AI利用ログは見張りではない｜本人に説明できる残し方

「利用の記録は取っているのですが、何のために取っているのかと聞かれると答えられません」「記録を取ると社内に通知した週から、相談の件数が目に見えて減りました」——AIの利用記録をめぐって、情報システムの担当者から出てくる困りごとです。個人情報保護委員会は、従業者を対象とする監視について、目的をあらかじめ特定したうえで社内規程等に定め、従業者に明示することを留意点として挙げています。つまり制度の側が求めているのは、取る量を絞ることではなく、何のために取るのかを先に決めて伝えることです。記録が見張りに見えてしまうのは、取っている量の問題ではなく、決める順番と伝える順番が逆になっているからです。この記事では、残す単位の決め方、本人に先に伝える内容の書き方、そして本人から説明や開示を求められたときに出せる形にしておくまでを整理します。

記録を取り始めた職場で、実際に起きること

記録の仕組みを入れた直後は、たいてい静かです。反発が出るのは、最初の集計が回ったときです。誰が何回使ったかの一覧が部門長に配られ、それが会議の資料に載る。ここで初めて、記録が何に使われるのかが具体的な形で全員に伝わります。伝わり方が、最初に回った1枚の一覧で決まってしまうのが、この仕組みの厄介なところです。

そのあとに起きることは、だいたい決まっています。回数の少ない部門が説明を求められ、その部門は回数を増やす方向に動く。中身ではなく回数を目的にした使い方が増え、記録の数字は伸びるのに、業務が変わった実感は出てきません。測っている数字そのものが、行動の向きを変えてしまうためです。

もう1つ起きるのが、記録の残らない場所への移動です。会社が用意した道具ではなく、手元の端末や個人で契約した道具に使い方が移っていく。こうなると社内の記録は減り、数字の上では落ち着いたように見えます。記録が減ったことを、落ち着いた証拠として読んでしまうのが、この仕組みでいちばん危ない読み違えです。

「見張り」と受け取られた記録は、使い方を地下に潜らせる

記録が見張りとして受け取られるかどうかは、取っている量では決まりません。決めているのは、開く理由を言葉で説明できるかどうかです。同じ記録でも、事故が起きたときに経路をたどるために開くと決まっていれば見張りにはなりませんし、理由を誰も言えなければ、量が少なくても見張りとして扱われます。

受け取られ方が悪いほうに振れると、現場の行動は3つの順に変わります。まず、業務の中身に近い相談を出さなくなる。次に、使ったこと自体を報告しなくなる。最後に、記録の残らない道具へ移る。3つ目まで進むと、会社の側からは何も見えなくなります。見えないものは、起きたときに止められません。

ここで押さえておきたいのは、隠れて使う人が増える原因が、規則の厳しさではないことです。厳しくても、理由が納得できる規則は守られます。守られなくなるのは、何に使われるのか分からないまま、自分についての情報だけが集まっていく状態が続いたときです。原因は規則の強さではなく、説明の不在の側にあります。

本人に説明できない記録は、いざというとき出せない

困りごとは、社内からだけではなく外からも来ます。本人から「私について何を記録していますか」と尋ねられたときに、答えられないことです。個人情報保護法は、保有個人データについて、その利用目的や、開示などの請求に応じる手続を本人の知り得る状態に置くことを求めています。尋ねられてから整えるのでは、間に合いません。

出せない理由は、たいてい2つに分かれます。1つは、記録が人ごとに取り出せる形になっていないことです。道具ごと、日ごとには出せるのに、この人の分だけを抜こうとすると作業に半日かかる。もう1つは、1人分の記録の中に、別の従業員の名前や取引先の情報が混ざっていることです。

2つ目は特に厄介で、混ざったまま出すわけにはいきません。出せる形にしておくとは、本人の分だけを、他人の情報を巻き込まずに抜けるようにしておくことです。これは検索の速さの話ではなく、何を1件として残すのかという設計の話になります。次の節から、その設計が崩れる原因を3つに分けて開いていきます。

原因1：残す単位を決める前に、取れるものから取り始めた

いちばん多い原因は、順番です。記録の仕組みは、設定を入れれば取れるものが一通り取れてしまいます。だから何を残すかを決める工程が、そもそも存在しないまま始まる。取れるものを全部取り、あとから何に使うかを考える。この順番で始めた記録は、必ず量が多くなり、必ず説明が難しくなります。

