個人情報保護法とは

個人情報保護法は、個人情報を扱う事業者や行政機関が守るルールを定めた日本の法律です。利用目的の特定と通知、目的の範囲内での利用、安全管理、第三者に渡すときの本人同意などを定めています。

生成AIとの関係では、個人データを外部のAIサービスに入力する行為の扱いが論点です。個人情報保護委員会は2023年6月の注意喚起で、入力が利用目的の範囲内かを十分に確認するよう求めました。入力した個人データが応答の出力以外の目的で扱われる場合は、法律に違反する可能性があるとしています。そのため、提供者が個人データを機械学習に使わないことなどの確認を求めています。

この法律は、いわゆる「3年ごと見直し」で定期的に改正されます。直近の改正法は2026年4月7日に国会へ提出され、7月10日に成立、7月17日に公布されました。施行に向けて、政令・規則・ガイドラインの整備が進められています。

改正の細部や施行の時期は、今後の政令などで決まる部分があります。個人情報保護委員会の公表資料で最新の状況を確かめ、個別の判断は専門家に相談します。

具体例

外部AIサービスを導入する前の確認

顧客対応の記録をAIで要約したい場合、法務担当は次の点を確かめます。顧客に示した利用目的に、この使い方が含まれるか。入力したデータが、提供者側で学習などに使われないか。データの保存場所と保存期間はどうか。確認の結果は、導入の判断記録として残します。

出力に含まれる個人情報

AIに取引先の担当者について尋ねると、誤った経歴や古い所属が出力されることがあります。注意喚起も、応答に不正確な個人情報が含まれるリスクを挙げています。出力をそのまま顧客管理システムに登録したり、社外に送ったりせず、元の情報で確かめます。