AIの検証に使う合成データとは？｜本物を使わない選択

「本物の顧客データを使わずにAIを試したいが、作ったデータで意味のある検証になるのか分からない」「合成データにすれば個人情報ではなくなる、と聞いたが本当なのか」——AIの試作を実務に近づける段で、必ず出てくる問いです。多くの人が、合成データを「氏名や住所を伏せた本物のデータ」だと理解しています。しかしこの理解は、使える場面も、抱えるリスクも、両方を取り違えます。合成データは、本物を隠したものではありません。本当は、元のデータの性質を写した模型を作り、そこから別のデータを作り直したものです。この記事では、合成データがどう作られ、どの場面なら本物の代わりになり、どの場面では代わりにならないのかを、場面ごとに順に見ていきます。

合成データは「匿名にした本物」ではない

まず用語の整理からです。データを加工して使う方法には、大きく2つの発想があります。1つは、元の1行を残したまま、そこから個人を特定できる部分を削るやり方。もう1つが合成データで、こちらは元の行を出力せず、元のデータ全体の性質だけを取り出して、まったく別の行を作り直します。

この違いは、実務での扱いをまるごと変えます。元の行を残す方法では、加工した1行と元の1行が対応しています。対して合成データでは、出てきた1行に対応する実在の人が存在しない、というのが建前です。建前と書いたのは、作り方によってはこれが崩れるからで、その条件はこの記事の後半で扱います。

あわせて押さえておきたいのが、制度上の位置づけです。個人情報保護法には、データを加工して使うための枠組みが用意されていますが、合成データはその枠組みの中に置かれた類型ではありません。つまり「合成データにしたから、制度上の加工済みデータになる」という理屈は成り立たないと考えてください。

どうやって作るのか

作り方の原理は、意外なほど単純です。アメリカ国立標準技術研究所が2025年3月に公表した指針は、合成データを「元のデータと同じ項目構成を持ち、項目どうしの相関など元のデータの性質を保とうとするが、中身は計算で作られた架空の個人に紐づくデータ」と説明しています。

そのうえで同じ指針は、プライバシー保護の仕組みを持つかどうかにかかわらず、すべての作り方が、元のデータが取られた母集団の確率的な模型を作ることから始まる、と述べています。その模型を使って新しいデータを生成する。そして、模型を作るところが、この工程で最も難しいとも明記されています。

ここが実務上の要点です。合成データの質は、生成の速さでも件数でもなく、模型がどれだけ元の母集団を写せているかで決まります。模型が粗ければ、出てくるデータは形だけ整った無意味な行になり、模型が精密すぎれば、今度は元の個人の情報を抱え込みます。この綱引きが、合成データのすべての論点の根っこにあります。

作り方は大きく3通り

実務で目にする作り方は、おおむね次の3通りに分かれます。同じ「合成データ」という言葉でも、何が写り何が写らないかがまったく違うため、検証の目的に合った作り方を選ぶ必要があります。

作り方	仕組み	写るもの	写らないもの
規則で作る	人が書いた規則に従って値を埋める	項目の形式、桁数、必須の埋まり方	実際の分布、項目どうしの関係、現場の癖
統計の型から作る	項目ごとの頻度や組み合わせを数え、そこから引く	各項目の頻度、単純な相関	複雑な関係、時系列のつながり、まれな組み合わせ
学習した模型から作る	深い学習で分布を覚えさせ、そこから生成する	複雑な相関、自然な見え方	守りの保証。元が透ける危険が最も大きい

指針も、単純な数え上げに基づく手法から深層学習に基づく複雑な手法まで、多くの技術が開発されてきたと述べています。複雑な作り方ほど元に似るが、元に似るほど守りは弱くなるという関係は、技術が進んでも消えません。

選び方の目安は単純です。形式だけ確かめたいなら規則で作る。分布の傾向まで見たいなら統計の型から作る。本物に近い見た目が要る場面だけ、学習した模型を使い、そのぶん厳しい確認を通す。目的から逆に決めるのが安全です。

