「製品開発」だけでは不十分――AI利用を具体的に説明

プライバシー通知に「データを製品開発に利用することがあります」と書くだけでは、大規模な生成AIモデルの学習や微調整について、意味のある同意を得るには不十分です。通知では少なくとも、次の点を明確にする必要があります。

• 生成AIモデルの開発、学習、改善にデータを使うこと
• 利用するデータの種類や範囲
• データをどのような目的・方法で利用するか
• 同意を拒否または撤回できるか、できる場合の手続き

特に問題になりやすいのは、銀行、保険会社、ECサイト、SNSなどが、もともとは通常のサービス提供のために集めたデータを、後からAI開発に転用するケースです。新しい利用目的が、利用者が当初合理的に想定できる範囲を超えるなら、以前の広範な通知だけで足りるとは限りません。

4つの事例で見る適用範囲

銀行：金融情報や問い合わせ履歴をAIアシスタントに利用

銀行が顧客データやカスタマーサービスの記録を使ってAIアシスタントを開発・改善し、同意を法的根拠とする場合、AI利用を明示した通知が必要です。通常の口座管理や問い合わせ対応と、モデル開発の目的は区別して説明すべきです。

一方、PDPA上の「事業改善の例外」など、同意を不要とする例外に頼れる可能性もあります。ただし、法定の条件を満たし、その利用が例外の範囲内に収まっていることが前提です。適用できる場合、同意そのものだけでなく、同意を前提としたオプトアウトも必要にならないことがあります。

保険会社：医療情報や保険金請求データを利用

医療情報や保険金請求情報を生成AIモデルの開発に使う場合も、同意が必要ならAI特化通知が必要です。サービス改善についての以前の一般的な説明だけで、モデル学習までカバーできると考えるべきではありません。

保険会社は、適用可能なPDPA上の例外があることを示すか、AIの利用目的を具体的に記した通知を出して有効な同意を得る必要があります。提供された情報からは、医療情報や請求情報が一律に例外扱いされるとは読み取れません。

ECプラットフォーム：購入履歴や閲覧履歴から別の商用AI製品を開発

購入履歴や閲覧行動を、買い物体験とは別の商用生成AI製品の開発に利用するのは、データの目的外利用が問題になりやすい典型例です。同意が必要な場合、プラットフォームは一般的な「製品開発」条項に頼らず、生成AIの目的を直接説明する必要があります。

事業改善の例外が関係する場合はありますが、新しい商用サービスへの利用をすべて認める包括的な許可ではありません。企業は、例外の法的要件を満たし、認められた範囲内で利用しなければなりません。

SNS：プロフィール、写真、動画、投稿、交流履歴をコンテンツ作成AIの改善に利用

SNS運営会社が、プロフィール情報、写真、動画、投稿、他ユーザーとのやり取りなどを使って生成AIによるコンテンツ作成機能を改善する場合、同意を根拠とするならAI特化通知が必要です。

ただし、PDPAの「公開情報の例外」により、真に一般公開されている個人データは同意なしで収集・利用・開示できる可能性があります。重要なのは公開範囲です。誰でも閲覧できる投稿と、特定の友人だけに共有した投稿、ログイン者や承認済みユーザーに限定されたコンテンツは同じではありません。

通知やオプトアウトが必要ない可能性がある場合

データが本当に匿名化されている

データが個人を特定できない状態まで適切に匿名化され、もはや個人データに当たらないなら、PDPA上の個人データに関する通知・同意義務は適用されません。

ただし、仮名化やマスキングをしただけで自動的に匿名化データになるわけではありません。別の情報と照合するなどして、なお個人を特定できるかが判断のポイントです。

PDPA上の有効な例外を利用できる

公開情報の例外や、条件を満たす場合の事業改善の例外など、適用可能な法定例外があれば、企業は同意を取得せずにデータを利用できることがあります。

AI特化通知の要件は、同意が必要な場面に結びついたものです。そのため、合法的なAI学習の利用すべてについて、利用者に一律のオプトアウト権を与えるものではありません。

