2023年6月2日、個人情報保護委員会は生成AIサービス（特にOpenAI社が提供するChatGPT）に関して、個人情報の取扱いについて注意喚起を行うとともに、OpenAI社に対して行政指導を実施しました。障がい福祉・介護事業所でも生成AIの活用が広がる中、この注意喚起の内容を正確に理解しておくことは、利用者の個人情報を守りながら業務効率化を進めるうえで欠かせません。本記事ではQ&A形式で、当時何が問題視され、事業所として何に気をつけるべきかを整理します。
Q1. そもそも何が起きたのか？
個人情報保護委員会は、ChatGPTの利用に関して「本人の同意なく要配慮個人情報を取得しない」「利用目的を通知・公表する」といった個人情報保護法上の基本的な義務が守られる必要があるとして、一般利用者向けの注意喚起を公表しました。同時に、OpenAI社に対しては、学習データの取得プロセスや利用者情報の取扱いについて、法の趣旨に沿った運用を行うよう指導が行われています。
Q2. なぜ「要配慮個人情報」が焦点になったのか？
個人情報保護法でいう要配慮個人情報とは、人種、信条、病歴、犯罪歴などが含まれる情報で、取得には原則として本人の同意が必要とされています。生成AIは学習の過程でインターネット上の様々な情報を取り込む可能性があり、その中に要配慮個人情報が含まれ得ることが懸念されました。障がい福祉・介護の現場では、利用者の障がい種別や病歴、既往歴などがまさにこの要配慮個人情報に該当するため、他人事ではないテーマです。
「ChatGPTに聞いてみよう」と軽い気持ちで利用者の障がい状況や病歴を入力してしまうケースが現場では起こりがちです。入力した情報が学習データとして扱われる設定になっていないか、事前にサービスの設定を確認することが望ましいです。
Q3. 事業所は具体的に何を確認すればよいか？
| 確認項目 | 内容 |
|---|---|
| 利用目的の明示 | 生成AIをどの業務で使うか、利用者向け重要事項説明書等に記載しているか |
| 学習利用のオプトアウト | 入力データが学習に使われない設定（法人向けプラン等）になっているか |
| 要配慮個人情報の取扱い | 病歴・障がい区分等を安易に入力していないか |
| 委託先管理 | 生成AIベンダーとの契約内容、データ保管地域等 |
Q4. 「クラウド例外」との関係は？
個人情報保護法には、クラウドサービス事業者が保存されたデータを「取り扱わない」と評価できる場合には第三者提供に該当しないとする、いわゆる「クラウド例外」の考え方があります。ただし生成AIサービスの多くは、入力内容を学習やモデル改善に利用する可能性があるため、単純に個人情報保護委員会 一般的なクラウド例外の適用があるとは言い切れず、サービスごとの規約・設定を個別に確認する必要があります。この点は専門家に確認することが望ましいポイントです。
Q5. 事業所としてどう対応を始めればよいか
- まずは現在使っている、または導入を検討している生成AIサービスの利用規約・プライバシーポリシーを確認する
- 学習利用をオプトアウトできる法人向けプランへの切り替えを検討する
- 職員向けに「入力してよい情報」「入力してはいけない情報」の簡易ガイドラインを作る
- 介護記録や相談支援記録など、要配慮個人情報を含む業務は、専用に設計されたシステムの利用を優先する
汎用的なチャットAIをそのまま業務利用するのではなく、介護記録の作成支援など用途を限定し、個人情報の取扱いについてあらかじめ設計されたAIツールを選ぶことで、こうしたリスクを大きく下げることができます。
Hope Care AIのような障がい福祉・介護事業所向けに設計されたクラウドサービスでは、要配慮個人情報の取扱いを前提としたセキュリティ設計や、利用目的が明確な機能単位での提供が行われています。導入を検討する際は、セキュリティのページや機能一覧で、どのような情報がどう扱われるかを確認しておくと安心です。
まとめにかえて：注意喚起は「使うな」ではなく「気をつけて使え」という趣旨
今回の注意喚起は生成AIの利用そのものを禁止するものではなく、個人情報保護法の基本原則に沿った利用を求めるものです。事業所としては、汎用AIと業務特化AIを使い分け、要配慮個人情報の入力ルールを明文化することが第一歩になります。判断に迷う場合は、顧問弁護士や社会保険労務士など専門家への相談も検討してください。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。