給与データや人事情報をAIに処理させるとき、そのデータが物理的にどこへ行くのかを説明できるでしょうか。多くの生成AIサービスは海外の事業者が提供しており、処理は国外のサーバーで行われます。
労務データは、氏名、生年月日、住所、家族構成、報酬額、健康保険の被扶養者情報を含みます。個人情報の中でも密度の高い部類です。このデータをAIに渡す判断は、個人情報保護法の越境移転規制に触れます。
個人情報保護法28条が求めること
外国にある第三者へ個人データを提供する場合、原則として本人の同意が必要になります（個人情報保護法28条）。従業員全員から個別に同意を取る運用は、現実には成り立ちません。
同意を要しない例外が3つあります。
- 提供先が、日本と同等の水準にある個人情報保護制度を持つ国に所在する場合（現在はEU加盟国と英国）
- 提供先が、法の趣旨に沿った措置を継続的に講ずる体制（基準適合体制）を整備している場合
- 法令に基づく場合など
実務で使われるのは2番です。提供先との契約で個人データの取扱いについて必要な事項を定め、体制を確保していれば、本人同意なしに提供できます。ただしこの場合、提供先の所在国の制度を把握し、本人の求めに応じて情報提供できる状態にしておく義務が残ります。
「クラウド例外」が成立する条件と、崩れる条件
もう一つの整理が、そもそも「提供」に当たらないとする考え方です。
クラウド事業者が個人データを取り扱わないこととなっている場合——契約条項でサーバーに保存された個人データを取り扱わない旨が定められ、適切にアクセス制御が行われている場合——外国にある第三者への提供には当たらないとされています。一般に「クラウド例外」と呼ばれる解釈です。
生成AIサービスで問題になるのは、この条件が維持されるかどうかです。
入力したデータがモデルの改善や学習に使われる設定になっていれば、事業者は個人データを「取り扱わない」とは言えません。クラウド例外の前提が崩れ、28条の適用に戻ります。多くのサービスは法人向けプランで学習利用をしない設定を提供していますが、無償版や個人契約では既定値が異なることがあります。
同じサービスでも、契約プランと設定次第で結論が変わる。ここが、担当者レベルの導入判断で見落とされる箇所です。
「データがどこにあるか」を自社で決める
こうした背景から、AIの開発・学習・運用に使うデータやモデル、インフラを自国・自社の管理下に置くという考え方が広がっています。データ主権、あるいはソブリンAIと呼ばれる整理です。
すべてを国産に置き換えるという意味ではありません。特定のベンダーに依存せず、データの所在と処理場所を自分で決められる状態を保つ、という考え方です。目的に応じてモデルを選べる状態にしておけば、サービスの停止や規約変更が起きても切り替えられます。
労務業務に当てはめると、次の分け方になります。
- 国内完結で処理するデータ：氏名・マイナンバー・報酬額・被扶養者情報を含む給与計算の実データ
- 匿名化・仮名化して処理するデータ：傾向分析や集計に使うデータ
- 国外サービスを使ってよいデータ：法令の解釈、文書のドラフト、社内向け資料の作成など、個人データを含まない作業
すべてを国内に閉じると、使えるモデルの選択肢が狭まります。すべてを国外サービスに任せると、越境移転の説明責任が重くなります。機密度で分けて使い分けるのが、現実的な落としどころです。
実装するとどうなるか
当社では、給与計算システムにおけるAI推論の基盤を国内リージョン完結の構成に統一しました。個人データが国境を越えない、という点を設計上の前提に置いています。
この判断の効果は、セキュリティ審査の場面で出ます。クライアント企業の情報システム部門から「データはどこで処理されるのか」「国外に転送されることはあるか」と問われたとき、構成図を示して回答できます。個別に確認して回答するのではなく、あらかじめそう作ってあるという答え方になります。
審査に通るために後から構成を変えるのは、コストが高くつきます。取引先の要求水準が上がる方向にしか動かない以上、先に国内完結で作っておくほうが総額では安くなる、という判断です。
まとめ
労務データをAIに渡す判断には、個人情報保護法28条の越境移転規制と、クラウド例外が成立するかどうかという2つの論点があります。学習利用の有無で結論が変わるため、サービス名だけで可否を決められません。
やることは3つです。使っているAIサービスごとに、データの処理場所と学習利用の有無を確認して記録する。労務データを機密度で分類し、国内完結で扱う範囲を決める。決めた内容を、取引先に説明できる形で文書化する。
AIサービスの利用実態を把握する具体的な方法は、「AIの精度が不安」を解消するガードレール設計入門、人事データにAIを使う際の線引きは人事評価にAIをどこまで使ってよいのかであわせて扱っています。
参考：個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）｜個人情報保護委員会
お問い合わせ： WorkRulesアーキテクチャーズ株式会社
AIエージェント特化型｜BPO契約企業180社超｜SRPⅡ認証取得｜特許出願済み10件
