自動化の相談で最も多く出る問いは、たいてい技術的なものではありません。システムがどう動くのか、どれだけの業務を担うのか、どのプログラムとつながるのかを話したあと、ある時点でこの一言が出ます。「ところで、うちの顧客情報はどこへ行くのですか」
もっともな問いであり、多くの場合は答えのないまま終わります。自動化を説明する記事はシステムが何をするかを語りますが、データがどこへ向かうかは語りません。しかし顧客データを扱う事業者は、データ保護に関する義務を負います。自動化を導入してもその責任は消えませんし、むしろ広がることもあります。
本稿は法的助言ではありません。自動化を導入するときにどんな問いを立てるべきかを示すことが目的です。個別の事情については必ず法律の専門家にご相談ください。
🔒 覚えておきたいこと：自動化を導入しても、データに対する責任は御社に残ります。システムを構築する会社は御社に代わってデータを扱いますが、顧客に対して責任を負うのは御社です。この区別が契約に書かれていないと、問題が起きたときに誰が何をするのかが曖昧なままになります。
AIはなぜこの図を変えるのか
個人情報を扱うこと自体は新しくありません。氏名も電話番号も住所も、長年記録されてきました。AIが加える違いは三点にまとまります。
データが外へ出ることがあります。従来の会計ソフトはデータを内部に保持します。AIを使う仕組みは、文章を処理するために言語モデルへ送ることが多くあります。そのモデルは別の会社のものかもしれず、別の国で動いているかもしれません。
データが結び付きます。自動化は異なる出所を一か所に集めます。ウェブの入力欄、メッセージ、通話の記録、メール。個々には無害に見える情報も、集まればはるかに詳しい人物像を形づくることがあります。
判断が自動になります。どの提案をどの顧客へ送るか、どの申し込みを先に扱うかをシステムが決めるなら、その判断がどう下されたのかを説明できる必要が生じることがあります。
管理者は誰で、処理者は誰か
法令は二つの役割を分けており、この区別が契約の土台になります。
- 管理者は、なぜ、どのようにデータを扱うかを決める側です。顧客データを集める事業者が通常この役割に立ちます。
- 処理者は、管理者に代わり、その指示に従ってデータを扱う側です。自動化を構築し運用する会社は多くの場合ここに位置します。
この区別は紙の上だけで終わってはいけません。両者の関係は書面のデータ処理文書にまとめることが望まれます。どのデータを、どの目的で、どれだけの期間、誰の指示で扱うのか。この文書がなければ、責任の境界は不明確です。
「データはどこへ行くのか」の三つの側面
サーバーはどこにあるのか
データは物理的にどこかに置かれます。国内かもしれませんし、欧州かもしれませんし、別の国かもしれません。国外への移転は別の規則に従い、すべての場合に同じ条件が当てはまるわけではありません。構築する会社への最初の問いはこれです。データを保管するサーバーはどの国にありますか。
AIモデルはデータをどう扱うのか
処理のためにモデルへ文章を送ったとき、その行方は提供元によって変わります。送られたデータを学習に使わないと約束する提供元もあれば、一定期間保管する提供元も、まったく保管しない提供元もあります。これらの条件は契約に書かれており、時とともに変わることがあります。
立てるべき問いはこれです。利用しているAI提供元のデータ方針は何か、自社のデータはモデルの学習に使われるのか。
連鎖の先には誰がいるのか
自動化がひとつの部品で完結することはまれです。メッセージ基盤、データベース、メールサービス、ホスティング事業者。どれも連鎖の一環であり、どれもデータに触れ得ます。この一覧を書き出さないかぎり、データの行方はわかりません。
この連鎖のひとつひとつは、同時に攻撃面でもあります。脅威がどこから来うるのかはAIサイバーセキュリティで扱いました。
相談の場で立てたい問い
技術的な深入りをしなくても、次の問いで全体像の多くは明らかになり得ます。
- 顧客データはどの国のサーバーに保管されますか。
- どの第三者サービスがデータに触れますか。一覧はありますか。
- AI提供元は送られたデータをモデルの学習に使いますか。
- データはどれだけ保管され、その後はどうなりますか。
- システムを停止した場合、データは返却されますか。どの形式ですか。
- 顧客から削除の求めがあった場合、手続きはどう進みますか。
