同意だけでは防げないデータ活用の炎上
本日は、CEATEC2026にご来場いただき誠にありがとうございます。お待たせいたしました。
これより、AI・データ活用は同意の先へ ― 万博から始まるVPIAと、社会に信頼されるデータ活用の新しいルールを開始いたします。
それでは、よろしくお願いします。
はい、みなさん、CEATEC20261時半のセッション、お越しいただきありがとうございます。
今回、司会を務めさせていただきます一般社団法人、LBMA Japan、ロケーションビジネス&マーケティングアソシエーションジャパン、川島と申します。
今日はですね、AI・データ活用は同意の先へと、このタイトルつけたの3ヶ月前なんですね。
その3ヶ月の間に圧倒的な個人情報の流出事案がたくさんありましたというか、現在進行形で漏れてます。
この漏れてることに対して、という内容でこれ作ってなかったんですけど、それに対してどういうことなんだろうとか、我々はテクノロジー的にどうやって情報漏洩を防ぐかという話を今日はしません。
そこは多分そういう展示がどこかあると思うので、それを見ていただければと思いますけど、とはいえ実際に自分のデータを誰にどう預けていて、それをどう管理していくべきかという個人の視点と、それから企業として
どういった枠組みを持っておくべきかということを整理できればなと思いまして、
それぞれ専門にやってらっしゃるお二人にもご登壇をいただいております。
じゃあちょっとそれぞれ自己紹介を岸本先生からお願いします。
皆さんこんにちは。
大阪大学の私社会技術競争研究センター、順番がいろいろ違うんですけど、社会技術競争研究センター、LCセンターという通称で呼ばれてます。
LCっていうのは後でちょっと言いますけど、倫理的法的社会的課題といって、新しい技術を社会実装する際に技術以外の様々な課題ですよね、これまとめてざっくりこういう形で呼んでます。
これ大阪大学の非常に小さい15人程度の全学のセンターなんですけど、学内のいわゆる理系の先生とか、企業の技術者とかとたくさん共同研究をやって、我々人文社会科学系で、ここにちょっと書いてあるように、
法学、経済学だけじゃなくて、哲学、倫理学とか文化人類学とか社会学とか芸術学、そういった若手の教員が、いわゆる最先端の理系の先生たちと一緒にコラボしてやっていまして、
今年実は初めてこのCEATECにもブースを、ネクストジェネレーションパークのところに出させてもらっているので、もしよければまた寄っていただければと思います。
我々、先ほど申し上げているエルシーというのをすごいキーワードとして挙げてます。
新規科学技術を社会実装するために、実は技術的課題以外にも様々なギャップがたくさんあって、ここにもいろいろ書いてあります。
こういったものをざっくりエルシー、倫理的法的社会的課題と呼んでいて、こういったものを対処する方法のことを社会技術と呼んでます。
これ、いわゆるセマイルの科学技術に対して社会技術、これからの新しい技術の社会実装は、科学技術だけじゃなくて社会技術も同時に研究開発していけないと。
こちらももちろんルールメイキングとかを含めたような概念と考えてます。
こういったものをまとめて、責任ある研究イノベーション、Responsible Researchand Innovation、RRIと呼んでます。
我々、RRI、エルシー、社会技術っていうのをキーワードに活動しています。
私、株式会社プライバシーテックという会社の代表を務めている山下大輔と申します。
私たちは企業の積極的なAI、データ活用をするためのガードルール作りを支援するという会社でありまして、
どこの会社もAI、データ活用がなかなか進まないという課題があるかなと思っているんですが、
事業開発の部門、いわゆる第一線の方々であったりとか、ホーム上出の第二線の方々向けに対して、
そもそもルールとか暗黙値を明文化するというところから、リスク評価の情報を一元化するとか、組織地にそれを統合していくであったりとか、
最終的にはデータ活用を促進してその結果、会社としての価値を社会に出していくという、そこにつなげていくための支援というものを
コンサルト、AI開発と人材というところでやらせていただいております。
実際こんなものを作ってますというところなんですけれども、30秒ほどの動画なんですがご覧いただければと思います。
データを預ける委託先、把握できていますか?
資料を手作業で読み解くと数日がかかります。
グローバなら企画書を渡すだけ。
規定や法令、過去の案件を参照し、委託先と提供先の関係を可視化します。
AIが判断できない問いは担当者が回答。
このまま社内の委託先申請に連携できます。
3ヶ月かかる仕事を1日にグローバ。
我々、LVMH JAPANの仮名をしている会社でありまして、私が共通ガイドライン会というものの主任編集員を務めさせていただき、
このガイドラインの編集というものもやらせていただいていたりとか、
これを作っていく過程で大阪大学、岸本先生とは色々と恋にしていただくような関係になってきたんですけども、
今は一緒に共同研究というものを進めさせていただいておりまして、
今日のテーマであるこのVPIAというもの、これを企業向けにちゃんと導入していくためにどうしたらいいのかというところの共同研究を一緒に進めているというところでございます。
よろしくお願いします。
では、柏さんお返しします。
ごめんなさいね、ちょっと順序間違えてましたね、今。失礼しました。
なので、我々LVMH JAPANのご紹介も少しさせていただきます。
一般社団法人LVMH JAPAN、ロケーションビジネス&マーケティングアソシエーションJAPANでございます。
2020年に設立をいたしまして、現在128社に加盟をいただいている、位置情報データを活用したビジネスマーケティングサービスを推進する業界団体として活動させていただいております。
様々な業種業態の方々に参画をいただいているということで、位置情報データ活用の推進が多岐にわたっているというのがここで見て取れるかなと思います。
大阪大学をはじめ様々な大学の研究室の先生方にも参画をいただいて、一緒に施策を展開しているような団体です。
我々の役割は様々な位置情報データがありますけれども、屋内、屋外、カメラとかそういったものもあります。