量が多いこと自体は、費用の問題にとどまりません。困るのは、説明を求められたときです。何を残していますかと聞かれて、取れるものを一通り、としか答えられない。すると相手は、自分の知らない何かが残っていると考えます。説明の曖昧さが、そのまま不信の量になります。

順番を戻すには、取っているものを減らす前に、書き出す作業から始めます。いま実際に残っている項目を、1行ずつ紙に並べる。その横に、その項目を何のときに見るのかを書く。書けない項目が、減らす候補です。見る場面を書けない項目は、取っていても開かれることがないので、残しておく理由がありません。

原因2：入力した文を残すかどうかを、同じ議論に混ぜている

2つ目の原因は、議論の混線です。誰がいつどの道具を使ったかという記録と、その人が実際に入力した文そのものを残すかという話は、重さがまったく違います。ところが会議では、どちらも「ログをどうするか」という1つの議題に入ってしまいます。重さの違う2つを同じ議題で決めると、軽いほうが重いほうに引きずられます。

引きずられ方には向きがあります。入力した文まで残すことに抵抗が出ると、記録全体が過剰だという空気になり、使った事実の記録まで見送られる。逆に、事故の再発防止のために全部残そうという話になると、入力した文も既定で全部残る設定になる。どちらも、決めたというより流れた結果です。

分けるのは簡単です。議題を2つに割り、先に軽いほうから決める。使った事実の記録は、どの会社でも必要になる部類なので、そこで揉める理由はほとんどありません。入力した文を残すかどうかは、残す条件を書けるかどうかで決める——これを別の議題に切り出すだけで、話は前に進みます。

原因3：開ける人と開ける場面が、どこにも書かれていない

3つ目は、開く側の空白です。記録の仕組みを入れるときに議論されるのは、たいてい何を取るかと、どれだけ保つかの2つです。誰が、どんなときに、どこまで開いてよいのかは、書かれないまま運用が始まります。結果として、管理する権限を持っている人なら誰でも、いつでも開ける状態になります。

この状態は、実際に開かれなくても働きます。開けることを知っている人がいて、その人が開かない保証がどこにもない。従業員から見れば、これは常に開かれているのと同じです。開いた回数ではなく、開ける状態が続いていること自体が受け取られ方を決めるからです。

しかも、開ける人が決まっていない仕組みは、開いた記録も残しません。誰が誰の記録を見たのかが分からないので、後から問われても答えられない。記録を取る仕組みに、記録を見たことの記録がない——この抜けは、外部からの点検で最初に指摘されやすい場所でもあります。

見落としやすいのが、社内の人だけを想定していると起きる抜けです。記録の仕組みの運用を外部に任せている場合、その委託先の担当者も、作業のために記録を開ける立場にあります。契約書の作業範囲に記録の閲覧が書かれているか、閲覧した記録が会社側に渡るようになっているか。ここを確かめずに開ける人の一覧を作ると、一覧に載っていない人が実際には開ける状態のまま残ります。次の節から、対策の側に入ります。

残す単位を、4つの要素で先に決める

対策の起点は、残す単位を4つの要素に絞ることです。いつ・誰が・どの道具を・どの区分のデータで。この4つまでで、大半の目的は足ります。事故が起きたときに経路をたどる、外部からの点検に答える、使われ方の偏りを見る。どれも、入力した文そのものがなくても成立します。

次の表は、4つの要素について、何を書くのか、本人にどう説明できるのか、そしてどこから取りすぎになるのかを並べたものです。右端の列に自社の設定が当てはまっていないかを、先に確かめてください。

残す要素	何を残すか	本人への説明の形	取りすぎになる形
いつ	使った日と時刻。分の単位まであれば足りる	いつ使ったかを残しています	画面を開いていた時間の長さや、操作の間隔まで記録する
誰が	社員を一意に指す番号。氏名は表示するときに結びつける	誰の利用かが分かる形で残しています	接続元の場所や端末の位置を、常時ひもづけて残す
どの道具を	道具の名前と版。社内の道具か外部の道具かの別	どの道具を使ったかを残しています	画面の操作を一つひとつ、動画や連続した画像で残す
どの区分のデータで	あらかじめ決めた区分の記号。実際の値は残さない	扱った情報の区分を残しています	入力した文と出力された文を、既定で全部残す

