生成AIを使って記録の下書きを作りたい、蓄積した支援記録から傾向を読みたい。そう考えたときに最初に確認すべきは、ツールの機能ではなくいま自法人が公表している利用目的です。ここを飛ばして先に進むと、後から「同意を取り直すべきだったのでは」という不安が残り続けます。
この記事は、介護・障がい福祉・児童福祉の事業所を運営する経営者・管理者に向けて、個人データの利用目的の特定と変更をどう整理すればよいかを、3つの判定に落として解説します。結論から言えば、判断すべきは「AIを使うかどうか」ではなく、その処理が既に説明した目的の範囲に収まるかです。
なぜ利用目的が最初の関門になるのか
法律は「目的の範囲」で利用を縛っている
個人情報の保護に関する法律は、個人情報を取り扱うにあたって利用目的をできる限り特定することを求め(法第17条第1項)、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないと定めています(法第18条第1項)。つまり、何ができるかは技術ではなく先に説明した目的が決めています。
福祉事業所は、利用者やその家族から相当量の情報を預かっています。その中には健康や障がいに関する情報も含まれます。だからこそ、新しい処理を始める前に目的の範囲を点検する手順を持っているかどうかが、法人としての信頼に直結します。
「事業活動のため」では特定したことにならない
個人情報保護委員会のガイドライン(通則編)は、利用目的を単に抽象的・一般的に特定するのではなく、最終的にどのような事業に供され、どのような目的で利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましいとしています。具体的に特定していない例として「事業活動に用いるため」「マーケティング活動に用いるため」が挙げられています(出典: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」3-1-1)。
古い雛形をそのまま使っている法人では、この水準を満たしていないことが珍しくありません。自法人の書面を見返して「利用者本人が読んだときに、自分の情報がどう扱われるか想像できるか」を基準に読んでみてください。プライバシーポリシーの整え方は障がい福祉サービス事業者のプライバシーポリシー作成のポイントにまとめています。
AI活用の前に通す3つの判定
判定1:いまの利用目的の達成に必要な範囲か
たとえば「サービス提供に関する記録の作成」を目的として公表している法人が、面談メモから記録の下書きをAIに作らせる場合、これは記録作成という同じ目的の達成手段が変わったにすぎません。手段を変えたこと自体は目的の変更ではありません。
一方で、利用者の記録を横断的に分析して傾向を出す、といった処理は、記録の作成とは別の営みです。ここは慎重に見る必要があります。ガイドラインは、本人から得た情報から本人に関する行動・関心等の情報を分析する場合、どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならないとしています(同3-1-1)。分析まで見込むなら、分析することを書いておくのが本筋です。
判定2:変更が「関連性を有すると合理的に認められる範囲」か
いまの目的では収まらないと判断した場合、次に見るのが法第17条第2項です。利用目的を変更する場合は、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならないと定められています。ガイドラインはこれを、変更後の利用目的が変更前からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内であれば変更できる、と説明しています(同3-1-2)。
ここで重要なのは、この判断が事業者の主観では決まらないことです。ガイドラインは「本人の主観や事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲」であり、当初の目的とどの程度の関連性を有するかを総合的に勘案して判断されるとしています。「関連していると当法人は考えた」だけでは根拠になりません。なぜ本人が予期できる範囲なのかを文章で書き残すところまでやって、はじめて判断になります。
この範囲内で変更した場合、変更した利用目的は本人に通知するか、または公表しなければなりません(法第21条第3項)。逆に言えば、この範囲であれば同意を一から取り直す必要はありません。ここを知らないために、必要のない同意取得作業に何か月も費やしてしまう法人があります。
判定3:範囲を超えるなら同意を得る
変更の範囲を超える利用をしたい場合は、あらかじめ本人の同意が必要です(法第18条第1項)。なお、本人の身体等の保護のために必要があり、かつ本人の同意を得ることが困難である場合など、法第18条第3項各号に掲げる場合には、同意なく目的の範囲を超えて取り扱うことができるとされています。緊急対応の場面を想定した規定であり、日常の業務効率化を根拠にできるものではありません。
同意を取る場合の書面の作り方は福祉事業所のAI利用同意書の作り方|5項目で整えるを参照してください。
実務の進め方:先に書き方を直す
いまの目的を棚卸しする
最初の作業は、自法人が利用目的をどこに、どう書いているかの棚卸しです。契約時の重要事項説明書、利用申込書、同意書、ウェブサイトの公表文。この4か所で表現が食い違っている法人はかなり多く、その状態では「どれが公表している目的なのか」を説明できません。まず1つの正本を決め、他をそれに揃えます。
処理を主語にして書き足す
次に、目的の書き方を処理ベースに直します。「サービスの提供のため」だけでなく、「サービス提供の記録および関係書類の作成のため」「支援内容の振り返りおよび支援計画の見直しのための分析のため」のように、実際に行う処理が読み取れる粒度まで具体化します。ここで丁寧に書いておけば、後々AIツールを追加するたびに判定2を繰り返す必要が減ります。
変更したら通知・公表の記録を残す
利用目的を変更したときは、通知または公表を行うだけでなく、いつ・どの表現から・どの表現に変えたかを法人側に残しておきます。運営指導や家族からの問い合わせで説明が必要になるのは、変更の内容そのものよりも変更の経緯です。改定履歴の欄を1つ設けるだけで足ります。
目的の整理は利用ルールと一緒に動かす
利用目的の整理だけを進めても、現場で何をどこまで入力していいのかが決まっていなければ運用は止まります。目的の文言と、職員向けの利用ルールは同時に整えるのが効率的です。ルールの雛形は福祉×生成AIの利用ルール雛形|8条構成でそのまま作れるにあります。
まとめ
AI活用の可否は、ツールの安全性より前に、利用目的の書き方で決まっている部分があります。範囲内なら追加手続は不要、関連性が認められる範囲の変更なら通知または公表、それを超えるなら同意。この3つの分岐を持っておけば、新しい取り組みのたびに一から悩む必要はなくなります。そして最も効率がよいのは、判定を繰り返すことではなく、最初から分析まで含めて読み取れる目的を書いておくことです。
よくある質問
Q. 生成AIを使うこと自体を利用目的に書く必要がありますか?
A. 法律が特定を求めているのは利用の目的であり、使用するツールの名称ではありません。重要なのは、その処理によって本人の情報がどう扱われるかを本人が予測できる程度に目的が書かれているかどうかです。ただし外部サービスへ情報を渡す形になる場合は、委託先の監督や安全管理措置の観点で別途の整理が必要になります。
Q. 利用目的を変更したら、全利用者から同意書を取り直すべきでしょうか?
A. 変更が変更前の利用目的と関連性を有すると合理的に認められる範囲であれば、変更後の利用目的を本人に通知するか公表することが求められており(法第21条第3項)、同意の取り直しは必須ではありません。その範囲を超える場合は、あらかじめ本人の同意が必要です(法第18条第1項)。
Q. 「関連性を有すると合理的に認められる範囲」かどうかは誰が判断するのですか?
A. 一次的には事業者が判断しますが、その判断基準は事業者の主観ではありません。ガイドライン(通則編)は、一般人の判断において当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、関連性の程度を総合的に勘案して判断されると説明しています。判断の理由を記録に残しておくことが実務上の備えになります。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。