生成AIへの要配慮個人情報入力で確認すべきこと

健康診断の結果をまとめる、休職者への対応記録を整理する、応募者から提出された書類を確認する・・・こうした業務で生成AIを使う場面は、医療や福祉を専門としない一般企業でも珍しくありません。

生成AIの導入の判断にあたって、法的な確認は後回しになりがちです。だからこそ、すでに使い始めている方にも、これから検討している方にも、共通して確認しておきたい論点があります。

入力する情報のなかに病歴や障がいの状況、犯罪歴が含まれる場合、個人情報保護法上は通常の個人情報よりも厳しいルールが適用されます。
病歴を扱うのは医療機関だけだと思われがちですが、健康診断結果や休職理由の記録など、一般企業が日常的に扱う情報のなかにもこういった情報は数多く含まれています。「生成AIへの入力は委託として整理すれば同意は不要になる」という理解が広まりつつありますが、その整理だけでは足りない部分が、要配慮個人情報には残っています。利用規約に「学習には使いません」と書かれているからといって、それだけで安心できるとは限りません。

この記事では、「要配慮個人情報」を扱う事業者が生成AIを業務で使う際に確認しておきたいことを、法令の整理と、AIサービス提供者とのDPA(Data Processing Agreement: データ処理に関する契約)・利用規約の読み方の両面から整理します。

要配慮個人情報とは

個人情報保護法は、病歴や障害の状況、犯罪の経歴といった情報を「要配慮個人情報」として、通常の個人情報とは別に扱うよう定めています。具体的には、人種や信条、社会的身分に加えて、身体障害・知的障害・精神障害の状況、健康診断等の結果、診療や調剤を受けた事実、逮捕や捜索など刑事手続きの対象になった事実などが該当します。

健康診断結果や休職に関する記録を扱う一般企業であれば病歴や心身の状態に関する情報（人間ドックの結果も該当します）、医療・介護の現場であれば診療記録や既往歴、採用の場面であれば応募者が任意で申告した持病や犯罪歴といった具合に、それぞれの業務のなかに、要配慮個人情報が含まれる場面は少なくありません。

見落としやすいのは、カルテの記載内容そのものだけでなく、「病院を受診した」「薬の処方を受けた」という事実自体が要配慮個人情報に当たる点です(個人情報保護法施行令2条2号)。カルテや診療記録であれば、氏名と受診日が記載されているだけでも、この事実を含むことになります。

通常の個人情報は利用目的を公表すれば取得できますが、要配慮個人情報は原則として取得の時点で本人の同意が必要です(法20条2項)。取得だけでなく第三者への提供についても、通常の個人情報であれば認められるオプトアウトによる提供が、要配慮個人情報では認められていません(法27条2項ただし書)。
原則として取得から提供まで一貫して本人の同意が重視されているという点が、この情報を生成AIサービスに入力する場面を検討するうえでの前提になります。

例外として、事業者が法令（労働安全衛生法など）に基づいて従業員の健康診断結果を取得するような場合などは、本人の同意は不要です。

なお、要配慮個人情報の取り扱いの全体像については、要配慮個人情報とは？具体例と取り扱いルールを解説でも解説しています。

AIへの入力は法的にどう位置づけられるか

生成AIサービスに個人データを入力する行為は、法的には外部の事業者にデータを渡す行為として整理する必要があり、それが第三者提供に当たるのか、委託に当たるのかによって必要な対応が変わります。
第三者提供であれば原則として本人の事前同意が必要になり、委託であれば同意は不要になる代わりに、委託先に対する監督義務（法25条）が生じます。この分岐を理解することが、生成AI活用を法的に整理する出発点になります。

「委託」として整理できる条件

委託として整理できれば、第三者提供に必要な本人同意は不要です。ただしそのためには、AIサービス側が委託された業務以外の目的でデータを取り扱わないことが前提になります。
そのために、利用規約やDPAの確認が必要になります。入力データをモデルの学習に使わないこと、データの保持期間と削除方法、外部の再委託先への転送範囲などが明記されているかが、委託として整理するための実務上の確認ポイントになります。ただし、委託として整理できた場合も、委託先に対する監督義務(法25条)は残ります。

なお、確認の結果として委託の条件を満たしていないと判断した場合、本人から改めて同意を得たうえで第三者提供として整理する、そのAIサービスの利用自体を見直す、あるいは入力する情報を仮名化・匿名化する、といった手段から選ぶことになります。要配慮個人情報の仮名化では、氏名と受診事実の組み合わせを分けて扱うなど、通常の個人情報と同じようには扱えない点にも注意が必要です。

要配慮個人情報特有の問題、利用目的との整合

委託の条件が整っていても、要配慮個人情報についてはもう一つ確認したいことがあります。それは、生成AIでの処理内容が、当初特定した利用目的の範囲に含まれているかという点です。
たとえば記録の要約や整理にとどまらず、蓄積した記録を横断的に分析してサービス開発に活用するといった使い方をする場合は、その用途が利用目的として明示されているかを確認します。明示されていれば問題はなく、されていなければ利用目的の追加を検討することになります。なお、特定の個人と結びつかない統計情報を作成するだけであれば、それ自体は個人情報の取り扱いに当たらず、利用目的による制約は受けません。