そういったものをAIだったりソリューション、プラットフォームに乗せてビジネス活用を推進していきましょうということを推進する、その生態系を作るというのが我々の役割として展開しております。
年間今回のシーンテイクでもちょうどそこに見える白いブースが我々のブースで、今回16社出展していますので、このセッション聞き終わったらぜひお立ち寄りいただけるとうれしいなと思いますが、年間通じて様々な
イベントを実施しておりますので、どれかぜひ参加いただければと思います。
そんな中で一つ我々の役割として重要なもの、もともとこの団体を6年前に作ろうと思ったきっかけでもあるんですけれども、ロケーションプライバシーの推進活動というものがございます。
我々は位置情報データを事業で活用するためのガイドラインというのを事業メンバー向けに作成発表しております。
ざっくり言うと個人情報保護法において、位置情報データ、デバイスロケーションデータというのは特定の個人を識別することが可能な場合は、それは個人情報として扱うと定義をされております。
そうでない場合だったり、そこの線引きってどこなんでしょうというようなところをこのガイドラインで整理をさせていただいている。
また電気通信事業法において、外部送信規律、データを事業者が何の目的で送信しているのか、こういったことが定められた法令に対して、位置情報データの取扱いとしてはこうあるべきであるということをこのガイドライ
ンに含ませていただいて、皆さんに推奨をさせていただいているというのが一つの活動になっております。
またそれを認定を行う監査制度をLPマークコンサルタントの実施、それから個人情報である位置情報に関しては認定個人情報保護団体として一時対応に組むという認定をいただいております。
また研修会を年に大きなもので2回、個別では10回ぐらいですかね、毎年行っております。
位置情報データを取り扱った事業を行っている事業者さんであったらこのガイドラインに照らし合わせてこういったことを気をつけましょう、こういった観点を持ちましょう、そういったことを研修させていただくような
こともさせていただいております。
この研修会ですけれども始めたのが4年前ぐらいですかね、から600名の方々に受講いただいております。
実際に受講された後に認定試験をロケーションプライバシーマークという試験を実施させていただいておりまして、この試験に合格いただいた方々が400名おりますというところで、
本当にですね、4年前に始めた時は数名の受講だったんですけれども、やっぱり昨今の情勢を踏まえてなのか、非常に多くの方々に参加いただける、ちょうど先週これも開催したんですけれども、100名以上の方々に参加
いただくようなそんなことになってきているという意味で、
これ始めてよかったなと最初の頃はちょっとつらかったんですけど、実際ちょっとそれが浸透してきたなというのは嬉しく思っております。
私は位置情報データ活用なんですけれども、それに関わらずですね、その様々なデータ活用に対して、今回VTIA同意取得の観点で皆さんに考えていただくということで、少し今日お話をできればと思っております。
じゃあ最初はこれですかね、山下さんですか。
そうですね、これ先ほど冒頭で川島さんが話してくださった、昨今の個人情報の漏洩の話だったりとか、AIの攻撃の話というところですね。
これに直接的な対処、これがなぜ起きているのかということもまだ見えていない状況なので、どう対処していけばいいのかということを話していくのは難しいかなと思っているんですけれども、
やっぱり一つ共通することとしては、そもそもどこにデータを渡しているのかという、そういった委託先のつながりが見えていないということもあるのかなと思っております。
そういったことをどうやって把握するのかということも触れていければなと思っているんですが、ちょっと本題のところで、今日同意取得のその先へというところなんですが、
同意取得も皆さんご存知のとおり、プライバシーポリシー、いろんなサービスを使うたびに同意を求められて、それこそウェブサイトを開くたびに、同意しますかどうかというのが出てくると思うんですけれども、これどう
でしょうか、皆さん実際に読まれますでしょうか、毎回読むという方どれくらいいらっしゃいますかね。
だいたい1割、2割くらい手が上がってくるんですが、やはり今日はちょっと、これすごく面白い書籍があって、その規約読みますかっていうまんまの話があって、出てるこれiTunesの規約を普通の9ポイント
とかそれぐらいの大きさのサイズで、
8ポイントって書いてますね、これで印刷すると32ページありましたと、これを天井から吊り下げるとこんな長さになりましたよというようなものでありまして、これどれぐらい、これをまともに普通の人が1年間に受け
取るポリシーをちゃんと読んで同意をするという行為をしたらどれぐらいの時間がかかると思いますか。
はい、いきますね。
これ76時間かかると、普通の人が普通に読むスピードで読んでいくとこれぐらいの時間かかるというようなものであります。
これ60年間、昼間12時間起きてる間ずっと読み継げたら360日かかりますよというところで、我々の儚い人生の1年間をこのポリシーを読むということに費やさなければいけないというものだったりするんですが、
これアンケートを取っているものもありまして、NNさんが取っているものだと、過半数の人はやっぱり読んでいないというのが実態です。
これ皆さん個人、生活者としてもそういった時間あると思いますし、やっぱり企業の一人としてプライバシーポリシーを出す、同意を取るとか法令遵守するというのは当たり前に絶対やらなければいけないことではある
んですが、本当にそれでいいのかというそういった気持ちを持たれていることも多いんじゃないかなというふうに思っております。
現にここに挙げているのが、名だたる日本を代表する会社さんなんですけれども、何か新しい施策をやろうとしたときに、当然法務部のチェック、顧問弁護士のチェックとかしっかりとやった上で施策を始めているにもか
かわらず、結局サービスが立ち行かなくなったという事例をまとめております。
