プライバシー・バイ・デザインとAI：使い始める前に個人情報の扱いを組み込む

自社の「ガバナンスと法令」の準備度は？10問・約3分で確かめる（無料・登録不要）

AIを業務に取り入れると、顧客の問い合わせや社員の情報など、個人情報に触れる場面が増えます。使い始めてから扱いを決めようとすると、すでに入力された情報の扱いに迷ったり、仕組みを作り直したりすることになりがちです。この記事では、プライバシー・バイ・デザインの考え方と、AIの導入にどう生かすかを整理します。

プライバシー・バイ・デザインとは何ですか？

個人情報保護委員会は、個人情報等を扱う際には、個人情報等の保護を含む個人の権利利益の保護を、事業の設計の段階に組み込むことが重要であるとして、この考え方をプライバシー・バイ・デザインと紹介しています。問題が起きてから対処するのではなく、はじめから仕組みに入れておく、という考え方です。

あわせて委員会は、PIA（個人情報保護評価）を紹介しています。PIAは、個人情報等の収集を伴う事業を始めるときや変えるときに、プライバシーなどの権利利益を侵害するリスクを低くしたり避けたりするために、事前に影響を評価するリスク管理の手法です。委員会は、PIAを民間の自主的な取り組みとして促進しており、資料「PIAの取組の促進について」で意義と実施の手順に沿った留意点をまとめています。

AIの分野では、AI事業者ガイドライン（第1.2版）が、AIを提供する立場の会社に、個人情報へのアクセスを管理・制限する仕組みを導入することを、プライバシー・バイ・デザインとして示しています。AIを使う立場の会社には、AIサービスに個人情報を不適切に入力しないよう注意することが求められています。

AIの導入で、設計の段階に何を決めればよいですか？

新しくAIを使う業務ごとに、次の点を使い始める前に決めておくと、プライバシー・バイ・デザインの考え方を取り入れられます。

1. 扱う個人情報を書き出す： その業務で、どの個人情報がAIに渡りうるかを洗い出します。要配慮個人情報（病歴など、取り扱いに特に配慮が要る情報）が含まれるかも確かめます
2. 入力しなくても済むかを考える： 氏名を記号に置き換える、必要な項目だけを渡すなど、目的を果たすのに必要な範囲に絞ります
3. 利用目的と照らし合わせる： 本人に示している利用目的の範囲で使えるかを確かめます。迷う場合は専門家にご確認ください
4. 見られる人と設定を決める： 誰が入力・閲覧できるか、サービスの設定で入力したデータが学習に使われないかを確かめます
5. 残す期間と消し方を決める： 入力の履歴や出力をどこに、いつまで残すかを、社内の保存期間のルールに合わせます

項目ごとに「決めた内容」と「決めた人」を記録しておくと、後で見直すときや、取引先から尋ねられたときに説明しやすくなります。

小さく始めるにはどう進めればよいですか？

本格的なPIAの手順をすべて踏むのが難しい会社でも、次のように小さく始められます。

• 影響の大きい業務から始める： 顧客の情報や社員の評価など、個人への影響が大きい業務からAIの使い方を確かめます
• 既存の表を使う： AIのリスク評価表やデータの分類のルールなど、すでにある仕組みに「個人情報」の欄を足します
• 変えるときにも見直す： 新しい機能を使う、扱うデータが増えるなど、使い方が変わるときに、上の5つを見直します

設計の段階で考えておくことは、手間を増やすためではなく、後からの作り直しや説明の負担を減らすための準備です。