生成AIに個人情報を入れてよいのか——個人情報保護委員会の注意喚起を読む

生成AIを仕事で使うとき、最初に決めるべきなのは「何を入力してよいか」だ。出力の正しさも重要だが、入力した情報は一度外部サービスに渡る可能性がある。

個人情報保護委員会は2023年6月、生成AIサービスの普及を踏まえて「生成AIサービスの利用に関する注意喚起等」を公表した。あわせて、OpenAIに対する注意喚起の概要も掲載している。

入口はプロンプト

生成AIサービスは、質問や作業指示、つまりプロンプト入力に応じて文章や画像などを生成する。問題は、そのプロンプトに個人情報や社内情報を入れてしまうことだ。

会社や学校で生成AIを使う場合、個人の判断に任せると危ない。便利だからといって、面談メモ、採用書類、学習記録、問い合わせ内容をそのまま貼り付ける運用は、後から説明できなくなる。

AI利用ルールは「禁止」より「入力分類」

全面禁止は現場で破られやすい。一方で、何でも入力してよいという運用は危険だ。現実的には、入力してよい情報、加工すればよい情報、入力してはいけない情報を分ける必要がある。

AI事業者ガイドラインでも、AIの開発・提供・利用に関わる主体ごとの対応が整理されている。個人情報の扱いは、その中でも最初に実装すべき境界線だ。

この記事の限界

• 注意喚起は個人情報保護の観点からのものであり、著作権、営業秘密、契約上の秘密保持義務をすべてカバーするものではない
• 生成AIサービスごとに、入力データの保存、学習利用、管理者設定、法人契約の条件は異なる。実際の運用では契約と設定の確認が必要