実務では、もう1つよく見かけるやり方があります。チャット型の生成AIに「架空の顧客一覧を作って」と頼む方法です。手軽ですが、これは表の3通りのどれとも違います。元のデータの分布を写していないため統計的な検証には使えません。加えて、個人情報保護委員会の注意喚起は、生成される文章が確率的な相関関係に基づいて作られるため、応答結果に不正確な内容の個人情報が含まれるリスクがある、と指摘しています。つまり学習の過程で見た実在の企業名や人名が、架空のつもりの一覧に混じることがあるということです。研修の雰囲気づくり以上の用途には使わないのが安全です。

場面1：試験環境を本物から入れ替える

最も効果が出やすいのが、この場面です。本番のデータベースを写した試験環境が、そのまま本物の顧客データを抱えている、という状態は珍しくありません。開発者も委託先も見られる場所に、実在の氏名と連絡先が置かれている。ここを合成データに入れ替えると、抱えているリスクが目に見えて減ります。

この場面で合成データが向くのは、確かめたいことが「当たるか」ではなく「動くか」だからです。画面が壊れないか、処理が終わるか、件数が増えても止まらないか。必要なのは形式と件数と項目の埋まり方であって、値の正しさではありません。

ただし落とし穴があります。きれいに整った合成データばかりだと、現場で実際に起きる詰まりを再現できません。同じ会社名が大量に並ぶ、住所の項目が半分空いている、備考欄に極端に長い文章が入っている——本物の汚れ方を模型に写せていないと、試験は通って本番で落ちるという結果になります。汚れの型を規則として足しておくのが実務的です。

場面2：AIの精度を測る

ここが最も危ない場面です。合成データで測った精度は、本物での精度を保証しません。先の指針は、有用性についてはっきりした警告を書いています。合成データは一部の下位集団で精度を下げ、系統的な偏りにつながることがある。生成の工程は、元のデータが持つ統計的な不確かさに、さらに不確かさの源を追加する。そしてこの誤差は、その後の利用に伝わりうる、というものです。

さらに同じ指針は、これらの有用性の課題が、守りの仕組みを備えているかどうかにかかわらずすべての合成データに当てはまると明記しています。つまり「良い作り方をしたから精度も信用できる」とはならない。ずれが最も出やすいのは、件数の少ない塊です。特定の業種、特定の地域、契約の少ない属性。BtoBでは、まさにその少数の塊に売上が集中していることがあります。

だから実務では、線を引きます。合成データは「動くか」「壊れないか」を見る段まで。「使えるか」の判断は、範囲を限った本物で行う。この線を先に決めておかないと、合成データで出た良い数字がそのまま採用の根拠として一人歩きします。AIが出した精度の数字をそのまま決裁資料に載せない、という取り決めまで含めて決めておくのが安全です。

「範囲を限った本物」の作り方も、先に決めておきます。件数を絞る、期間を絞る、項目を絞る、見られる人を絞る。この4つの絞り方は独立していて、組み合わせられます。たとえば直近3か月ぶんに限り、住所と電話番号の項目を外し、検証の担当者2名だけが見られる場所に置く、という形です。本物に戻る場面をゼロにしようとすると、かえって合成データでの判断が積み上がります。小さく本物に戻れる道を用意しておくほうが、結果として安全に運べます。

場面3：研修と社内デモで見せる

向く場面です。研修やデモは、見せることが目的であって、その場の数字で何かを決めるわけではありません。加えて、研修では受講者に自由に触らせたい。変な値を入れる、大量に登録する、うっかり削除する。壊してよい環境を作れることが、合成データの実利です。

注意点は、見せた数字が独り歩きすることです。デモ画面に出た「解約率」や「見込み度」を、そのまま経営会議の資料に貼り付けてしまう事故は実際に起きます。画面のどこかに、これは作ったデータであると分かる表示を残す。資料に転記するときは出所を必ず書く。運用の決まりとして置いておきます。

もう1つ、研修用の合成データには、実在の企業名や人名が混ざっていないかの確認が要ります。学習した模型から生成した場合、元のデータに何度も出てきた固有名詞がそのまま再現されることがあります。配る前に、既知の顧客名の一覧と突き合わせる工程を入れてください。

場面4：外部の開発会社に渡す

委託先に検証用のデータを渡す場面です。ここで見落とされやすいのが、合成データを渡すことと、生成に使った模型を渡すことは、まったく別の話だという点です。模型そのものは、元のデータから学んだ情報を内部に保持しています。