これいずれもちゃんと同意は取っているであったりとか、法令の確認遵守はできている、いずれも限定的なんですけれども、ほとんどのケースに関してはそうなんですけれども、とはいっても結果的にうまくいかな
かったと。
それがサービス停止とか取引停止、謝罪会見といったものに追い込まれていたということです。
その結果として、当然その会社のデータ活用の推進が遅滞するということだけじゃなくて、やっぱり業界全体にその影響というのは波及していくものかなというところであります。
もう少し開いてみると、こんな形になっておりまして、法令遵守していても炎上起こりますよねというところで、データを取得するところとプロセス活用するところとアウトプットを外に連携するとか、何か出力する
というものですね。
どこに問題があったかというところで、結構いろんなところにポイントが出てきますよと。
法令遵守しているもの、していないものというと、ほとんどのものは法令遵守しているにもかかわらず、結局影響が出ている、炎上が起こってしまっているというものなので、これどうやったら回避できるんでしょうか
というところが、
今日はぜひ皆さんと一緒に考えていきたいなというふうに思っているところであります。
ありがとうございます。
まずはちょっと問題提起ですね。
長すぎて読めない、だけど企業としてはちゃんと書いておかなきゃいけないよね、でも誰も読んでくれない、法令遵守をしているにもかかわらず、法律破ってないのに炎上が起こったというのがこういった内容だと思って
います。
ちょっとそれにこの投げかけに対して今どんなことに着目されているのかというところを岸本先生にお話しいただければと思います。
AI時代の同意とELSI
私は大学にいるもんで、アカデミアにいるので、ちょっと無責任にも負担もないことを言いたいと思います。
どうしたらいいねんというふうに思うと思います。
つまりAIの時代に同意はどうあるべきかってそもそもちょっと考えないといけないと思うんですよね。
やっぱり昔は牧歌的な時代はですね、例えば子どもの、自分の子どもが行っている小学校で運動会をやりますと、
そのときに写真を撮ってウェブサイトに載せますと、それ載ってもいいですかという同意を求められて子どもが持って帰ってきて同意書にサインします。
そのとき同意したことによって何が起こるかってめちゃめちゃ分かりやすいですよね。
例えば職場の人がたまたま見て、この地区に住んでるんやとか、小学校の子どもいるんやっていうのが分かると。
それが分かられたくない人は同意しなければいいわけですよね。
そういった場合の同意とAIの時代、つまりデータを組み合わせてプロファイリングされたりする時代、
第三者提供されて、その先で何に使うか分からない業務改善とか言われても何をするんだろうみたいなサービス改善とかですね。
そういう時代の同意って全然違うと思うんですよね。
つまり同意したことで一体どんなベネフィットがあってどんなリスクがあるのかということは全然分からないんですよね。
普通に真面目に何十時間かけて、何十時間は一つはないかもしれないですが、かけて読んでも結局分からないですよね。
第三者提供先とか目的かってやっぱり普通なことが書いてあるだけですよね。
そういうことがあります。
そもそも誰も読んでないという問題もありますし、もう一つ問題だなと思うのは、
若者とかが初めてスマホとか持ってプライバシーポリシー読んでないにも関わらず同意ボタンを押さされるってこれ道徳的にいかがなものかと。
つまり読んだ体で嘘つかせるわけですよね。
こんなことあんまり教育上よくないですよね。
でも我々おじさんおばさんたちがそういう文化を作っちゃったと、ちょっと責任を感じて、いつも一年生向けの授業のときにすいませんって謝ったりしてます。
やっぱり我々の時代で解決しないといけないなと思ってるんですよね。
それからいくら何十時間もかけてプライバシーポリシー利用規約読んでも、サービス使うためには同意する以外に手段がないんですよね。
そうしたらもうええと思っても同意せざるを得ないんですよね。
要するにこれ何かなってちょっと外の視点で考えたら、本来事業者が担保、衰避、安全を、責任をですね、
これ利用者に押し付けてるんじゃないかなと思うんですよね。
何かあったときにほら同意したでしょって言えるわけですよね。
先ほど挙げたたくさんの炎上事例もほとんどの場合利用者は同意してるんですよね。
っていうところが問題を根深くしてるなというふうに思うわけです。
次お願いします。
なぜこんなことが起こってるかということを私なりに分析した映画がこれなんですが、やっぱり技術がどんどん進んでくると、
もともと例えばバイオテクノロジーがそうだったみたいに技術的にできることと社会的にやっておくことのギャップがすごい開いてるんですよね。
なので大学でも見てると情報系の研究者はですね、特に若手とかはですね、データがあったら何でも解析しようとするんですよね。
研究だったらそれでいいんですけど、それは社会実装をしようとすると、これはやめとけみたいなやつが時々出てくるわけです。
じゃあこの技術的にできることと社会的にやっておくことの線引きということをしないといけなくなるわけです。
これはもともとどうやってたかというと、
もともとは法律でやってたわけですね。
先ほど山下がお話ししたように法務とか弁護士さんがOKって言ったからやってたわけですね。
あるいは企業だったら広報とかマーケティングが社会的にどうかっていうのを考えたわけです。
このCM、この家族の描き方ちょっとまずいんちゃうかとかそういうことを言ってたわけですよね。
なのでリーガルとソーシャルの観点から線引きしてたんですよね。
ところがですね、技術の進化のスピードがものすごく速くなって、法律が技術のスピードに追いつかなくなると、
そうすると法律守ってるのに炎上みたいなのが起こるわけですよね。
SNSの時代、社会何が燃えるか何が燃えないかなかなか予想できないですよね。
これ炎上したんでこれ炎上しないとかですね。
なんでこれが炎上するのみたいな案件がいっぱいあるわけですよね。
そういった中で企業の皆さんとかはこの倫理、エシックスというものに注目が今集まってます。
なのでこの不確かな時代によりどころとなるものとしてリーガルとかソーシャルだけじゃなくてエシカルっていうものに注目すると。