表の左から3列目は、飾りではありません。ここに書けない要素は、本人に説明できない要素です。説明の文を先に書いてみて、書けたものだけを残す設定にする。この順番にすると、取りすぎは設計の段階で落ちます。設定を入れたあとに減らすより、はるかに手間がかかりません。

入力した文は、条件を決めてから残す

入力した文を一切残さないのが正しい、という話ではありません。事故が起きたときに、何を入れたのかが分からないと原因にたどり着けない場面は実際にあります。問題は、既定で全部残すか、一切残さないかの二択で決めてしまうことです。決め方は、二択ではなく条件の側にあります。

条件の形は3つに整理できます。1つ目は、本人が自分の判断で残す形。相談の内容を後から引き継ぐために、本人が印を付けたものだけが残ります。2つ目は、あらかじめ決めた区分のデータを扱ったときだけ残る形。3つ目は、事故の申告があった時点から先だけ、期間を切って残す形です。

3つのどれを選ぶにしても、同時に決めることが1つあります。残った文を誰が読めるのかです。残す条件と、読める人の範囲は、必ず同じ場面で決める。条件だけ決めて読める人を決めないと、結局は管理の権限を持つ全員が読める状態になり、二択で全部残したのと変わらなくなります。

残した文には、保つ期間も別に付けてください。使った事実の記録と同じ期間にすると、たいてい長すぎます。事故の調査のために残した文であれば、調査が終わった時点で役割は終わっています。それでも残り続けると、次に別の用途を思いついた人が、残っているという理由で使い始めます。もう1つ、残した文を読んだときの記録も一緒に残る設定にしておいてください。読めることと、読んだ跡が残ることは別の設定なので、片方だけが入っている状態がよく起きます。

公的な指針が挙げている、モニタリングの4つの留意点

ここまでの話には、参照できる土台があります。個人情報保護委員会が示しているガイドラインのQ&Aには、個人データを取り扱う従業者を対象とする監視を実施する場合に留意することが考えられる点として、4つが挙げられています。この4つは、そのまま社内の決めごとの目次として使えます。

• 「モニタリングの目的をあらかじめ特定した上で、社内規程等に定め、従業者に明示すること」
• 「モニタリングの実施に関する責任者及びその権限を定めること」
• 「あらかじめモニタリングの実施に関するルールを策定し、その内容を運用者に徹底すること」
• 「モニタリングがあらかじめ定めたルールに従って適正に行われているか、確認を行うこと」

4つを並べると、順番が見えてきます。目的を決めて書いて伝える、責任者を決める、運用する人に手順を徹底する、そのとおりに行われているかを確認する。取る量の話が、4つのうちどこにも出てこないのが要点です。制度の側が見ているのは、量ではなく、決めてあるか・伝えてあるか・そのとおりに運用されているかのほうです。

同じQ&Aには、続けて書かれていることがあります。監視について個人情報の取扱いに係る重要事項等を定めるときは、あらかじめ労働組合等に通知し、必要に応じて協議を行うことが望ましく、定めたときは従業者に周知することが望ましい、という趣旨です。決める前に通知して協議し、決めたあとに周知する——先に伝える工程が、2か所に置かれていることになります。

本人に先に伝える内容を、5つの文にする

伝えるといっても、規程をそのまま配っても読まれません。実務で効くのは、短い5つの文にして、使い始めの画面と、年に一度の周知で同じ文を出すことです。文が同じであることが大事で、場所によって言い方が違うと、どれが本当なのかを確かめる手間が生まれます。

5つとも、書いた時点で運用の縛りになります。だから書く前に、実際の設定と突き合わせてください。書いた内容と設定がずれていると、ずれが見つかった瞬間に、5つ全部が信用されなくなります。伝える文を書く作業は、設定を点検する作業と同じものだと考えると、ずれは残りません。

求められたときに出せる形とは、どういう形か

本人から自分の記録について求められたとき、実務で必要になるのは3つです。1つ目は、その人の分だけを抜き出せること。2つ目は、抜き出したものに他人の情報が混ざっていないこと。3つ目は、相手が読める形になっていることです。3つ目を落とすと、渡したのに理解されないという結果になります。