- 契約とあわせてデータ処理の文書は提供されますか。
- セキュリティ事案が起きたとき、いつ、どのように知らされますか。
答えが得られないこと自体も手がかりです。答えられないなら、その相手も把握していない可能性があります。
これらの問いは、準備の一覧のうちデータに関わる側面です。一覧の残りは自動化プロジェクトが失敗する理由にまとめました。
通知と同意
顧客のデータを扱うなら、その旨を伝えることが望まれます。通知の文書はそのためにあります。誰が、どのデータを、なぜ扱い、本人にどんな権利があるのかを記します。
すべての取り扱いに個別の同意が要るわけではありません。契約の履行に必要な処理は、別の法的根拠に基づく場合があります。ただし広告目的の連絡などでは別途の許可が必要になることがあり、この領域では追加の義務も生じます。
自動化を導入するうえで要となるのはここです。システムはどの法的根拠でどのデータを扱い、それは書面になっているか。
保管と削除
データは永久には保管されません。種類ごとに保管期間を定め、期間が過ぎたら削除することが望まれます。自動化はここで力になり得ます。期間を追い、期限の過ぎた記録をみずから削除するように仕組みを組むことができます。
ここでの問いは単純です。仕組みにそもそも削除という機能があるのか、それともデータは溜まる一方なのか。バックアップではどうなるのか。削除した記録がバックアップから戻ってくることはあるのか。
契約で確かめたいこと
自動化の契約では、データに関する部分が独立した項目として扱われることが望まれます。少なくとも次の点が書面にあると安心です。
- 両者の役割：誰が管理者で、誰が処理者か
- 扱うデータの種類と処理の目的
- 保管期間と、期間満了後の取り扱い
- 再委託の有無と、その通知の方法
- 安全対策と、事案発生時の通知手順
- 契約終了時のデータの返却または廃棄
契約のうちデータ以外の部分は、カスタム開発か既製パッケージかによって変わり得ます。二つの道筋はカスタムソフトウェア vs 既製パッケージで比較しました。
私たちの進め方
Kılman Bilişim が構築する仕組みでは、データは顧客ご自身の環境にとどまります。サーバーは欧州に置かれています。会話の記録には保管期間を定め、期限の過ぎた記録は自動的に削除されます。
構築の前に、どのデータがどこへ向かうのかを一緒に洗い出します。データ処理の部分は契約の独立した項目として扱い、この点については法的な支援を仰いでいます。
よくある質問
AIを使った自動化はデータ保護の面でリスクを増やしますか。
リスクの多くは自動化そのものではなく、データがどこへ行くのか分からないことから生まれます。どのサーバーに置かれるのか、どの第三者が触れるのか、どれだけ保管されるのかに書面の答えがあれば、状況は明確になります。これらの問いが未回答のままだと、システムがどれほど良く動いてもリスクは残り得ます。
顧客データはAIモデルの学習に使われますか。
これは利用する提供元と選んだプランによって完全に変わります。業務データを学習に使わないと契約で約束する提供元もあれば、一定期間保管する提供元もあります。構築する会社に、どの提供元をどの条件で使うのか書面で求めるのが適切です。
データが海外のサーバーにあることは問題ですか。
国外への移転は別の規則に従い、すべての場合に同じ条件が当てはまるわけではありません。移転の法的根拠と必要な書類がそろっているかが重要です。サーバーがどの国にあるかを確かめるのが最初の一歩で、その後に法律の専門家と検討が必要になることがあります。
システムを構築する会社との間に別途データ契約は必要ですか。
管理者と処理者の関係は書面にしておくことが望まれます。通常は主契約に付随するデータ処理の付属文書として作成されます。どのデータを、どの目的で、どれだけの期間、誰の指示で処理するのかが記されます。この付属文書がないと、責任の境界が曖昧なまま残ることがあります。
まとめ
自動化を導入しても、データに対する責任は消えません。システムを構築する側は御社に代わってデータを扱いますが、顧客に対して責任を負うのは御社です。ですから「システムは何をするのか」の隣に、「データはどこへ行くのか」という問いも置かれるべきです。
よい知らせは、これらの問いが複雑ではなく、答えを構築の前に得られることです。サーバーはどこか、誰がデータに触れるか、どれだけ保管されるか、どう削除されるか。四つの問いで全体像の多くは明らかになり得ます。