なので多くの企業さんが今AI倫理原則とかAI倫理シーン作ったりとかミッションパーパスとかですね、
社税とかですね、創業者の言葉みたいなのに立ち戻ったりするっていうのはですね、
そういうよりどころを求めてるんだなと思うわけですね。
もう一個。
大阪・関西万博でのVPIA実証
でですね、さっきからVPIAって当たり前のように我々は言ってたんですけど、何のことか分かんないですよね。
これはですね、実は大阪関西万博でデータ利活用の中で実は実験をしたんです。
これは未来社会の実験場っていうふうに万博言われてて、ちょうど実は今日万博終幕1周年の日で、
今大阪ではすごいイベントやってて、僕も大阪関西万博大好きで40回以上通ってて、
昨日は実は大阪でイベントに出てその後こっちに来たんですけど、そういうことをやってるんですけど、
ここに実はデータ利活用有識者会議っていうのがあって、プロデューサーの一人である京王大学の宮田先生がリーダーでてて、
私もメンバーであってですね、データ利活用のためのこういう5原則を作って、
この5原則をどう活用していくかっていうルールを作ったんですね、やり方を。
その中で実はVPIAという仕組みを作ったんです。
これは教会のデータとパビリオンのデータを組み合わせてデータ利活用するとか、
顔認証入場システムを作ったりとかですね、いろんなもので適用されたんですね。
これは従来からのPIAというプライバシー影響評価というのがあったんですけど、
これに提供価値、やっぱりこれがないと意味がないんで、提供価値であるバリューっていうのを加えて、
データ利活用前にそのデータ利活用する主体がバリューとプライバシーへの影響っていうのを評価して、
大丈夫だという確認をしたものを社会実装するっていう仕組みなんですね。
もちろん同意ボタンは押されるんですけど、実は同意ボタンを押すスマホの画面のところに点便マークがあってですね、
その点便マークをクリックしたらこのVPIAの結果を見れるという仕組みをやったんですね。
さらにもう一個、実はこれVPIA、これ先ほど話があったようにVPIA自体も読むと時間かかるんですよね。
なのでそのVPIAというバリュー&プライバシーインパクトアセスメントの報告書を読んだ市民が理解できたかどうかっていうのを3段階で評価するんですね。
なので同意ボタンを押す前に、じゃあどんな評価されたかってVPIAを見てもいいし、
VPIA見るのもめんどくさい人はそのVPIAを読んだ第三者が理解できたかっていうのを6個の視点からですね、理解できたかどうかを書いてある。
これは5人ぐらいいるんですね。
その人たちがどう思ったかっていうのを見て、自分と同じような立場の人がOKと言ってたら、じゃあ大丈夫かと思って同意ボタンを押すみたいな、
そういうことができたら、先ほど言ったように責任を利用者に押し付けてるみたいなことにはならないだろうと。
正直これめちゃめちゃ手間かかる話で、万博っていうそういうパブリックなイベントだからこそできたわけで、
事業者がこれ全部やるとなかなか大変なんで、それをどう事業者がビジネスの中で採算とかですね、そういう利益を得るっていう文脈の中でどうできるかっていうことを、
実は今プラバシテックさんと共同研究をやっていると、そういうことになるわけです。
これで終わりかな。
ありがとうございます。
じゃあ実際にそれを学術の観点、それから大阪関西万博で実証されましたという内容を、
社会実装、要は一般事業者に向けての実装していこうと、ビジネスとしてどう取り扱っていくのかっていうとこの観点を、
次は少しお話いただけますかね。
はい、この話私も最初に聞いたのが、万博の振り返りのイベントだったかなと思ってるんですけど、
すごく面白い取り組みで、面白いというか、とても納得いたアプローチだったなというふうにすごく思ったんですよね。
これ結果的にどうだったんですか。
万博の前って結構いろいろ言われてたこと、そもそも万博やるかみたいな願ってた空気があったりとか、
データ持っていかれるんじゃないかって話が国会審議に挙がったりとかいろいろあったじゃないですか。
そういった中でこれをやられて。
そこちょっとお話しとかないといけないですね。
これ実は覚えてる方おられるかな。
万博が始まる直前にプライバシーポリシーがちょっとこれも炎上したんですね。
ただちょっと言い訳なんですけど、我々データ利活用有識者会議は全く関わってなくて、
それは業者が何でもかんでも一つのプライバシーポリシーに可能性あるやつ入れちゃったんですよね。
なのでそこで登録した人の生態情報、顔情報とかがまるで海外に持っていかれるかのようなプライバシーポリシーやったんで、
非常に様々な炎上をしてたんで、お金かけすぎだとか税金泥棒とか、その一環で見つかってしまって、それが炎上したということがありました。
今日話してるやつとはそれとはとりあえず別の話で、データ利活用するっていうデータを組み合わせてやるときに適用した話なんですね。
実は見てもらったらわかると思うんですけど、スマホの画面の中、ただでさえ情報がいっぱいある中にプライバシーポリシーへの同意のボタンだけじゃなくて、
こういう天秤マークを置いて何も読まずに同意ボタンを押すんじゃなくて、ちょっと天秤マークを押してくださいという、これは僕ゴリ押しで入れてもらったんです。
もうスマホのデザインの中にこんな入るかみたいなところに入れてもらったんで、それだけでも感謝なんですけど、案の定気づかない人属室です。
僕も実は最初やったとき気づかずに同意ボタンを押しました、正直いうと。
それぐらいやっぱりスマホの画面って難しいんですよね。
なのでこれは押さなかった、気づかなかった人が多かったんです。
ただ押してもらった人とか中を見てもらった人はその後アンケート書いてもらうんですね。
人数は少ないんですけどそこまでたどり着いた人からのコメントはすごい面白い取り組みだというお褒めの言葉はまあまああったんですけど、
何せ全体からしたらごく一部なんで、こういう取り組みが行われたこととかVPIAという新しい実験が行われたこと自体が残念ながらあまり知られていずにちょっと埋没してたんで、
私も関わった一人として万博のレガシーとして残そうということで終わった後もこういった様々な場で紹介をしてどうですかこういう考え方みたいなことをやらせてもらっています。
