トップ > 個人情報保護法 > SaaS提供企業における顧客企業入力データのAI学習利用

SaaS提供企業における顧客企業入力データのAI学習利用

個人情報保護法

1.今日のテーマ

 

数日前から、「SaaS提供企業における顧客企業入力データのAI学習利用」（以下、本件取扱い）に関する議論が活発に行われています。問題提起をされたのは井垣先生だと理解していて、

その後色々な先生方が議論に参加されています。

 

私の立場としては、少なくとも個人情報保護法に関する範囲では以下の大井先生や水野先生と同じ立場でして、適法だと考えています。

他方、NDA部分がどうなるかは（自分の専門外ということもあり）議論を注意深く見守っている状況です。NDA部分については、大井先生は適法、水野先生は将来的な変更の可能性は見据えつつ違法寄りの立場なのかなと思っています。

今日は、某所でこの個人情報保護法部分の適法性に関して議論をしたので、そこで考えたことをブログにまとめておこうと思って筆を取った次第です。

2.議論の出発点

本件取扱いについて、個人情報保護法の観点から議論をするのであれば、絶対に外してはいけないのが個人情報保護委員会のQ&A7-39です。適法と考えるにせよ違法と考えるにせよ、本件を議論するのであれば数少ない個人情報保護委員会の公式見解であるQ&A7-39 を前提としないのは不誠実だと考えています。もし初見だよ、という方が居られればこれはぜひきちんと原文を読んでおいていただきたいと思います。

3.「SaaS利用に伴う顧客企業のデータ入力」の評価

この辺り、個人情報保護法的には

  • クラウド例外該当性
  • 個人情報保護委員会の「注意喚起」をどう評価するか

という、これまたそれぞれ面白い論点があります。しかし今回は本筋から離れるので無視をして、ひとまず「SaaS利用に伴う顧客企業のデータ入力」は「個人データの取扱いの委託」である前提で話を進めたいと思います。

4.本件取扱いが適法であるための要件

本件取扱いが個人情報保護法上適法であるための要件は、以下の3つに分解できると考えています。

①委託元（SaaS利用企業）の利用目的の範囲内であること

②委託先（SaaS提供企業）の利用目的の範囲内であること

③「委託」の範囲内であること

 

①は、本件で問題になっている「顧客企業の入力データ」が、委託元の保有個人データであること思われることから充足する必要があります（18条1項）。

②は、本件取扱いが委託先でのAI学習利用であることから充足する必要があります（18条1項）*1。

③は、先ほど述べた通り、本件の提供根拠が委託であると思われることから充足する必要があります（27条5項1号）。

5.本件での検討

②について（委託先での利用目的）

まずは一番問題点が少なそうな論点から。

②はまぁ一旦充足している前提で話を進めましょう。

③について（委託の範囲）

判断枠組（Q&A7-39の解釈）

残るは①と③ですが、Q&A7-39が存在することから①より先に③を検討しましょう。

ここでは、「委託先は、委託元の利用目的の達成に必要な範囲内である限りにおいて、委託元から提供された個人データを、自社の分析技術の改善のために利用することができます。」とされています。

「個別の事例ごとに判断することになりますが」とされているので一般化には一定の制約がありますが、私は

委託元にメリットがあるのであれば、副次的に委託先にメリットが併存したとしても、委託の範囲は超えない

ということを言っていると理解しています*2。

あてはめ

本件取扱いは、「委託元が利用しているプロダクト」の機能改善や、「委託元が利用しているプロダクト」に組み込まれたAI機能の学習利用であれば、委託元にメリットがあると評価できると私は考えています。よって、この範囲では委託の範囲は超えないと考えます。

他方で、「委託元が利用していないプロダクト」については、委託元が潜在的な顧客だったりクロスセルの可能性があったとしても、さすがに「本件個人データの取扱いの委託に関して」委託元にメリットがあるとは言い得ないと考えています。よって、「委託元が利用していないプロダクト」の機能改善や学習利用をするのだと、それは委託の範囲を超えると考えています。

①について（委託元での利用目的）

判断枠組（内製バクラク）

最後に①について考えてみましょう。本件取扱いが、委託元の利用目的の範囲であると言えるでしょうか？委託元（SaaS利用企業）にとっては「バクラク」は外製のツールですが（以下、外製バクラク）、ここでは頭の体操的に、委託元の内製ツールとしてのバクラクが存在すると仮定します（以下、内製バクラク）。

本件で問題となっているデータを「内製バクラク」に入力したり学習に使ったりした場合、それは利用目的の範囲内であると言えるでしょうか？このようなケースでは利用目的の範囲内であると評価できるケースは（その良し悪しは一旦おけば）現在の日本法の運用上そこそこ広いと認識しています。

私は、「内製バクラク」への学習利用は利用目的の範囲内だが、「外製バクラク」への学習利用は利用目的の範囲外という結論には違和感を覚えます。内製と外製の違いが「委託の範囲内か否か」という点において結論に差異が生じるのなら分かるのですが、「利用目的の範囲内か否か」という点において差異が生じるのはおかしくはないでしょうか？内製でも外製でも、「利用」の「目的」は同じように思えます。

その上で、「外製バクラクの学習に使うなんてそれは委託の範囲を超えるだろ」という議論は心情的にはありえたと思うのですが、それはQA7-39で「適法」と整理されて既に解決されてしまったと理解しています。

あてはめ

これは結局入力されるデータによるかなと思いますが、利用目的がもともとかなり限定されているデータなのであれば、それは委託元においても利用目的をかなり絞っておくべきものだし、委託先への入力も制限的になるべきかと思います。

他方で、通常の自社内での利用においてそれなりに広い利用目的が認められる個人データなのであれば、委託先でのAI学習利用も委託元での利用目的の範囲内であると認められると考えています。

6.まとめ

以上の通り、個人情報保護法の観点からは適法と整理できるケースも多いんじゃないのかなというのが私の考えです。

その上でNDA違反の部分がクリアできるならトータルで適法だし、クリアできないのであればトータルでは違法ということになるのかなと考えています。とはいえ、ここはユーザー企業側で注意すべき部分だとは思っていて、LayerXさんが何か責められるような類の話ではないと考えています。

*1:なお、「委託を受けて個人情報を取り扱う個人情報取扱事業者においては、委託された当該業務を遂行することがその利用目的となる」（園部＝藤原 P.147）とされていますが、「委託元が一般に特定するような利用目的と同様の粒度で委託先においても全て逐一利用目的を特定する、というのもあまり現実的ではない。」ことから「詳細に利用目的を特定することは必須ではないと解すべきである」（岡田他 P.138）とされており、それはそうだよなぁと思います。

*2:Qが「委託業務を処理するための一環として」への該当性を問うているので、Aは「委託元の利用目的の達成に必要な範囲内である限りにおいて」という条件を別途つけた上で（＝委託元の利用目的の範囲内か否かの検討は別途してね、という留保はつけた上で）、委託の範囲内であると判断しているのだと理解しています。