INSIGHT
名前を消した資料、どこまで使える？——加工と識別の確認
名前以外の情報や元資料との組合せから、識別できないか。
顧客アンケートをAIで要約するため、氏名を削除した一覧を用意した。「これで匿名になったから入力できる」と、そのままAIへ渡しかける。ところが一覧には、少人数の部署、珍しい役職、訪問日、製品名、具体的な苦情が残っている。社内の人なら、誰の回答か見当がつくかもしれない。
名前を見えなくする加工は、情報を扱いやすくする方法の一つである。しかし、その操作だけで識別の可能性がなくなるわけでも、個人情報保護法上の特定の区分になるわけでもない。入力先や利用目的まで自動的に許可されることもない。
「氏名を消した」は作業内容の説明である。法令上の区分とAIでの利用可否は、残る情報、照合できる資料、加工方法、利用先を見て別に判断する。
人を示すのは、氏名だけではない
加工前に、元資料の項目を三つに分ける。氏名、住所、メールアドレス、顧客番号など直接の手掛かり。部署、地域、年代、日時、製品、自由記述など組合せで手掛かりになり得る情報。そして、今回の分析に本当に必要な情報である。
たとえば「関西支店・役員・先月導入・特殊仕様の製品・一度だけ起きた障害」が一つの行に残れば、氏名がなくても社内では対象者を推測できるかもしれない。自由記述には、会社名、担当者名、場所、固有の出来事が入りやすい。AIへ渡す前の列削除だけでなく、本文の記述も確認する。
識別できるかは、資料単体だけで決まらない場合がある。顧客台帳、案件管理、メール、日程表と容易に照合できれば、残った番号や条件から本人へ戻れることがある。誰がそれらの情報へアクセスできるかも含めて見る。
目的が「問い合わせの傾向を製品別に数える」なら、正確な日付や担当者の所属は不要かもしれない。「特定の故障の経緯を調べる」なら、時系列や機器情報が必要な場合がある。残す項目は、情報を減らすこと自体ではなく、目的に必要な粒度から決める。
マスキングと法令上の区分を混ぜない
現場でいうマスキングは、画面や資料の値を伏せたり置き換えたりする作業を広く指す。これは便利な業務用語だが、個人情報保護法上の一つの区分名ではない。
個人情報保護委員会の仮名加工情報・匿名加工情報編 は、仮名加工情報と匿名加工情報を分け、それぞれの定義、加工基準、取扱いに関する規律を示している。現行ページは平成28年11月制定、令和8年4月一部改正とされている。
仮名加工情報は、法令の区分に応じた措置を講じ、他の情報と照合しない限り特定の個人を識別できないように加工して得られる個人に関する情報である。ガイドラインは、加工後の情報と別の情報を組み合わせれば識別できる状態まで否定するものではないと説明する。また、適正な加工、削除情報等の安全管理、識別行為や提供などに関する規律もある。
匿名加工情報にも、識別につながる記述、個人識別符号、情報を連結する符号、特異な記述などについて、資料の性質に応じた加工が求められる。単に名前の列を削除した資料へ、担当者がこの名称を付ければ成立するものではない。
「匿名化済み」というファイル名を判定の根拠にしない。どの法令上の区分を想定し、どの加工と取扱いの条件を確認したかを記録する。
対応表と元資料を、加工後の資料と一緒に見る
氏名を連番に置き換えた資料には、番号と本人を結ぶ対応表が残ることがある。対応表を別フォルダへ置いても、同じ人や同じ権限で両方を見られるなら、識別への経路は残る。加工済み一覧だけをAI利用審査へ出すと、判断に必要な関係が見えない。
確認表には、加工前の資料、加工後の資料、削除・置換した項目、対応表や鍵、照合可能な台帳、それぞれの保管場所と閲覧者を載せる。加工を担当する人、対応表を管理する人、AIへ入力する人、出力を利用する人の役割も示す。
個人情報保護委員会の通則編 は、利用目的、安全管理、従業者や委託先の監督など、個人情報・個人データの取扱いに関する一般的な指針を示す。現行ページは平成28年11月制定、令和8年6月一部改正で、条番号は令和8年6月14日時点と明記されている。
この通則編や加工情報のガイドラインから、特定のAI入力が適法かを本文だけで一律に決めることはできない。どの法令上の区分に当たるか、委託や第三者提供などをどう評価するかは、データ、利用目的、契約、提供者の取扱いといった事実に即して確認する。
AIへ渡す可否は、加工の後にもう一度決める
加工が終わっても、AI入力の判断は残る。誰のどの業務目的で使うか。どのサービスと契約プランへ入力するか。入力や出力が保存されるか。学習やサービス改善など別目的に使われるか。再委託先が関わるか。出力を誰へ共有するかを確認する。
また、入力では見えにくかった情報が、要約によって目立つことがある。「特殊仕様を導入した唯一の役員顧客」のように、AIが複数の手掛かりを一文へ集めれば、出力から対象者を推測しやすくなる可能性がある。入力側の加工だけで終えず、出力の固有表現、少数事例、具体的な日時や場所を確認する。
集計にすれば必ず識別できなくなる、とも限らない。ある部署の回答が一件しかないなら、部署別の集計表でも本人の回答が見える場合がある。少ない区分をまとめるなど、配布先が持つ知識も踏まえて出力の粒度を選ぶ。
判断がつかない場合は、元資料を入力しない。集計値へ置き換える、少数区分をまとめる、自由記述の固有表現を人が確認する、社内の管理環境で処理する、契約・情報管理の担当へ相談する選択がある。加工によって失われた情報が分析に必要なら、黙って元に戻すのではなく、追加利用の目的と扱いを改めて決める。
加工はAI入力を許可する合図ではない。加工後の情報について、目的、入力先、保存、共有、出力の識別可能性を確認して利用範囲を決める。
加工した情報と用途をそろえ、判断が必要な点を相談する
相談するときは、「匿名化しました」という名称だけでなく、自分が加工した内容と用途を示す。①分析目的、②残す・除く項目、③対応表と照合先、④法令上の区分について未確認の点、⑤入力サービスと保存条件、⑥出力の利用者、⑦利用後の扱いをそろえる。元資料や対応表の実物を、相談用のAIへ追加で貼る話ではない。
合意するのは、誰が法令上の区分を確認するか、どの加工版を使うか、誰が入力前と出力後を確認するか、どの条件なら利用を保留するかである。加工方法を変えたとき、利用目的や入力先を変えたとき、閲覧者を増やすときは、前回の判断をそのまま使わない。
確認記録には、法的な結論だけでなく、判断時点の資料と前提を残す。「顧客番号と自由記述を除いた版を、指定サービスのこの契約条件で、製品別傾向の要約に限り使用」のように範囲が分かれば、後から別目的へ流用されるのを防ぎやすい。
名前を消した後も、識別できる情報と利用条件を分けて確かめる
氏名を消すことは、情報を扱い直す最初の一歩になり得る。しかし、それだけで誰も識別できない、法令上の加工区分に該当する、AIへ入力できる、という三つの結論は出ない。
まず、消した項目と残した情報、照合できる資料、予定する入力先を分けて書きたい。自分で法令上の区分を確定せず、判断が必要な点を情報管理・法務の担当へ渡す。確認できるまでは入力を保留し、許可された用途と加工版が分かる記録を残す。