします。

内部者リスクの最初の関門が、採用時の確認になる理由

数字から見ていきます。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」で、組織向けの「内部不正による情報漏えい等」は7位でした。選ばれたのは11年連続です³。順位は上位ではありませんが、毎年必ず入っています。新しい手口が出るたびに話題になる脅威とは違い、内部不正は、いつもそこにある脅威というのが私の読み方です。

費用の面では、ポネモン研究所の2025年版の調査があります。349組織・8,306人の実務者への調査で、内部者リスクの年間コストは平均17.4百万ドル、封じ込めまでに平均81日かかっていました⁴。この調査は内部者リスク管理製品を提供する企業が支援しているので、数字は割り引いて読む必要があります。ただ、「見つけて止めるまでに二か月以上かかる」という方向には、納得感があります。

ここで、同じ調査の内訳を見てください。インシデントの55%は不注意な従業員、25%が悪意ある内部者、20%が認証情報を盗まれた内部者でした⁴。悪意のある人を採用の段階で全員排除できたとしても、防げるのは全体の4分の1です。この点は正直に書いておきます。採用時の確認だけで内部者リスクが片づくわけではありません。

私が採用時の確認を最初に置く理由は、三つあります。

一つ目は、権限が入社の日に渡るからです。社内のアカウント、入館証、会議室の予約、社内ツールの検索。入社した日から、その人は会社の中を動けます。今回の事件でも、被疑者は社内のツールで会議室や役員の所在を調べられる立場にいたと主張されています¹。入ってしまってから権限を絞るのは、疑う理由を見つけてからの作業になります。

二つ目は、入社後の確認は関係を壊しやすいからです。理由なく特定の人だけを調べれば、本人の信頼を損ないます。採用前なら、全員に同じ条件で、あらかじめ目的を示して確認できます。同じ確認でも、タイミングで意味が変わります。

三つ目は、費用の差です。これは数字で示せない私の見解ですが、採用前の確認にかかるのは、一人あたり数日の手続きです。入ってから問題が見つかれば、調査、権限の棚卸し、懲戒の手続き、場合によっては警察への相談まで続きます。ポネモンの調査が示す平均81日は、その長さの一端でしょう。

米国の政府機関CISA（サイバーセキュリティ・インフラストラクチャ安全保障庁）も、2024年7月のファクトシートで同じ方向を示しています。機微な役割の新規採用者に適切な背景確認を行うことが、内部脅威から守る手段になる。適格性の判断は、内部脅威を減らす最初の段階の一つだ、と書いています⁵。私の「最初の関門」という言い方は、この位置づけに沿ったものです。

ただし、ここまでを読んで「では米国と同じようにやればよい」と考えるのは危険です。日本には、日本の枠があります。

日本の採用で、確認できること・できないこと

CISAのファクトシートが挙げる確認の例は、公的な身分証の確認、州や全国レベルの公的記録の照会、経歴の裏付けです。一時雇用者や委託先、ベンダー、職場に出入りする全員にも広げることを勧めています⁵。同じ文書は、記録の照会には本人の書面による同意が必要なものがあること、方針づくりには法務担当を関与させることも書いています。米国の制度を前提にした、かなり踏み込んだ確認です。

日本では、同じことはできません。枠を決めているのは三つの文書です。

一つ目は職業安定法です。第5条の5は、求人者や募集を行う者が求職者の個人情報を扱うときは、業務の目的の達成に必要な範囲内で、目的を明らかにして収集し、その範囲内で保管・使用しなければならないと定めています。例外は、本人の同意がある場合その他正当な事由がある場合です⁶。つまり「念のため何でも調べる」は認められず、必要性と目的の明示、そして本人の同意が出発点になります。

二つ目は、厚生労働省の「公正な採用選考をめざして」です。令和8年度版には、採用選考で本人に責任のない事項や、本来自由であるべき事項（思想・信条にかかわること）を把握することは、就職差別につながるおそれがあると書かれています。さらに「身元調査などを実施することは就職差別につながるおそれがあります」として、応募者の本籍や生活状況の調査は適性と能力に関係のない事項の把握であり、その情報には真偽の分からない風評や偏見が入り込みやすいと注意しています⁷。

三つ目は個人情報保護法です。第2条第3項は、本人の人種、信条、社会的身分、病歴、犯罪の経歴などを「要配慮個人情報」と定め、第20条第2項は、原則としてあらかじめ本人の同意を得ないで取得してはならないとしています⁸。犯罪歴を確かめたいという発想は自然ですが、日本では、かなり慎重な扱いが求められる情報です。

