こんにちは！
今日はとてもいいお天気ですね！

昨日、IAPPのニュースを眺めていたら、シンガポールの個人情報保護委員会が、AIシステムの提供・利用における個人情報の取り扱いのガイドラインを3/1に出しているのを見つけました。

AIの論点は、比較的世界各国で共通な印象と石川先生のセミナーで伺った記憶があります。

日本ではAIの個人情報の取り扱いについてはごく一部の注意喚起があったのみで、ガイドラインはまだ出ていません。
ということで、全文を機械翻訳にかけて読んでみた結果とサマリ、感想を共有しまーす

⚫︎サマリ

訳のざっくりサマリは以下です。

ガイドラインの位置付け
シンガポールの個人情報保護法(PDPA)に基づく、法的拘束力のないガイドライン
日本の法令とは根拠法が違うのでご注意ください(同意例外など)

ガイドラインの目的
① AI学習・開発・利用での個人情報保護法適用の考え方を明示
② 利用者が安心できる透明性の確保の仕方の基本ガイドと例示

対象
・一般の事業者(組織)
・事業者にAIシステムを提供するサービスプロバイダ(AI基盤事業者向けではない印象)

場面
① AIシステムの学習、開発、テスト
② AIシステムの展開、利用(BtoC)
③ 外部からAIシステムを調達する場合(BtoB) サービスプロバイダ向け

個人データのAI開発での利用
・データ最小化の観点から、個人データの利用は必要最小限にすべき(匿名化含む)という前提
・どうしても必要な場合、処理に多大な労力がかかる場合は、同意または法的例外で利用
・法的例外には、ビジネス改善例外と研究開発例外の2つ。各考え方と例を提示

⚫︎GLの機械翻訳結果

注記)
・単純機械翻訳で、特にわかりにくい部分だけ補正しています。正確な内容を確認されたい場合は、原文を参照ください。
・文中の「組織」(Orgsnization)はPDPA特有の定義で、日本法でいう「個人情報取扱事業者」です。また、「データ仲介者」(Data Intermideary)は「委託先=処理者」をさします。
・文末の数字は注釈番号で、訳は省略しています。
・文中の太字は、筆者が加工しています。

目次

Ⅰエグゼクティブサマリー

1.1 2012年個人データ保護法(「PDPA」)は、個人が個人データを保護する権利と、合理的な人が適切と考える目的のために個人データを収集、使用、開示する必要性の両方を認識する方法で、組織による個人の個人データの収集、使用、開示を管理するシンガポールの一般的なデータ保護法を確立します。

1.2 AI勧告および意思決定システムにおける個人データの使用に関するアドバイザリーガイドライン(「ガイドライン」)の目的は、機械学習モデル(「AIシステム」)を埋め込むシステムを開発および展開するために個人データをいつ使用できるかを組織に確実性を提供し、AIシステムでの個人データの使用に関する消費者に保証を提供することです。通常、自律的な意思決定を行うため、または推奨事項や予測を通じて人間の意思決定者を支援するために使用されます。

1.3 一般的に、組織は有意義な同意がある場合に個人データを使用することができます。あるいは、組織は、ビジネス改善や研究目的など、PDPAに基づく同意の例外に頼ることができます。ガイドラインは、これらの例外がどのように適用されるかの基準を定めています。説明するために、ビジネス改善例外(「ビジネス改善例外」)は、企業が既存の製品やサービスを強化するためにAIシステムを開発している場合、例えば、消費者にパーソナライズされた製品の推奨事項を提供するAIシステム。研究例外(「研究例外」)は、組織が精密医療など、公共の利益をもたらすAIシステムを開発するために商業研究を行っている場合に適用できます。

1.4 オーダーメイドのAIシステムの第三者開発者(「サービスプロバイダー」)は、PDPA、すなわち保護および保持義務に基づく義務を負うデータ仲介者です。AIシステムを開発する際、そのようなサービスプロバイダーは、クライアント組織から提供された個人データを処理します。保護義務の下で要求されるように、サービスプロバイダーは、処理している個人データの不正な変更から保護する必要があります。サービスプロバイダーが実施できるグッドプラクティスには、データマッピングとラベリング、および出所記録の維持が含まれます。

1.5 個人データが適切に使用されていることを消費者に保証するために、ガイドラインは組織がより透明性を高めることを奨励しています。この目的のために、消費者が有意義な同意を与えることができるように、組織はデータ収集の時点で関連情報を提供することが奨励されています。彼らはまた、特に結果が消費者に大きな影響を与える場合、AIシステムが信頼できることを保証するために実施したセーフガードと慣行に関する書面によるポリシーに含めることが奨励されています。3

1.6 ガイドラインはまた、組織がデータ保護影響評価やAI検証などの信頼できるAIの展開を促進するために使用を検討するために、個人データ保護委員会(「委員会」)とインフォコムメディア開発局(IMDA)からの追加リソースを推奨しています。