処理の中身が既存の目的を超えていないかどうかの確認は、要配慮個人情報を扱う場面ほど慎重に行う必要があります。個人情報の取扱いを外部に委ねる場面の基本的な考え方は、個人情報の取扱いの委託とは？第三者提供・クラウド例外との違いと監督義務でも整理していますので、あわせてご参照ください。

ただ、法的な整理のうえで第三者に提供（委託を含みます）できるとしても、要配慮個人情報という性質を尊重し、生成AIには入力しないというルールを設けることも有効です。生成AIの利用が本当に必要かという点に立ち返って、事業者ごとにしっかり検討することをお勧めします。

部門別に見る、見落としやすい入力シーン

一般企業の労務・人事部門

毎年の健康診断の結果や、休職者・労災に関する記録は、医療機関に限らずどの企業も日常的に扱っています。これらは病歴や心身の状態に関する情報として、要配慮個人情報に当たります。

病歴を扱うのは医療機関だけと思いがちですので、記録の集計や休職対応の整理を、特別な注意を払わないまま生成AIに任せてしまうケースが起こりやすいのが、この分野の特徴だといえます。

まずは、自社が保有する労務関連の記録のなかに要配慮個人情報が含まれていないかを棚卸しすることが第一歩になります。医療・介護や保育・福祉のように、要配慮個人情報を業務の中心で扱う現場で記録の要約や申し送りの整理に生成AIを使う場合も、同じ視点での確認が必要です。

採用担当・HR部門

応募者の履歴書や面接記録の整理、評価の補助に生成AIを使う場面もあると思いますが、応募者が任意で記載した持病や障害、犯罪歴は要配慮個人情報に当たり得ます。

採用目的で取得した情報をAIで分析することが当初の利用目的の範囲内かどうかは、労務管理の場面と同じ問いになります。加えて、AIサービスに送信したデータの保持期間が、採用情報についての保存・廃棄の社内規程と矛盾していないかも確認しておきたい点です。

実務で取り組む確認の手順

使用中のAIサービスのDPAを確認する

まずは現在業務で使っている生成AIサービスに、データ処理に関する契約条項(DPA)があるかを確認します。

その上で最初に押さえておきたいのは、使っているのが個人向けプランか法人向けプランかという区別です。これは料金の違いにとどまらず、職員が個人向けプランを業務に使っている場合、委託という法的な整理そのものが成り立たない状態になっているおそれがあります。

法人向けプランが用意されているサービスであれば、まず個人プランでの業務利用が起きていないかを確かめることが先決です。この種の状況は組織としての運用管理なしには把握しにくく、法的な整理と並行して確認しておく必要があります。確認すべき点は、入力データの学習利用の有無、データの保持期間と削除方法、再委託先の開示範囲、外国への移転の有無の4点です。

従業員が会社に無断でAIを利用するという「シャドーAI」についても注意が必要です

「学習に使わない」という表現の読み方

DPAや利用規約に「入力データを学習に使用しない」と書かれていても、そのAI事業者が一定期間データを保存することになっているケースは珍しくありません。

生成AIサービスに入力した時点で、データを保管する主体は自社だけでなく委託先のAI事業者にも広がります。会話ログがデバッグや品質管理の目的で一定期間保持される場合、その保存期間中の漏えいや不正アクセスへの備えは、委託先に対する監督義務の一部として自社が確認すべき事項になります。健康や病歴に関する情報は、万一の際の影響が通常の個人情報より大きくなりやすいため、この確認は特に丁寧に行う価値があります。

また、日本語で提供されているAIチャットボットや文書要約サービスのなかには、自社で基盤モデルを開発しているわけではなく、他社が提供する基盤モデルのAPIを組み込んで機能を提供しているものが少なくありません。この場合、利用しているサービス提供者とのDPAで「学習に使わない」と確認できても、その約束が実際にデータを処理する基盤モデルの提供元(再委託先)にも同じ水準で及んでいるかどうかは別の話です。サービス提供者に対して、どの基盤モデルを使っているか、その提供元との契約でも同水準の非学習利用が担保されているかの確認も大切です。

こうした点は、DPAの文言とサービスの技術的な構造の両方を理解していなければ見落としやすい部分です。現状のAI利用に疑問がある場合は、専門家による確認が判断の助けになります。あわせて、生成AIでの処理内容が現在の利用目的の範囲に含まれているかを、このタイミングで棚卸ししておくこともお勧めです。もし含まれていなければ、利用目的の追加を検討する機会になります。

まとめ

要配慮個人情報は、取得の段階から本人の同意が必要になる、通常の個人情報よりも一段厳しいルールが適用される情報です。生成AIへの入力を委託として整理できる場合でも、利用目的との整合、DPAの確認、委託の条件を満たしているかといった点を確認する必要があります。
まずは自社が使うAIサービスのDPA確認から始めてください。生成AIの業務利用全般について確認しておきたい点は、生成AIの業務利用で見直したい、プライバシーポリシーで確認すべき4つの視点でも整理しています。

現在のプライバシーポリシーが生成AIの利用実態と合っているか不安な方、要配慮個人情報を扱う業務でのAI利用ルールをどこから整備すればよいか迷っている方は、お気軽にご相談ください。