トピックス・法律情報

（執筆者：弁護士　松本春香）

【Q.】
業務効率化のため、社内に生成AIサービス（以下「生成AI」）を導入することを検討しています。しかし、生成AIに個人情報を入力すると、個人情報保護法上の問題となる可能性があると聞きました。どのようなリスクがあり、企業としてどのような対策を講じるべきでしょうか。

【A.】
１．はじめに
近年、業務効率化を目的に、多くの企業で生成AIの導入が進んでいます。一方、その利用方法によっては、個人情報の保護に関する法律（以下「個人情報保護法」）に抵触するおそれもあります。近時は、個人情報保護法改正により新設される「AI特例」が大きく報道されるなど、社会的関心も高まっています。
本稿では、生成AIに個人情報を入力する際に想定される個人情報保護法上の主なリスクと、企業が講ずべき対策について解説します。

２．生成AIへの個人情報の入力に伴う個人情報保護法上のリスク
（1）個人情報・個人データ
「個人情報」とは、生存する個人に関する情報で、特定の個人を識別できるものや個人識別符号が含まれるものをいいます（個人情報保護法2条1項）。
また、個人情報を検索可能な形で体系化した「個人情報データベース等」（個人情報保護法16条1項）を構成するものは、「個人データ」（同条3項）にも該当します。

（2）抵触する可能性のある主な規定
①利用目的の範囲を超えた利用の制限（個人情報保護法18条）
個人情報を、本人の同意なく、当初の利用目的以外の目的で利用することは禁止されています（個人情報保護法18条1項）。例えば、別の目的で取得した顧客情報を本人の同意なく生成AIへ入力した場合、同条に違反する可能性があります。
②第三者提供の制限（個人情報保護法27条、28条）
個人データを第三者に提供する場合、原則として本人の同意が必要となります（個人情報保護法27条1項）。ここでいう「提供」には、データを直接送付する場合だけでなく、第三者が利用可能な状態に置く場合も含まれます。
個人情報保護委員会の公表する「生成AIサービスの利用に関する注意喚起等」では、本人の同意なく生成AIに入力された個人データが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法違反となりうるとの見解を示しています。例えば、入力した個人データがAIモデルの学習に利用される場合には、応答結果の出力以外の目的で利用されることになるため、生成AIサービス提供事業者への「提供」に当たり、本人の同意が必要と考えられます。
ただし、生成AIサービス提供事業者との間でデータ処理契約（Data Processing Agreement。以下「DPA」）を締結し、生成AIサービス提供事業者が委託先としてDPAにしたがって個人データを取り扱う場合には、DPAの内容にもよりますが、個人データの入力を「提供」ではなくその個人データの取り扱いの「委託」（個人情報保護法27条5項1号）と整理し、本人の同意が不要となる可能性が高まります。
なお、入力先が海外事業者の提供する生成AIである場合には、外国にある第三者への提供（個人情報保護法28条）の問題が生じる可能性があります。

（3）違反した場合の影響
個人情報の不適切な取り扱いが認められた場合には、個人情報保護委員会による報告徴収や立入検査、勧告や命令を受ける可能性があります（個人情報保護法146条、148条）。拒否や違反には刑事罰が科される場合があり（個人情報保護法178条、182条）、命令違反についてはその事実が公表されることもあります（個人情報保護法148条4項）。
このような行政上・刑事上の責任に加え、企業にとっては社会的信用の低下という大きなリスクにもつながります。

３．企業が講ずべき対策
総務省・経済産業省が公表した「AI事業者ガイドライン」では、個人情報の不適切な入力の防止、プライバシー侵害に関する情報収集や対策の継続が求められています。

（1）社内ルールの整備
社内ルールを整備し、利用を認める生成AIや利用目的、個人情報の取り扱いなどをあらかじめ定めておくことで、従業員は適切な判断を行いやすくなります。
その際、個人情報の入力を一律に禁止することが、必ずしも安全とは限りません。過度な利用制限は、利便性を求めた従業員が、会社が許可していない生成AIを個人的に業務利用する、いわゆる「シャドーAI」を招き、個人情報が個人アカウントから入力されるリスクを高めることになります。そのため、安全なサービスを指定して適切な利用ルールを整備することが重要です。
①利用する生成AIサービスの適切な選定
サービス選定の際には、利用規約を確認し、入力データの学習利用の有無、事業者によるアクセス可否、暗号化等のセキュリティ対策実施の有無、出入力情報の保存・削除方法、データの保存先や事業者の所在地などを把握しておく必要があります。
法人向けサービスの多くは学習利用を標準で無効化しており、DPAの締結にも対応しています。DPAには一般的に、学習利用の制御、入力内容の目的外利用の禁止、適切な安全管理措置などが定められています。企業が業務で生成AIを利用する場合には、セキュリティや契約条件の面から、法人向けサービスの利用が望まれます。
②入力ルールの具体化
利用ルールを定める際には、「何を入力してよいか」を明確にすることが重要です。そのためには、社内の情報を細かく区分し、それぞれについて入力の可否を定めておくことが有効です。具体的には、社内の情報を「公開情報」「自社営業秘密」「第三者秘密」「個人データ」等に区分し、「入力可」「匿名化・抽象化した上で入力可」「入力不可」というように入力の可否を定めます。もっとも、こうしたルールは、利用する生成AIの仕様や利用規約等によって適切な内容が異なるため、慎重な検討が必要です。

（2）継続的な運用の見直し
AIを取り巻く法制度やサービスの仕様は、急速に変化しています。そのため、一度ルールを整備すれば十分というものではありません。
「AI事業者ガイドライン」では、自社のAI利用状況を点検するためのチェックリストや、具体的な対応策を検討するためのワークシートも用意されています。これらを活用しながら、社内ルールを継続的に見直していくことが重要です。

４．おわりに
生成AIは現在、企業活動に欠かせないツールとなりつつありますが、その利用には法的リスクも伴います。特に個人情報保護法との関係では、利用規約等を十分に確認するとともに、社内ルールを整備し、継続的に運用を見直すことが重要です。
生成AIの導入や運用に不安がある場合には、必要に応じて専門家へ相談し、自社に適した体制を構築することをお勧めします。