1つ目と2つ目は、残す単位を4つの要素に絞っていれば、ほぼ自動的に満たされます。使った日時と利用者と道具と区分の記号だけなら、他人の情報は入りようがありません。逆に、入力した文を既定で全部残す設定にしていると、この2つが一気に難しくなります。出せる形にしておくことと、残す量を絞ることは、同じ設計の裏表です。

3つ目は、渡し方の工夫です。記録がそのままの形で読めることは少ないので、項目の名前を日本語にし、記号の意味を対応表で添えます。なお、個人情報保護法では、保有個人データの開示は、電磁的記録の提供による方法を含め、本人が請求した方法によるのが原則とされています。渡す形を会社の都合だけで決められるわけではない点は、押さえておいてください。

記録を開く手続きを、3つの段に分ける

開く手続きは、理由の重さで段を分けます。全部を同じ重さで扱うと、軽い用途のたびに重い手続きを踏むことになり、やがて手続きそのものが飛ばされます。飛ばされる手続きは、無いのと同じです。段の分け方は、集計だけを見る場合、特定の1人を見る場合、入力した文まで見る場合の3つで足ります。

集計だけを見る場合は、個人が特定できない形に丸めたものを、決められた担当が定期的に見ます。ここは申請を要りません。特定の1人を見る場合は、理由を書いた申請と、申請を受ける人の承認を必須にします。このとき、申請に書く理由は選択肢から選ばせるのではなく、文で書かせてください。選択肢は、理由を考えないまま押す動きを作ります。

入力した文まで見る場合は、さらに1つ足します。本人に知らせるかどうかを、その場で決めて記録することです。知らせない選択をする場面は実際にありますが、知らせないと決めたこと自体は必ず記録に残す。残っていれば、後から妥当だったかを検証できます。残っていなければ、検証すらできません。

保存する期間は、開く目的の長さから決める

保存期間は、この記事では1つの考え方だけを置きます。期間は、記録を開く目的がいつまで生きているかから決めるということです。事故の経路をたどるために開くなら、事故が発覚しうる期間。外部からの点検に答えるために開くなら、点検の周期。目的ごとに長さが違うので、1つの期間で全部をまかなおうとすると、必ずどこかが長すぎます。

長すぎる期間には、はっきりした害があります。決めたときの目的とは違う用途に、後から使われることです。人が入れ替わり、当時の経緯を知る人がいなくなった記録は、残っているという理由だけで使われます。目的の寿命より長く残した記録はいつか別の目的に使われると考えて、期間は短いほうに倒してください。

実務としては、要素ごとに期間を分けるのが現実的です。使った事実の記録は長めに、入力した文は短めに。期間が過ぎたものが自動で消えることまで設定して、初めて決めたことになります。消す仕組みを入れていないと、期間は書いてあるだけになり、実際には無期限で残り続けます。

記録の読み取りをAIに渡してよい範囲

記録の扱いそのものにAIを使う場面も出てきます。渡してよいのは、量を減らす作業と、候補を並べる作業までです。大量の記録から同じ形のものをまとめる、いつもと違う並びを拾い上げる、質問に答えるための要約を作る。ここまでは、人がやるより速く、間違いも見つけやすくなります。

渡してはいけないのは、その先です。これは問題のある使い方だ、という判定を出させること。判定を出させると、判定の理由が残りません。理由が残らない判定は、本人に説明できません。本人に説明できない材料は、社内の判断にも使えないというのが、この記事を通した一本の線です。拾い上げた候補には、なぜ拾ったのかを文で書かせ、人がその文を読んでから次に進めてください。

• 記録をAIに渡す前に、氏名や取引先の名前が含まれていないかを確かめる。含まれるなら番号に置き換えてから渡す
• 外部のAIを使う場合は、入力が学習に使われない設定になっているかを、記録を渡す前に確認する
• AIが拾い上げた候補は、そのまま個人の記録を開く理由にしない。開く理由は人が書いて申請に残す
• 要約させた結果を本人に見せる場合は、元の記録と突き合わせてから渡す。要約だけを渡すと、元に無い内容が混ざっても気づけない

