個人情報の「目的外利用」に該当しないための生成AI活用の注意点

個人情報保護法では、取得した個人情報を「あらかじめ特定した利用目的の範囲内」で扱うことが原則とされており、これを超えて利用すると「目的外利用」に該当するおそれがあります。生成AIを業務に取り入れる際、この目的外利用の考え方を意識しないまま使ってしまうケースが見受けられます。ここではチェックリスト形式で、注意すべきポイントを確認していきます。

そもそも「目的外利用」とは

利用者や家族から個人情報を取得する際、事業所は通常、契約書や重要事項説明書などで利用目的を明示しています。「サービス提供に必要な範囲で利用する」といった記載が一般的ですが、生成AIへの入力がこの目的の範囲内といえるかどうかは、入力する情報の内容や生成AIの使い方によって変わってきます。単に記録作成を効率化するための壁打ち相手として使うのか、それとも第三者的なサービス（外部のAI事業者）に実質的にデータを渡す形になっているのかによって、評価が異なる可能性があります。

チェックリスト：この使い方は目的外利用にあたらないか

• □ 利用目的の説明文（重要事項説明書・同意書等）に、AIツールの活用について触れているか
• □ 生成AIに入力する情報は、本来の支援・記録作成という目的の範囲にとどまっているか
• □ 職員が個人的な興味や研究目的で利用者情報を入力していないか
• □ 複数の利用者情報をまとめて分析・比較するような使い方をしていないか（統計的な事業運営分析等は別途整理が必要）
• □ 外部への研修資料や広報物の作成に、利用者の実データをそのまま流用していないか
• □ 保護者や本人から「AIには使わないでほしい」といった意思表示があった場合に、それを尊重する運用になっているか

「本人の同意があれば何でもよい」わけではない

目的外利用であっても本人の同意があれば適法に行える場合がありますが、同意の取得方法や説明の分かりやすさも問われます。「生成AIを業務効率化のために活用することがあります」という一文を契約書に加えるだけで十分かどうかは、扱う情報の性質（要配慮個人情報を含むかどうか等）によって変わってくるため、慎重な検討が必要です。

具体的な場面で考えてみる

例えば、支援記録の文章を整える目的で生成AIに下書きを渡す行為は、記録作成というもともとの業務目的の延長線上にあると整理しやすいケースです。一方で、複数の利用者データをまとめて生成AIに読み込ませ、「傾向分析をしてほしい」という形で使う場合は、当初想定していた個人単位の支援目的を超えている可能性があり、より慎重な検討が求められます。事業所内で「この使い方はどちらに近いか」を都度議論できる雰囲気を作ることが、リスクの早期発見につながります。

目的の範囲を明確にするための実務対応

利用目的の記載を見直す際は、抽象的な文言だけでなく「記録作成の効率化」「支援計画作成の補助」など、具体的な用途を列挙する形にしておくと、後から「これは想定していた範囲か」を判断しやすくなります。あわせて、生成AI活用に関する説明を利用者・家族向けにも分かりやすく提供し、疑問があれば相談できる窓口を設けておくと、信頼関係の維持にもつながります。

目的外利用に該当するかどうかの最終的な判断は、事業所が扱う情報の性質や生成AIの利用実態によって異なります。判断に迷うケースが出てきた場合は、自己判断で進めるのではなく、個人情報保護法に詳しい専門家に相談しながら方針を固めていくことをおすすめします。