生成AI活用における「委託先」と「第三者提供」の判断基準の実務

生成AIサービスを業務利用する際、そのAI事業者が個人情報保護法上「委託先」にあたるのか、それとも「第三者提供」における提供先にあたるのかは、実務上しばしば判断に迷うポイントです。この違いは、本人同意の要否や契約上必要な手当てに直結するため、正しく理解しておくことが重要です。

委託と第三者提供、何が違うのか

一般的な整理として、事業者が自らの利用目的の範囲内で、他の事業者に個人データの取り扱いを「委託」する場合は、委託先への提供は第三者提供にはあたらないと解されています(委託に伴う提供)。一方で、自らの目的を超えて、独立した第三者に個人データを渡し、その第三者が独自の目的で利用する場合は「第三者提供」に該当し、原則として本人同意が必要になります。

生成AIサービスはどちらに当たるか

生成AIサービスの利用形態は多様であるため、一律に「委託」か「第三者提供」かを断定することは困難です。判断の目安となる観点を整理すると、次のようになります。

• AI事業者が、入力されたデータを自社のサービス改善やモデル学習のために独自利用する規約になっているか
• 事業所がAI事業者の処理内容(何にどう使われるか)をコントロールできる契約になっているか
• AI事業者が入力データを事業所の指示の範囲内でのみ処理し、他の目的に転用しない契約になっているか

判断基準の比較表

委託にあたる場合に事業所が果たすべき義務

委託にあたると整理できる場合でも、事業所には「委託先の監督義務」が課されます。具体的には、委託先の選定時にデータ取り扱いの適切性を確認すること、契約書等で安全管理措置を担保すること、そして委託先での取り扱い状況を定期的に把握することが求められます。生成AIサービスについても、契約内容やセキュリティ体制を事前に確認し、記録を残しておくことが望ましい対応です。

ケースで考える実務判断

例えば、支援記録の要約作成に法人契約の生成AIサービスを利用し、そのサービスが「入力データを学習に使わず、指定された処理のみを行う」契約になっている場合は、委託関係として整理しやすいケースです。一方で、職員が個人のアカウントで無料の汎用チャットAIに利用者情報を入力し、その事業者の一般的な利用規約(学習利用を含む)に同意している場合は、委託の範囲を超えた第三者提供、あるいは想定外のリスクを伴う利用とみなされる可能性が高くなります。

事業所が今すぐ確認すべきこと

• 現在利用している生成AIツールの契約形態(法人契約か個人契約か)
• 利用規約における入力データの学習利用の有無
• 委託先としての監督義務を果たすための社内記録の有無
• 職員が個人アカウントで無許可のAIツールを利用していないかの確認

Hope Care AIは障がい福祉事業所向けに設計されたシステムであり、データの取り扱いに関する契約上の整理がしやすい設計を志向しています。生成AI活用における委託関係の整理を検討する際の参考としてご活用いただけます。