AI時代に「個人情報保護」が急に難しく感じる理由
生成AIや機械学習を業務に取り入れると、便利になる一方で「それって個人情報を扱ってない？」という不安が一気に増えます。難しさの正体は、AIが“データを食べて賢くなる”仕組み上、入力（プロンプト）・学習データ・ログ・出力のどこかに個人情報が混ざりやすいことです。
たとえば次のような場面が典型です。
- 社内問い合わせ対応のチャットボットに、顧客の氏名・連絡先・購入履歴が入る
- コールセンター音声の文字起こしをAIで要約し、CRMへ連携する
- 人事評価コメントを生成AIで整形する（社員情報が含まれる）
- 画像生成・解析で、顔写真や車のナンバープレートが混ざる
この記事では、EUのGDPRと日本の個人情報保護法（APPI）の関係を押さえつつ、現場で判断しやすいように「どこに気をつけるか」「どう設計するか」を実務寄りにまとめます。
まず押さえる：AIと個人情報の“登場ポイント”
AI活用で個人情報が関わる箇所は、大きく4つに分けると整理しやすいです。
- 入力：ユーザーや社員がAIに投げるプロンプト、添付ファイル、会話
- 学習・微調整：モデルの追加学習（ファインチューニング）やRAG用の社内文書
- 保存・ログ：プロンプトログ、監査ログ、エラーログ、ベクトルDBの埋め込み
- 出力：要約・推薦・スコアリングなどが“個人に関する判断”になっていないか
ここを分解しておくと、「何を守ればいいか」が一気にクリアになります。
GDPRとAPPI（個人情報保護法）：同じ？違う？
共通する基本思想：目的・最小化・安全管理
GDPRもAPPIも、方向性は似ています。ざっくり言うと、必要な範囲で、目的を明確にし、適切に守るということです。
- 目的の明確化：何のために使うか（目的外利用を避ける）
- データ最小化：本当に必要な項目だけに絞る
- 安全管理：アクセス制御、暗号化、委託先管理など
GDPRの特徴：域外適用と「合法性（Lawful basis）」が強い
GDPRはEU圏の個人データ保護規制で、EU在住者のデータを扱うと日本企業でも対象になり得ます（域外適用）。また、処理の前提として「なぜ処理してよいのか」を説明できる必要があり、よく使われる根拠（lawful basis）には次があります。
- 同意（Consent）
- 契約の履行（Contract）
- 法的義務（Legal obligation）
- 正当な利益（Legitimate interests）
AI活用では、とくに「正当な利益」で進めたくなる場面が多いのですが、本人の権利利益とのバランスを説明できることが重要です。
APPIの特徴：個人情報／個人データ／保有個人データの区分が実務で効く
APPIは、日本の個人情報保護法です。実務では「個人情報」（個人を識別できる情報）に加えて、データベース化された「個人データ」、開示等の対象となる「保有個人データ」といった区分が運用に効いてきます。
