Intelligence:人工知能)の利用に伴う法律問題の話題が増えている。これらの問題は非常にその範囲が広く、たとえば知的財産権の問題等も、AIがもたらす法律問題のひとつとして盛んに論じられているところである*1現在、第3次AIブームが到来しているといわれており、この第3次AIブームの起爆剤となったのは、ディープラーニング(深層学習)という技術である。ディープラーニングの技術に基づくAIの場合、ビッグデータの活用を伴うことも多く、取り扱うビッグデータの中には当然ながら、個人情報が含まれてくるだろう。そのため、AIの利活用にあたって、個人情報保護は特に重要な課題ということができ、個人情報にフォーカスする本連載でも、このテーマを取り上げないわけにはいかない。以下では、AIの利活用に伴う個人情報保護の問題のうち、(匿名加工されていない)生の個人情報が利用される場合について検討する*2。生データの収集に関する問題データを保有し利用すること(AIによる処理を含む)に関する問題(処理結果等の)提供・拡散に関する問題という3種類の問題がある。以下、順番にみていこう。生データの個人情報該当性まず、AIに学習をさせ、またはAIで情報を処理するためには何らかの生データが必要である。その生データには、個人情報(法2条1項参照)が含まれる場合がある。特定の生データが個人情報であるかどうかについては本記事では深入りしないが、たとえば一見個人情報に見えなくとも、他の情報と容易に照合することができ、それにより個人を識別することができる場合には個人情報に該当する可能性があるので留意が必要である(同項1号括弧書)。個人情報の収集に関する規定が適用される。関する原則本人同意(同条2項)等の規律に留意が必要である。適正取得義務ビッグデータ利用の際に個人情報を取得する場合には個人情報の適正取得義務(法17条1項)が問題となる。サイト管理者がクローリング拒否設定にしていたのにクローリングで個人情報を取得する場合、あるいは本人同意なしにライフログを取得する場合などは適正取得義務違反になるであろう*4。本人以外の第三者から個人データを含む生データを取得する場合、当該第三者は「第三者提供」(法23条)の要件を満たした適正な提供をしなければならない。その場合には確認・記録義務(法25条・26条)が生じ、確認の際に、第三者提供の要件を満たしていないとか不適正な取得をしているといったことが容易に分かるにもかかわらず漫然と取得した場合、適正な取得(法17条1項)義務に違反する可能性があることに留意するべきである*5。本連載第2回で詳細に解説したとおり、要配慮個人情報を取得する場合、原則として本人の事前同意をとる必要がある(法17条2項)。AIの処理によって、もともと要配慮個人情報ではなかった個人情報から要配慮個人情報をプロファイリングにより推知し「取り出す」という行為が、要配慮個人情報の「取得」に該当し個人情報保護法17条2項に基づく事前の同意を要するのではないかとの議論がある*6。実務上は、個人情報保護法の「取得」要件にはあてはまらないと一応解釈してよいだろう。法律による行政の原則に照らしても、「取得」の局面の規制を「利用」の局面の規制にまで拡張することには慎重であるべきであり、プロファイリングの問題は新規立法により解決すべき問題である。いえ、仮に複数の情報を総合した結果としてセンシティブな内容が抽出される場合には、プライバシーについて特段の配慮が必要である。ビッグデータを利用すると、女性の妊娠等のセンシティブな事項を的確に予測することができる*7。仮にAIによる判断が結果として的確であったとしても、やはりプライバシーに対する配慮が必要であろう*8。生データの保有および利用においては、特にAIによる処理に伴う利用目的の変更が重要である。個人情報の利用目的を特定し(法15条1項)、その達成に必要な範囲でのみ個人情報を取り扱うことができる(法16条1項)わけであるが、たとえば、サービス提供のために収集した情報を機械学習のために利用するサービス提供のために収集した情報をAIで処理した上で、宣伝・広告等の別の目的のために利用するといった場合には、利用目的の変更となる可能性がある。利用目的の変更の範囲内か(法15条2項)、慎重に検討し、その範囲におさまらない場合には、プライバシーポリシーを改訂した上で、新たな利用目的を前提に新たに収集した情報のみを、当該AIによる処理のために利用することになるだろう*9。機械学習において使用した個人情報が検索性・体系性を有する個人情報データベース等を構成する個人データである場合には、AIの処理結果である情報の提供・拡散が、個人データの第三者提供(法23条)の規制の対象となりうる。AIの処理結果には、それが統計情報のように完全に個人情報性を失っているものもある。そのようにいえる場合にはこれを提供し、拡散しても、特に個人情報保護法の問題は生じない。AIの処理結果において個人データ該当性が否定できない場合には、第三者提供(法23条)の要件を満たした上で提供するか、または匿名加工等の処理を行う必要がある。この際には、AIの処理結果がどのような場合に第三者提供規制のかかる個人データといえるかが問題になる*10。