入力してよい情報を見極めよう

入力した情報は、事業者のサーバーへ送られる

入力データ（生成AIサービスに送る文章やファイル）は、自分の端末を離れて、サービスを提供する事業者のサーバーに送られます。 ここが出発点です。

生成AIサービスは、送られた入力データをもとに応答を作ります。処理は事業者側の環境で行われるため、入力データは一度、事業者の管理下に置かれます。設定によっては、その内容が生成AIの機械学習にも使われます。

個人情報保護委員会は2023年、生成AIサービスの利用について注意喚起を出しました。一般の利用者への留意点として、次の3点を挙げています。

入力した時点で、情報はすでに自分の手元を離れています。 送信ボタンを押す前に「この内容を外部に送ってよいか」を確認する習慣をつけましょう。

個人情報は、氏名だけでなく組み合わせも含む

個人情報保護法上の個人情報とは、生存する個人を特定できる情報です。 氏名や生年月日そのものだけでなく、他の情報と組み合わせることで特定の個人が分かる情報も含まれます。

例えば、「40代・関西支社・入社12年目の営業担当者」という記述は、単独では個人情報に見えないかもしれません。しかし、その会社の社員数や部署構成によっては、この記述だけで誰を指すか特定できる場合があります。組み合わせで個人が分かるかどうかが判断の基準です。

さらに注意が要るのが要配慮個人情報です。病歴、犯罪歴、信条など、取り扱いに特に配慮が要る個人情報を指します。要配慮個人情報は、本人の同意なく取得すること自体が原則として禁止されています。相談内容の要約や、採用選考のメモに、本人の病歴や思想信条が含まれていないか、入力前に見直しましょう。

秘密情報と営業秘密は、漏れた後の扱いが違う

社内で機密扱いにしている情報を、本モジュールでは秘密情報と呼びます。取引先との契約条件、未公開の新商品名、社内限定の経営数値などが該当します。

このうち、不正競争防止法が定める3つの要件、秘密管理性・有用性・非公知性を満たすものは、法律上の営業秘密として保護されます。秘密として管理されていること、事業に役立つ情報であること、公に知られていないことの3つです。

営業秘密が漏れた場合、秘密情報のなかでも対応の重さが変わります。 不正競争防止法にもとづく差止めや損害賠償の対象になりうるためです。一方、要件を満たさない秘密情報は、この法律による保護を受けられません。

入力可否は3分類で判定する

ここまでの内容を、入力の可否を判定する3分類にまとめます。

匿名化とは、氏名や固有の数値を仮の値に置き換える一手間です。 「A社の田中様」を「取引先A社のご担当者様」に、「売上3,200万円」を「売上規模はおおよそ数千万円」に置き換えるだけでも、特定できる度合いは大きく下がります。

判定に迷ったら、機微情報として扱ってください。 「たぶん大丈夫」で入力し、後から取り消すことはできません。