生成AIに個人情報や機密情報をどこまで入れていいか、社労士が考える実務ライン

今回のテーマは「生成AIにどこまで情報を入れるか」です。吉田さんは最初に、これは本来個人情報保護法個人情報保護法 ── 個人情報を扱う事業者が守るべきルールを定めた法律。本人の同意なく第三者へ情報を渡すことなどを制限する。や秘密保持契約に関わる、社労士というより弁護士が扱うテーマだと断っています。

ただし社労士も個人情報や機密情報を多く取り扱うため、参考程度に聞いてほしいという前提でテーマに挙げたと説明しています。

そうしたなかなか公に語りにくい話だからこそ、クローズドな環境であるポッドキャストで話したいと吉田さんは述べています。

吉田さんがまず危険だと指摘するのは、何も考えずに他人から預かった個人情報や機密情報を生成AIに入れることです。特に、組織で預かった情報を、スタッフが個人で無料利用しているChatGPTなどのアカウントに入れる状態は問題だとしています。

無料の個人アカウントでは、入力した情報がAIの学習に使われる設定になっているためです。吉田さんは、これがなぜダメなのかを個人情報保護法の観点から説明します。

この「勝手に譲り渡す」行為は第三者提供と呼ばれます。吉田さんは、かつて名簿転売業者が個人情報を売買していたことが問題視され、その流れで個人情報保護法ができたという背景を挙げています。

学習オンの状態で生成AIに情報を入れると、名簿転売業者と同じように第三者提供をしていることになり、法律違反や契約違反になり得る、というのが吉田さんの整理です。

吉田さんによると、2〜3年ほど前までは「生成AIに機密情報や個人情報は絶対に入れてはいけない」というのが主流で、大企業の生成AI利用規程もそうした方向だったといいます。

一方で、生成AIを実際に活用している立場からは別の悩みが出てきます。

この現実があるために、いま考え方が二分していると吉田さんは説明します。

どちらが正解かは、個人情報や機密情報に詳しい弁護士の間でも統一見解は出ていないはずだ、と吉田さんは述べています。

情報を入れてよいとする側のロジックについて、吉田さんは生成AIの設定を根拠に説明します。鍵になるのがオプトアウト、つまり入力した情報を学習に使わせない設定です。

学習させない設定なら、入力データが名簿転売のように知らないところへ流れることはなく、第三者提供には当たらない、という整理です。吉田さんは、この良し悪しには議論があるとしつつ、実務上の最低ラインを示します。

ここから吉田さんは、飲み会や対面など裏で出てくる話として、自身の考えを述べます。生成AIに一切機密情報や個人情報を入れないのは非現実的で、あまり意味がないという立場です。

その根拠として、すでに私たちが他社のサービスに機密情報を預けている点を挙げます。GoogleドライブやDropboxに預かった情報を入れることと、学習させない生成AIに入れることは、そんなに変わらないのではないかという議論です。

吉田さんは、利用規約が違うといった主張はあると認めつつ、本質的には他社のデータサーバーに預かった情報が入っている点は同じだとしています。OFFICE STATIONやSmartHRといったクラウドサービスとの比較にも同じ理屈を当てはめます。

そのうえで、利用規約や民事的な約束の度合いは異なるため質は完全に同じではない、とも補足しています。ただし本質的なリスク構造は変わらないというのが結論です。

だからこそ、信頼できる業者の生成AIを選ぶことが重要だと吉田さんは述べます。自社ではGoogle Workspaceで提供されるGeminiを使っていると具体例を挙げています。

吉田さんは、条件付きで情報を入れてよいとする後者の考え方が、世の中のスタンダードになっていくはずだと予測します。理由に挙げるのが少子高齢化の日本という前提です。

もし生成AIに一切情報を読み取らせない管理で会社を運営したら、その会社は競争力を失うと吉田さんは考えています。同じ業務をAIが自動でやってくれる会社はコストが下がり、価格競争で強くなるためです。

価格を同じか高めに設定する場合でも、生成AIに考えさせたものをベースに商品やサービスを設計すれば、よりハイレベルな提供ができると説明します。

最後に吉田さんは、労務関係のリスナーが多いことを踏まえ、絶対に忘れないでほしいポイントとしてマイナンバーを挙げます。マイナンバーには番号法という特殊な法律が、個人情報保護法の上に重なる形であるためです。

吉田さんは、マイナンバーの取り扱いには本人確認や身元確認、閲覧記録の保存などが求められ、生成AIはまだこの番号法の管理に対応していないと指摘します。

さらにマイナンバー以外にも、IDやパスワード、少しでも漏れたら会社が倒産しかねない商売の核となる情報は、生成AIに絶対に入れないほうがよいと吉田さんは付け加えています。

これらは表立って言いにくいテーマだからこそポッドキャストで話した、と吉田さんは締めくくります。結論が出ていない以上、他社の動きを注視しながら慎重に進めるべきテーマだとしています。

まとめ

吉田さんは、預かった個人情報や機密情報を生成AIに入れることには「絶対に入れない」と「条件付きで入れてよい」の二流派があると整理しました。そのうえで、学習させない設定を最低ラインとしつつ、条件付きで活用する考え方が主流になると予測し、マイナンバーなど一部の情報は例外だと強調しています。

• 無料の個人アカウントは入力情報が学習に使われるため、預かった機密情報を入れると第三者提供に当たり得る
• 法人契約の生成AIに入れ、学習させない設定にするのが最低限守るべきライン
• 他社クラウドに情報を預けるのと本質的なリスクは同じで、信頼できる業者を選ぶことが重要
• 少子高齢化を背景に、条件付きで機密情報を活用する考え方がスタンダードになると吉田さんは予測
• マイナンバーは番号法の管理に生成AIが未対応のため、IDやパスワード、会社の核となる情報とともに絶対に入れない