個人情報リスクは 3 観点で整理する
AI に個人情報を入れる場面で見るべき観点は 3 つです。
- 1. 識別性：その情報単体・組み合わせで個人を特定できるか
- 2. 同意：本人の同意の範囲に AI 利用が入っているか
- 3. 越境：海外サーバーに渡す場合、第三国移転のルールが守られているか
3 観点のうち 1 つでも引っかかると、AI 利用は止めるか手当てが必要です。
識別性：思ったより広い
「氏名・住所・電話番号」だけが個人情報ではありません。
- - メールアドレス・社員番号・会員 ID
- - 顔写真・指紋・声紋
- - 端末 ID・Cookie・位置情報（組み合わせで識別性が出る）
- - 購買履歴・診療履歴・閲覧履歴
識別性を完全に消すには、マスキング（氏名→「Aさん」、社員番号→ハッシュ化）と統計化が必要です。日付や所属部署など、組み合わせて特定できる情報も合わせて除きます。
同意：「AI 利用」を明記しているか
個人情報保護法では、利用目的の通知・公表が必要です。AI への入力は「業務委託」と異なる扱いになる場合があります。
- - プライバシーポリシーに「AI サービスを利用した処理を含む」と明記する
- - AI ベンダーが「学習に使わない」と宣言している契約形態を選ぶ
- - 顧客対応 AI は、利用開始時に「AI 応答である」「個人情報は AI に渡らない」と明示する
社内向け AI でも、社員の個人情報（評価・健康情報）を入れる場合は、社内の利用目的通知に AI の記載が必要です。