ステップ1：権利があることを確認する
まず所有権を確認します。自社の業務の中で作成した記録は、通常ライセンスできます。顧客のために保管している記録、NDAの対象となる取引先の図面、他者からライセンスを受けたコンテンツは、通常、同意なしにはライセンスできません。顧客との契約、NDA、雇用条件、ソフトウェアの利用規約に、データの利用に関する条項がないか確認してください。
ステップ2：個人情報に対応する
| 法域 | 要点 | 出典 |
|---|---|---|
| EU・英国（GDPR） | 仮名化データは引き続き個人データであり、真に匿名のデータはGDPRの対象外です。規制当局は、AIモデルにおける匿名性について高い基準を設けています。 | 前文第26項、EDPB 意見書28/2024 |
| 日本（個人情報保護法(APPI)） | 仮名加工情報は原則として第三者に提供できません。匿名加工情報は、情報の項目と提供方法を公表すれば提供できます。 | DLA Piper |
| 香港（香港個人資料(私隠)条例(PDPO)） | 個人データを新たな目的に利用するには所定の同意が必要で、当局はデータの販売を新たな目的とみなしています。 | PCPD、DPP3 |
| 台湾（台湾個人資料保護法(PDPA)） | 当初の目的を超える利用には法的根拠または同意が必要で、匿名化の基準はあまり明確ではありません。 | 解説 |
| 中国本土（中国個人情報保護法(PIPL)） | 匿名化された情報は個人情報から除外されますが、国外移転には同意と評価の義務が生じます。 | Jones Day |
| シンガポール（PDPA） | PDPC の2024年のガイドラインは、AIシステムにおける同意、例外、匿名化を扱っています。 | PDPC |
本記事は一般的な情報であり、法的助言ではありません。契約前に、御社の法域の弁護士に相談してください。
ステップ3：匿名加工の計画を立てる
誰が、いつ、どの基準で個人情報を削除するかを決めます。実務は買い手によって異なります。Google は Spirit Airlines の記録から個人情報を削除することを求めた一方、移転後に自社で個人データを削除または変換するとする買い手もあります。生の個人データが社外に出ることが御社に適用される法律上問題となる場合は、引き渡し前の匿名加工を条件にしてください。
ステップ4：対象範囲を書面にする
- 対象とするシステム、部署、期間。
- 除外する顧客、案件、人物、記録の種類。
- 複製の形式とデータ量。
- 誰が抽出し、どこで処理するか。
ステップ5：社内承認を整える
ライセンスを承認できるのは誰かを確認します。オーナー、取締役のほか、親会社や金融機関の承認が必要な場合もあります。IT部門と顧客契約の管理担当者にも事前に説明しておきましょう。Calto Data の診断では、権限に関する課題を早期に把握するため、御社として記録の利用を許諾できるかをお伺いしています。
よくある質問
ライセンスの前にデータを匿名化しなければなりませんか？
法律上必ずしも必要とは限りませんが、最も安全な方法です。個人データを残す場合は、法域に応じて法的根拠が必要となり、多くの場合は同意も必要です。
GDPRでは仮名化データで十分ですか？
いいえ。GDPRでは仮名化データも引き続き個人データです。個人を識別できなくなったデータのみが対象外となります。
日本企業が米国のAI企業にデータをライセンスできますか？
はい。ただし個人情報は、第三者提供や外国にある第三者への提供に関する規定を含め、個人情報保護法(APPI)に従って取り扱う必要があります。匿名加工情報には、より緩やかな規定が適用されます。
顧客の同意は必要ですか？
記録に顧客の個人情報や機密情報が含まれる場合、それを削除するか、既存の契約でその利用が認められていない限り、通常は必要です。