｢ChatGPT｣利用で個人情報保護法に触れる危うさ 生成AIを利用する時に何を気をつけたらいいか

DPAに、個人データの扱いに関する生成AIサービス提供者側のさまざまな約束が記載されており、それが日本の個人情報保護法のレベルの保護となっていると評価できるのであれば、DPAを結べば、越境移転規制もクリアできることにはなります。

個人情報の生成AIの回答としての出力

生成AIの出力結果に個人情報が含まれる可能性があることについても問題があります。

・個人情報保護法の規制を受けるか？

例えば、生成AIがある人物に対する前科を回答として出力してしまい、利用者である事業者がこの出力結果を受けとってしまう可能性があります。この前科は、そもそもまったくの誤りである可能性や本当の前科であるがすでに風化して世間には忘れられたものとなっている可能性があり得ます。

このように、要配慮個人情報を「生成」することについても、要配慮個人情報の取得規制を受けて本人同意が必要かについて議論がありますが、通説は、要配慮個人情報取得規制は適用されないとの見解に立っています。

また、生成AIサービス提供者が個人情報を含む生成結果を利用者に提供することについて、個人データの第三者提供規制を受けて本人同意が必要かも論点です。この点は、大規模言語モデルの仕組みは、データベースを構成している個人データを右から左に出しているわけではなく、確率論的に次に続く可能性の文章を出力しているものであるため、個人データの第三者提供規制は及ばないと考えられる可能性が高いと思われます。

さらに、個人情報保護法上、不正確な個人データが出力されていることを理由に本人が出力の停止を請求できるのかも問題になります。しかし、個人情報保護法上権利行使が認められているのは、データベースを構成している保有個人データに限られます。したがって、データベースを構成している個人データが出力されている訳ではないとすれば、個人情報保護法上は、権利行使の対象外となります。

・出力結果に含まれる個人情報への対応方法

もっとも、仮に、以上のような個人情報保護法の規制を受けないとしても、生成AIによる出力について何も気にしなくていいということにはなりません。たとえば誤った前科が出力されてしまう場合、これを信じてしまう人も出てくる可能性があり、問題があります。このように、不正確な情報が出力結果に入ってしまう場合、不法行為としての名誉毀損の問題になります。

また、逆に、現時点で世の中に知られていない事実が出力結果に入ってしまう場合、不法行為としてのプライバシー権侵害の問題になります。さらに、これは、個人情報保護法上禁止されている不適正利用の問題にもなり得ます。仮に法的には違法ではないとしても、倫理的な問題もあります。

そこで、生成AIサービス提供者は、①強化学習によりこういった問題のある情報が出力されないようにすることや、②不正確な情報が出力された場合に影響が大きいもの（前科等）については、そもそも質問ができないようにするといった技術上の工夫をすることが考えられます。