
「AIおよびアナリティクス活用におけるプライバシーの論点」ピープルアナリティクスで担保すべき透明性と公平性
人材マネジメントに「ピープルアナリティクス」を活用するケースが増えてきています。特に活用が期待される領域や活用事例、プライバシー上の懸念事項を紹介します。
2020-08-28
2018年に経済産業省が『DXレポート ~ITシステム「2025年の崖」克服とDXの本格的な展開~』を発表してから、デジタルトランスフォーメーション(DX)は企業の経営アジェンダとして全社規模での推進が加速され、事業効率化・高度化に向けたデータ利活用が浸透してきています。本稿ではデータ利活用に対する機運が高まりつつあることを踏まえて、データ利活用の新たな可能性としてのデータマネタイズ(データ外販)およびその課題に関して説明していきます。
テクノロジーの発展に伴い、企業に集積されるデータは増加傾向にあります。企業は集積したデータを用いた既存事業の効率化・高度化を推進する以外に、データ利活用による新規事業組成(データマネタイズ)に対する期待を高めています。
データをマネタイズしていくには自社内で保有しているデータの独自性(種類)、需要(想定活用先の規模)の状態に鑑みて利活用の仕方を検討することが必要となります。以下の図表1で、データマネタイズを具体化させるために企業に求められる方針を説明します。インサイトの活用度合い(高低)と対象となるデータセット(シングルドメインデータ、マルチドメインデータ)に照らし合わせて、4つに分類することができます。
(1)生データ(個人情報)の外部提供
購買・顧客データなど自社に集積しているデータを外部販売する。
(2)インサイトの外部提供
自社に集積しているデータを対象に、アナリティクスにより導出したインサイトを付加価値として外部販売する。
(3)データバンドル、マルチドメインデータの外部提供
自社サービスの利用者属性の情報提供など、既存サービスへの付加価値として外部販売する。
(4)新製品・サービスの追加
自社で集積しているデータを梃に新規サービス(自社顧客基盤を活用した新サービス)を提供する。
各社が保有するデータの独自性、需要を互いに補完するために、データアライアンス(複数社でデータを提供し、アライアンス内で価値創出を狙う)組成を行う動きが出てきています。こうした状況を踏まえると、データマネタイズの検討はデータ利活用の新たな可能性として、重要な事業アジェンダになることが想定されます。
ただし、どのデータマネタイズ方針を採るにしても、プライバシーの考慮は欠かせません。ここで言うデータは、加工手法により「生データ」「仮名加工情報」「匿名加工情報」「統計化された情報」の4種類に分けることができます(図表2に定義を記載)が、2018年に施行された欧州一般データ保護規則(GDPR)、2020年から施行されたカリフォルニア州の消費者プライバシー法(CCPA)、2020年6月に可決・成立した日本の改正個人情報保護法など、各国の法令では「個人情報」(生データ)が主たる規制の対象となり、「匿名加工情報」や「統計化された情報」は要件が緩和されます。しかし、これらを巡っては、未だに(1)「匿名加工情報」の加工手法の難しさ、(2)高度なインサイトの導出が困難、という2つの課題があります。以下にそれぞれの内容を記します。
「匿名加工情報」の加工手法に関する誤解は未だに少なくありません。例えば氏名や住所などを情報から削除する、ユーザーの氏名をIDに置き換えるといった加工だけでは「匿名加工情報」にはなりません。個人を識別できる記述などをデータベースから削除したり、個人の特異性がある情報を上位概念や数値に置き換えて一般化したりといった対応が必要となります。個人を特定できる可能性を確率的に下げるのではなく、特定できないように非可逆な手法を施す必要があります。
「生データ」「仮名加工情報」「匿名加工情報」「統計化された情報」の一つ一つは、「利用」の視点と「管理」の視点に鑑みると二律背反の関係にあります。「生データ」は、ユーザーの特性から購買の傾向などのさまざまな情報を特別な加工なしに利用できるため汎用性が高いですが、各国の法令の対象となり、さまざまな対応施策を求められます。一方、「匿名加工情報」や「統計化された情報」は法令の要件が緩和されるものの、個人を特定できないようにするための高度な加工を求められるため実装が難しく、また情報量の低下により高度なインサイトの導出が困難というデメリットがあります。
2020年に公布された日本の改正個人情報保護法では、他の情報と照合しない限り、特定の個人を識別することができない情報(仮名加工情報)が、新たなデータ形態として追加されました。当形態に該当すれば、ユーザーに通知していない利用目的への変更が可能になるため、これまでより要件が緩和されましたが、内部での分析・利用に限定されています。
これらの背景を踏まえ、企業のコンプライアンス部門は、法律を遵守するために、データ形態や加工手法に係るアドバイスを事業部門に提供する必要があります。事業部門はこれを踏まえながらも、流通性と汎用性を適度に維持しながら自社のデータマネタイズを成功させるために、ベストなデータ形態を選択する必要があります。
ではここからは、データマネタイズを成功に導くために企業に求められるアクションを、前述の4つの具体化方針に沿って紹介します。前提として、事業戦略上考慮すべきプライバシーがそもそも異なることを理解しておくことが重要です。
各データマネタイズ方針における必要なデータ形態を以下に示していきますが、データ形態としての「生データ」に関しては各国の法令の対象となり、さまざまな施策が求められるため、自社の既存・新規サービスの運営においてのみに限定するなど、最小限の利用にとどめる必要があると言えるでしょう。
