不動産仲介会社のP社の営業部門は、顧客との面談記録を外部の生成AIサービスに入力し、提案書の下書きを作らせたいと考えている。面談記録には顧客の氏名、年収、家族構成などが含まれ、P社はこれを個人データとして管理している。個人情報保護法と、個人情報保護委員会が2023年6月に公表した「生成AIサービスの利用に関する注意喚起等」に照らして、P社の対応として最も不適切なものを1つ選べ。
正解と解説を見る
解説
正解 C
この問題の論点：生成AIへの個人データ入力
ポイント
同意なく生成AIサービスに個人データを入力するなら、提供事業者が入力データを機械学習に利用しないことなどを十分に確認します。
選択肢ごとの解説
- A
適切
注意喚起は、個人情報を含むプロンプトを入力する場合、特定した利用目的の達成に必要な範囲内であることを十分に確認するよう求めています。利用目的の外で扱うには、原則として本人の同意が必要です（法18条1項）。
- B
適切
同意なく入力した個人データが応答の出力以外の目的で扱われると、法違反となる可能性があります。そのため注意喚起は、提供事業者がそのデータを機械学習に利用しないことなどを十分に確認するよう求めています。
- C
不適切 正解
問題になるのは下書きの扱いではなく、入力した個人データが提供事業者の側で学習などに使われることです。学習に利用される設定のまま同意なく入力すれば、法違反となる可能性があります。
- D
適切
個人データの安全管理措置（法23条）には、取扱規程の整備や、従業者への教育などの人的安全管理措置が含まれます。従業者を監督する義務（法24条）にも沿った対応です。
試験での狙われ方
生成AIの業務利用では、利用目的の範囲の確認と、入力データが学習に使われるかどうかの確認が、事例を判断する軸になります。
参考
- G検定 試験出題範囲（シラバス2024）第1.4版 （法律・倫理分野 項目1 個人情報保護法）
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日） （別添1（1）個人情報取扱事業者における注意点）
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」報道発表資料（PDF） （別添1（1）①②）
- 個人情報の保護に関する法律（e-Gov法令検索） （18条1項、23条、24条）
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 （10-2 個人データの取扱いに係る規律の整備、10-4 人的安全管理措置）