では何もできないのかといえば、そうではありません。厚生労働省が公正な採用選考の基準に置くのは「その人の適性と能力」です⁷。適性と能力に関わる事項の確認は、この枠の内側に入ると私は理解しています。これは私の解釈なので、運用の細部は弁護士や社会保険労務士と詰めてください。整理すると、次のようになります。

区分	例	考え方
確認の対象にしやすい事項	学歴、職歴、資格、担当してきた業務、前職での勤務状況	目的を示し、本人の同意を得て、必要な範囲で確認する。前職への照会も本人の同意のもとで
慎重に扱う事項	犯罪の経歴	要配慮個人情報。原則として本人の同意が必要。職務との関係で本当に必要かを専門家と検討する
避ける事項	本籍、生活状況の調査、思想・信条にかかわること	厚生労働省が就職差別につながるおそれがあるとする事項。身元調査も同じ

この枠の中で、CISAの考え方から借りられるものが一つあります。確認の強さを役割ごとに変えることです。CISAは、採用前の審査の方針を、空いている役割ごとにリスクの水準と運用環境に基づいて決めるよう求めています⁵。全員に同じ重さの確認をかけるのではなく、役員会議や研究開発の場に出入りする役割、機密性の高いデータに触れる役割ほど、職歴の裏付けや前職への照会を丁寧に行う。重くするといっても、踏み込む対象を広げるのではなく、同じ範囲の確認を省略せず、記録に残すということです。

もう一つ、日本の公的なガイドラインについて触れておきます。IPAの「組織における内部不正防止ガイドライン」第5版は、33項目の対策を示していますが、採用時の身元調査を勧める項目は見当たりませんでした。代わりに置かれているのが、入社時の秘密保持の誓約書です⁹。日本の実務は、入口で広く調べるより、入社のときに義務をはっきり理解してもらうことに重きを置いてきた、と読めます。次の章で、この誓約書の意味を掘り下げます。

入口を通ったあとに効く統制と、会議室のUSBポート

採用時の確認を最優先にしても、入口を通った人をそのまま信じ続けるわけにはいきません。事件から学べる実務は、むしろこちらに多いと感じています。

まず物理の話です。今回の装置は、会議室のテレビの背面のUSBポートから給電されていたとされます¹。会議室には、モニターや会議用カメラ、スピーカーフォン、充電用の給電口など、普段は誰も裏側を見ない機器が並んでいます。私は、会議室と応接室の機器とUSBポートを棚卸しすることを、最初の一手として勧めます。誰が置いたか分からない機器、使っていない給電口、見覚えのないケーブルがないかを確かめ、点検した日付を記録に残します。一度見るだけでなく、四半期ごとなど決まった間隔で繰り返すことが大切です。持ち込む機器のルール、来訪者や清掃・工事の委託業者への付き添いも、同じ流れで見直せます。

次に、人の動きの記録です。告訴状は、権限のない場所への繰り返しの立ち入りと、業務ツールでの役員の所在の照会を、兆候として挙げていました¹。入退室の記録や時間外の入室、社内ツールの検索ログは、うまく使えば「権限に合わない行動」を早く拾えます。ただしこれは、従業員を監視するためのものではありません。目的を事前に示し、就業規則や規程に書いて周知し、見る人と範囲を絞る。信頼を損なわない運用が前提です。

三つ目が、入社時の誓約書です。IPAのガイドラインは、役員と従業員に秘密保持の誓約書の提出を求めるよう定めています。入社時に加えて、昇進による職務の変更、異動、プロジェクトの終了時など、節目ごとに取り直すことが望ましいとしています。理由として挙げられているのは、誓約書がないと、内部不正を起こした人への懲戒が「手続きが不当だった」と主張されて、無効になるおそれがあることです⁹。同じガイドラインは、退職時に誓約書を求めても応じてもらえない場合があるとも注記しています。だから、入社のときと在職中に取っておく必要があるのです。

四つ目は退職時です。権限の停止、貸与機器と入館証の返却、アカウントの整理。日本の企業では、退職の手続きが人事の書類だけで終わり、情報システムや総務と連動していないことがよくあります。入口の確認と同じくらい、出口の手順が決まっているかを点検してください。

最後に、不注意への備えです。先ほどの調査では、インシデントの55%が不注意によるものでした⁴。生成AIに機密情報を貼り付けてしまう、共有リンクの範囲を誤る、不審なメールの添付を開く。悪意のない事故は、教育で減らせます。経営層と現場が同じ会社の中で受講する2日完結の研修として、当社ではWARP SECURITYを提供しています。社内のルールや研修づくりの出発点が必要な方は、見てみてください。

