シンガポールの生成AIルール、企業と利用者が知っておくべきこと

PDPCのガイダンスが対象とするデータ利用

PDPCのガイダンスは、生成AIのライフサイクル全体に関わる個人データを扱います。たとえば、ウェブ上から収集した情報、通常のサービスを受けるために利用者が提供したデータと、その後にモデルの開発・改善へ再利用されるデータ、モデルの導入、セキュリティ、保存期間、アクセスや訂正の請求への対応などです。

大きな論点は「利用目的の変更」です。取引、アカウント管理、カスタマーサポートなどの目的で提供した情報が、後から大規模なモデルの訓練やファインチューニングに使われると、利用者はデータがどのように再利用されたのかを把握しにくくなります。また、いったん大規模な訓練プロセスに入ったデータについて、利用者が管理したり、アクセス・訂正などの権利を行使したりすることも難しくなり得ます。

ガイダンスは、AIのサプライチェーンにおける役割ごとの責任も区別しています。モデル提供者は、モデルの開発・導入に関わるPDPA上の義務を負います。システム提供者はセキュリティ対策を検討し、関連する保護措置を伝えることが期待されます。システム導入者は、処理目的やデータの流れを把握し、実際に運用するシステムの管理策を確認する必要があります。

AI専用通知が必要になるケース

企業が「User Data（ユーザーデータ）」を生成AIモデルの開発に使おうとし、PDPA上の同意例外が適用されない場合、AI専用通知を使って同意を取得する必要があります。この通知では、生成AIモデルの開発・改善にデータを使うことを明確にしなければなりません。「製品改善」や「新製品開発」といった広い表現だけでは代替できません。

特に注意が必要なのは、既存の製品やサービスに、生成AIとは関係のない目的で提供された情報を、後からモデル開発へ転用するケースです。企業は、もともとの収集時の状況、新たな利用目的、同意例外が適用できるかどうかを確認したうえで対応を決める必要があります。

公開情報は別途判断が必要

PDPAの「公開されているデータ」に関する例外により、一般に公開された個人データを、モデル開発のために同意なく収集できる場合があります。ただし、インターネット上でアクセスできる情報がすべて自動的に対象となるわけではありません。

有料サイトのペイウォール、ログイン、会員登録などのデジタル上の障壁の内側にある情報については、その目的でなお「公開情報」といえるかを慎重に評価する必要があります。

適切に匿名化されたデータ

適切に匿名化され、個人を特定できないデータは、PDPA上の個人データには当たりません。PDPCは、可能な場合には分析や研究に匿名化データを使うことを推奨しています。

ただし、氏名を削除しただけで匿名化が完了するとは限りません。残った情報や、合理的に入手できる他の情報と組み合わせることで個人を特定できるなら、匿名化されたとはいえない可能性があります。企業は、匿名化処理によって本当に個人の識別可能性がなくなったかを確認する必要があります。

コールセンターの録音はどう扱われるのか

提供された資料からは、コールセンター録音について独立した一律の例外があるとは確認できません。録音内容から発信者を特定できる、または合理的に特定できる場合、その録音は生成AIへの再利用を検討するうえで個人データとして扱うのが実務的です。

その場合、モデル開発に利用するには、有効な同意、通知、その他の法定例外など、PDPA上の適切な根拠が必要になります。録音の内容、収集方法、予定している生成AIでの利用目的、適用可能な例外によって判断は変わるため、提供資料だけから録音に関する追加の特別ルールを断定することはできません。

AI専用通知に記載すべき内容

通知は、利用者が予定されているデータ利用を具体的に理解できる内容でなければなりません。提供されたガイダンスから、少なくとも次の項目が挙げられます。

• AIでの利用目的： 個人データを生成AIモデルの開発・改善に使うこと
• 利用の理由： モデルを開発・改善する目的
• 対象データ： 利用する個人データのカテゴリー
• 利用方法： 必要に応じて、訓練やファインチューニングなどの方法
• 利用者の選択肢： 同意を拒否・撤回する方法、または適用される場合のオプトアウト方法

一般的なプライバシーポリシーに背景情報を盛り込むこと自体は問題ありません。しかし、生成AIの訓練目的が分かりにくい場合、それだけで十分な開示とはいえません。合理的な利用者が「自分の個人データが生成AIモデルの開発・改善に使われる可能性がある」と理解できるかどうかが、重要な判断基準になります。

通知を表示する場所

提供資料は、すべての企業に対して単一の形式や表示場所を義務付けていません。実務上は、データを収集する場面やサービスを利用する場面で情報を示す方法が考えられます。たとえば、登録・利用開始時、サービス内のタイムリーなポップアップ、アカウントのプライバシー設定、明確にリンクされたプライバシー通知などです。

これはPDPCのファクトシートに列挙された網羅的な要件ではなく、実装上の推論です。どの形式を採る場合でも、広範で見つけにくい規約の奥に埋め込むのではなく、具体的かつ目に入りやすい形で示すことが重要です。

