AI開発を進めるための個人情報保護法の改正案が10日、参院本会議で賛成多数で可決され、成立した。政府は、国内のAI開発やデータ活用を後押しするため、統計情報やAIモデルの作成などに用いる場合、一定の条件を満たせば、本人の同意を得ずに個人データを第三者に提供できる特例を設ける内容である。
政府は、国際的なAI開発競争に対応し、国内でのデータ利活用を進めるための制度整備だと説明。確かに、医療、行政、産業、研究の各分野で、データ活用が社会的利益をもたらす可能性は大きいが、AI開発を過度に萎縮させる制度設計も望ましくない。
しかし、今回の改正には、見過ごせない問題がある。病歴、信条、犯罪歴など、本人の人格や社会的評価に深く関わる要配慮個人情報まで、本人同意なしの利用・提供の対象となり得る点である。
同意原則を外すには、代替する保障が必要である
個人情報保護制度において、本人同意は単なる手続きではない。自らに関する情報が、誰に、どの目的で、どの範囲まで利用されるのかを本人が知り、判断するための基本的な仕組みである。
今回の改正は、その同意原則に例外を設ける。例外を設けること自体が直ちに不当というわけではない。公益性の高い研究や統計利用では、個別同意の取得が困難な場合もある。だが、同意を不要とするのであれば、それに代わる厳格な保障が不可欠である。
しかしながら、現時点ではその保障が十分に具体化されているとは言い難い。提供前の匿名化やデータ最小化、AI学習データの監査、外部提供先の管理、本人による異議申立て、被害が生じた場合の救済制度など、制度の実効性を左右する部分がなお曖昧に残されている。
「統計化されるから安全」とは言えない
政府側の説明では、統計情報やAIモデルの作成に利用目的を限定することで、個人の権利利益を害するおそれは小さいとされる。
しかし、最終的な成果物が統計情報やAIモデルであっても、その作成過程では、実在する個人のデータが収集され、提供され、解析される。病歴や信条、犯罪歴のような情報は、利用過程そのものに高いリスクがある。
AIモデルには、学習データに含まれる情報を記憶したり、複数の情報を組み合わせて個人の属性を推測したりするリスクがある。したがって、「最終的には個人を識別しない形になる」という説明だけで、安全性を担保することはできない。
本件で問われるべきは、目的の正当性ではなく、過程の統制である。AI開発という目的が有益であっても、その入力となるデータの取得・移転・保管・学習・再利用の各段階で、権利侵害の可能性は個別に検証されなければならない。
公開情報は包括的な利用同意ではない
特に慎重であるべきなのは、「公開されている情報」の扱いである。ある情報が過去に公開されていたとしても、それを別目的で収集し、AI開発や統計解析に用い、第三者に提供することまで本人が了承したとは限らない。
公開情報であることと、自由に再利用できることは同じではない。まして、病歴、信条、犯罪歴のような情報については、公開の経緯や文脈を切り離した再利用が、本人に深刻な不利益をもたらすおそれがある。
データ利活用の名の下に、情報の文脈が失われることは避けなければならない。本人が想定していない範囲で情報が流通し、解析され、将来の判断材料として用いられるなら、それは個人の自己決定権を実質的に損なう。
規則・ガイドライン任せにしてはならない
今回の改正では、具体的な運用の相当部分が、今後策定される規則やガイドラインに委ねられる。どのようなAI開発が対象となるのか。どの段階で匿名化や仮名化を求めるのか。海外企業や委託先に提供されたデータをどのように監督するのか。本人が後から利用停止や異議申立てを行えるのか。
これらは制度の周辺的な論点ではない。むしろ、本人同意を外す特例が濫用されるかどうかを分ける中心的な論点である。
国会審議を経た法律本文で基本的な歯止めを明確にせず、後続の規則やガイドラインに広く委ねるなら、制度の透明性と民主的統制は弱まる。特例は例外として限定的に運用されるべきであり、事業者の利便性によって拡張されてはならない。
AI研究者の視点から見える制度設計上の危うさ
AIを専門的に見る研究者の観点から見れば、今回の改正には「目的の正当性が、前提の検証を上書きする」危うさがある。
AI開発は重要である。統計利用にも公益性はある。しかし、その目的が正しいからといって、病歴や信条、犯罪歴を含むデータの同意不要利用が当然に正当化されるわけではない。
必要なのは、「AIのためだから許される」という発想ではない。「AIのために使うからこそ、通常以上に厳格な統制が必要である」という発想である。高リスク情報を扱う制度では、技術的可能性よりも、まず本人の権利保護を起点に置かなければならない。
施行前に求められる条件
少なくとも、要配慮個人情報については、原則として特例の対象から除外するか、極めて限定された条件の下でのみ利用を認めるべきである。
提供前の匿名化・仮名化・データ最小化を義務化すること。AI学習データの取得経路と利用履歴を監査可能にすること。外部提供先、委託先、海外事業者に対する実効的な監督を確保すること。本人への通知、異議申立て、利用停止請求の仕組みを整えること。被害が生じた場合の救済制度を明確にすること。
これらの条件が整わないまま施行されれば、同意不要の特例は、AI開発のための限定的制度ではなく、広範な個人データ流通の抜け道となりかねない。
技術革新と人権保護を対立させてはならない
AI開発を進めることと、個人情報の保護を徹底することは、本来対立するものではない。むしろ、個人の権利を軽視したAI政策は、社会的信頼を失い、結果として技術開発の基盤を損なう。
病歴や信条、犯罪歴は、単なるデータではない。それは個人の尊厳、差別リスク、社会的評価、内面の自由に直結する情報である。本人の知らないところで、それらが「統計」や「AI開発」の名の下に流通する社会を当然視してはならない。
今回の改正は、施行までの間に厳しく検証されるべきである。国会、個人情報保護委員会、市民社会、技術専門家は、規則やガイドラインの策定過程を公開し、具体的な歯止めを明示しなければならない。
AIの未来を支えるためにも、本人同意原則を安易に後退させてはならない。技術革新は、個人の権利を犠牲にして進めるものではない。権利保護を制度の中心に据えてこそ、AIは社会から信頼される基盤を得る。
小西寛子
