ChatGPTに顧客の名前を入れて大丈夫？個人情報保護委員会の注意喚起から読む、業務利用の線引き

この記事が答える問い

「このお客さまへの返信メールを丁寧に書き直して」「この問い合わせ内容を要約して」。生成AIは、日々の事務作業でとても便利です。ただ、そのたびに顧客の名前や連絡先、相談内容をそのまま入力していませんか。

この記事では、個人情報保護委員会が2023年6月2日に公表した「生成AIサービスの利用に関する注意喚起等」をもとに、業務で生成AIを使うときにどこで線を引けばよいかを整理します。

結論

注意喚起のうち、事業者向けのポイントは次の2つです。

• 個人情報を含むプロンプトを入力する場合は、その個人情報の利用目的を達成するために必要な範囲内かを十分に確認すること
• 本人の同意なく個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合は、法律の規定に違反する可能性がある。そのため、サービス提供者がそのデータを機械学習に利用しないこと等を十分に確認すること

つまり、「入れていいか」は、目的に必要かと、入れたデータがどう扱われるサービスかの2点で判断します。

注意喚起には何が書かれているか

個人情報保護委員会の注意喚起は、事業者向け、行政機関等向け、一般の利用者向けに分かれています。一般の利用者向けには、次のような留意点が挙げられています。

• 入力された個人情報が機械学習に利用され、他の情報と統計的に結びついた上で、正確または不正確な内容で出力されるリスクがある
• 応答結果に不正確な内容が含まれることがあり、不正確な個人情報が含まれるリスクがある
• サービスの利用規約やプライバシーポリシー等を十分に確認し、入力する情報の内容を踏まえて適切に判断すること

事業者として業務で使う場合は、ここに挙げられたリスクを前提に、社内のルールを決めておく必要があります。

業務利用で決めておきたい4つのルール

1. 入力してよい情報・いけない情報を決める

まず、生成AIに入力してよい情報の範囲を決めます。たとえば次のように分けておくと、判断に迷いにくくなります。

2. 名前や連絡先は「伏せてから」入れる

メールの言い回しを直してもらうだけなら、相手の名前や連絡先は必要ありません。「〇〇様」「（電話番号）」のように置き換えてから入力し、出力された文章に戻すときに元の情報を入れれば、目的は十分に達成できます。

注意喚起にある「利用目的を達成するために必要な範囲内か」という観点で見ると、多くの事務作業では、個人を特定する情報がなくても目的は達成できるはずです。

3. サービスの設定と規約を確認する

同じ生成AIでも、サービスの種類や契約、設定によって、入力したデータが学習に使われるかどうかの扱いが異なります。注意喚起でも、利用規約やプライバシーポリシー等を十分に確認するよう求められています。

導入するときは、少なくとも次の点を確認しておきます。

• 入力したデータが、サービス側の学習に使われるか
• 学習に使わない設定や契約があるか
• 入力したデータがどれくらいの期間保存されるか

4. 出力は人が確認してから使う

注意喚起でも指摘されているとおり、生成AIの応答には不正確な内容が含まれることがあります。顧客に送る文章や、記録に残す情報は、必ず人が確認してから使う運用にしておきます。

小さな事業者こそ、ルールを1枚にまとめておく

従業員が少ないと、ルールを文書にしないまま使い始めてしまいがちです。しかし、生成AIの使い方は人によって大きく異なります。A4用紙1枚でよいので、「入れていい情報」「伏せる情報」「入れない情報」「使ってよいサービスと設定」を書き出しておくと、外注先や手伝ってくれる人にも同じ基準で使ってもらえます。

チェックリスト

1. 生成AIに入力してよい情報・いけない情報を決めたか
2. 名前・連絡先を伏せてから入力する運用になっているか
3. 使っているサービスで、入力データが学習に使われるかを確認したか
4. 利用規約・プライバシーポリシーを確認したか
5. 顧客に出す文章は、人が確認してから使っているか
6. ルールを文書にして、関わる人に共有しているか

まとめ

生成AIを業務で使うこと自体が問題なのではなく、何を、どのサービスに入れるかが問題です。個人情報保護委員会の注意喚起は、そのための判断基準として読むことができます。「目的に必要な範囲か」「入れたデータがどう扱われるか」の2点を押さえて、安心して使える範囲を決めておきましょう。

自社の取扱いが法律上どう評価されるかといった個別の判断については、個人情報保護委員会の資料を確認するか、専門家に相談してください。