相談と事例

プライバシーリスクは、個人情報の主体と企業、それをとりまく社会で法律に定めのないグレーゾーンが社会問題に発展することが含まれます。

AIがクラウドである場合には個人情報は外国のサーバーにデータが移転する可能性があります。外国に移転した個人情報は当事国の法律に則って管理されます。個人用AIは、企業レベルのセキュリティがなくAIの利用データがAI学習に利用が想定されています。企業が業務にAIの利用は委託ですが、個人用AIは、AI事業者と従業員個人との契約で成り立っており、従業員個人からAI事業者にAI利用の対価として学習用データの提供となり、委託業務の目的が個人用AIの学習の利用は目的外利用と考えることができます。企業が個人用AIを許可している場合には従業員を通じて第三者提供と目的外利用のリスク、法人との守秘義務契約があれば守秘義務契約の違反となるリスクがあります。企業は委託先と従業者の監督責任がありますから安全管理義務違反にもなります。

AI学習は強化学習によって、バージョンアップの際に知識として利用される可能性があるため、企業の機密情報が競合他社に利用されたり、AI利用者全体に共有される知識となります。サムソンは機密情報としていたソースコードをChatGPTに入力して、ソースコードの内容が漏えいしていた事件があるように情報漏えいや外部による利用を可能とする危険性があります。

AIの利用者の通信情報を狙うサイバー攻撃により相談内容と回答が盗まれる可能性があります。個人用AIの学習をオフの設定にしても、通信やデータ保存についてのセキュリティ対策が個人用AIは法人用AIと比べ低いため、データを盗用され犯罪に利用されるリスクがあります。

AIにはさまざまな情報を入力できるため従業員のミスや悪意による行動が管理できないシャドーAIのリスクがあります。

プライバシーリスクの多くは、ヒューマンエラーで従業員が原因となっています。

AIベンダーのミッションは、業務にAIを定着させることでAI推進のための従業員の意識づけなどを行います。AI事業者のAIサービスを業務に利用する場合などは、その企業の業務に特化しているAIではないため、まずはAIに慣れてもらうことから始めます。興味を持って「何でも良いからやってみよう」、AI生成の例として企画書やレポート作成、議事録など色々と実践してもらいます。利用者の成功体験が継続のフックとなるため、AI生成の成果を褒めたり、推進リーダーを決めたり、生成物の発表などをプランによりますが実施します。AIの利用でしてはいけないことについては情報提供をしますが、推進を主とした講義での個人情報保護は触れはするものの従業員が臆して利用の妨げにならないように簡単に触れるだけであることが考えられます。

AIの業務利用であれば、それまで機密情報や個人情報を処理する業務をしている場合にはそれらを利用することになります。そのため、医療・会計・法律・金融など守秘義務がある業界では、ローカルAIや専用に設計されたAIを利用します。クラウドにAI事業者のAIプランを業務で利用する場合に個人情報や機密情報が流出するリスクがあります。ローカルAIや専用設計AIはかなりのコストがかかりますが、個人情報や機密情報を外部に出さないという点でリスクを回避できます。

AIは、人間の言語でコントロールできるため、プログラマーでなくても誰でも機密情報の漏えいや危険な利用ができてしまうリスクがあります。AIが従業員の誰でも使える環境になった今、従業員はうっかりまたは故意に個人情報や機密情報を流出させてしまいます。AIが使える環境になるといきなりAIを利用する人間のデータを扱うリテラシーが必要になります。AIの人間中心主義 (Human In The Loop) では、AI生成のハルシネーションや訴訟トラブルも利用者および、従業員を監督する企業の責任になります。

AI導入ができてからの従業員は社会で起こるAIトラブルなどのAIリスクやプライバシー炎上など最新の動きなども取り入れないと、自分や会社が守れない時代になります。従業員の個人情報保護の意識が低いとプライバシーリスクがあります。

お客さまがサービスを利用するための事前情報として広告やホームページの紹介文、プライバシーポリシーなどを読んで同意をしたうえで会員登録をしました。そのサービスがその後に行われる機能追加は同意の範囲外です。仮に入会する際に「会員向けの機能追加には同意するものとする」と記載していたとしても、特定されていない利用目的に同意することはできませんし、そのような同意文はSNSで炎上する可能性があります。現在のサービスの水平的な機能追加であれば、お客さまが容認できるものもあります。同意しているメールマガジンに号外のメールマガジンを発行するといったケースは、同意したメールマガジンの受け取り通数が増えますが、目的外利用にはなりません。同意の取得後に条件が変わってしまった場合には再同意をするほうがクレーム防止につながります。AIの追加する機能が水平的な機能追加やこれまでのサービスと内容が異ならない場合には、公表のみで良い場合があります。例えば、Gmailのスパム対策の機能にAIが搭載されたなどのように利用目的が異ならない場合です。

