生成AIの業務利用と情報セキュリティ・個人情報 — 導入前に確認すべき点

なぜ「貼り付ける」だけでリスクが発生するのか

本稿は一般的な情報提供を目的としており、個別の法的判断や専門家の助言に代わるものではありません。実際の業務データを生成AIサービスに入力する前には、必ず自社の情報セキュリティ規程や法務部門、必要に応じて弁護士等の専門家の判断を確認してください。

個人情報保護法(APPI)は、個人情報取扱事業者が個人データを第三者に提供する際に、本人の同意や一定の手続きを求めています。生成AIサービスに顧客名簿や問い合わせ履歴を貼り付ける行為は、多くの場合そのサービスを提供する事業者への「提供」に当たり、提供先が海外にあるサービスであれば「外国にある第三者への提供」に関する規律も関係してきます。個人情報保護委員会は2023年6月、生成AIサービスの利用に関する注意喚起を公表し、個人情報を含むプロンプトの入力について事業者に留意を求めました。

海外拠点の従業員データやEU居住者の情報を扱う場合はGDPRも視野に入る

取引先や従業員の中にEU域内の居住者が含まれる場合、GDPR(一般データ保護規則)の域外適用が問題になり得ます。GDPR第6条は個人データの処理に適法根拠を要求しており、第28条は処理を委託する事業者(processor)との間に一定の契約条件を求めています。生成AIベンダーがEU居住者の個人データを処理する構図になれば、日本の事業者であってもこの規律の射程に入る可能性があります。

もっとも、すべての業務利用がGDPRの対象になるわけではありません。国内の取引先データのみを扱う中小事業者であれば、実務上の優先度はAPPI側の整理が先に来ます。重要なのは、自社が扱うデータにどの法域の居住者情報が含まれるかを、AI導入の担当者が最初に棚卸しすることです。

ベンダーごとのデータ保持・学習利用設定を確認する

主要な生成AIベンダーは、入力データをモデルの学習に使うかどうかを設定で切り替えられるようにしています。OpenAIは個人向けのChatGPTでは「モデルの改善に役立てる」設定をオフにできるほか、API経由の利用ではデフォルトで学習に使用しない方針を公開しています。Anthropicも、Claudeの商用利用規約およびプライバシーセンターで、標準の商用利用では入力・出力をモデルの学習に使用しない旨を説明しています。ただし、これらの設定はプランや契約形態(個人向け/エンタープライズ/API)によって異なり、本稿執筆時点の内容であるため、契約前に必ず現行のポリシーページで確認する必要があります。

データの保持期間についても差があります。不正利用の監視目的で一定期間ログを保持するのが一般的な設計ですが、保持日数や削除申請の手続きはベンダーごとに異なります。エンタープライズ契約では保持期間の短縮やゼロ・データ・リテンションに近い条件を交渉できる場合もあるため、無料プランや個人アカウントでの利用を前提に判断しないことが重要です。

貼り付けてはいけない情報の目安

実務での判断を早くするため、貼り付ける前に立ち止まるべき情報の目安をチェックリスト化しておくと機能します。顧客・従業員の氏名と連絡先が紐づいた名簿、健康診断結果や病歴などの要配慮個人情報、契約金額や違約条項などの機密性が高い商取引情報、未公開の人事評価や組織再編に関する情報は、匿名化や仮名化をせずに一般向けのAIサービスへ入力すべきではありません。

匿名化の手順を挟めば利用範囲は広がります。顧客名を「A社」「B様」のような記号に置き換え、金額を桁数だけ残して丸めるといった処理を、貼り付ける前の定型作業として組み込んでいる企業もあります。この一手間を惜しんで固有名詞のまま貼り付けてしまう事故が、実際には最も多いパターンです。

組織としてのポリシー設計 — 現場任せにしないための線引き

個々の従業員に「機密情報は貼り付けないでください」と伝えるだけでは、判断基準が人によってばらつきます。有効なのは、承認済みのAIサービスとプランを明示し、そのプラン上でのデータ取り扱い設定を情報システム部門が一括で確認・固定しておく体制です。承認外のサービスやプランを個人アカウントで使う、いわゆるシャドーAIの利用を防ぐには、禁止するだけでなく、承認済みの選択肢を使いやすく整えておく必要があります。

とはいえ、承認プロセスを重くしすぎると、現場は結局、判断の速い個人アカウントに流れてしまいます。文書の分析作業を例に取ると、AIで資料や文書を分析する手順で扱った要約・抽出・比較の各工程のうち、どの段階までなら匿名化前の生データを扱ってよいかを工程ごとに定義しておくと、現場の運用と統制のバランスが取りやすくなります。料金プランによってデータ取り扱いの条件が変わる点は主要AIアシスタントの料金と機能を比較するで整理した無料枠と有料プランの違いとも関係しています。

規制と実務のずれは埋まっていない

個人情報保護法もGDPRも、生成AIサービスへのデータ入力という利用形態を具体的に想定して作られた条文ではなく、既存の枠組みを当てはめて解釈している段階にあります。各国の規制当局のガイダンスは今後も更新される見込みであり、ベンダー側のデータ取り扱い設定も競争環境の中で変わり続けています。企業が今できるのは、規制が固まるのを待つことではなく、自社が扱うデータの性質を棚卸しし、ベンダーの設定を定期的に見直す運用を先に作っておくことです。