この危険は、公的な文書でも指摘されています。個人情報保護委員会が公表した資料に併載されている、主要国のデータ保護機関による生成AIに関する声明では、守るべき対象として「生成AIモデルを逆転させ、モデル訓練に利用されたデータセット内において当初処理された個人情報を抽出又は再現すること」が明示的に挙げられています。模型は、元のデータを取り出す入口になりうるという前提です。

実務としては、渡すものを3段階に分けて考えます。生成された合成データだけを渡すのか、生成の設定まで渡すのか、模型そのものを渡すのか。3つ目は、元のデータを渡すのに近い扱いで検討すべきものです。そのうえで、生成に使った元データの範囲と作成の日時を記録に残しておくと、後から経緯を説明できます。

場面5：不具合の再現と、めったに起きない事象

合成データが苦手なのが、この場面です。模型は頻度から作られるため、よくある形は上手に作れますが、めったに現れない組み合わせは薄くなります。障害の再現に必要なのは、たいていその「めったに現れない組み合わせ」のほうです。

しかも、ここには二重の問題があります。まれな行は再現しにくく、それでいてまれな行ほど元が透けやすいのです。先の指針は、守りの仕組みを備えた合成データであっても、設定によっては外れ値が結びつけ攻撃に対して脆弱に残りうる、という研究を引いています。特異な1件は、作りにくく、かつ守りにくい。

だから不具合の再現には、別の道具を組み合わせます。規則で作る方法なら、まれな条件を意図的に増やして生成できます。「金額が上限を超える」「同じ担当者に千件ぶら下がる」といった条件を、人が書いて再現する。合成データは1つの手法ではなく、目的別に使い分ける道具立てだと考えると、失敗が減ります。

向く場面と向かない場面の一覧

ここまでの5場面を、判断しやすい形に並べ直します。自社で検討している用途がどの行に当たるかを、まず確かめてください。

場面	合成データの向き	その理由
試験環境の入れ替え	向く	確かめたいのは動作であって、値の正しさではない
処理性能の確認	向く	件数と項目の形が揃っていれば足りる
研修と社内デモ	向く	壊してよい環境を作れる。ただし数字の転記は禁じる
AIの精度検証	向かない	少数派で精度がずれ、その誤差が判断に伝わる
不具合の再現	条件付き	まれな条件は規則で意図的に足さないと再現できない
外部への提供	条件付き	生成物と模型を分けて扱い、作成の記録を残す必要がある

「条件付き」と書いた2行は、使ってはいけないのではなく、決めるべきことが増えるという意味です。誰が条件を書くのか、誰が結果を確かめるのか、記録をどこに残すのか。この3つが決まっていれば、条件付きの行も回せます。

合成データは個人情報でなくなるのか

最も多く聞かれる問いです。個人情報保護法は個人情報を、生存する個人に関する情報であって、氏名や生年月日などの記述により特定の個人を識別できるものと定めています。そこには、他の情報と容易に照合でき、それによって識別できることとなるものも含まれます。この定義の後半が、合成データの判断を左右します。

出てきた1行だけを見れば、実在しない架空の個人であり、誰も識別できないように見えます。しかし、元のデータと突き合わせれば対応が分かる状態なら、話は変わります。とくに元の1行から1行を作るような対応関係のある作り方は、照合の余地を残します。判断は、名前が付いているかどうかではなく、実在の個人に戻れないことを説明できるかどうかで決まります。

• 生成された行が、元のデータの行とそのまま一致していないかを確かめたか
• 元の1行と生成された1行に、対応関係が残る作り方をしていないか
• 少数しか存在しない属性の組み合わせが、そのまま残っていないか
• 説明できないなら、本物と同じ管理の下に置くという判断も選択肢になる

実務上の落としどころは、白黒を急がないことです。個人情報に当たらないと言い切るには根拠が要り、根拠を作るには確認の工程が要ります。確認が終わるまでは本物と同じ管理下に置き、確認が済んだものから扱いを緩めていく。この順番なら、後戻りが起きません。

作ること自体が、元のデータの「利用」にあたる

見落とされやすい論点です。合成データを作るには、元の個人データが要ります。模型を学習させる行為そのものが、元のデータの取り扱いにあたります。個人情報保護法は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない、と定めています。