パートII: 法的効果と範囲

2 AIシステムを設計および/または展開するためのデータの収集および使用へのPDPAの適用

2.1 PDPAは、AIシステムを開発、テスト、監視するための個人データの収集および/または処理、またはその展開プロセスの一部として、組織による個人データのすべての収集および使用に適用される広範な法律です。これらのガイドラインは、PDPAの主要概念に関する委員会の諮問ガイドライン、選択されたトピックに関する諮問ガイドライン、および基本的な匿名化ガイドと併せて読む必要があります。

2.2これらのガイドラインは本質的に助言的であり、委員会または他の当事者に法的拘束力を持たず、法的助言を構成するものではありません。彼らは、PDPAおよびそれに基づいて発行された補助的な法律を含むがこれらに限定されない、引用された法律の法的効果および解釈をいかなる方法でも変更または補足しません。矛盾がある場合、PDPAおよび補助法の規定は、これらのガイドラインに優先されます。これらのガイドラインは、委員会のPDPAの管理と執行を制限または制限すると解釈されるべきではありません。

3 AIシステムを設計および/または展開するためのデータの収集および使用へのPDPAの適用

3.1アドバイザリーガイドラインの範囲 これらのガイドラインは、AIシステムの設計および/または展開が、PDPAが管理するシナリオで個人データの使用を伴う状況のために提供されています。
これらのガイドラインの目的は、
(i)組織がAIシステムを開発および訓練するために個人データを使用するときにPDPAがどのように適用されるかを明確にすることにより、確実性を提供することです。
(ii)AIシステムが推奨事項、予測、または意思決定を行うために個人データを使用するかどうか、および方法について透明性を保つ方法について、組織にベースラインガイダンスとベストプラクティスを設定することにより、消費者の保証を提供することです。

3.2 これらのガイドラインは、AIシステムの実装の典型的な段階に従って次のように編成されています。

セクション#ｌ　AIシステム実装のステージ　l トピック

パートⅢ 開発(学習)、テスト、監視：
AIシステムの学習とテストに個人データを使用し、展開後にAIシステムのパフォーマンスを監視
・同意
・ビジネス改善と研究の同意例外
・データ保護対策の実施
・匿名化

パートIV 展開：
AIシステムの展開による個人データの収集と使用
（「企業から消費者へ」B2C）
・通知と同意
・説明責任

パートV 調達：
組織所有の個人データを使用してオーダーメイドAIシステムをサービスプロバイダーから調達（「企業間」B2B）
・通知と合意

パートIII：AIシステム開発における個人データの使用、テストおよび監視

4ビジネス改善の例外および研究例外

4.1 組織は、AIモデルを社内で開発したり、サービスプロバイダーが組織が所有する個人データを使用してオーダーメイドのAIアプリケーションを開発したりすることで、AI開発者の役割を担う可能性があります。

4.2 以下のセクションでは、AI開発者が注意すべきPDPAの義務について説明します。
AIシステムを訓練するために個人データを使用する同意を求めるだけでなく、AI開発者である組織は、ビジネス改善または研究の例外に頼ることを検討したいと思うかもしれません。

a) ビジネス改善の例外(注釈1)は、組織が製品を開発した場合、または強化している既存の製品を持っている場合に関連しています。
また、AIシステムが意思決定をサポートすることで運用効率を向上させること、またはユーザーに推奨事項を提供するなど、より多くのまたは新しいパーソナライズされた製品および/またはサービスを提供することを目的としている場合にも関連します。
ビジネス改善例外は、企業グループ内だけでなく、企業内の部門間共有など関連企業(注釈2)との共有に対応しています

b) 研究例外3は、組織が製品開発ロードマップなしで科学と工学を前進させるために商業研究を行っている場合に関連しています。また、新しいAIシステムを開発するために共同で商業研究を行うために、無関係な企業間でデータを共有することにも対応しています。

5 ビジネス改善例外の適用

5.1ビジネス改善例外により、組織は、PDPAに従って収集した個人データを、そのような使用が次の関連する目的の範囲に該当する場合、同意なしに使用できます4:

a) 既存の商品やサービスの改善、強化、または新しい商品やサービスの開発。
b) 既存の方法やプロセスの改善、強化、または組織の商品やサービスに関連する事業運営のための新しい方法やプロセスの開発。
c) 個人の行動や好みの学習または理解(プロファイルによってセグメント化された個人のグループを含む)。
d)個人(プロファイルでセグメント化された個人のグループを含む)に適した商品やサービスを特定するか、個人のためのそのような商品やサービスをパーソナライズまたはカスタマイズ。

5.2さらに、組織は以下を確保する必要があります5:

a) 事業改善の目的は、個人データを個別に識別可能な形式で使用せずに合理的に達成することはできません。
b) 組織がビジネス改善目的で個人データを使用することは、合理的な人が状況で適切と考えるものです6。