もう一つはやっぱり関わった事業者の方々、パビリオンの方とか万博のインフラ周りをやってた方とかこれをやってもらったんですけど、
正直この一般市民というかコメントを読んでコメントをされる方、こっちの知り合いでちょっと意見を持ちそうな若者とかを選んだんですね、いろんな団体に所属してる人。
その人たちが相当真面目にやったのである企業は彼らと豪幅ぐらいやり取りをしてここがわからんって打ち返してそれを改正して持ってきていやいやまだわからんって言ってそういうことをやったりしたんでちょっと手間
をかけてもらいすぎたかなということで、
このまま同じものをビジネスにやってもらうとそれは多分やる側からしてちょっと勘弁してくれよってなるかなということは思ったりしました。
全部でこれ10個以上VPIAの取り組みをやって、実はウェブサイトがまだ残っているのでちょっと検索したら出てくるので大阪関西万博のデータ利活用みたいなことでちょっと調べてもらったらこの取り組みに関しては
情報があります。
データフローと多様な視点によるリスク評価
これプロセスとしてはまずは企業が独自の施策というものをVである価値が何なのかということを言語化し、それからPIAというのはプライバシーインパクトアセスメント、プライバシー影響評価というものなんです
けれども
言ってみればその施策をやるにあたってのデメリットとしてどういった問題が起こるかということをしっかりと表明をしていくというものであります。
その上で、当然リスクがありますよって終わりじゃなくて、そのリスクに対して自分たちはこういった対策を考えています、施していますというところまでを一通りまとめていくんですが、それを外部の有識者の方々、今回
チームを作られていた。
外部の有識者会議は確かに宮田先生はじめ有識者なんですけど、その人たちが直接評価するんじゃなくて、その人たちはこのルールを手続きを作るんですよね。
これを評価するのは消費者団体とか学生団体とか若者とか若手の情報系の研究者とかですね、そういった人たちが素朴に読んで理解できたかどうかっていうことを3段階で評価するというそういう仕組みにしたんですね。
ありがとうございます。これちなみにこの正しいかどうかじゃなくてOK、NGじゃなくて理解できる、できないみたいなここに置かれたところってどういう議論があったんですか。
これはまさに法的にはOKでも倫理的社会的にはダメだから炎上するっていうのは、これ誰か一人の視点でめちゃめちゃ偉い人がいい悪いと言って片付く問題じゃないんですよね。
やっぱり市民的な目線からしてこれは社会的な重要性がないと気持ち悪い、この使い方気持ち悪いとかですね。
あるいはもう少しアカデミックなちょっと一歩引いたとこから倫理的にどうかと、つまり公平性問題があるんじゃないか、法設性問題があるんじゃないかみたいな観点とかですね。
そういった観点っていうものが大事であって、これは正しいか正しくないかという軸じゃないだろうということに思ったんですね。
ありがとうございます。
ちなみにVPIAを担当される企業側の担当の方って、いわゆる試作をやってる当事者なのか、企業のホーム部門とかガバナンス系の部門なのかというと、どちら側の方なんですか。
必ずしも僕全部把握してるわけではないんですけど、やっぱり技術系と作ってる方が取り組まれたケースは結構あったと聞いています。
どんな情報を揃えていただくんですか。
先ほど私が申し上げた試作の概要とか、それを文字で整理していくっていうのもあると思うんですけども。
まずはやっぱりデータのフローズまで、フローズまではいかなかった。
どう使われるか、どういうデータを取ってどう保管してどう使われるかみたいなところをやっぱり抑えるから始まって、
あとやっぱり我々ステークホルダーと言うんですけど、要するにどういう人が関わるかっていうところをちゃんと重視してくださいと。
それは単に情報を取る人だけじゃなくて、それを使う周りの人とか、あるいは使い方によっては第三者みたいなのに影響するかもしれないし、
もっと広く言うと社会全体に影響するかもしれない。
そういった様々なステークホルダーを考えるということ。
それからここにいくつか分けてるように、データの取扱いの状況とか取得するデータとかですね、
いうものを割と細かく書いてくださいということを最初に言いました。
ありがとうございます。
先ほど木下先生からあったデータフローズというものなんですけども、
例えば我々、これテキストでお渡ししてるんですけども、こういった形で書きましょうというものとして出しております。
右側にインプット、プロセス、アウトプットでデータの流れを書いていきましょうということと、縦軸にステークホルダーを書きましょうという軸を決めております。
一番最初はユーザーのデータを使うので必ずユーザーから書きましょう。
ここの書き出しが結構曖昧な形になってしまうと、そもそもこれって誰のデータなんだっけとか、
その当事者に影響を与えるかどうかというのを判断する、検討するための当事者が誰かというところが見えなくなるので、
必ず個人から書いていきましょうという形で進めていきます。
やっぱりシステムのフローとはまたちょっと違うので、ある意味データが移転するタイミングであったりとか、
法令が適用されるような区切りというか、そういったところでこうやってまとめていきましょうという形でまとめているものになっております。
リスクを洗い出すというときに、このデータフローズがあるかないかで全然解像度というか想像力が違ってくるので、
このデータフローズっていうものをかけた時点でも8割型できてるじゃないですけど、そう思うんですよね。
このインプットからアウトプット、もっと先もあるかもしれない、使われ方とかそういうところまで含めて考えると、
かなりの部分を自ずとリスクっていうのが洗い出されるなというふうに経験上は思います。
これはまさにこの吹き出しのところがデータフローズの上に、これが問題だということで気になりどころを全部コメントしていってるものなんですけども、
ここもまさに法令観点で気になるところもあれば、なんとなく気持ち悪いとか、ちょっとこれ疑問に思うなみたいなことをこういった書き出していくというような、
こういったことを実は愚直にやっていくっていうのが最初のアプローチとしては重要なんだろうなと思っております。