オプトアウト方式が使われる場合に限られる

PDPCの一般的な説明では、オプトアウト方式を採る場合、企業は利用目的を通知し、本人が断るための合理的な期間と合理的な方法を用意する必要があります。

しかし、これはすべてのAI関連処理にオプトアウトを付けなければならないという意味ではありません。企業が同意の例外を適法に利用している場合など、同意を根拠にしていない処理では、同意ベースのオプトアウトが必要にならないことがあります。すでに同意を与えた、またはPDPA上同意したとみなされた場合には、適用される枠組みに従って同意を撤回できる場合があります。

AI学習への同意をサービス利用の条件にできるか

原則として、AI学習が利用者の求める商品やサービスの提供に合理的に必要でない場合、企業はAI学習への同意を拒否したことだけを理由にサービスを拒むべきではありません。

たとえば、次のような同意を、通常のサービス利用に抱き合わせることは一般に認められにくいと考えられます。

• 一般目的のAIアシスタントを開発するための同意を、通常の銀行口座開設の条件にする
• 別の商用AIモデルを開発するための同意を、通常のECサービス利用の条件にする
• SNSの中核機能とは無関係なモデル開発への同意を、アカウント利用の条件にする

もっとも、判断の鍵は「合理的な必要性」です。利用者が求めたサービスや取引を提供するために、データの収集・利用・開示が合理的に必要であれば、同意をサービス提供の条件にできる場合があります。どこまでが必要といえるかは、サービスの内容、利用するデータ、具体的な利用方法によって異なり、すべての企業やAIシステムに当てはまる一律の答えが示されたわけではありません。

消費者と企業が通知で確認すべきこと

消費者は、AIに関する通知で次の4点を確認するとよいでしょう。

1. 自分の個人データが生成AIモデルの開発、学習、改善に使われること
2. どの種類のデータが使われること
3. どの目的・方法で使われること
4. 同意を拒否・撤回できるか、できる場合の方法

企業側は、まずデータが個人データとして残っているか、法定例外を利用できるか、AIへの利用が求められたサービスに合理的に必要かを確認する必要があります。そのうえで、AI特化の同意通知やオプトアウトの仕組みが必要かを判断します。

シンガポールの2026年7月の枠組みが示すのは、AI学習に関する透明性の強化であって、あらゆる合法的なデータ利用を止められる一律の権利ではありません。

「製品開発」だけでは不十分――AI利用を具体的に説明

プライバシー通知に「データを製品開発に利用することがあります」と書くだけでは、大規模な生成AIモデルの学習や微調整について、意味のある同意を得るには不十分です。通知では少なくとも、次の点を明確にする必要があります。

• 生成AIモデルの開発、学習、改善にデータを使うこと
• 利用するデータの種類や範囲
• データをどのような目的・方法で利用するか
• 同意を拒否または撤回できるか、できる場合の手続き

特に問題になりやすいのは、銀行、保険会社、ECサイト、SNSなどが、もともとは通常のサービス提供のために集めたデータを、後からAI開発に転用するケースです。新しい利用目的が、利用者が当初合理的に想定できる範囲を超えるなら、以前の広範な通知だけで足りるとは限りません。

4つの事例で見る適用範囲

銀行：金融情報や問い合わせ履歴をAIアシスタントに利用

銀行が顧客データやカスタマーサービスの記録を使ってAIアシスタントを開発・改善し、同意を法的根拠とする場合、AI利用を明示した通知が必要です。通常の口座管理や問い合わせ対応と、モデル開発の目的は区別して説明すべきです。

一方、PDPA上の「事業改善の例外」など、同意を不要とする例外に頼れる可能性もあります。ただし、法定の条件を満たし、その利用が例外の範囲内に収まっていることが前提です。適用できる場合、同意そのものだけでなく、同意を前提としたオプトアウトも必要にならないことがあります。

保険会社：医療情報や保険金請求データを利用

医療情報や保険金請求情報を生成AIモデルの開発に使う場合も、同意が必要ならAI特化通知が必要です。サービス改善についての以前の一般的な説明だけで、モデル学習までカバーできると考えるべきではありません。

保険会社は、適用可能なPDPA上の例外があることを示すか、AIの利用目的を具体的に記した通知を出して有効な同意を得る必要があります。提供された情報からは、医療情報や請求情報が一律に例外扱いされるとは読み取れません。

