目的制限とは
目的制限とは、データを収集時に明示された特定の目的のみに使用し、それ以外の目的には利用しないというデータ保護の基本原則のことです。GDPRの基本原則の一つとして規定されており、日本の個人情報保護法でも利用目的の特定と目的外利用の制限が定められています。データの二次利用やAI開発への転用において、特に重要なガバナンス上の考慮事項です。
| ひとことで言うと | 収集時に伝えた目的の範囲でしか、データを使ってはいけないという原則。 |
|---|---|
| 実務での意味 | 「サービス提供のため」に集めたデータを、勝手にAI学習に使うことはできない。 |
| 注意点 | 目的を変える場合は、原則として本人の同意が必要になる。 |
AI開発における目的制限の課題
AI開発では、データの目的外利用に関する複雑な問題が生じます。例えば、カスタマーサービスの改善目的で収集した顧客の問い合わせデータを、チャットボットの学習に利用する場合、それが当初の目的の範囲内かどうかの判断が必要です。また、学術研究で収集されたデータを商用AI製品の開発に転用する場合、目的の互換性が問題となります。大規模言語モデルの学習では、Webから収集されたデータの元々の利用目的との整合性も議論の対象です。
1目的を特定して通知収集時に明示
▶
2その範囲で利用超えてはいけない
▶
3新たな用途が出るAI学習に使いたい
▶
4同意を取り直すまたは目的を変更・通知
▶
5記録を残す説明できる形に
適切な対応方法
目的制限の原則に適切に対応するためには、データ収集時に利用目的をできるだけ具体的に記述すること、新たな利用目的が生じた場合はデータ主体から再同意を取得すること、目的外利用の可否を判断するための評価基準を組織として定めること、利用目的ごとのデータのアクセス制御を技術的に実装することが重要です。プライバシー影響評価（PIA）を実施し、新たなデータ利用の適切性を事前に評価するプロセスの整備も推奨されます。