あとだからアカデミアとしてこういうのに関わるときの一つのポイントは先ほどお話があったように、
なんか気持ち悪いなとか、これいいのかなって、後から聞くとデータ利活用の技術に関わってる人の中で絶対そういう人がいるんですよね。
ただなんか気持ち悪いけど社内の子もホームはOK言ってるし、みんなすごいやる気あるし、
これ絶対いいって言うんで、ちょっと水させないなみたいな感じで黙ってますみたいな、黙ってましたみたいな話って結構聞きます。
我々はなんか気持ち悪いなだけだったら辞める根拠にはならないんですけど、
なんか気持ち悪いな、なんかもやもやするなっていうのを言語化するっていうことがすごく大事なんですよね。
どうして気持ち悪いと思うんだろうか。
例えばそれってもしかしてすごいバイアスが生じる可能性があるから気持ち悪いと思ってるのかもしれないし、
あるいは使われ方によっては差別みたいなことにつながるんじゃないかなとかですね、
あるいはこのデータ利活用をこのまま例えば人事とかそういう非常に重い意思決定に使うとどんなことが起こるんだろうって考えたときにちょっとまずいかもとかですね、
そのまずさは公平性のまずさなのか、あるいはブラックボックスで透明性が欠如しているまずさなのか、
なんかそういうまずいとかもやもやするとか気持ち悪いにも多分いろんな側面があるんですね。
それを言語化していって紐解いていくっていうことが我々アカデミアとして人文系の研究者とかが関わるときにメリットかなというふうに思ってます。
ごめんなさい、ちょっと予定にないアジェンダ挟んじゃうんですけど、今お話しされた内容っていうのは企業観点ですか、それとも登録しているお客様観点ですか。
今お話ししたのは企業観点、企業のリスクマネジメント観点ですよね。
そのときにやっぱりお客様視点っていうのが入ってないと非常にまずいので、
なんか気持ち悪いな、もやもやするなっていう人はやっぱりお客様視点が入ってる人が多いんですよね。
もっと言うと、そういうリスクの洗い出しの場に、例えば全然事業と関係ない社内の広報とか普通の事務の人とかが入って一緒にやるみたいなことをやったことがあるんですけど、ものすごいいいことをおっしゃります。
そういう視点がやっぱり大事なんで、だからさっきのVPIのフローで見てもらう若者とか市民っていうのもやっぱりそういう視点なんですよね。
ちょっと情報漏洩というか個人情報の漏洩祭りに話を戻したいんですけど、
あなたの情報漏れましたよっていう漠然とした連絡とか、僕もいくつか来ましたけれども、これってどこの何が漏れていて何の問題が発生し得るんだっていうのが伝わってこないんですよね。
多分それってこのプロセスが漏洩した企業はできてないんじゃないかっていうのは一つ課題なんじゃないかなと思っています。
これが各企業さん自社内で整理できていれば何かが発生しました。
例えばこの最初の黄色の会員情報のところが漏れたんです。
でもそれって購入履歴とは切り離されているんで、スパムメール来ちゃうと思いますけどっていう謝られ方したほうが、なんとなく漏れちゃいました、影響範囲を確認中ですみたいな。
だからそういうところっていうのが、その先、アタックを受けて漏洩してしまった後のリスクヘッジというか、説明責任をしっかり負えるっていうことに対してもこれは重要なんじゃないかなと思ってちょっとこれを挟みさ
せていただきました。
ありがとうございます。まさにその次、私は誰がこれをするのかっていうお話を聞きたかったなと思ったんですけれども、さっきおっしゃられた事務の方がされているとか、結構実は周りの普段一緒に働いている方とかチ
ームのメンバーとかが関わってもらうっていうのはそういったやり方がものすごく重要なのかなと思ってるんですがいかがでしょうか。
いやそうですね、実は大学でもこういう、この組織もそうなんですけど、デジタルトランスフォーメーション、DXをやれっていうのがトップダウンで来てですね、まさに技術的にやれることを全部やろうとするんです
よね。
それに対して社会的にあんまりやらないほうがいいんちゃうかみたいなこともきっと出てくるけど、そのギャップが生じるということで、大学でも同じようにですね、そういうデジタルトランスフォーメーション施策に対
してリスク洗い出しみたいなことを実は我々普段から半分仕事半分研究でやったりしてるんですけど、そういうときにやっぱり多様な人が入っていると、そのリスク洗い出しする人に。
一番ダメなのは多分技術系の中年男性ばっかりでやるみたいなことが多分一番狭くて、もちろんジェンダーもあるし、あるいは年代もあるし、我々実は人文社会科系の人間といっても人文社会科学の様々な経済学もあれば
哲学倫理学もあったり、そういった個種とも含めて多様性っていうのがすごく大事だなということは直感的にも実際にも経験してるところですね。
なので多分事業者の中でこういう考えるときにも是非多様な人たちを巻き込むっていうことをやったほうがいいと思うんですよね。
私たち企業研修でこのデータプライバシーっていうのは2時間ぐらいの研修するんですけども、30分ぐらいこのVPIをやってみましょうってシミュレーションをするんですよ。
初めて出す、こういったデータの試作をやります、こういったデータを使いますとかっていうことをA4一枚ぐらいのペラ一でお題を出して、初めましての人同士で4,5人ぐらいでワンチームになってもらって20分ぐ
らいディスカッションしてもらって、
バリューとエルシー、倫理、法律、社会的の観点を懸念を洗い出して多様性を描いてくださいっていうことであるんですけども、この20分のディスカッションだけでものすごくいっぱい出てくるんですよね。
もちろんモンハンガイドは用意をしているんですけども、別にモンハンガイドも読む必要もなく、ほとんど網羅されてるよねっていうことで出てきます。
ちょっと面白いのはチームによってメンバーの偏りがあると、ここも面白くて事業サイルの人たちが多いチーム、エンジニア系の人たちが多いチームっていうところでもちょっと回答が特性が出てきたりもするんです
けども、
でもほんのちょっとの時間を集中してそれに議論に当てるだけで、結構このVPIAっていうところの観点は出てくるんだろうな、決して専門家にお願いをするとかっていうことをしなくてもですね、企業とかそれこそチ