ECプラットフォーム：購入履歴や閲覧履歴から別の商用AI製品を開発

購入履歴や閲覧行動を、買い物体験とは別の商用生成AI製品の開発に利用するのは、データの目的外利用が問題になりやすい典型例です。同意が必要な場合、プラットフォームは一般的な「製品開発」条項に頼らず、生成AIの目的を直接説明する必要があります。

事業改善の例外が関係する場合はありますが、新しい商用サービスへの利用をすべて認める包括的な許可ではありません。企業は、例外の法的要件を満たし、認められた範囲内で利用しなければなりません。

SNS：プロフィール、写真、動画、投稿、交流履歴をコンテンツ作成AIの改善に利用

SNS運営会社が、プロフィール情報、写真、動画、投稿、他ユーザーとのやり取りなどを使って生成AIによるコンテンツ作成機能を改善する場合、同意を根拠とするならAI特化通知が必要です。

ただし、PDPAの「公開情報の例外」により、真に一般公開されている個人データは同意なしで収集・利用・開示できる可能性があります。重要なのは公開範囲です。誰でも閲覧できる投稿と、特定の友人だけに共有した投稿、ログイン者や承認済みユーザーに限定されたコンテンツは同じではありません。

通知やオプトアウトが必要ない可能性がある場合

データが本当に匿名化されている

データが個人を特定できない状態まで適切に匿名化され、もはや個人データに当たらないなら、PDPA上の個人データに関する通知・同意義務は適用されません。

ただし、仮名化やマスキングをしただけで自動的に匿名化データになるわけではありません。別の情報と照合するなどして、なお個人を特定できるかが判断のポイントです。

PDPA上の有効な例外を利用できる

公開情報の例外や、条件を満たす場合の事業改善の例外など、適用可能な法定例外があれば、企業は同意を取得せずにデータを利用できることがあります。

AI特化通知の要件は、同意が必要な場面に結びついたものです。そのため、合法的なAI学習の利用すべてについて、利用者に一律のオプトアウト権を与えるものではありません。

オプトアウト方式が使われる場合に限られる

PDPCの一般的な説明では、オプトアウト方式を採る場合、企業は利用目的を通知し、本人が断るための合理的な期間と合理的な方法を用意する必要があります。

しかし、これはすべてのAI関連処理にオプトアウトを付けなければならないという意味ではありません。企業が同意の例外を適法に利用している場合など、同意を根拠にしていない処理では、同意ベースのオプトアウトが必要にならないことがあります。すでに同意を与えた、またはPDPA上同意したとみなされた場合には、適用される枠組みに従って同意を撤回できる場合があります。

AI学習への同意をサービス利用の条件にできるか

原則として、AI学習が利用者の求める商品やサービスの提供に合理的に必要でない場合、企業はAI学習への同意を拒否したことだけを理由にサービスを拒むべきではありません。

たとえば、次のような同意を、通常のサービス利用に抱き合わせることは一般に認められにくいと考えられます。

• 一般目的のAIアシスタントを開発するための同意を、通常の銀行口座開設の条件にする
• 別の商用AIモデルを開発するための同意を、通常のECサービス利用の条件にする
• SNSの中核機能とは無関係なモデル開発への同意を、アカウント利用の条件にする

もっとも、判断の鍵は「合理的な必要性」です。利用者が求めたサービスや取引を提供するために、データの収集・利用・開示が合理的に必要であれば、同意をサービス提供の条件にできる場合があります。どこまでが必要といえるかは、サービスの内容、利用するデータ、具体的な利用方法によって異なり、すべての企業やAIシステムに当てはまる一律の答えが示されたわけではありません。

消費者と企業が通知で確認すべきこと

消費者は、AIに関する通知で次の4点を確認するとよいでしょう。

1. 自分の個人データが生成AIモデルの開発、学習、改善に使われること
2. どの種類のデータが使われること
3. どの目的・方法で使われること
4. 同意を拒否・撤回できるか、できる場合の方法

企業側は、まずデータが個人データとして残っているか、法定例外を利用できるか、AIへの利用が求められたサービスに合理的に必要かを確認する必要があります。そのうえで、AI特化の同意通知やオプトアウトの仕組みが必要かを判断します。

シンガポールの2026年7月の枠組みが示すのは、AI学習に関する透明性の強化であって、あらゆる合法的なデータ利用を止められる一律の権利ではありません。