「君も私もジブリプロフィール、オリジナル流出大丈夫かな…」チャットGPTとプライバシー侵害

キム・テファン法務法人大輪知識財産権専門弁護士一問一答

最近チャットGPTでジブリ風プロフィールを作るのが流行だ。可愛くて暖かい絵体が見た瞬間、節で笑顔を浮かべるが、原本の写真を人工知能（AI）が学習し、他に使うことができると考えると不気味になることもある。生成型AIチャットGPTは2022年11月発売以来、個人情報管理に関する問題が着実に提起されてきた。サービス利用時に個人情報をAIが学習して保存されるという点で、個人情報侵害問題では自由にできないからだ。

個人情報保護において問題となる部分はAI学習過程で発生する。 AIは、テキスト、画像などの非定型データを処理しながら、パターン、構造、配列などを学習します。この時、AIは住民登録番号、住所、健康情報などが敏感な個人情報であるという事実をよく知ることができない。そのため、学習した情報を暗記して再出力する過程で情報が公開されることがある。このような要素によって個人情報の流出または情報主体の権利侵害が発生する可能性が生じるのだ。

これに関する法的問題と対応方案について知識財産権専門弁護士の話を聞いた。キム・テファン法務法人大輪知識財産権専門弁護士とやりとりした一問一答だ。

▶AIモデルが個人の情報を学習して活用した場合、個人情報保護法違反に該当するのだろうか？

AIモデルが個人の個人情報を学習して活用した場合、これは個人情報保護法違反で問題になる可能性があります。個人情報保護法によれば、個人情報の収集・利用・提供に際して正当な法的根拠が必ず必要である。個人情報保護法第15条は、個人情報を収集して利用するとき、情報主体の同意や法的要件を満たすべきであると規定している。

同法第15条及び第17条は、個人情報を目的外に利用又は提供することを制限している。今回の事案で問題となる部分は「情報主体の同意」と見ることができる。個人情報を処理するためには、情報主体の同意が先行されなければならない。ただし、AIモデルが学習するデータに含まれる個人情報がすでに公開されている情報であれば、同意なくても処理可能な事例が存在することがあり、検討が必要である。

別の問題は、個人情報処理者の正当な利益をどのように認めるかによって異なりました。個人情報を処理する目的は、合理的で正当な事業上の必要性に基づいているべきであり、その目的が情報主体の権利または利益よりも優先されると評価することができなければならない。

言い換えれば、個人情報処理者の利益がいくら大きいにもかかわらず、情報主体に過度の侵害を招いたり、情報主体が予想できない方法で個人情報が使用された場合、「正当な利益」が認められないという意味だ。このような状況で個人情報をAI学習させたり、二次的に活用する場合、個人情報保護法違反となる可能性が高くなる。

個人情報提供告知文、過度に小さくても違法

▶科学技術の発達にとどまるほど、個人情報処理の問題が増えている。個人情報漏洩被害を被った場合、対応策は？

個人情報流出被害で対応できる法的措置は、大きく行政機関からの罰金または課徴金、民事損害賠償請求、刑事告訴などの方式を利用することができる。事実、AIに関する代表的な訴訟はまだ韓国で進行されていない厳しい事案だ。個人情報に関する事案としては、代表的な刑事事例であるホームプラス事件（最高裁判所2017.4.7.宣告2016図13263判決）を例示することができる。景品行事のために個人情報を収集して提供する過程で、個人情報保護法第15条による告知事項を適切に履行せず、個人情報保護法第17条に関する規定も適切に遵守しなかった事件である。

特に個人情報の提供に対する告知が小さな文字で記載され、消費者が十分に読んで同意できる状況ではなかった。これは、情報主体の同意を受ける過程で必須に明確な告知と同意がなければならないという法的要求に違反したものである。結局、個人情報保護法第72条第2号と第59条第1号に基づき、ホームプラスと担当者は刑事責任を負うことになった。該当事件は「同意の不充足」と「不明確な告知」で個人情報保護法に違反した事例で、今後同様の事件に対して法的基準を提示する重要な判例といえる。

▶個人情報処理者であるAIサービス事業者の場合、個人情報保護法など関連法を遵守するためにどのような戦略を立てるべきか？

AIモデルが個人情報を学習して活用する過程は、個人情報保護法に違反する可能性が存在する。したがって、AI開発者とサービスプロバイダは、正当な法的根拠を明確にし、安全性の確保と情報主体の権利の保証を徹底しなければならない。個人情報保護法に従って公開された個人情報を処理する場合でも、その法的根拠と安全性確保基準を遵守しなければならず、情報主体の同意を明確に受けることが重要である。

具体的には、同意手続きを設け、個人情報を処理目的外で使用または提供することがないように徹底的に管理しなければならない。個人情報の流出を防ぐために、安全性確保措置も強化しなければならない。安全性の確保には、個人情報保護法第29条に定めるとおり、内部管理計画の策定、接続記録の保管等に関する技術的・管理的・物理的措置を含まなければならない。

[記事の表示]
"お前もジブリプロフィール、オリジナル流出大丈夫かなチャットGPTとプライバシー侵害（リンク）