「生成AIを使っていて情報漏えいが起きたら、監督官庁への報告が必要になるのだろうか」——この疑問に対する答えは、単純な二択ではなく、事案の性質によって変わります。ここでは、報告義務が生じ得る典型的なケースを整理しながら、事業所として備えておくべき考え方を解説します。
報告義務の基本的な枠組み
個人情報保護法では、一定規模以上の漏えい等が発生した場合、個人情報保護委員会への報告と、本人への通知が義務付けられる制度が設けられています。障がい福祉・介護事業所の場合、これに加えて、指定権者である自治体への報告や、運営基準に基づく事故報告が別途必要になる場合があります。
| 報告先 | 想定される根拠 | 報告が必要となり得る場面の例 |
|---|---|---|
| 個人情報保護委員会 | 個人情報保護法 | 要配慮個人情報の漏えい、財産的被害のおそれがある漏えいなど |
| 指定権者（都道府県・市町村） | 各サービスの運営基準・指導指針 | 利用者に影響が及ぶ事故としての報告義務 |
| 本人（利用者・家族） | 個人情報保護法、信頼関係維持の観点 | 漏えいの事実が確認された場合の通知 |
生成AI利用に特有の「報告義務が生じ得るケース」
- 職員が誤って利用者の氏名・状態を含む文章を、外部に公開設定された生成AIサービスに入力してしまった
- 生成AIサービス側のシステム障がいにより、他の利用企業の入力データと混在して出力される事象が発生した
- 生成AIの出力結果を誤って別の利用者宛のメールや連絡帳に貼り付けて送信してしまった
- 職員のアカウント情報が漏えいし、第三者が生成AIの利用履歴（入力・出力データ）にアクセスできる状態になっていた
⚠️ 注意したいこと
「実際に外部の第三者が閲覧した形跡が確認できないから大丈夫」という自己判断は危険です。漏えいの「おそれ」がある段階で報告義務の検討対象になり得るというのが個人情報保護法の考え方であり、事業所内で軽視せず速やかに検討することが重要です。
「実際に外部の第三者が閲覧した形跡が確認できないから大丈夫」という自己判断は危険です。漏えいの「おそれ」がある段階で報告義務の検討対象になり得るというのが個人情報保護法の考え方であり、事業所内で軽視せず速やかに検討することが重要です。
判断に迷ったときのチェックリスト
- 漏えいした（可能性がある）情報に、要配慮個人情報が含まれているか
- 影響を受ける利用者の人数はどの程度か
- 不正アクセスなど悪意ある行為が背景にあるか、それとも過失によるものか
- 生成AIベンダー側のシステムに起因する事象か、事業所側の運用ミスか
- 指定権者から求められている事故報告の様式・期限を確認したか
💡 実務のポイント
報告の要否や様式は法令・自治体によって細かく異なるため、事案発生時に一から調べるのではなく、平時のうちに「もし起きたら誰に、何を、いつまでに報告するか」の連絡フローを整理し、管理者・法人本部・顧問の連絡先を一覧化しておくことをおすすめします。
報告の要否や様式は法令・自治体によって細かく異なるため、事案発生時に一から調べるのではなく、平時のうちに「もし起きたら誰に、何を、いつまでに報告するか」の連絡フローを整理し、管理者・法人本部・顧問の連絡先を一覧化しておくことをおすすめします。
ベンダー側の責任と事業所側の責任の切り分け
生成AIベンダー側のシステム障がいに起因する事案であっても、利用者に対する説明責任や指定権者への報告義務は、サービス提供事業者としての事業所自身に生じる場合があります。契約上、ベンダーからの通知義務がどう定められているかを確認し、有事の際に事業所側が必要な報告を遅滞なく行える体制を、契約締結時点から意識しておくことが望ましいでしょう。個別事案の該当性については、弁護士や個人情報保護に詳しい専門家への相談を検討してください。
Hope Care AIでは、有事の際の連絡体制についても導入時にご説明しています。セキュリティや制度対応のページもご参照ください。
関連ページ
セキュリティのページで詳細をご確認いただけます。
セキュリティのページで詳細をご確認いただけます。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。