同意の撤回とアクセス・訂正の権利

利用者は、自分の個人データが生成AIの開発に使われた後でも、アクセスや訂正を請求できる場合があります。企業には、上流段階で適切なデータ管理を行い、請求を個別に検討し、適切な技術的措置を講じることが期待されています。ただし、大規模な訓練データセットの中から特定の情報を追跡するのは実務上難しい場合があります。

同意を法的根拠とする場合、企業は同意を拒否・撤回する方法を利用者に伝えなければなりません。ただし、オプトアウトした後も、すべてのサービスを同じ条件で利用し続けられることが自動的に保証されるわけではありません。

中核サービスへのアクセスを継続できるかどうかは、生成AIの訓練がそのサービスに必要か、企業の同意取得の設計が適切かなどによって変わります。提供資料は、どのようなオプトアウトでも全面的なサービス利用を保障する一律の権利を示していません。

IMDAの自主的な「チャットボット情報カード」

IMDAの「生成AIチャットボット透明性ガイドライン」は、消費者向けの視点に立った別の取り組みです。外部向け生成AIチャットボットの導入者を対象とし、利用者がよりよく判断できるようにすること、開示内容を標準化すること、事業者が安全性や信頼性について示した取り組みに説明責任を持つことを目的としています。

中心となるのが「チャットボット情報カード」です。食品の栄養成分表示や医薬品のラベルにたとえられ、専用の情報ページや開示文書など、利用者が重要な情報を一か所で確認できる形式が想定されています。

情報カードは、次の3原則に沿うことが推奨されています。

• 関連性： そのチャットボットを信頼してよいか、どのように使うべきかを判断するために必要な情報を載せる
• アクセシビリティ： 分かりやすい言葉を使い、見つけやすく、読み進めやすくする
• 適時性： チャットボットの提供開始時に公開し、機能、リスク、安全方針に重要な変更があれば更新する

情報カードで説明する内容

情報カードには、少なくとも次のような項目を含めることが推奨されています。

• チャットボットの想定用途、機能、能力
• 重要な制限事項。回答を確認すべき場面や、利用が適切でない場面を含む
• 信頼性・安全性を確保するための対策
• 利用者の入力、会話履歴、その他のデータの扱い
• 苦情、フィードバック、インシデント報告の窓口

情報カードは、チャットボットの正確性や安全性を保証するものではありません。その価値は、利用者が「いつ頼ってよいか」「何を入力してよいか」「問題が起きたときにどこへ連絡すべきか」を判断するための材料を提供する点にあります。

IMDAがまず公開チャットボットに焦点を当てた背景には、消費者への接触範囲が広いことに加え、プライバシー、子どもの安全、精神的に脆弱な利用者に影響するリスクなどがあります。この枠組みが、今後ほかの生成AIアプリケーションや業界別ガイダンスの参考になる可能性もあります。

企業や公共機関の対応

Google、Meta、DBS、OCBC、シンガポール航空、Synapxeは、公開向けチャットボットの透明性を高めるうえで、この自主的なガイドラインを参考にすると表明しています。これは今後の整合や改善に向けた方針を示すものであり、すべての組織がすでに同一形式の情報カードを導入したことを意味するわけではありません。

銀行では、顧客向け機能、限界、安全対策を説明し、既存のAIガバナンスやリスク管理の仕組みと開示を結び付けることが重視されそうです。DBSは顧客向けAIの取り組みに言及し、OCBCは既存のAIガバナンス・リスク管理との関係を説明しています。

シンガポール航空は、AIを活用した顧客体験を拡大するなかで、AIガバナンスと安全対策を引き続き見直し、強化するとしています。GoogleとMetaも、AI製品の仕組みや利用者との関わり方について、より明確で分かりやすい情報を提供する方向性を支持しています。

公共機関でも、国立図書館庁と健康促進庁が、公開向けチャットボットにガイドラインを取り入れる際の参考にする予定です。

企業が実務で確認すべきこと

シンガポールの今回のアプローチは、生成AIで個人データを使う際の、より具体的なプライバシー開示と、チャットボットの自主的な透明性基準を組み合わせたものです。企業は両者を補完関係にあるものとして扱うべきで、同じものと考えてはいけません。

1. データの流れを把握する： どの個人データがモデル開発やチャットボットの処理に入り、何のために使われるのかを確認する。
2. 法的根拠を確認する： 同意が必要か、PDPA上の例外を利用できるかを判断する。
3. 生成AIへの再利用を明示する： 必要な場合は、一般的な「製品改善」ではなくAI専用通知を使う。
4. 権利請求に備える： アクセス、訂正、同意撤回の請求を検討できるだけの上流データを維持する。
5. チャットボット情報を公開する： 公開向け生成AIチャットボットについて、能力、限界、信頼性、安全性、データ利用、報告窓口を関連性・分かりやすさ・適時性の原則に沿って示す。

今回の措置は、利用者がAIに関わるデータ利用をすべて止められると約束するものではありません。目指しているのは、生成AIへのデータ再利用を見えやすくし、企業のデータ管理をより慎重にし、公開チャットボットの説明責任を高めることです。