AIの開発競争が世界中で激しくなる中、日本では個人情報保護法の改正が進められている。前回の記事では、その背景にある「AI競争」と「個人情報保護」のバランスについて考えた。では、世界ではこの問題をどのように考えているのだろうか。
その代表例がEU（欧州連合）のGDPR（一般データ保護規則）である。
日本でもGDPRの名前を聞いたことがある人は多いだろう。しかし、その本質は「世界で最も厳しい個人情報保護法」という説明だけでは十分ではない。GDPRが守ろうとしているのは、単なるデータではない。
人間の尊厳そのものなのである。
個人情報は「人格の一部」である
日本では、個人情報は「漏えいしてはいけない情報」として理解されることが多い。もちろん、それは間違いではない。しかしEUでは、その一歩先にある考え方が存在する。
「個人情報は、その人自身の人格の一部である。」
氏名や住所だけではない。病歴、家族構成、位置情報、購買履歴、検索履歴、思想や信条に至るまで、それらは一人の人間を形づくる情報であり、本人がコントロールする権利を持つものだという考え方である。
だからGDPRでは、
- どのような目的で利用するのか
- 誰が利用するのか
- 本人は拒否できるのか
- 後から削除を求められるのか
こうした「本人のコントロール権」を極めて重視している。EUでは、企業が個人情報を持つこと自体が問題なのではない。
本人が知らないところで利用されることが問題なのである。
なぜヨーロッパはここまで慎重なのか
その背景には、ヨーロッパの歴史がある。
20世紀、ヨーロッパでは国家が個人情報を管理し、それを人権侵害に利用した苦い経験が繰り返された。ナチス・ドイツでは、戸籍や宗教、民族に関する情報が迫害の手段として利用された。戦後も東ドイツでは、秘密警察（シュタージ）が市民の行動や交友関係を詳細に記録し、監視社会を築いた。
情報そのものが人を傷つけたのではない。
情報を持つ権力が、人を支配する道具として利用したのである。
この歴史を経験したヨーロッパでは、「便利だから情報を集める」という発想よりも、「権力から個人を守る」という発想が制度の出発点になっている。
GDPRは、こうした歴史の上に築かれた制度である。
日本との違いはどこにあるのか
では、日本はどうだろうか。もちろん日本にも個人情報保護法があり、企業には安全管理義務が課されている。しかし近年は、DX（デジタルトランスフォーメーション）データ利活用、AI開発、行政の効率化といった言葉が、制度改正の理由として数多く語られるようになった。
今回の法改正でも、「AI開発を促進するため」という目的が大きく掲げられている。もちろん、AIの発展は医療や教育、防災など社会全体に大きな利益をもたらす可能性がある。
しかし、ここで考えたいのは優先順位である。EUは、
「まず人権を守る。その範囲でデータを活用する。」
という考え方を採る。
一方、日本では、「まずデータを活用する。そのために必要な保護を考える。」という発想に近づきつつある。
もちろん、これは単純な善悪の話ではない。どちらも社会を発展させようとする制度である。しかし、制度の出発点が異なれば、結論も変わってくる。
「匿名だから安全」と言い切れるのか
AI開発では、「匿名化したデータを使うから問題ない」という説明がしばしば行われる。確かに、氏名や住所を削除することは重要な保護措置である。しかし近年では、複数のデータを組み合わせることで個人を推定する「名寄せ」の技術が急速に進歩している。
医療データは年齢、地域、受診時期、診療内容など、多くの情報を含んでいる。これらを公開情報やSNSなどと組み合わせれば、個人が推定される可能性があることは、多くの研究者が以前から指摘してきた。
だからこそGDPRでは、「匿名化したから終わり」ではなく、再識別の可能性や利用目的まで含めて管理するという考え方が採られている。重要なのは、匿名化という技術そのものではない。
本人が納得しているかどうかなのである。
結局、個人情報とは誰のものなのか
今回の個人情報保護法改正について、私たちは「日本は間違っている」「EUが正しい」と単純に結論づけたいわけではない。それぞれの国には、それぞれの歴史があり、置かれた状況がある。しかし、一つだけ確認しておきたいことがある。
それは、個人情報とは誰のものなのか、という問いである。
行政のものでもない。企業のものでもない。AIを育てるための「資源」でもない。個人情報は、その人自身の人生から生まれた情報である。
だからこそ、その利用について本人が関与できる仕組みは、民主社会において欠かすことのできない原則ではないだろうか。
AIはこれからの社会に不可欠な技術であるとすれば、その発展を支える制度は、市民の信頼の上に築かれなければならない。技術は社会を豊かにする。しかし、人権を土台としない技術は、時として社会そのものを不安定にする。
EUがGDPRによって守ろうとしているのは、データではない。
データの向こう側にいる、一人ひとりの人間なのである。
この思想の差にあらためて愕然とする。
次回はこの視座から、日本はなぜAIに個人情報を差し出すことに向かっているのかを考察したい。
＜山口 達也＞