決めた線が崩れる場面と、崩れていないことの確かめ方

決めたことが崩れるのは、規程を変えたときではありません。規程はそのままで、運用だけが少しずつずれていくときです。崩れ方には型があるので、先に並べておきます。どれも、その場では正しい判断に見える点が共通しています。

• 急ぎの調査で、申請を飛ばして開く：一度飛ばすと、次からも飛ばせることになる。急ぎのときの手続きを別に用意しておく
• 集計を人単位で出す：丸めて見ると決めたはずが、部門長の求めに応じて人ごとの一覧が作られる。作れる状態にしないことで防ぐ
• 目的を後から書き足す：使いたい用途が出るたびに目的が増え、最初に伝えた文と食い違っていく
• 試しに残す設定を入れたまま戻さない：調査のために一時的に広げた設定が、終わったあとも既定として残り続ける
• 開いた記録を残していない：誰が誰の記録を見たかが分からず、崩れていないことを示す材料がそもそも無い

崩れていないことを確かめる方法は、1つで足ります。年に一度、本人に伝えている5つの文と、実際の設定と、開いた記録の3つを並べて突き合わせる。3つが一致していれば、運用は崩れていません。どれか1つがずれていたら、ずれた側ではなく、伝えている文のほうを直すか、設定のほうを直すかを決めてください。

この突き合わせは、外部からの点検の準備にもなります。聞かれて困るのは、決めていないことではなく、決めたことと違うことをしている状態です。決めていないなら、これから決めますと答えられます。違うことをしている状態は、答え方がありません。年に一度の突き合わせは、この状態を作らないための作業です。

よくある質問

記録を取ること自体を、従業員に反対されました

反対の中身を分けてください。取ること自体への反対は実際には少なく、多くは「何に使われるか分からない」ことへの反対です。使わない用途を文で書き、開ける人を役職名で書いて示すと、反対の量は目に見えて変わります。それでも残る反対は、取る量ではなく開く手続きの側に理由があることが多いので、手続きの案を見せて意見を聞いてください。

入力した文を残していません。事故が起きたら追えないのではないですか

追える範囲は確かに狭くなります。ただし、いつ・誰が・どの道具で・どの区分のデータを扱ったかが残っていれば、対象の人と時間帯までは絞れます。そのうえで本人に聞くのが実務の順序です。残していない設計を選ぶなら、申告があった時点から期間を切って残す仕組みだけは用意しておくと、追えない幅が小さくなります。

本人から開示を求められたら、どこまで出すのでしょうか

原則は、その人についての記録を出します。ただし、他の人の情報が混ざっている部分や、法令で定められた例外に当たる部分は別の扱いになります。個人情報保護法では、本人や第三者の生命・身体・財産に危害が及ぶおそれがある場合など、開示の義務が及ばない類型が定められています。判断が分かれる場合は、出す前に法務に相談する経路を先に作っておいてください。

部門長から、部下の利用状況を見せてほしいと言われます

どの段に当たるかで答えが変わります。丸めた集計であれば、決められた範囲で出せます。特定の1人については、理由を文で書いた申請と承認を経るのが基本です。ここを例外にすると、手続きは急速に形だけになります。断る場合は、代わりに何なら出せるのかを同時に示してください。断り方だけを伝えると、別の経路で求められます。

すでに取りすぎている記録があります。どこから直せばよいですか

減らす前に、書き出しから始めてください。いま残っている項目を並べ、その横に見る場面を書く。書けない項目が最初に減らす対象です。次に、本人に伝える5つの文を書いてみて、書けない部分があれば、そこが設計のずれている場所です。設定を触るのは、この2つが終わってからで間に合います。

まとめ

AIの利用記録が見張りとして受け取られるかどうかは、取っている量では決まりません。決めているのは、何のために取るのかを先に決めて伝えてあるか、そして開く理由と開ける人が書いてあるかの2つです。残す単位を、いつ・誰が・どの道具を・どの区分のデータで、の4つに絞れば、説明も開示も同時に楽になります。入力した文は、残すかどうかではなく、どの条件で残すかを別の議題として決めてください。AIに記録を読ませるのは候補を並べるところまでで、問題のある使い方かどうかの判定まで任せると、本人に説明できない材料が社内に増えていきます。まず、いま残っている項目を1行ずつ書き出して、その横に見る場面を書いてみてください。書けない行が何行あるかで、直す量が見えてきます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。