チェックボックスを埋めることと、対応することは違う
「法務確認済み」と書かれた欄が埋まっていても、何をどう確認したのかは分かりません。項目を埋めることと、対応することは別の作業です。
本章も法的助言ではありません。一般的な確認の観点を示すものであり、実際の判断は必ず弁護士・各分野の専門家、および所管官庁の公表情報で確認してください。
最初に確認しておきます。法規制への対応が形式的になるのは、多くの場合担当者が何をすれば足りるのか分からないことから生じます。だから対処も、責任追及ではなく確認先と手順の共有になります。
型1 ― 著作権・個人情報の対応を項目の確認で済ませる
「著作権に配慮しています」「個人情報保護法に準拠しています」という記述が、具体的な対応を伴わない形で置かれることがあります。
確認すべき具体的な内容を挙げます。表の第19章の論点に対応します。
| 領域 | 確認する内容 |
|---|---|
| 入力側の著作権 | 他社資料を読み込ませる場合の扱い。成果物への転用の有無 |
| 出力側の著作権 | 公開物に使う場合の類似の確認工程があるか |
| 個人情報の利用目的 | 当初の利用目的の範囲内か。範囲外なら目的の変更または同意 |
| 第三者提供・委託 | 外部サービスへの入力の位置づけ。委託先の監督 |
| 国外への移転 | データの保存場所。移転先の制度についての情報提供 |
| 特に配慮が必要な情報 | 健康・信条・犯罪歴などが含まれるか |
| 安全管理措置 | 技術的・組織的な措置の内容(第16章のガバナンス体制) |
実務で最も見落とされるのは4行目と5行目です。外部のAIサービスに個人情報を入力する行為の位置づけと、データの保存場所は、契約条件の確認とセットで行う必要があります(第17章)。
形式的な対応を見分ける
次の3点が示されない場合、対応は形式的である可能性があります。
- いつ、誰が確認したか ― 確認の記録があるか。
- どの条項・ガイドラインを参照したか ― 参照先が具体的か。
- 確認の結果として何を変えたか ― 設計や運用に反映されたか。
3番目が最も端的です。確認した結果として何も変わっていない場合、確認が実質的に行われたかは不明です。もちろん問題がなければ変更は不要ですが、その判断の記録は残るはずです。
型2 ― 海外規制への対応を誇張する
EU AI Act やGDPRへの対応が、実態より広く提示される型です。これらの規制は実在し、適用される場合の対応も必要です。確認すべきは自社への適用範囲と、対応の内容です。
確認の手順を示します。
- 自社の事業がその規制の適用範囲に入るか ― EU域内の個人のデータを扱うか、EU市場向けに提供するか。
- 入る場合、自社の用途がどのリスク水準に相当するか ― EU AI Act はリスクの水準で義務が変わる構造です(表の第19章)。
- 求められる対応の内容 ― リスク管理、データの品質、記録の保持、人による監督など。
- その対応が製品の導入によってのみ達成されるか ― 通常はそうではありません。
4番目が判断の核心です。規制が求める多くの事項(記録の保持、人による監督、リスク管理の体制)は、構成に依存しない組織的な対応です。製品の機能として提供される部分もありますが、それだけでは充足しません。
「EU AI Act に対応済み」「GDPR準拠」という表示を受けたときは、「当社の用途に、その規制は適用されますか」から確認してください。適用されない場合、その対応は自社の判断材料になりません。適用される場合は、「求められる対応のうち、この製品が担う部分と、当社が担う部分を分けて教えてください」と確認します。境界を示せる提案は、規制の内容を把握しています。示せない場合、対応の主張は形式的である可能性があります。
型3 ― 業界別規制の理解不足を隠す
業種によって上乗せの規制が適用されます(表の第19章の表)。この点について、確認が省かれる形を挙げます。
- 「一般的な業務システムと同じ扱いです」 ― 業種によっては上乗せの要件があります。