したがって最初の関門は、「合成データを作ってよいか」ではありません。その目的が、データを集めたときに伝えた利用目的の中に入っているかです。顧客管理のために集めた情報を、AIの検証用データを作るために使うのは、同じ利用目的の中に含まれるのか。ここを飛ばして技術の話に入ると、後から作り直しになります。

外部の生成AIサービスを使って作る場合は、さらに確認が増えます。個人情報保護委員会は令和5年6月2日の注意喚起で、個人情報を含む指示文を入力する場合には特定された利用目的を達成するために必要な範囲内であることを十分に確認すること、本人の同意を得ずに個人データを含む指示文を入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合には法の規定に違反することとなる可能性があることを示しています。そのうえで提供事業者が当該データを機械学習に利用しないこと等を十分に確認することを求めています。

元データの範囲を絞る、という発想も同時に持っておきたいところです。同じ資料に併載された主要国のデータ保護機関の声明には、遵守すべき事項の1つとして「特定されたタスクを遂行するために必要な範囲にのみ、個人データの収集を制限すること」が挙げられています。合成データを作る場面に置き換えると、模型に入れる元データは、検証したい範囲まで絞るということです。全件を入れたほうが良い模型にはなりますが、入れた範囲がそのまま抱えるリスクの範囲になります。

元が透けるのは、どんなときか

ここが本記事の核心です。先の指針は、守りの仕組みを満たさない合成データの手法は一般に非形式的な保証しか与えず、個人のプライバシーを守っているように見えても、あらゆる攻撃に対して頑健な保護を与えるわけではない、と述べています。そのうえで、そうした合成データに対する攻撃が元のデータを実際に明らかにしたという報告が多数ある、と書かれています。

透ける経路は、実務で見ると3つに整理できます。1つ目は、模型が特定の行を覚えてしまう場合。件数の少ない組み合わせほど起きやすくなります。2つ目は、極端な値を持つ1件が、ほぼそのまま出力される場合。3つ目は、単独では誰か分からない項目が、組み合わさることで1人に絞れる場合です。会社名と役職と地域が揃えば、絞れてしまう業界は珍しくありません。

• 元データをそのまま模型に入れ、件数の少ない属性を含んだまま生成する
• 生成した行が元の行と一致していないかを確かめずに、社外へ配る
• 生成に使った模型を、合成データと同じ軽い扱いで外部に渡す
• 「本物ではない」とだけ書き、どう作ったかの記録を残さない
• 生成物に実在の企業名や担当者名が出ていないかを見ないまま研修に使う

この5つは、どれも工程を1つ省いたことで起きます。逆に言えば、確認の工程を決めておけば防げるものばかりです。生成した直後に、元データとの一致を機械的に照合する。この1工程を入れるだけで、最も分かりやすい事故は防げます。

実装の面でも注意が要ります。先の指針は、守りの仕組みを自前で実装することを避け、十分に検証された部品を使うよう強く勧めています。理由は単純で、守りの仕組みは、わずかな実装の誤りで保証が丸ごと消える種類のものだからです。数式のとおりに書いたつもりでも、乱数の使い方や端数の扱いで前提が崩れます。社内で組み上げた生成の仕組みは、正しさを確かめる手立てがありません。作り方を選ぶ段階で、実装をどこから調達するかまで決めておいてください。

「漏れない」を測る物差し

守りの強さを数値で扱う考え方が、差分プライバシーです。元のデータに雑音を混ぜることで、ある1人が含まれていたかどうかで結果がほとんど変わらない状態を作ります。強さを表すパラメータが小さいほど雑音が多く、守りは強く、正確さは落ちる。大きいほど正確ですが、守りは弱くなります。

先の指針は、新しい攻撃手法が出てきた場合も含めて頑健な保護を与えるには、合成データは差分プライバシーを満たす方法で生成されるべきだ、と明記しています。ただし同じ指針が、パラメータを10とした条件で作った場合に、一定の状況では外れ値が結びつけ攻撃に対して脆弱に残りうるという研究も引いています。その方法を使ったという事実だけでは足りず、どの値でどう作ったかまでが記録として要るということです。