5.3 AIシステムの開発、テスト、および監視のための個人データの使用を正当化するためにビジネス改善例外に依存するかどうかに関する組織の関連する考慮事項は、以下に記載されています。

a)この目的のために個人データを使用することがAIシステムとその出力の有効性または品質の向上に貢献するかどうか。
b)個人データを使用せずにAIシステムを開発、テスト、または監視するために他の手段を使用することが技術的に可能および/または費用対効果が高いかどうか(例えば、個人データが非個人データを含むより広いデータセットのごく一部を構成し、それを匿名化するために不均衡な努力を必要とする場合、費用対効果が高くない場合があります)。
c) そのようなAIシステムを開発、テスト、監視する方法に関する一般的な業界慣行または基準。
d)および/またはそのような使用が、組織が革新し、競争力を向上させ、より効率的/効果的になり、消費者の選択、経験、経験、ユーザビリティを高めるのに役立つ新製品の特徴および機能の有効性または品質の向上に貢献するかどうか。

5.4 以下は、ビジネス改善例外がAIシステム開発に関連する可能性がある目的の例です。
a)ユーザーの閲覧履歴に沿ったコンテンツを提供するソーシャルメディアサービスの推奨エンジン。
b)プラットフォームワーカーにジョブを自動的に割り当てるジョブ割り当てシステム。
c)内部人事システムは、求人に候補者をマッチングする最初のカットを提供することで、潜在的な求職者を推奨するために使用されます。
d) または、製品やサービスの競争力を向上させるための新製品の特徴と機能を提供するためのAIシステムの使用。

5.5 さらに、組織は、AIシステムのテストやバイアス評価のために個人データを使用するために、ビジネス改善例外に頼ることを検討したいと思うかもしれません。次の段落では、例外がどのように適用されるか、および組織のメモのための追加の考慮事項について説明します。

AIシステムのテストに個人データを利用する場合
5.6 個人データを使用してAIシステムをテストする場合、組織は、上記の段落5.1から5.3に記載されている要件を考慮して、AIシステムをテストするために個人データを使用するビジネス改善例外に頼ることができます。
組織は、個人データを使用してAIシステムをテストし、モデルのパフォーマンスを改善または評価する必要があります。たとえば、個人データを使用したライブ環境での精度を評価したり、モデルのバイアス解除が効果的であることを確認したり、プライバシー強化対策がAIシステムの精度を損なったりしたかどうかを確認したりする必要があります。

5.7 組織は、使用されるデータの種類に応じて、データセットを保護および保護するためのさまざまな基準が適用されることに注意する(以下の段落7.1から7.7を参照)。

バイアス評価に個人データを使用する場合
5.8 バイアス評価のための個人データの使用には、ビジネス改善の例外が適用される場合があります。委員会は、個人データが、人種や宗教などの保護された特性がデータセットに適切に表現されているかどうかを確認したり、トレーニングデータセットのバイアスを評価したりするために使用する必要があることを理解しています。

5.9 ビジネス改善例外が適用されるかどうかを検討する際に、組織は以下を考慮する必要があります。

a) この目的のために個人データを使用することが、AIシステムとその出力の有効性または品質の向上に関連しているかどうか。
b)個人データを使用せずにモデルをデバイアスするために他の手段を使用することが技術的に可能で費用対効果が高いかどうか。
c)および/またはAIシステムに使用されるデータセットをデバイアスする方法に関する一般的な業界慣行または基準。

5.10 委員会は、一般的に、業界のベストプラクティスは、モデルトレーニングに使用されるデータセットをデバイアスするために個人データを使用することであることを理解しています。

6 研究例外の適用

6.1 研究例外は、組織が製品、サービス、事業運営、または市場にすぐに適用できない可能性のあるより広範な研究開発を実施できるようにすることを目的としています。

6.2 組織は、以下の条件に従って、研究目的のために個人データを使用することができます7:
a)個人データが個人データが個別に識別可能な形式で提供されない限り、研究目的は合理的に達成できません。
b) 研究目的のために個人データを使用することには明確な公共の利益があります。
c) 研究の結果は、個人に影響を与える決定を下すために使用されません。
d) 研究の結果が公開された場合、組織は個人を特定しない形式で結果を公開する必要があります。

6.3 組織は、新しいAIシステムの共同研究開発のための他社への開示を含む、研究目的で個人データを開示するために研究例外に依存する場合があります。
このようなシナリオでは、パラグラフ6.2(a)から(d)の条件とは別に、組織はまた、そのような開示のために個人の同意を求めることが実行不可能であるかどうかを評価する必要があります8。

6.4  段落6.2（a）および6.2（b）を満たすAIシステムの研究における個人データの使用を正当化するために研究例外に依存するかどうかに関する組織に関連する考慮事項には、次のものが含まれます。
a）そのようなAIシステムを開発する方法と程度が科学と工学の理解と開発を改善する方法。
b）生活の質を向上させることによって社会に利益をもたらす製品やサービスの革新を高めるためのAIシステムの適用の可能性。
c）個人データの使用は、AIシステムの品質またはパフォーマンスを向上させるためのより効果的な方法を開発するのに役立ちます。
d) および/または AIシステムの開発と展開のための業界慣行または基準を開発する。