ームの中でも回していけるものなのかなという実感を持っています。
ちょっとじゃあ台本に戻りましょうか。
企業導入に向けた仕分けと実務上の課題
じゃあ次、このVPIAを大阪万博の中でできたフレームを一般の民間で導入しようと思ったときにどういった課題があるのかというところをですね。
あと10分くらいしかないです。
じゃあそうですね。
VPIAがまさにこの万博の中のパビリオンとかで使うような施策っていうものをどうやって検討していくかというところなんですけども、やっぱり一般の企業の中でいうと何か単一の施策ということじゃなく、すごくた
くさんのデータ活用とかAI活用の案件があるという形になっていますと。
ですので何でもかんでもVPIAと同じ強度でチェックをしていくとなるともうこれ破綻します。
全然できない。
だからとはいえデータを活用する施策って本当にいろいろあるので、どういう施策をVPIAにかけていくのかかけずにもう少しライトにするのかみたいな、そういったところの振り分けというのが非常に重要になってくる
なというふうに思っております。
まさに万博のところVPIAってフレームであったりとか、そのVPIA自体の進め方っていうのは見えてきたんですけども、やっぱり企業の中で実際に当て込んでいくためにどういった仕分けをしていくのかみたいな
ところが重要だなというところで、そこで一緒に今研究を進めさせていただいている。
一緒に企業さんと連携して研究を進めているところになっております。
結構我々もいろんな案件の情報とかを企業さんからいただいて、どんなふうに分けていこうか、すごい試行錯誤な話しながらやっているところなんですけども。
そうですね、これもともとVPIAっていうのは我々が作った言葉なんですけど、PIAっていうのはご存知の方も多いかもしれないんですけど、プライバシー影響評価っていうのは1990年代ぐらいから欧米でもうすで
にやられていて、
日本でも企業さんで社内でやっておられる方は結構いるんですね。
ただやり方って決まったやり方がなくて、本当にチェックリストみたいなやり方をするものから、我々アカデミーはちょっと時間かけてリスクマップを作ったりしてるんですね。
影響の発生確率と起こったときの影響の大きさっていうのを、例えば4段階かける4段階とかでリスクを10個も20個も洗い出して、それをプロットしてリスク高いものを減らしていきましょうみたいなことを可視化する
っていうやり方をやってるんですけど、
昔からこのPIAっていうのをやるときに、欧米でもスレッショードアナリシスといって、これをPIAの対象にするかどうかをまず決めるっていう分析をやるんですね。
それのやり方もまたバラバラで、特にAIの時代になってきて、PIAが出てきたのはAIなんかが使われるずいぶん牧歌的な時代にできたやつなんですけど、AIの時代になってくると入り口だけじゃなくて出口、使い方
とか、
要するに要配慮個人情報を使ってなくても、プロファイリングすることによって要配慮個人情報を推測できたりするわけですよね。
だとしたら要配慮個人情報を使ってないので、これはOKです、やらなくていいです、みたいなことにならない。
要するにプロファイリングみたいなことを減ると、思わぬ内容が推測できたりするし、それをいきなり人の手を介さず使ってしまうことになったら人権、人の尊厳を侵害するようなことにもなりかねないので、入り口だけ
じゃ判断できないんですよね。
だったらどういう仕分けができるかっていうところが非常にチャレンジングな問題で、あともう一つはやるかやらないかだけなのか、あるいはやらない、簡単にやる、しっかりやる、みたいな3段階なのかとか、その辺も内
容によって全然変わってくるんで、そこもケースバイケースだなと思いながら試行錯誤しているっていうのが現状かなと思います。
あともうセッションに参加されている方とイメージされているかと思うんですけども、結局現場に何を聞いていけばいいのか、どういうチェックリストを作っていけばいいのかっていうところも実務上は結構な問題になって
くるかなと思っております。
やっぱりちゃんとチェックしようと思うと、質問項目どうしても増えてしまうんですよね。増えてしまうんですけども、やっぱりその施策に応じてとかリスクに応じて聞く量をなるべく減らしてあげるとか、記入を優しく
したりとか、そういったことは全然できるかなと思ってます。
まさにちゃんとやろうと思って質問項目を増やしすぎると逆にめんどくせえって現場がなって、書かなくなってしまうっていう、軽快化してしまうっていうところもあり、ここのバランスをどうとっていくかって非常に大き
な課題だなと思っているんですけども、というところであります。
LBMA Japanの位置情報プライバシー活動
なんか事例があるんでしたっけ、LBMAのやつは。
そうですね、LBMAの事例があります。
LBMAは先ほど川島さんからあったとおり、ロケーションプライバシー研修というものをやっておりまして、ここに後ろにあるようにもめちゃくちゃスライドもたくさんあるんですけども、じっくりと研修をやってお
ります。
この中で特定の案件を出して、VPIを一緒にやってみましょうとか、LCというフレームでやってみましょうということをやっております。
そうですね、毎回テーマを本当に変えてるんですけど、オリジナルで作ってやってるんですけども、ものすごく皆さん、いろんなことが始まります。
参加される方が営業、エンジニア、企画、本当に。
あともちろん法務系の方も様々な方が出られるということで、皆さんこれしっかりと仕上げていただくというようなことをやっております。
やっぱりこの業界として単純にルールを作っていくということだけじゃなくて、あとはもちろん同意を取るというのは求められてることなので当然やっていくんですけども、これにとどまらず、
立活用をする上でのリスクをどうちゃんと事業者が認識をしていくかであったりとか、それをちゃんと言葉にするとか、そのプロセスというものを再現できるかということが非常に重要かなというふうに考えていて、
これはエルビミウムというのにずっと力を入れてやってきたことでありますね。
そうですね。
