個人情報取扱事業者が、業務で生成AIサービスのプロンプトに顧客の個人情報を入力する場合について、個人情報保護委員会による生成AIサービスの利用に関する注意喚起の内容に照らして、最も適切なものはどれか。
- 1特定した利用目的の達成に必要な範囲内かを十分に確認する必要がある。また、本人の同意なく入力した個人データが応答結果の出力以外の目的（機械学習など）に使われる場合には、個人情報保護法違反となる可能性がある。
- 2生成AIへの入力は第三者提供に当たらないと個人情報保護法に明記されているため、特段の確認は不要である。
- 3氏名を削除しさえすれば、他の情報と容易に照合して個人を識別できる場合でも個人情報には当たらないため、自由に入力できる。
- 4生成AIサービスの提供事業者が外国にある場合は、日本の個人情報保護法の規律は一切及ばない。
正解と解説を見る
正解：1
個人情報保護委員会は2023年6月の注意喚起で、プロンプトへの個人情報の入力が利用目的の範囲内かを十分確認するよう求めました。あわせて、本人の同意なく入力した個人データが機械学習などに使われる場合は法違反となる可能性があるとし、提供事業者が入力データを学習に使わないことを確認するよう示しています。生成AIへの入力が第三者提供に当たらないと定めた規定はありません。また、氏名を削除しても他の情報と容易に照合して個人を識別できれば個人情報に当たり、外国にある第三者への提供にも固有の規律があります。生成AIに個人情報を入力する前には、「利用目的の範囲内か」「入力データが学習に使われないか」を確認することが基本です。
根拠：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月）／個人情報保護法第18条・第27条・第28条