生成AIに個人情報を入力してもよい？個人情報保護委員会の注意喚起と確認ポイント

• 利用目的の範囲内か：その個人情報について特定した利用目的を達成するために、必要な範囲内の入力かを確かめます。
• 入力したデータが何に使われるか：本人の同意なく入力した個人データが、応答の出力以外の目的（機械学習など）で扱われると、法律に違反する可能性があります。提供事業者が機械学習に使わないことなどを確認します。
• どこの事業者が、どこで扱うか：外国の事業者のサービスや外国のサーバを使う場合は、外国にある第三者への提供にあたるかや、その国の制度をふまえた安全管理措置も関係します。

個人情報保護委員会は2023年6月2日、生成AIサービスの普及をふまえて注意喚起を公表しました。企業などの事業者、行政機関など、一般の利用者のそれぞれについて、注意点をまとめています。

あわせて委員会は、生成AIサービス「ChatGPT」の開発・提供事業者に対して、本人の同意なく要配慮個人情報を取得しないことや、利用目的を日本語で通知・公表することなどについて注意喚起を行ったことも公表しています。また、今後、追加の注意喚起を行う可能性もあるとしています。

注意喚起は、個人情報を含むプロンプトを入力するときは、その個人情報について特定した利用目的を達成するために必要な範囲内かを十分に確認するよう求めています。

同じ個人情報でも、どの業務で、何のために入力するかによって、利用目的との関係を確かめる必要があります。自社が公表している利用目的（プライバシーポリシーなど）と照らし合わせて確認しましょう。

作業に個人を特定する情報が必要ないなら、氏名や連絡先を伏せてから入力する方法もあります。AI事業者ガイドラインの別添も、個人情報を含むデータを扱う場面で、マスキングや削除などプライバシーに配慮した扱いを挙げています。

注意喚起は、本人の同意なく個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で扱われる場合には、法律の規定に違反する可能性があるとしています。そのため、提供事業者が入力された個人データを機械学習に利用しないことなどを、十分に確認するよう求めています。

委員会のQ&Aは、クラウドサービスについて、利用が個人データの「提供」にあたるかどうかは、保存するデータに個人データが含まれるかではなく、サービスの提供事業者がその個人データを取り扱うことになっているかで判断するとしています。取り扱わないことになっている例としては、契約で事業者がサーバ上の個人データを取り扱わない旨が定められ、適切にアクセス制御が行われている場合を挙げています（Q7-53）。

この場合、本人の同意も、委託先としての監督も必要ありませんが、利用する事業者は自ら適切な安全管理措置を講じる必要があります（Q7-54）。生成AIサービスにこの考え方がどう当てはまるかは、サービスの規約や契約の内容によって変わります。サービスを選ぶときは、規約・プライバシーポリシー・契約書で次の点を確かめます。

• 入力したデータを機械学習に使うか。使わない設定や契約プランがあるか
• 入力・出力のデータを、提供事業者がどの目的で、どれくらいの期間保存するか
• 提供事業者によるデータへのアクセスが、契約や設定でどう制限されているか

委員会のQ&Aによると、外国にある第三者に個人データを提供する場合は、原則として、あらかじめ「外国にある第三者への提供を認める」旨の本人の同意が必要です。例外は、提供先が日本と同等の水準の制度を持つ国として定められた国にある場合（Q&Aでは2021年9月時点でEUと英国）や、提供先が基準に適合する体制を整えている場合などです。同意を得るときは、決められた情報を本人に提供する必要もあります（Q12-1）。

外国の事業者が外国に置くサーバに保存する場合でも、その事業者が個人データを取り扱わないことになっていれば、外国にある第三者への提供にはあたりません（Q12-3）。反対に、外国の事業者がデータを取り扱う場合は、サーバが国内にあっても外国にある第三者への提供にあたることがあります（Q12-4）。

提供にあたらない場合でも、外国でデータが扱われる以上、その国の個人情報保護の制度などを把握したうえで安全管理措置を講じ、事業者やサーバのある国の名称などを本人が知りうる状態に置く必要があるとされています（Q10-25）。

• 入力してよい業務とサービスを限定する：個人データの入力は原則として認めず、認める場合は業務とサービスを決める
• 認めるサービスは事前に確かめる：機械学習への利用、保存の目的と期間、データの所在、規約・プライバシーポリシーを確認する
• 伏せられる情報は伏せる：氏名・連絡先など作業に不要な情報は、削除や置き換えをしてから入力する
• 出力の個人情報をそのまま使わない：応答に不正確な個人情報が含まれることがあります（生成AIの「ハルシネーション」とは？）

使ってよいアカウント、記録、教育など、このほかに決めておきたいルールは生成AIを社内で使う前に決めたい情報管理のルールにまとめています。

個人情報の管理は、AIサービスに入力する場面だけでなく、個人データが保存されたPCを手放す場面にも関わります。そのときに個人情報保護法で求められることは、PCの廃棄・売却と個人情報保護法で解説しています。

• 消去の前に機器リストを確認：受け取った機器はすぐに全数を検品・入庫登録し、機器リストをご承認いただいてから消去を始めます。1台ずつ記録し、進み具合はオンラインで確認できます（法人向けPCデータ消去）。
• 消去と証明書：買取する機器のデータ消去は無料です。消去証明書（PDF）の発行は有料で、お見積りします。
• 1台から買取：法人のPC・サーバー・ネットワーク機器を1台から買い取ります。古い機器や故障品もまとめて査定します（法人PC買取）。
• 回収：関東圏はご指定の場所へ訪問回収、関東圏以外は事前のお見積りのうえ宅配便で受け付けます（法人向けPC回収・対応エリア）。

台数や機種がまとまっていなくても、ご相談いただけます。無料お見積りからお問い合わせください。