7 個人データを使用する際のデータ保護の考慮事項

7.1 AIシステムを開発する際、組織はグッドプラクティスとしてデータの最小化を実践する必要があります。AIシステムのトレーニングと改善に必要な属性を含む個人データのみを使用すると、AIシステムに対する不要なデータ保護とサイバー脅威のリスクが軽減されます。組織はまた、AIシステムのトレーニングに必要な個人データの量を制限し、関連する期間やその他の関連するフィルター(市場/顧客セグメント、属性など)に基づいてこれを設定する必要があります。組織は、さらなるガイダンスについては、ICTシステムのデータ保護慣行に関する委員会のガイドを参照することをお勧めします。

7.2 組織は、個人データを使用してAIシステムを設計、トレーニング、テスト、または監視する際には、データ保護のための適切な技術、プロセス、および/または法的管理を含める必要があることを思い出させます。可能であれば、組織は基本的な管理として使用される個人データを仮名化または匿名化することが奨励されています。

7.3 仮名化が不可能で、顔画像などの生の個人データを使用する必要がある場合、組織はPDPA9に基づく保護義務を思い出させます。開発環境周辺のデータセキュリティと保護対策に特に注意を払う必要があり、組織はデータ保護影響評価10を実施することが奨励されています。
開発環境におけるデータ保護の基準は、個人データを処理するシステムに必要な基準と類似している必要があります。組織は、委員会のICTシステムのデータ保護慣行ガイド、および生体データが使用されるセキュリティアプリケーションにおける生体認証データの責任ある使用に関するガイドを参照することができます。

7.4 データ保護のためのどのような管理を実施するかを決定する際に、企業は以下を考慮する必要があります。
a) 個人データが対象となる開示/盗難リスクの種類、
b)および使用される個人データの機密性と量11。

7.5 一般的に、内部使用のためのプライバシー管理は、グループ内または企業間の共有ほど広範囲である必要はありません。ただし、企業はリスクを評価し、そのような個人データの使用に対して適切な法的、技術的、プロセス管理を実施することが奨励されています。

7.6 それとは別に、AIシステムが社内で構築されているか、外部で構築されているか、または両方の組み合わせを使用しているかにかかわらず、モデル反転攻撃など、使用されるトレーニングデータに関する情報を取得するためにプライバシー攻撃に悪用される可能性のあるセキュリティリスク/弱点があります。組織は、プライバシーバイデザインアプローチを採用し、そのようなプライバシー攻撃のリスクを評価し、AIシステム内で可能な限りそのようなリスクを軽減するよう努めるべきです。

7.7 さらに、PDPA12に基づく説明責任義務に従って、組織は、AIシステムを開発するための組織における個人データの使用に関するポリシーが更新され、慣行が確立されていることを確認する必要があります。たとえば、モデルトレーニングを匿名化または仮名化されたデータを使用して実施する必要がある場合、およびモデルのパフォーマンスが低下した場合やバイアステストなど、識別可能な個人データを使用することが許可される場合に関するポリシーを確立します。

7.8 組織は、個人データを使用する代わりに、可能な限りデータセットを匿名化することをお勧めします。匿名化されたデータはPDPAの対象ではありませんが、組織は、そのようなデータには依然として再識別と開示のリスクが伴い、そのようなデータを使用または開示する際には、適切な法的、技術的、およびプロセス管理を実施する必要があります。組織は、さらなるガイダンスについては、委員会の基本匿名化ガイド13を参照することができます。

7.9 委員会は、モデルの精度、再現性、結果の再現性など、AIシステムを開発または訓練する際に匿名化されたデータを使用することのトレードオフがあることを認識しています。個人データを使用することが望ましいかもしれません。組織は、両方のタイプのデータを使用することの長所と短所を慎重に検討し、匿名化されたデータよりも個人データを使用することを選択する理由を内部で明確に文書化する必要があります。組織は、関連する利害関係者に相談し、適切な上級管理職レベルでそのような決定を下すなど、そのような決定を下すために適切なコーポレートガバナンス方法を採用する必要があります。

7.10 AIシステムを開発または訓練するための効果的に再識別の深刻な可能性がない程度に匿名化されたデータと見なされるものに関して、組織はデータセットのみを匿名化しようとすることができます。組織は、PDPAの範囲外の匿名データを構成するものに関する委員会の基準について、選択されたトピックに関する委員会の諮問ガイドラインの第3章を参照する必要があります。

7.11匿名化が再識別のリスクを軽減するのに十分堅牢であるかどうかについては、次のような考慮事項が含まれます。
a)選択した匿名化方法のプロセスが可逆的であるかどうか。
b)データセットとその意図された受信者の開示の程度(例えば、内部クローズドグループ共有と企業間共有など。
c)やる気のある個人が、公的に入手可能な情報または組織がすでに所有している情報を使用して、匿名化されたデータセットを再識別する手段を見つけることができるかどうか。
d) AIシステム内を含む組織が再識別を防ぐために、組織が実施した管理の範囲匿名化されたデータ14。