ここまでの話は、一つの組織が一度にすべてを整える必要はありません。次の章で、順番を示します。

中小企業が明日から始める順番

優先順位を、費用と手間の小さい順に並べました。大企業の仕組みをそのまま真似る必要はありません。

1. 役割を機密度で三段階に分けます。全員、機密情報に触れる人、役員会議や研究開発に出入りする人、のような分け方で十分です。以降の判断の土台になります。
2. 会議室と共用機器を棚卸しします。今週中にできます。誰が置いたか分からない機器や使っていないUSBポートを確かめ、日付を記録します。
3. 段階ごとに、採用時の確認項目を決めます。学歴、職歴、資格の裏付けと、前職への照会の扱いが中心です。目的を本人に示す文面と同意書式を整え、弁護士や社会保険労務士に確認してもらいます。
4. 入社時の誓約書を整え、節目で取り直します。秘密にする情報が客観的に特定できる書き方にして、昇進、異動、プロジェクト終了のたびに更新します⁹。
5. 権限に合わない行動を拾う仕組みを置きます。入退室の記録と、時間外の入室の確認から始めます。目的と範囲は規程に書きます。
6. 退職時の手順を決めます。権限の停止、機器の返却、アカウントの整理を、人事・総務・情報システムで一つの流れにします。
7. 年に一度、見直します。役割の変更や組織の拡大に合わせて、段階の分け方と確認の範囲を直します。

順番に迷ったら、1と2だけでも始めてください。費用はほとんどかかりません。不正アクセスへの備えを含めた中小企業の点検項目は、不正アクセス後編のチェックリストにまとめています。社内の機器や入口の守りについては、海外からのアクセス遮断の限界を扱った記事も参考になります。

まとめ

OpenAIの事件で分かったのは、機密性の高い議論に使われる会議室に、USBポート一つで装置が入り込めること、そして発見したのは社員だったことです。分からないのは、採用のときに何が確認されていたかでした。私は、分からないことを根拠に「採用時にチェックしていれば防げた」と言うつもりはありません。

それでも、内部者リスクの最初に打つ手は、入れる前に確かめることだと考えています。権限が渡る前、関係が壊れる前、費用が膨らむ前だからです。日本では確認できる範囲に法律の枠があるので、その枠の内側で、役割に応じて厚く、本人の同意と記録を残して行う。そして入口を通ったあとは、会議室の機器、誓約書、行動の記録、退職の手順で補う。

来週、自社の会議室のテレビの裏側を、一度のぞいてみてください。見つかるのは装置ではなく、誰が置いたか分からないケーブルかもしれません。自分たちの場所を自分たちで確かめる習慣が、いちばん確かな備えになります。採用や入社後の統制の組み立てについて相談したい方は、個別相談をご利用ください。

Footnotes

1. 米国司法省 広報室（Office of Public Affairs）、2026年10月13日付プレスリリース。告訴状の主張は「as alleged in the complaint」として記述されている。 https://www.justice.gov/opa/pr/saudi-national-arrested-installing-surreptitious-audio-recording-device-openai ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰

2. CBS News、2026年10月13日。OpenAIの声明、弁護人の発言、出廷と審問の日程を含む。 https://www.cbsnews.com/news/openai-employee-arrest-recording-device/ ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

3. 情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」、2026年1月29日公開。組織向け7位「内部不正による情報漏えい等」、11年連続11回目。 https://www.ipa.go.jp/security/10threats/10threats2026.html ↩

4. DTEX Systems、2025年2月25日発表（調査はPonemon Institute、IT・ITセキュリティの実務者8,306人・349組織）。DTEXは内部者リスク管理製品を提供する企業で、調査のスポンサー。 https://www.dtex.ai/newsroom/press-releases/2025-ponemon-insider-threat-report-release ↩ ↩² ↩³

5. 米国CISA「Resources for Onboarding and Employment Screening」、2024年7月。 https://www.cisa.gov/resources-tools/resources/resources-onboarding-and-employment-screening-fact-sheet ↩ ↩² ↩³

6. 職業安定法 第5条の5（求職者等の個人情報の取扱い）、e-Gov法令検索。 https://laws.e-gov.go.jp/law/322AC0000000141 ↩

7. 厚生労働省「公正な採用選考をめざして」令和8年度版。 https://kouseisaiyou.mhlw.go.jp/ ↩ ↩²

8. 個人情報の保護に関する法律 第2条第3項・第20条第2項、e-Gov法令検索。 https://laws.e-gov.go.jp/law/415AC0000000057 ↩

9. 情報処理推進機構（IPA）「組織における内部不正防止ガイドライン」第5版（2022年4月改訂）、対策(23)。本文は英語版で確認した。 https://www.ipa.go.jp/security/guide/insider.html ↩ ↩² ↩³