公表が必要な理由としては、AI法によってAI利用については透明性が求められるからです。お客さまがAIを使われていることについて隠されているよりも、公表されているほうが安心と考えられます。

垂直的な機能追加は新たな利用であるため、目的外利用という法律違反になることを防ぐために同意が必要です。AIが対象とするデータがお客さまによる直接入力であるのか行動データであるのか、何の利用目的のために処理がされるのかなどの利用目的をわかりやすく読んでいただき、同意してもらってから利用します。また、個人情報の利用目的について公表を行います。ここまでは個人情報保護法の義務に関わる対応であるため、個人情報取扱事業者としては実施しないといけません。お客さまからも目的外利用については個人情報の苦情の上位を占めるほか、SNS炎上などがあれば報道や社会問題やAIのリスクによっては訴訟リスクに発展する可能性があります。

日本はAI推進法があるソフトローの政策をとっています。事業者に事前の禁止事項などを明確に定めませんが、そのAI利用によってプライバシー問題などが発生した場合には行政指導に発展する可能性があります。それを防ぐために欧州のAI法があります。欧州はプライバシーを人権と定め、EU市民のAIによるプライバシーリスクをランク付けで分けています。犯罪歴を扱うことは禁止されるような禁止リスク以下、高リスクとしてプライバシー影響があるもの、リスクは少ないが透明性が必要な限定的リスク、リスクは少ないものに分類しています。

ChatGPTのAIをオンラインのサービスのサポートに利用するなどは、サービスにもよりますが限定的リスクで、AIを利用していることをユーザーがわかるようにする透明性が必要です。航空会社がサポートにAIを利用し、便に乗りそこねた乗客に存在しない保障サービスをAIが顧客に伝えた場合などは、AIのハルシネーションの責任を導入した航空会社が負う判決が出ています。AIの利用による結果がサービスに及ぼす影響はAIを委託した事業者の責任になることやAIの未知のリスクも引き受けることになります。

AIの機能追加の内容とAIリスクを考慮すること、公表による透明性とトラブル防止のための同意などがプライバシー対策にあります。

個人情報保護の第三者認証はいずれにしてもないよりもあったほうが信頼を得られるプラスの効果があります。マークの性質で利用する企業の社風やビジネスに影響を与えることがあるため、影響を考慮した検討がよいと思います。プライバシーマークとTRUSTeを求める背景として、第三者認証による信頼の確保があると思います。

あなたのお客さまが法人でプライバシーマーク登録事業者であれば、プライバシーマークが効果があります。委託先を選定する際にプライバシーマーク事業者を選択するとJIS規格が守られるからです。事業者全体が対象で規定や様式などの整備と運用が求められるため個人情報保護法対応ができます。個人情報取り扱いについての文書は、JIS Q 15001で審査基準に適合した記載が求められます。プライバシーマーク事業者では公表内容が似通ってしまいます。

あなたのお客さまが消費者でウェブサイトやアプリで個人情報を収集する場合はプライバシーステートメントに透明性があるTRUSTeが効果があります。GAFAのようなグローバル企業がプライバシーのページで詳しく利用目的や諸手続きを記載しているようなプライバシーステートメントがプライバシー意識の高いお客さまに読んでいただけます。ウェブサイトを運営する部門の構成スタッフが対象としてコンパクトに取得ができます。ウェブサイトが全社ビジネスの場合には全社対応となります。TRUSTeは、個人情報の取り扱い声明 (プライバシーステートメント)は、自社の取り扱いについてわかりやすく透明性の高い公表にすることができます。透明性が低い場合でも認証が取得できます。TRUSTeはGoogleが信頼されるサイトとしての加点要素があるため、検索に有利です。

プライバシーマークは審査機関がJIS規格の構築と運用を厳しくチェックするため、個人情報保護にオリジナリティを取り入れることは難しいです。TRUSTeは、プライバシーマークに比べてエビデンスの書類チェック数が少なく、社風にあった運用も可能です。

プライバシーマークは、全社の個人情報保護体制と運用を審査するためマネジメントの構築機関や作成書類がかかります。TRUSTeは、対象ウェブサイトの個人情報保護体制の審査であるためプライバシーマークが総じてTRUSTeよりも時間やコストが大きくなりやすくなります。TRUSTeは、事業者の売上がライセンス料金の対象となるため大企業の事業部門の場合には審査合格後のライセンス料金が大企業のライセンス料金となるためプライバシーマークよりも安いとはいいきれません。

プライバシーマークは、内部からの持ち出しを防ぐ効果と日本文化にある「お墨付き」で決められたことを守る考えがベースであり、TRUSTeは、お客さまの信頼から個人情報を取得する効果と欧米文化にある「契約」で約束したことを守る考えです。個人情報保護を他人の指標に任せても良いのであればプライバシーマークが推奨されます。個人情報保護やデータ活用で業界独自のポジションや差別化を持ちたいならば、個人データの透明性を高くしたプライバシーステートメントでTRUSTe認証取得をお勧めします。