7.12 委員会は、識別可能性と匿名化がスペクトル上に存在し、本質的に文脈固有であることを認識しています。再識別のリスクが低い場合、例えば、流通の制限や再識別を防ぐための匿名化されたデータの広範な制御により、データセットの有用性を維持するために匿名化の程度が低くなる可能性があります。

パートIV：展開 - AIシステムにおける個人データの収集と使用

8 AIシステムにおける個人データの収集と使用のPDPAの適用

8.1
このセクションでは、組織が新しい機能を提供したり、製品機能を強化したりするために個人データを収集して使用する製品やサービスにAIシステムを展開するときに、PDPAがどのように適用されるかを扱います。組織は、次のPDPAの義務に留意する必要があります。同意と通知、および説明責任。

9 同意と通知義務

9.1 同意または同意義務の例外が適用されない限り、例えば、正当な利益の例外、PDPAのセクション13に従って、同意は推奨事項、予測、または決定を提供するために、個人データの収集と使用に必要です。これは同意義務と呼ばれます。

9.2同意義務は、通知義務によって補完され、ユーザーが同意したときに個人データの収集目的と使用目的を通知する必要があります。PDPAの第20条は、個人データが収集、使用、開示される目的を個人に通知する組織の義務を定めています。とりわけ、セクション20（1）は、組織が個人に通知することを義務付けています
a）個人データの収集、使用、および開示の目的、個人データの収集前、
b）またはその目的のための個人データの使用または開示の前に、上記のサブパラグラフ（a）に基づいて通知されていない個人データの使用または開示の目的。

9.3 PDPAの重要な概念に関するアドバイザリーガイドラインに記載されているように、同意は有意義であるべきであり、通知では、収集および処理される個人データの種類と、本、歌、映画を推薦するなど、処理の目的に関する情報を個人に提供する必要があります。

9.4 同意と通知義務の存在意義は、個人が意味のある同意を提供できるようにすることです。組織は、消費者の立場に立って、意図した目的を達成するために個人データがどのように処理されるかを個人が理解できるようにする通知を作成する必要があります。通知は過度に技術的または詳細である必要はなく、個人への潜在的な害やAIシステムの自律性のレベルを考慮するなど、各ユースケースのリスクに比例する必要があります。

9.5 組織は、通知を作成する際に、実行可能な範囲で、次の情報を提供することをお勧めします。
a) 個人データの収集と処理を必要とする製品の機能(例えば、映画の推奨)。
b) 収集および処理される個人データの種類の一般的な説明(例えば、映画の視聴履歴)。
c) 収集された個人データの処理が製品機能にどのように関連しているかを説明する(例えば、映画の推奨を行うためのユーザーの視聴履歴の分析)。そして
d)製品機能に影響を与える可能性が高い個人データの特定の機能を特定する(例えば、映画が完全に視聴されたかどうか、複数回閲覧されたかどうかなど)。

9.6 そのような情報の提供は、通知ポップアップを介して行うか、公的にアクセス可能な、または要求に応じてエンドユーザーが利用できる、より詳細な書面によるポリシーに含まれる可能性があります。組織は、これがユーザーエクスペリエンスに対するビジネス目標をどのようにサポートするかの独自の評価に基づいて、そのような情報を提供するモードを決定する必要があります

例：銀行は、クレジットカードの申請を承認するかどうかを評価する際に、AIを使用してクレジットスコアリングを支援します。申請者から収集する個人データと、銀行が申請を評価する際にAIによってどのように処理されるかに関する情報を提供する「銀行の信用評価ポリシーステートメント」と題するポリシー文書を作成しました。ポリシー文書は、情報を要求する申請者に提供されます。

例: 組織は、オンラインソーシャルメディアプラットフォームで個人にコンテンツに関するパーソナライズされた推奨事項を提供します。特定のコンテンツが表示される理由について個人に情報を提供するために、組織は、このコンテンツがユーザーのコンテンツフィードに表示され、上位にランク付けされる理由を説明するページへのリンクを含むポップアップを提供しました。このページには、そのコンテンツが表示される理由、過去のインタラクションやプラットフォーム上の特定のグループのメンバーシップなど、ユーザーのコンテンツフィードの投稿の順序に最も影響を与える情報に関する情報が含まれています。

9.7 「階層化」情報を考慮することも有用かもしれません。これは、最も関連性の高い情報をより顕著に表示し、他の場所でより多くの詳細を提供することを意味します。たとえば、通知ポップアップは、一般に公開されているプライバシーポリシーへのリンクを提供できます。さらに、プライバシーポリシーは、詳細を拡張セクションまたは別々のタブに整理するように構成される場合があります。委員会は、業界がモデルカードやシステムカードなどの開示のベストプラクティスも開発していることを認識しています15。同意および通知義務を満たすために必要な情報は、組織がこの慣行を採用した場合、または有用であると評価した場合、そのようなモデルおよび/またはシステムカードを通じて提供されることもあります。

