AI開発・サービスで活用される「公開データ」の処理基準を提示

2024.07.17. 公正経済 — 生成型人工知能（AI）モデル開発時に活用される「インターネット上の公開データ」を安全に処理できる政府レベルの基準がまとまった。

個人情報保護委員会は、AI開発に必須の公開データが現行の個人情報規律体系内で適法かつ安全に処理されるよう、「AI開発・サービスのための公開された個人情報の処理ガイド」を策定し公開したと17日明らかにした。

公開データは、インターネット上で誰もが合法的にアクセスできるデータで、ChatGPT（チャットGPT）などの生成型AIを開発するための学習データの核心原料として使われる。AI企業は、Common Crawl（コモンクロール）、ウィキペディア、ブログ、ウェブサイトなどにある公開データをウェブスクレイピングなどの方法で収集し、AI学習データとして活用している。

Common Crawlは、インターネット上のデータを自動的に収集し、誰もがアクセスして分析できるよう保存・維持・管理する公開リポジトリ（http://commoncrawl.org）だ。ウェブスクレイピングは、ウェブサイトから必要なデータを自動的に抽出する手法である。

このような公開データには、住所、固有識別番号、クレジットカード番号などのさまざまな個人情報（公開された個人情報）が含まれ得るため、国民のプライバシーが侵害される恐れが大きい。しかし、現行の個人情報保護法には、このような公開された個人情報の処理に適用できる明確な基準がない。

例えば、AI学習に公開データが大規模に処理される状況で、現行保護法上の情報主体の個別同意や契約締結などの条項を適用することは事実上難しい。また、AI学習が従来の個人情報処理方式とは異なるため、保護法上の安全性確保措置などの規定もそのまま適用することには一定の限界があった。

このため、個人情報保護委員会は公開個人情報の収集・活用の法的基準を明確化し、AI開発およびサービス段階でどのような安全措置を講じることが適切かについて、企業が参考にできる最低限の基準を示す案内書を策定したと発表した。公開個人情報を活用する企業の個人情報侵害リスクを最小化するとともに、法的不明確さを解消し、企業のイノベーション成長を支援するという趣旨である。

個人情報保護委員会は、昨年8月に「AI時代の安全な個人情報活用政策方向」を発表して以降、「AIプライバシー官民政策協議会」を中心にガイドに関する議論を進める一方、学界・産業界・市民団体ともコミュニケーションを取りながら幅広い意見収集を並行した。

政策協議会は、学界、法曹界、産業界、市民団体などAI分野の次世代専門家30人で構成され、▲データ処理基準▲リスク評価▲透明性確保の3つの分科を運営している。

特に、欧州連合（EU）、米国などAI革新と安全のバランスを図る海外主要国でも、最近公開データ処理を含むAI・データ処理全般について個人情報保護の規律体系を形成しつつある点を考慮し、国際的に相互運用可能な基準を整備することに重点を置いた。

まず、保護法第15条に基づく「正当な利益」条項により、公開された個人情報をAI学習・サービス開発に活用できる点を明確にした。

また、このような「正当な利益」条項が適用されるためには、AI開発目的の正当性、公開された個人情報処理の必要性、具体的な利益衡量という3つの要件を満たす必要がある。個人情報保護委員会は、今回のガイドで3つの要件の内容と適用事例も案内した。

したがって、「正当な利益」条項の合理的な解釈基準を整備することは、欧州連合一般データ保護規則（EU GDPR）や最近のAI安全性規範の議論など、グローバルスタンダードとの相互運用性を高める側面がある。

また、個人情報保護委員会はガイドラインを通じて、AI企業が「正当な利益」を根拠に公開された個人情報を処理するために考慮できる技術的・管理的な安全性確保措置と情報主体の権利保障策を具体的に案内した。

ただし、急速なAI技術変化などを考慮し、詳細な安全措置などを柔軟に導入・施行できるようにした。AI企業はすべての安全措置を義務的に実施する必要はなく、ガイドに提示された複数の安全措置の順機能とAI性能低下、偏りなどの副作用、技術成熟度を考慮し、企業の特性に合った「安全措置の最適な組み合わせ」を自ら選択して履行できる。

個人情報保護委員会は、今年3月のAI事前実態点検を通じて把握した主要大規模言語モデル（LLM）事業者の実際の安全措置履行事例を案内し、企業が「最適な組み合わせ」を判断する際の参考にできるようにした。

最後に、AI開発のための学習データ処理に関するAI企業と個人情報保護責任者（CPO）の役割を強調した。

CPOを中心とする「（仮称）AIプライバシー担当組織」を自律的に構成・運営し、ガイドに基づく基準の充足可否を評価し、その根拠を作成・保管するよう勧告した。AI性能改善など重大な技術的変更や個人情報侵害発生の懸念などのリスク要因を定期的にモニタリングし、個人情報の漏えい・露出などの侵害事故発生時には迅速な権利救済方案も整備するよう求めた。

ガイドは、今後、個人情報関連法令の制定・改正、AI技術発展の動向、海外規制整備の動向などを考慮し、継続的に更新される予定だ。

また、公開された個人情報とともにAI学習データの主要な源泉を成す利用者個人情報の適法な処理根拠と基準などについては、学界、産業界、市民団体などの意見収集を経て具体化していく予定だ。

このほか個人情報保護委員会は、事前適正性審査制度、規制サンドボックス、個人情報安心区域などの革新支援制度を通じてAI企業と随時コミュニケーションを取りながら技術発展と市場状況をモニタリングし、これを通じて蓄積された事例と経験を基に保護法をAI時代に合わせて整備する作業も推進する予定だ。

今回のガイド関連の議論に参加したキム・ビョンピル韓国科学技術院（KAIST）教授（官民政策協議会データ処理基準分科長）は、「本ガイドは個人情報を忠実に保護しながらもAI革新を奨励する適切な折衷点を見つけようとする努力の一環だ。信頼できるAI開発、利用のための良い参考資料になると思う」としながらも、「ただし、AI技術が急速に変化するだけに、今後本ガイドに含まれた内容も持続的に発展していくという点を念頭に置いてほしい」と強調した。

官民政策協議会の共同議長であるペ・ギョンフンLG AI研究院長は、「今回のガイド公開はAI技術発展と個人データ保護を同時に達成するための重要な進展であり第一歩」とし、「公開データで個人情報を安全に処理できる基準を提供することで、AI技術開発における法的不確実性が低くなり、安全にデータを活用できるようになった。これはまさに国民が信頼できるデータ処理環境でAI技術の恩恵を享受できる基盤になるだろう」と展望した。

高鶴洙（コ・ハクス）個人情報保護委員会委員長は、「AI技術の進歩は急速に進んでいるが、AI開発の核心的な課題である公開データ学習が保護法に照らして適法かつ安全かどうかは空白の状況だった」とし、「今回のガイドを通じて国民が信頼するAI・データ処理慣行を企業自ら作り出し、こうして蓄積された優良事例がガイドに継続的に反映されることを期待する」と述べた。