自社に集積しているデータを自社内の他部門のみならず、グループ会社に公開するといった場合は「匿名加工情報」を前提としておき、広く社外にデータを販売・提供していく場合は「統計化情報」を前提として事業計画を策定していくなど、自社内・グループ会社内のデータガバナンス状態も踏まえることで、求められるプライバシーを考慮することが可能になります。
「統計化情報」がインサイトそのものとして外部提供される場合が想定されますが、インサイト導出過程での情報漏えいなど不測の事態も考慮し、「匿名加工情報」の利用が最適だと言えます。
マルチドメインデータの外部提供は、「(1)生データの外部提供」の場合と原則的に同じ扱いとなり、広く社外にデータを販売・提供していく場合は「統計化情報」を前提としますが、グループ会社からはデータ提供を受ける場合もあります。そのためグループ会社へのデータ販売・提供は「匿名加工情報」を前提としつつ、自社データおよびグループ会社データを掛け合わせることも想定し「仮名加工情報」も選択肢に入れた上で、流通度合いに鑑みたデータ形態の選択が必要だと言えるでしょう。
新製品・サービスの追加では、企画から市場への提供に至るまでの各段階でマルチドメインデータの利用が想定されます。データ集積時は「(3)データバンドル・マルチドメインデータの外部提供」と同様に「匿名加工情報」ないし「仮名加工情報」を選択肢としつつ、新製品・サービス創出につながる社内利用を想定したインサイト導出などの企画時は「(2)インサイトの外部提供」と同じくインサイト導出時の不測の事態も考慮して「匿名加工情報」を利用していくなど、推進状況に応じて最適なデータ形態を選択する必要があります。
企業に集積されたデータ利活用の新たな可能性としてのデータマネタイズ。今後さらにテクノロジーが発展することが予想され、利活用可能なデータが増加し続けるであろう環境下、データマネタイズが当たり前のように事業戦略におけるオプションとなる日が近い将来訪れる可能性は、日々高まり続けています。
本稿のインサイトが、今後訪れる事業戦略オプションとしてのデータマネタイズ検討に向け、プライバシーに関連するリスク低減に資する適切なプライバシー管理による、真の意味でのデータマネタイズ事業の成功への一助となれば幸いです。
人材マネジメントに「ピープルアナリティクス」を活用するケースが増えてきています。特に活用が期待される領域や活用事例、プライバシー上の懸念事項を紹介します。
Society5.0を実現する上で、ユーザーのオンライン、オフラインの行動履歴に基づいてパーソナライズされた体験を提供することが鍵となります。この行動履歴を活用するにあたっての注意点を解説します。
企業におけるデジタルトランスフォーメーション(DX)の取り組みが加速するのに伴い、事業効率化・高度化に向けたデータ利活用が浸透してきています。本稿ではデータ利活用の新たな可能性としてのデータマネタイズ(データ外販)およびその課題に関して説明します。
ECサイトのレコメンデーションは、消費者の購買意欲を大いにかき立てるものになっています。レコメンデーションの進化とそれに伴う弊害、今こそ企業に求められるレコメンデーションの在り方を解説します。
DXとプライバシー保護を両立させる上で有用な「プライバシー・バイ・デザイン」の概念と、その実装方法を紹介します。
実臨床から収集した膨大な医療情報である「医療ビッグデータ」の利活用にあたっては、個人情報保護と研究倫理に関するそれぞれのルールに留意する必要があります。「サービスベンダーによる医療情報の外部提供」と「大学病院との人工知能(AI)の共同研究」の2つの想定事例を取り上げて、データ利活用の観点から法的問題点を解説します。
個人を信用スコアで格付けするサービス「信用スコアリング事業」が、日本でも近年広がりつつあります。同時に、公正取引委員会が、デジタル・プラットフォーム事業者に対する競争法の執行を活発化する姿勢を見せています。信用スコアリング事業を展開するにあたって留意するべき、独占禁止法の観点からの法的課題を考察します。
ビッグデータと人工知能(AI)を用いて個人の性向や属性などの推測を行う「プロファイリング」は、プライバシーの侵害につながる可能性があります。日本でも広がりつつある信用スコアリング事業を取り上げながら、日本における個人情報の取り扱いの法的課題について、個人情報保護法やプライバシーの観点から解説します。
プライバシーガバナンスは、プライバシー問題に関するリスクを適切に管理し、消費者やステークホルダーに対して責任を果たすことを指します。この見直しは、社会からの信頼を得るとともに企業価値の向上に寄与します。企業のプライバシーガバナンスへの取り組み状況として2社の事例をご紹介します。
2025年3月末より、IoTセキュリティ適合性評価及びラベリング制度(JC-STAR)の運用が開始されました。行政機関や地方公共団体、民間企業に向けてさまざまな政府機関が発行するガイダンスについて紹介、解説します。
マーケットでの競争が激化するなか、成功しているビジネスリーダーは、価値の創出には体験から得られるリターンが不可欠であると認識しています。本レポートでは、顧客と従業員の体験に焦点を当てて企業がとるべき対応策を解説するとともに、日本企業に向けた示唆を紹介します。
欧州におけるデジタル関連規制が急速に発展する中で、法令間の関係の適切な理解と効率的なコンプライアンス対応が課題となっています。金融セクターにおける「NIS2指令」と「DORA」への対応を事例として、課題へのアプローチを解説します。