もう1つ、実務判断を変える指摘があります。同じ指針は、一般論として、よく使われる分析処理を差分プライバシーで実装するほうが、まず合成データを作ってから通常の分析をするより、守りと正確さの釣り合いが良くなる、と述べています。つまり合成データは常に最善の選択肢ではありません。やりたいことが集計や特定の分析に限られるなら、そちらを直接守る方法を先に検討する価値があります。

使えるかを確かめる2つの物差し

合格の判定には、性質の違う2つの物差しが要ります。1つは役に立つかどうか。本物で出る集計と、合成で出る集計を並べて比べます。全体の平均だけでなく、小さい塊ごとに比べるのが要点です。先に見たとおり、ずれは少数派で最も大きく出ます。

もう1つは漏れないかどうか。生成した行が元の行と一致していないか、まれな組み合わせがそのまま残っていないか、生成物から元のデータの有無を推測できないか。この2つは同時に良くなりません。役に立つように近づけるほど元に似て、元に似るほど漏れやすくなる。この綱引きは技術で消せないため、どこで折り合うかを人が決めることになります。

• 役に立つかの確認は、そのデータで判断する側の部門が持つ
• 漏れないかの確認は、作った部門ではない人が持つ
• どちらも合格の条件を、生成を始める前に文章にしておく

なお、生成の作業自体にAIを使う場合も、判断は渡しません。どの項目を何件、どんな分布で作るかは人が決めます。AIには「この設定で作るとどんな偏りが出るか」を根拠つきで挙げさせ、採否は人が決める。挙がった懸念のうち、確認する項目と見送る項目を選ぶところまでを、人の受け持ちとして残しておいてください。

導入前に決める6つのこと

最後に、着手前に決めておく項目を並べます。順番が大事で、上から3つが決まっていない状態で生成に入ると、作り直しになる確率が高くなります。

この6つは、1枚の紙に収まります。紙が1枚あるかどうかが、後から経緯を説明できるかどうかを分けます。とくに外部の委託先が関わる案件では、この記録が唯一の根拠になります。

記録を残すという考え方は、公表されている国際的な整理とも重なります。先の声明は、開発や提供にあたる側に対して、設計の段階からプライバシーを組み込み、影響の評価において行った自らの選択と分析について文書化すべきだ、と述べています。要点は、結果ではなく選んだ理由まで含めて残すことが求められているという点です。「この作り方を選んだのは、この用途で、この確認を通したから」という一文が残っていれば、担当者が代わっても判断を引き継げます。

ミニ用語解説

合成データ

元のデータの性質を写した模型から作り直した、別のデータ。項目の構成は同じで、項目どうしの関係もできる限り保とうとしますが、中身は計算で作られた架空の個人に紐づきます。

模型（生成器）

元のデータが取られた母集団の傾向を表した確率的な仕組み。合成データはこの模型から生成されます。元のデータの情報を内部に持つため、合成データ本体より慎重に扱います。

差分プライバシー

雑音を加えることで、ある1人が含まれていたかどうかで結果がほとんど変わらないようにする考え方。強さを表すパラメータがあり、小さいほど守りが強く、正確さは落ちます。

外れ値

他と大きく違う値を持つ少数の行。合成データでは、再現しにくい一方で元が透けやすいという、扱いの難しい存在になります。

記憶

学習した模型が、特定の行の内容をそのまま覚え込んでしまうこと。件数の少ない組み合わせで起きやすく、生成物に元の値が現れる原因になります。

再識別

単独では誰か分からない情報を組み合わせることで、特定の個人に絞り込めてしまうこと。会社名と役職と地域のように、業界が狭いほど起きやすくなります。

まとめ

合成データを扱う要点は、本物を隠したものではなく、模型から作り直した別のデータだと理解することです。だから、動くかを確かめる試験環境や、研修とデモには向き、精度を測る検証には向きません。少数派で精度がずれ、その誤差が判断に伝わるからです。個人情報に当たらないと言えるかは、名前の有無ではなく、実在の個人に戻れないことを説明できるかで決まります。そして作ること自体が元のデータの利用にあたるため、最初の関門は技術ではなく利用目的の確認です。まずは、いま試験環境や研修用の環境に置かれているデータが本物かどうかを洗い出してみてください。本物のままの環境が1つでもあれば、そこが合成データを最初に入れる場所になります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。