利用目的対応ここで、生データを用いる場合に大きな問題となる利用目的について簡単に検討しておこう。おいて、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定」することが望ましいとされている(通則編3−1−1)。「取得した個人情報を分析・解析した上、当社の○○事業における既存サービスの改善及び新サービスの研究開発等のために利用します」といった表現が考えられる*11。問題は、これまでAIと無関係に取得してきた個人情報の利用の場合である。文言が入っていれば、AIによる処理における利用がされることも「一般的かつ合理的に想定できる」と比較的いいやすいと思われるが、この文言さえあれば何でもよいというわけではないこと、および、逆にこの文言がなくとも従前の利用目的の達成に必要な範囲内といえる可能性があることに留意が必要である。この点の検討の結果、AIによる処理のための利用が従前の利用目的の達成に必要な範囲に含まれないと判断された場合には、目的外利用のための方策を検討すべきことになる。件数が少ない場合や、一定程度件数があっても本人との関係上同意が得られやすい場合には、あらかじめ本人の同意を得る(法16条1項)ことが考えられよう。同意を得ることが現実的でなければ、利用目的の変更(法15条2項)の手続きをとる必要がある。通常予期し得る限度と客観的に認められる範囲内」で認められる(通則編3−1−1)。「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断される(通則編3−1−1*1)。なく経済産業省の委託研究によるものであるが、「当社の行う商品・サービスの提供」とした利用目的において「関連の商品・サービスの研究開発」を追加することが法15条2項で許されるとしたものがある*12。通常予期し得る限度と客観的に認められる範囲内」かを検討することになるだろう。統計データへ加工した上で、当該統計データを利用する場合には、個人情報に該当しない統計データは対象とならないし、統計データへの加工を行うこと自体を利用目的とする必要もないと解されている(Q&A2−5)ので、この方法を使えないかどうかも検討の余地がある。AIによるパーソナルデータの利用まで想定したものではないので、すでにしてアウトオブデートな部分もある。そのため、実務上、今後のパーソナルデータや個人情報保護法制の動向をウォッチしていくことが重要であろう。総務省の「AIネットワーク社会推進会議」が作成した「国際的な議論のためのAI開発ガイドライン案」におけるAI開発原則9原則のうち、第6原則では「プライバシーの原則」が掲げられており、AIの利活用とパーソナルデータ保護のバランスが問題となっている。個人情報の取得や活用にあたっての本人同意等のあり方、データ・情報の加工(匿名化、暗号化等)に関する検討、2AIネットワーク上を流通するデータ・情報を利活用する価値と個人情報保護・プライバシーとのバランスに配慮した制度のあり方の検討、3AIシステムの学習等による利活用の過程を通じた変化に起因する意図しないプライバシー侵害のリスクへの対処のあり方の検討、4プロファイリングが利用者にもたらす便益およびプライバシー侵害等のリスクを踏まえたプロファイリングに関するルールのあり方の検討が、今後の課題として挙げられている*13。AIをめぐる法的問題の議論はまだ緒についたばかりである。今後の立法動向も注視していく必要があろう。)*1:http://www.kantei.go.jp/jp/singi/titeki2/tyousakai/kensho_hyoka_kikaku/2017/johozai/houkokusho.pdf*2:匿名加工情報を用いたAIビジネスにも期待が寄せられているが、さしあたり本記事では匿名加工情報の問題は検討対象外とする。ロボットと法的責任」自由と正義2017年9月号等参照。*4:新保史生「AIの利用と個人情報保護制度における課題」福田雅樹ほか編『AIがつなげる社会』(弘文堂、2017年)227頁。*5:通則編3−2−1、特に事例および5参照。*6:プロファイリングが法17条2項の「取得」に該当するかについては、基本的には否定説が妥当と考えられるものの、これに対する懐疑論として山本龍彦『プライバシーの権利を考える』(信山社、2017年)266頁等参照。視聴履歴を取り扱うに当たっては、要配慮個人情報を推知し、又は第三者に推知させることのないよう注意しなければならない」と定めていることを参照。*7:ビクター・マイヤー=ショーンベルガーほか『ビッグデータの正体』(講談社、2013年)92〜93頁。プライバシー理論へのインパクト」福田雅樹ほか編『AIがつなげる社会』(弘文堂、2017年)194頁以下。*9:前掲注4)227頁は、AI利用に伴いどのように有意な利用目的制限の緩和ができるか定かではないとする。様々な規制がかかるとしていることも参照。(日本加除出版・2017年)305頁。(http://www.meti.go.jp/meti_lib/report/2016fy/000680.pdf)10頁。http://www.soumu.go.jp/main_content/000499624.pdf)55~56頁。