例：組織はビデオストリーミングサービスを提供しています。そのサービスがAIを使用して推奨事項を提供することをユーザーに通知します。通知ポップアップを通じて、関心のあるトピック、閲覧活動、メディア消費データのユーザーの宣言を収集して分析し、ユーザーが興味を持つ可能性のあるビデオを推奨することをユーザーに通知します。ユーザーには、この機能の使用に同意または拒否するオプションが提供されます。通知ポップアップには、関心のある宣言されたトピック、閲覧活動、メディア消費データが収集および分析される情報を提供するセクションを含むプライバシーポリシーへのリンクが含まれています。これには、ユーザーが視聴するビデオのトピック分類、再生されるビデオの期間と割合、ビデオの再生回数、ビデオがプレビューウィンドウで視聴されるか、実際のサイズで視聴されるかなどが含まれます。組織はまた、ユーザーが完全に視聴するビデオのトピックは、将来の推奨事項に影響を与える可能性が最も高いと説明しています。

例：ソーシャルメディアプラットフォームは、AIシステムカードをユーザーに提供し、AIシステムがユーザーアクティビティデータを使用してコンテンツフィードの推奨事項を生成する方法を説明します。システムカードには、AIシステムがユーザーアクティビティデータを収集し、コンテンツフィードのパーソナライズされた出力を生成するために他のパラメータを使用してAIシステムで広く処理する方法に関するステップバイステップのウォークスルーが含まれています。

9.8 上記にかかわらず、委員会は、組織が商業的に機密および/または専有情報、およびAIシステムのセキュリティを保護する必要がある可能性があることを認識しています。組織が詳細を制限または省略する必要があると評価し、必要に応じて代わりにより一般的な説明を提供する場合、これらの決定を正当化し、内部で明確に文書化することは良い習慣です。

正当な利益例外
9.9「正当な利益」とは、一般に、組織または他の人(他の組織を含む)の合法的な利益を指します。PDPAの第1スケジュールのパート3のパラグラフ2から10は、評価目的など、「正当な利益」と見なされる特定の目的に関連しています。雇用関係を管理または終了するため。この例外に頼るには、組織は正当な利益が悪影響を上回ることを評価し、確認する必要があります。

9.10 同意なしに個人データを処理するための正当な利益の例は、違法行為を検出または防止する目的でAIシステムへの入力として個人データを使用することです。

9.11 組織は、悪い影響評価を行う方法に関するガイダンスについては、PDPAの主要概念に関する委員会の諮問ガイドラインを参照することをお勧めします。この例外に依存する組織は、個人データを収集して使用するためにこの例外に依存していることを個人に知らせる必要があります。

10説明責任義務

10.1説明責任義務とは、組織が処理のために収集または取得した個人データ、または管理している個人データに対する責任をどのように果たすかを指します。PDPAのセクション11と12は、この義務を履行するために組織が実行する行動を詳述しています16。

10.2とりわけ、PDPAのセクション12は、組織がPDPAに基づく義務を果たすためのポリシーと慣行を策定することを義務付けています。書面によるポリシーとプロセスの文書化により、組織は、内部ガバナンスと監督構造、および運用慣行が個人データの責任ある使用を保証することを示すことができます。そのような使用は、個人が通知され、同意された目的に沿って、または合理的な人が状況で適切と考える正当な目的のために17。

10.3 AIシステムを利用する組織は、透明性があり、公平性と合理性を達成するために、関連する慣行とセーフガードを書面によるポリシーに含める必要があります18。提供される詳細のレベルは、個人への潜在的な害やAIシステムの自律性のレベルを考慮するなど、各ユースケースのリスクに比例する必要があります。

10.4 セクション12(d)は、組織が要求に応じて個人がそのようなポリシーと慣行に関する情報を利用できるようにすることを義務付けています。消費者とのこのような外部コミュニケーションの存在意義は、PDPAに準拠した説明責任を示すことによってデータ主体との信頼を築くことであるため、組織は、要求に応じてだけでなく、ウェブサイトを通じてそのような書面によるポリシーを先制的に利用可能にすることを検討する必要があります。組織はまた、シンプルで明確で簡潔な短いポリシーの形でポリシーを利用可能にすることを検討する必要があります。

10.5 書面によるポリシーは、組織が有意義な同意を得るために提供すべきより詳細な情報を収容することができます19。ビジネス改善や研究の例外など、組織が同意の例外に依存している場合、書面によるポリシーは、個人の利益を保護するために採用された慣行と保護措置に関する情報を提供することもできます20。モデルカードやシステムカードなどの業界のベストプラクティスの開発は、組織の書面によるポリシーの一部を形成することもできます。

