顧客情報を生成AIに入れると、個人情報保護法上どうなるか

委員会が何を言ったか

個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起等」を出しています。生成AIと個人情報の関係を国の機関が整理した文書としては、日本で最初のまとまったものです。

事業者向けに書かれている部分を、かいつまむとこうなります。

ひとつめ。個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合、あらかじめ特定した利用目的を達成するために必要な範囲内であることを十分に確認する必要がある。

ふたつめ。本人の同意なく個人データを含むプロンプトを入力し、そのデータが「プロンプトに対する応答結果の出力以外の目的」で取り扱われる場合には、個人情報保護法の規定に違反する可能性がある。

この2点目が実務上の肝です。読み替えると、こうなります。

だから「学習に使われるか」を確認する話になる

委員会の文書では、事業者が生成AIサービスを利用するにあたって、入力した情報が機械学習に利用されないことなどを確認することが示されています。

つまり法令上の論点と、学習させない設定の話はつながっています。設定をオフにする、あるいは学習に使わない契約のプランを選ぶ。これは単なる気休めではなく、法的な評価を変え得る行為です。

ただし確認の方法として意味があるのは、規約やデータ処理契約といった文書です。「学習には使われないらしい」という伝聞では、後から説明できません。

利用目的の範囲、という見落としやすい論点

1点目のほうが、実は引っかかりやすい。

自社のプライバシーポリシーに書いた利用目的が「商品の発送および問い合わせへの対応」だったとします。この顧客データを生成AIに入れて、営業用のターゲット分析をさせる。これは発送でも問い合わせ対応でもありません。

生成AIを使ったことが問題なのではなく、当初の目的の外に出たことが問題になります。紙とExcelで同じ分析をしても同じ話です。

自社のポリシーを最後に読んだのはいつか。生成AIの導入を機に読み直すと、だいたい何か出てきます。

要配慮個人情報はさらに慎重に

病歴、信条、人種、犯罪の経歴など、取扱いに特に配慮を要する情報は、原則として本人の同意なく取得できません。

委員会は同じ注意喚起の中で、OpenAIに対し、あらかじめ本人の同意を得ないで、利用者および利用者以外の者を本人とする要配慮個人情報を取得しないことを求めています。

実務で気をつけるのは、自分が入力する側になる場面です。従業員の健康診断結果を要約させる。休職の相談メールを貼って返信案を作る。どちらも業務としては自然な動機から出てきますが、扱いとしては最も重い部類の情報です。

表の最後の行が、実務でいちばん使える逃げ道です。氏名と連絡先を外し、「A社の担当者」に置き換えれば、多くの相談はそのまま通ります。手間は30秒です。

漏れてしまった場合の報告

入力してしまって、それが漏えいに当たると判断された場合、個人情報保護法では委員会への報告と本人への通知が必要になる類型が定められています。要配慮個人情報が含まれるとき、不正に利用されると財産的被害のおそれがあるとき、不正の目的によるおそれがあるとき、そして対象が1,000人を超えるとき。

自社で該当するかどうかを決めきれないことのほうが多いと思います。そのときは委員会の相談窓口に聞いてください。聞いたこと自体が不利に働くことはありません。

初動の手順は別の記事にまとめています。

法令を読んでも、現場の判断は出てこない

ここまで書いておいて何ですが、条文と注意喚起を読んでも、目の前のメールを貼っていいかは分かりません。

分かるのは評価の枠組みだけです。実際に必要なのは、「この情報は入れていい」「これはダメ」を数十件、具体例として持っていることです。それがあると、知らない場面に出会っても見当がつきます。

法務に聞けば正確な答えが返ってきますが、毎回聞いていたら仕事になりません。現場で9割を自分で判断できて、残り1割を法務に回せる状態。そこを目指すのが現実的だと思います。