顧客データとAI：モデルに法的に含めることができるもの、そしてそれを証明する方法

顧客データのAI利用：法的な基礎とベストプラクティス

多くの企業がAIを顧客データに適用したいとき、最初に問うべき質問は「これをして良いのか？」というものですが、これは誤った問いです。決定的なのは、1年後に規制当局や大口クライアントに対して、それが許容されていたこと、適切に処理されていたことを証明できるかどうかです。法的作業は主に書類作成と規律の遵守に関わります。良いニュースは、それらを計画できるということです。

この記事では、GDPRを基準として取り上げています。これは他のプライバシー法の模範となる基準を設定しているからです。法律相談ではありません。弁護士が尋ねてくるであろう決断事項をカバーしており、質問に答えを用意しておく方が良いでしょう。

目的から始める

顧客データは特定の理由で収集されます：注文の履行、サポート提供、請求書発行などです。法律的には、その理由と相容れる目的であれば、そのデータをそれらの目的で使用することが認められています。サポートチケットを利用して、サポートチームによる回答時間の短縮を支援することは通常相容れますが、同じチケットを使ってモデルを訓練し、それを他の企業に販売する計画はそうではありません。

そのため、誰かがデータをアップロードする前に、以下のように1文書きましょう：「私たちは、このデータをXのために利用し、その結果Yに利益をもたらします。」もし書けない、または文章が不自然であれば、そこで停止しましょう。その文言は、その後のすべての基礎となります。

法的根拠を知る

個人データのあらゆる利用には法的な根拠が必要です。AIプロジェクトの場合、現実的な選択肢は通常契約（顧客サービスのために処理が必要）、正当な利益（本物のビジネスニーズがあり、顧客の権利が優先されない）、または同意です。

正当な利益は最も一般的な根拠であり、最も頻繁に主張されるものの、十分な裏付けのないものでもあります。それは書面によるバランステストを必要とします：あなたが得るもの、顧客がリスクを負うもの、そして顧客が合理的にその利用を期待するものです。この文書の作成には数時間かかりますが、監査人が最初に要求してくるものはこれです。

特定のデータは取り扱わない

健康情報、生体認証データ、宗教や政治的な信念、性的指向、労働組合への加入：これらは特別なカテゴリーであり、処理のための基準は非常に高いです。子供のデータや、カード番号などの金融識別子についても同様の注意が必要です。

実務上の単純なルールは次の通りです。プロジェクト全体がこれらの種類のデータを扱うためでなければ、それらのデータについてアドバイスを受けた上で、フィルタリングしてモデルに到達する前に取り除きましょう。赤字化ツールが存在し、実際のデータに対してテストすることができますが、カード番号の95%をフィルタリングしても、残りの5%は通過してしまう可能性があります。

データの行き先も重要な意味を持つ

顧客データをAIベンダーに送信すると、そのベンダーはあなたの処理者となります。そのためには、データ処理契約が必要であり、特に以下の3つの条項に注意してください：

トレーニング: ベンダーがあなたの入力を自社のモデルの改善のために使用しますか？通常、ビジネスレベルでは「いいえ」と回答されます。それを書面で確認しましょう。
保持: ベンダーはあなたのプロンプトや出力の何年間保存し、短縮することが可能ですか？
場所: データはどこで処理されますか？EU外への転送には法的メカニズム（適正性決定や標準契約条項など）が必要です。

自社のインフラストラクチャ上でモデルを実行することで、これらの疑問のほとんどが解消されます。しかし、何をしたかを文書化する必要は依然としてあります。

取得よりも削除が簡単

顧客データに対してモデルにデータを提供する2つの一般的な方法があります。1つはトレーニングまたは微調整で、データがモデルの一部となります。もう1つは、データを自社のシステムに残し、モデルが必要なときに回答するために参照するというもの（通常は「取得」と呼ばれます）。

顧客データに関しては、取得方法の方がほぼ常に安全な選択肢です。顧客がデータの削除を要求したとき、あなたは記録を削除し、将来の回答からそのデータは消えます。トレーニングされたモデルからデータを取り出すことは、実際にはほぼ不可能です。そのため、消去権の履行は非常に難しく、規制当局もそれを認識しています。

適切な対応を示す証拠を残す

証明できないコンプライアンスはほとんど価値がありません。以下の記録を保管し、最新の状態に保ちましょう：

処理記録: AIシステム、使用するデータ、目的、法的根拠を記載したリスト。
データ保護影響評価: 新技術と大量の個人データを組み合わせた場合、通常はこれが必要です。これは監査人に対して最も説得力のある文書の1つです。
処理者契約: データにアクセスするすべてのベンダーとの署名済みの契約書。
ログ: データの入力、時間、権限のもとでの入力を記録し、あなたの赤字化が正常に動作したことを示す証拠も保持しましょう。
担当者: システムの変更ごとに上記のすべてを確認する責任を持つ担当者を指定しましょう。

EU AI法は特にリスクが高い分野（採用や信用など）で追加の文書化義務を課しています。もしあなたの記録がすでにこれらの5つのポイントをカバーしているなら、ほとんど準備は整っていると言えます。

最初からしっかりと基礎を築く

企業が問題に直面するのは、まずパイロットプロジェクトを開始し、後から書類を整理することです。その逆を行きましょう。目的を決め、根拠を選択し、データをフィルタリングし、契約書に署名し、ログを有効にし、そして構築します。最大で数週間かかるだけであり、質問に対する答えがフォルダではなく、準備が整っていることを意味します。

この基礎作業は、Herculesaが提供するサービスの大きな部分を占めています。あなたが私たちのサービスを利用するかどうかにかかわらず、最初からしっかりと行うことが重要です。