10.6 書面によるポリシーは、消費者の信頼と信頼を築くために必要な要素である教育と信頼構築においても重要な役割を果たしています。したがって、ポリシーには、個人データがAIシステム内で安全で信頼できる方法で使用されるようにするための舞台裏の措置が含まれる可能性があります。
a)モデル開発およびテスト段階で消費者の利益のために、推奨事項、予測、および決定の公平性と合理性を達成するために講じられた措置。これらには、バイアス評価に関連する措置、トレーニングデータまたはその他のデータガバナンス措置の品質の確保、または個人データを使用した結果の再現性/再現性が含まれます。
b) 個人データを保護するために取られた保護措置と技術的措置。これらには、モデル開発とテスト中に個人データを保護するための措置(仮名化やデータの最小化など)、または展開前後にそのようなシステムのセキュリティを確保することにより、AIシステムで個人データが保護されるようにするための手順が含まれます。
c) 個人に大きな影響を与える結果については、組織は、適切な説明責任メカニズムと人間の機関と監督がどのように実施されているかに関する情報を提供することが有用かどうかを検討することをお勧めします。また、AIシステムの安全性および/または堅牢性、つまり、敵対的または予期しない入力に遭遇したときにAIシステムがどのように動作するかに関する情報を提供することも役立つかもしれません。

10.7 上記の措置に関する情報は必ずしも必要でなく、状況に応じてです。そうすることで、組織は、消費者の信頼と信頼を築くために、そのような措置に関する十分な情報を提供することを検討することが奨励されています。モデル開発とテスト、および展開されたAIシステムに個人データを使用する組織は、合理的な人の措置を採用することを検討する必要があります

10.8組織は、一般的に、AIシステム開発中に取られたデータ品質とガバナンス対策に関する詳細情報を提供することが奨励されています。これは、そのような情報が関連性があると判断され、セキュリティ、安全性、または商業的機密性を損なわない場合にのみです。組織が検討できる情報は次のとおりです。
a）モデルの精度とパフォーマンスを向上させるために、トレーニングデータセット（市場がどれほど代表的であるか、最近コンパイルされたかなど）の個人データの品質を確保するために取られたステップ。
b）モデル開発が仮名化されたデータを使用して行われたかどうか、そうでない場合、アクセスした開発者および/またはテスターに個人データへのアクセスを制限するためにどのような組織、プロセス、または技術的保護措置が採用されたか。
c）人種や宗教などの保護された特性がうまくいっているかどうかを確認するためにバイアス評価を行う際に個人データを使用する必要があるかどうかトレーニングデータセットで表現されるか、トレーニングデータセットのバイアスを評価する。
d) 個人データが使用された場合、テスト環境を保護し、テスターへのアクセスを制限するためにどのようなプロセスまたは技術的保護措置が採用されましたか。
e) モデルおよび/またはAIシステムの開発とテストのすべての段階でデータの最小化が実践されたかどうか。

追加の情報源
10.9 組織利害関係者の相互作用の管理に関するさらなる提案については、モデルAIガバナンスフレームワークを参照することができます（特にセクション3、53〜55ページを参照）。組織はまた、組織のための実装および自己評価ガイドのセクション5に記載されている利害関係者の相互作用に関する指導的な質問と例が役立つかもしれません。

10.10 組織は、AIシステムのパフォーマンスを検証するために、AI Verifyなどの技術ツールを使用することを検討することができます。テストレポートの情報は、組織が通知や書面によるポリシーに含めたい情報をサポートするために使用できます。例えば:

a) 説明可能性テストの結果を使用して、推奨事項、予測、または決定に影響を与える可能性が最も高いデータ機能を特定できます。
b) 公平性テストの結果を使用して、人口統計グループ間のモデル結果の違いを示し、AIシステムによる個人データの使用に不合理な差別やバイアスがなかったことを示すことができます。これは、再現性/再現性のプロセスチェックによってもサポートできます。
c) セキュリティのプロセスチェックは、AIシステムで使用される個人データが保護されていることを確認するための措置を講じたという通知における組織の声明をサポートできます。
d) AI Verifyには、組織がAIシステムの説明責任/人間の監視と安全性に関する通知に含まれているクレームを検証するのに役立つ可能性のあるプロセスチェックも含まれています。堅牢性テストは、組織が通知でAIシステムの堅牢性に関する情報を提供する予定の場合にも役立つ可能性があります。

可能であれば、改善を導入する必要があります。

10.11 組織が、提供された情報の品質、および意図したオーディエンスに対する通知、ポリシー、および慣行の有効性を定期的にレビューするプロセスを開発することは、良い習慣です。

10.12 組織は、有用であると考えられる影響評価、特にデータ保護影響評価を実施することも奨励されています。これらは、AIシステムにおけるデータ保護リスクを特定し、軽減するための組織の取り組みを支援するのに役立ちます。組織は、この分野に関する詳細なガイダンスについては、データ保護影響評価に関する委員会のガイドを参照することをお勧めします。

パートV：AIシステムの調達 - サービスプロバイダーがAIシステムを実装する組織をサポートする方法のベストプラクティス

11 AIソリューションの企業間提供

11.1 このセクションは、オーダーメイドまたは完全にカスタマイズ可能なAIシステムの開発と展開のための専門的なサービスを提供するために組織が従事しているサービスプロバイダー(システムインテグレーターなど)に関連しています。社内でAIシステムを開発する組織や、製品の機能や機能にAIを利用する市販のソリューションを小売する組織とは関係ありません。

