人工知能（AI）の普及に伴い、個人情報規制の枠組みを見直す必要があるとの議論が本格化している。生成型AIやエージェント型AIがデータを結合・推論し、複数のサービス間で個人情報の移動が増加する中、事前同意と目的制限を中心とした現行の規制だけでは対応が難しいとの指摘がある。
そのため、「同意」以外の個人情報処理の根拠を明確にし、「第三者提供」の基準を整備する一方で、情報の種類、処理方法、責任主体に応じて規制を細分化する必要があるとの意見が出ている。
14日、ソウルの汝矣島国会図書館で開催された「個人情報規制パラダイムの未来を論じる」討論会では、同意中心の個人情報処理体制をどのように改善するか、データ活用の拡大に合わせて保護・責任体制をどのように精緻化するかが主要な議題として取り上げられた。
法務法人キム＆チャンの弁護士、方成賢氏は「実際の利用者が規約や個人情報処理内容を一つずつ確認し、同意の有無を決定することはほとんどない」と述べ、同意中心の体制の限界を指摘した。彼は契約履行や正当な利益など、他の個人情報処理の根拠の適用基準をより明確にし、正当な利益が情報主体の権利よりも『明白に』優先されるべきという現行要件も見直す必要があると提案した。
AI開発のために一定の要件の下で個人情報の活用を許可する「AI特例」は、事前同意中心の規制から実際のリスクを考慮する方式への転換の可能性を示す制度として評価されている。
忠南大学の教授、裵冠表氏は「事前規制的性格が事後規制的性格に変わり、リスクに応じて責任を負う方式に変化するだろう」と述べた。しかし、データがないスタートアップは特例の活用が難しい可能性があるとし、「データを持つ企業だけが制度の恩恵を受ける逆説が生じる可能性がある」と指摘した。
個人情報の第三者提供も争点として浮上した。第三者提供は、一事業者が保有する個人情報を他の事業者や機関に渡すことで、現行法上、原則として情報主体の別途同意が必要である。しかし、複数のサービスが連携するエージェント型AIでは、個人情報の移動が頻繁に行われるため、現行の同意方式が制約となる可能性があるとの懸念も示されている。
メタの弁護士、李姫珍氏は「すべての段階で別途同意が必要であれば、利用者の不便だけでなく、システムの実装においても我が国の企業に不利になる可能性がある」とし、第三者提供も他の個人情報処理と同じ法的根拠の下で扱う方法を検討する必要があると提案した。
データ活用を広げる一方で、保護と責任構造はより緻密に設計する必要があるとの意見も出た。国会立法調査処の立法調査官、朴素英氏は、個人情報の種類と処理方法、責任主体に応じて規制体系を細分化する必要があると提案した。
現行法は、個人情報の収集目的や項目、保有期間などを事前に定める構造である。しかし、AIは会話・文書・画像などを結合して既存にない個人情報を推論し、複数の事業者が一つのサービスに参加することができる。これにより、既存の個人情報処理者中心の体制だけでは処理過程と責任関係を包括することが難しいとの説明がある。
朴調査官は「個人情報を一括して緩和したり、束ねたりするのではなく、情報の種類と処理方法、責任主体に応じて規制体系をより細分化していく作業が重要である」と述べた。
保護装置の強化の必要性も提起された。法務法人ディケの弁護士、金宝拉美氏は、個人情報保護を政府と企業の権力を制限する社会的価値として捉えるべきだと強調した。KTのCPO、金昌午氏もAIリスクまで考慮する保護体制が必要だとし、個人情報影響評価とAIリスク評価の連携を提案した。
このような議論は、個人情報委員会の制度改編につながる見込みである。個人情報委員会の個人情報保護政策課長、崔允貞氏は「年内にAI時代に適した制度の革新・改善案を整えて発表できるよう準備する」と述べた。個人情報委員会はAI特例施行のための施行令も来年3月施行を目指して準備中である。
嘉泉大学の教授、崔京鎮氏は「既存の制度で解決できる部分と制度改善が必要な部分を区別する必要がある」とし、「AI時代には精緻な解釈と精緻な制度設計が共に必要である」と述べた。
* この記事はAIによって翻訳されました。
