AIで扱うデータの保存先と、個人情報保護法の確認事項

入力には、個人情報、営業上の機密、公開情報などが混在します。埋め込みやログも、内容と利用方法に応じた確認が必要です。ベクトル化すれば個人情報ではなくなる、すべてのベクトルが必ず個人データになる、とも一律には言えません。元の記録、検索された文章、回答、識別子を含め、実際の情報に法令上の定義を当てはめます。

個人情報保護法が、すべての個人データの国内保存を一律に求めるわけではありません。外国にある第三者への提供には条件と例外があり、相手方、国、保護の措置、適用する方法を確認する必要があります。個人情報保護委員会の外国第三者提供に関するガイドラインを参照してください。リージョン名、本社の所在地、学習に利用しないという説明だけで結論は出せません。

埋め込み、出力検査、外部ツール、ログ、バックアップ、再委託先、サポート時のアクセスを確認します。保存期間、二次利用、削除の条件も契約と照合します。国内で動くアプリケーションでも、別の機能が国外に情報を送る場合があります。構成図には経路を記載し、購入可能な機能と実際に設定した制御を区別します。

利用を認めるサービスと情報の種類を定めます。分類器で送信先を変える場合は、機密情報の見落とし、内容が混在する文書、障害時の代替経路を試します。権限や通信の制御は、モデルの指示だけに任せません。事業者、リージョン、モデル、ツールを変える際は再確認します。業界基準、契約、社内規程が追加する条件も、それぞれ記録します。

保存先は確認事項の一つです。情報の内容、目的、アクセス、提供先、安全管理、実際の提供の条件も確認します。

ベクトル化だけで匿名化を証明することはできません。含まれる情報や他の情報との関係、取り扱いに応じて確認します。