個人情報である場合とそうでない場合があるということをお伝えしましたけれども、いずれの場合であったとしても、そのデータを提供してくださる方に対してどう使われるんですよ、何を対価としてこれを事業者として
取得するんですよと、
そういったことをしっかりと整理しておく、そしてそれを明示する必要があるんですけど、明示しても読んでくれないっていうのが今の課題で、じゃあそれをどう読んでもらうのか。
読んでもらうためにはその影響範囲をしっかりとお伝えする、先ほど見ていただいたようなデータフローズ。
それは個人としても自分のデータを誰にどう渡していて、それがどう扱われるべきって整理されてしかるべきだと思うんですね。
これだけ炎上事案が続くと、あ、そうか、俺あんなカラオケ屋にデータあったんだみたいなのをちょっとこの間つい何年ぶりかに思い出したみたいなところもありつつなので、
その辺の全体の整理が広がっていく、そのための手法として今回このVPIAっていうのをご紹介いただいて、それじゃなきゃいけないっていう話もないと思うんですよね。
それが一事例であって、それを拡張したりとか変化させたりしてやっていくのもありと思います。
さっき山下さんもいろいろ聞かなきゃいけないっていうのもあったんですけど、アウトプットとしては多分あんなにいっぱいあったら誰もまた読まなくなってしまうので、
それをどうシンプルにしていくか、そしてAIが使うデータの範疇っていうのも非常に広がってきてますんで、それを踏まえて人に、自分が提供する人に対してどう理解してもらうかっていうのを明示していく、理解しても
らうっていうのが今後の課題かなと思って、
ちょっとじゃあ岸本先生に振らせていただいて、今後についてというところで最後。
信頼されるAI・データ活用に向けて
はい、実は僕最初自己紹介のときはしなかったんですけど、LBMAジャパンさんとは立ち上げ時から実は関わらせてもらってるんですよね。
我々企業さんといわゆるLC、倫理的法的社会的課題を一緒に取り組むことって結構あるんですけど、多くの場合やっぱり自社で炎上みたいなことがありましたとか、そういう近い経験を持たれたところとやり取りすること
も多いんですけど、
LBMAジャパンさんは何も起こってない段階で、2019年なんですよね、何もまだ起こってないんだけど、このままだと何か起こるかもしれないと。
個人情報じゃないとはいえ法的なルールがないとはいえ、このままだと何かまずいことが起こるじゃないかと、それに備えるために結成された面もやっぱり強かったんですよね。
今考えると2020年にコロナが起こって、位置情報がものすごい活躍して、今日で言うバリューが誰の目にも見えるようになったんですよね。
なのでその1年前に本当に、1年前ですかね、作られてて、ちゃんとルールを作ってガイドラインを作ってたというのがものすごい結果として良かったし、あれがなくコロナ禍に突入したらやっぱりまずいデータ利活用で
炎上みたいなこともあったんじゃないかなと思うんですよね。
なので転ばぬ先の杖みたいな形で、一見ビジネス事業に水を差すじゃないですけど、そういう面もなくはないと思うんですけど、逆に我々こういうLCEというもの、倫理的法的社会的課題の対応がなくしてはイノベー
ションがないんだと、
そういう形で企業さんと一緒にやって、そういうわかってくださるというか、ちゃんと転ばぬ先の杖をやっておられる方々と一緒に仕事をしたりとかしていて、今日の話もその一環でやった話だったと思いますので、また別
に過剰に怖がらせるというビジネスをしてるわけじゃないんですが、そういう側面もあるのかなと思っているので、ぜひ頭の片隅にこういう考え方があるというのを覚えておいていただければなというふうに思います。
ありがとうございます。
じゃあそれを受けて事業者支援の立場として。
そうですね。私もずっとエレベメントをしていたりとか大阪大学さんと一緒にやらせていただく中で、やっぱり最終的には現場の人たちがAI使う、データ使うということで、生き生きと働ける組織を作っていくということ
が非常に重要だと思っており、そこに寄与したいなというふうに考えております。
一方でこれだけいろんなリスクが高まっている中で、日々起きていることをやっぱりどれだけちゃんと情報を正しく整理をしていくかであったりとか、最新の法令とか法令だけじゃない社会的倫理的な観点というところに
どう早く答えを出していくかというところ、実はここにAIの力がすごく生きてくるんじゃないかなというふうに考えております。
ですので、我々はしっかりとこういった学術的な観点も踏まえながら、そして今の事業者さんの置かれている状況とかも見据えながら、これをいかにAIにトランスフォームしていくかというところ、そこにチャレンジを引
き続き続けていきたいなというふうに考えております。
最後、このVPIのところは、実はまだ共同研究を進めているところでありまして、もっともっといろんな企業さんと一緒に研究を進めていきたいなというふうに思っております。
3ヶ月ぐらいでいろいろ情報を整理して、こんな方向にいけるんじゃないか、先ほど映したような審査のフローであったりとか、質問項目とかっていうのはどうしても企業ごとに作っていかなくてはいけない。
企業理念であったりとか、企業の価値観とか、そういったものが非常に重要になってくるので、そういった形でカスタマイズして作っていくっていうのは非常に重要なんですけども、
それをやらせていただけるかなと思っておりますので、ぜひお声掛けいただければと思っております。
岸本先生にもご参加いただく形で進めております。
あそこのブース、真っ黄色のブースが後ろにありますので、ぜひお立ち寄りください。
山下さん、岸本先生ありがとうございます。
最後に繰り返しになりますけど、漏れちゃいます、個人情報かどうかは置いといて、もう漏れてしまう前でこれだけアタックの技術が上がってしまうとか、AIでいろいろ作られても方法案がいっぱい出てきてと、
ただそのときにどう向き合ってどう採取するかっていうのを皆さんにもぜひ一緒に考えていただきたいと思います。
説明をすることが一番大事だと我々は思っておりますので、その辺の向き合いをこういった枠組みを通してご検討いただければと思います。
以上ですかね、今日は約1時間のセッションをご清聴いただきまして、どうもありがとうございました。
ありがとうございました。