- 「他の金融機関でも使われています」 ― 他社の運用が自社に適用可能である保証はありません。
- 「規制対応は御社側でご確認ください」 ― 正しい対応ですが、確認の期間を工程に入れる必要があります。
- 「監査対応も可能です」 ― 具体的にどの記録が提供されるかを確認します。
3番目は正しい応答です。ベンダーが規制の適用について断定しないのは誠実な対応です。問題は、その確認を発注側が工程に入れないことです。開発が進んでから規制要件が判明すると、手戻りが大きくなります(表の網羅版 第9章「プロジェクトマネジメント・投資対効果」)。
型4 ― 労働・雇用に関わる論点を社内向けだからと省く
従業員のデータを扱う仕組みについて、社内向けであることを理由に確認が省かれる型です。表の第19章で述べたとおり、従業員のデータを扱う仕組みは、顧客データを扱う仕組みと同じ水準で検討するのが安全側の設計です。
確認すべき論点を挙げます。
- 業務記録・作業ログ・操作履歴をAIの学習や分析に使う場合の利用目的と取得方法
- 人事評価にAIの出力を用いる場合の根拠の説明可能性と、最終判断が人によることの確認
- 業務内容が大きく変わる場合の手続き
- 従業員のデータを扱う仕組みの導入についての社内手続き
1番目は、第7章で扱った業務の記録にも関わります。記録を評価に使わないという運用ルールの文書化は、この論点への対応でもあります。
型5 ― 特許・輸出管理などの論点を検討しない
頻度は低いものの、該当すると影響が大きい領域です。表の第19章に扱いがあります。
- 輸出管理 ― AI技術を海外の拠点・取引先に提供する場合、海外の技術者に技術情報を提供する場合、高性能な計算資源の調達・移転。所管官庁の公表情報と社内の輸出管理担当に確認します。
- 競争法 ― 価格や取引条件の決定に自動処理を用いる設計は、設計の段階で法務に確認します。稼働後に指摘を受けると影響が事業全体に及びます。
- 特許 ― 発明者を自然人に限る解釈が各国で示されています。AIを使った研究開発では、人が行った判断・着想・検証の記録が重要になります。
2番目が実務で見落とされやすい項目です。競合の価格に自動追随する仕組みは、技術的には単純ですが法的な論点を持ちます。
「個人情報保護法に準拠した設計です」。二年目の二月、朝凪精機の総務課が検討していた契約書の確認支援サービスの提案書には、そう書かれていました。総務課の戸田主任が「確認した結果として、設計の何を変えましたか」と照会すると、返事は「特に変更はございません」でした。二月二十六日の相談枠で、顧問弁護士の早坂がサンプルの契約書の最後のページを開くと、署名欄の下に取引先の担当者の氏名・電話番号・メールアドレスが並んでいます。条項を読むのに連絡先は要らないので、外部のサービスへ送る範囲から外すことになりました。情報システム課がその場でベンダーに電話で確かめると、対処は送信前に該当項目を除去する処理を1つ追加することで済み、工数は小さいものでした。照会がなければ、この処理は入らないままでした。
この場面は網羅物語之巻 第13章「規程は作った」に出てきます。
形式的な対応にしないための5点
本章の型を防ぐ手順です。いずれも組織側で実行できます。
- 用途ごとに関係する法分野と確認先を表にする ― 一度作れば繰り返し使えます(表の第19章に確認先の一覧があります)。
- 高リスクの用途を特定する ― 人に対する判断、社外への出力、個人情報の処理(第16章の判定基準)。
- 確認の時点を工程に組み込む ― 開発前に法務確認を行う工程を置きます。
- 確認の記録を残す ― いつ、誰が、何を参照して、結果として何を変えたか。後の説明に必要になります。
- 年1回、規制動向を確認する ― 事業展開先の規制当局の公表情報。この領域は変化が早いため、確認の時点を記録することも重要です。
4番目が、本章の型に対する最も直接的な対処です。「確認した結果として何を変えたか」が記録されていれば、対応が形式的でないことが外形的に示せます。