ChatGPTの台頭で生成AIの利活用に注目が集まっています。他方、生成AIの利用が現行の法規制に抵触する可能性も指摘されており、特に個人情報保護法に関しては、個人情報保護委員会が注意喚起等を2023年6月に公表しました^[1]。そこで、本稿では生成AIと個人情報保護法上の問題をご紹介します。

個人情報を含むデータを収集し、AIに学習させるデータセットを作成し、これを学習させることは、個人情報の取得・取扱いに該当します。そのため、生成AIサービス事業者は、利用目的を出来る限り特定し（個人情報保護法17条1項）、個人情報を取得する前に公表するか、個人情報取得後速やかに本人に通知又は公表する必要があります（同21条1項）。また、個人情報の中でも要配慮個人情報、すなわち思想・信仰・病歴・犯罪歴など不当な差別・偏見等が生じないよう取扱いに特に配慮を要する情報を取得・取り扱う場合、利用目的の通知等では足りず、あらかじめ本人の同意を得る必要があります（同20条2項）^[2]。

インターネット等で公開された情報から個人情報を収集して学習用データセットを作成する場合でも、個人情報の取得・取扱いに該当するため、上記の規制をクリアする必要があります。ただ、スクレイビングによりウェブサイトから自動的に情報収集をして大量学習させる場合、要配慮個人情報が含まれる可能性がありますが、あらかじめ本人の同意を得ることは現実的には難しく、立法措置による解決が期待されているところです^{[3] [4]}。

生成AIの利用者が個人データ[5]をプロンプトに入力する場合、個人情報の第三者提供に関する規制や越境規制にも注意する必要があります。

この点、プロンプトに入力された情報を機械学習に利用させない設定をしても、回答のためにプロンプトに入力された情報を取り込ませることが個人情報の第三者提供等に該当すると評価される可能性もあるため、問題解決にはなりません。この点、個人情報保護委員会による公式見解等が待たれています^[6]。

また、生成AIの利用を業務委託として構成できるのであれば、第三者提供に該当しませんが、例えばChatGPTの一般ユーザーとしての利用について業務委託と構成するのは難しいのではないかと考えます。

さらに、ChatGPTはアメリカに本拠を置く外国企業が管理・運用するものですので、仮に業務委託として構成できても、いわゆる外国第三者提供に該当します。そのため、あらかじめ本人の同意を取得するなどの対応が必要です（個人情報保護法28条1項）。

なお、プロンプトに入力する際に個人の氏名にマスキングをすれば、受け手側で個人を直ちに識別できないため、個人データの第三者提供に該当しないと思われるかもしれませんが、入力する側において個人データに該当するものは個人データとして取り扱われるので（提供元基準説）、単純な氏名のマスキングだけではなお個人データであることが多く、対応として不十分です。個人情報に含まれる特定の個人を識別することができる記述等の一部を削除し、元の個人情報に復元できないようにするなど所定のルールを遵守すれば、個人データでなくなり、匿名加工情報（個人情報保護法2条6項）としてプロンプト入力に使用することができます。