11.2 サービスプロバイダーは、オーダーメイドまたは完全にカスタマイズ可能なAIシステムの開発の一環として、顧客に代わって個人データを処理する場合、「データ仲介業者」であり、PDPA21に基づく適用される義務を遵守する必要があります。このようなサービスプロバイダーは、次の慣行を採用することをお勧めします。
a)前処理段階では、データマッピングやラベリングなどの技術を使用して、トレーニングデータセットを形成するために使用されたデータを追跡します。
b) トレーニングデータのソースを特定し、データ準備中にどのように変換されたかを追跡するトレーニングデータの系統を文書化するために、出所記録を維持します。

11.3 上記の措置は、保有するトレーニングデータセットの不正アクセスと変更があったかどうかを評価する際に、データ仲介者を支援します22。また、そのような不正アクセスまたは変更が通知可能なデータ侵害であるかどうか、およびトレーニングデータセットの変更がAIシステムに与える影響の範囲を評価するために必要な情報を展開組織に提供します。これは、トレーニングデータが一般的にAIシステムに与える直接的な影響を考えると、特に重要です。さらに、データマッピングとラベリングは、データ仲介業者が機密性の高い個人データを所有しているかどうかを特定し、それに応じてセキュリティとデータ保護対策を調整するのに役立ちます。

11.4 さらに、このようなオーダーメイドまたは完全にカスタマイズ可能なAIシステムを開発するサービスプロバイダーは、組織が通知、同意、説明責任の義務を果たすのを支援することが奨励されています。これは、一部の顧客がPDPAに基づく独自の義務を果たすために、これらのサービスプロバイダーの技術的専門知識に依存する可能性があるためです。サービスプロバイダーは、組織が顧客のために作成したポリシー文書における情報の妥当性と正確性に関する技術的な明確化または相談を求められる場合があります。

11.5 後続の段落には、そのようなサービスプロバイダーがこれらの組織をどのようにサポートするかに関するベストプラクティスが含まれています。

ステップ1：ニーズとユーザーへの影響に基づき、顧客が必要とする可能性のある情報を理解
11.6 サービスプロバイダーは、顧客の同意、通知、および説明責任の義務の履行に貢献する上記の段落9.5および10.6〜10.8に記載されている情報の種類に精通することをお勧めします。そのためには、サービスプロバイダーは、AIシステムが個人に与える影響に注意を払う必要があります。関連性がありそうな情報を特定する必要があります。そして、これらのサービスプロバイダーは、彼らにとって何が役立つかについて顧客を引き付けることが奨励されています。

ステップ2：関連情報を入手できるようにシステムを設計
11.7 プライバシー・バイ・デザインの実装の一環として、サービスプロバイダーは、顧客のPDPA義務の履行に関連する情報の抽出を容易にするオーダーメイドまたはカスタマイズ可能なAIシステムを設計する際に、プロセスを構築することをお勧めします。これにより、サービスプロバイダーは、ポリシー文書や通知の作成に支援を必要とする可能性のある顧客をよりよくサポートできるようになります。これらには以下が含まれます。

プロセス別ベストプラクティス例
【組織の社内ユーザーに情報を提供する場合】
・AIシステムの操作をオペレーターが理解しやすい言語に翻訳して、結果がどのように到達したかを理解できるようにします。
・これは、テキストの説明、ビデオ、グラフ、表などの視覚的補助、またはこれらのすべてまたは一部の組み合わせを通じて行うことができます。
・AI Verifyなどの技術ツールを使用して、さまざまな種類の説明の開発を支援します。上記の段落10.10を参照してください。

【取得したAIシステムのユーザー組織の理解を支援する場合】
・必要に応じて、例えば、AIシステムがより複雑な場合、AI支援意思決定プロセスに関与する人間の意思決定者のための十分な指示、トレーニング、または情報を使用して、AIシステムの使用方法に関する適切かつ適切な知識を持っていることを確認します。
・AIシステムが自律的な意思決定を目的としている場合は、AIシステムを展開するユーザー組織がAIシステムの動作を適切に理解するためのトレーニングまたは明確な説明を提供します。

11.8 サービスプロバイダーは、組織が同意と通知の義務と説明責任の義務を果たすのを支援することができますが、委員会は、組織が使用することを選択したAIシステムがPDPAに基づく義務を果たすことができることを保証する主な責任を負うことを繰り返します。

文書の終わり

⚫︎感想

法的拘束力はないとしても、個人情報保護法の適用の考え方を明示されることは、事業者としても社内ルールを検討する上でよりどころができ、利用者への透明性確保も進めやすくなると思いました。(日本の個人情報保護委員会でも検討いただけるといいな)

日本では法に則った「利用目的の明示」、「要配慮個人情報」の同意がクローズアップされがちですが、このGLは原則学習に使うことの「同意」を前提としながらも、ビジネス改善や研究開発で例外の適用できる場合が、(日本法に比べて)かなり広くとられている印象を持ちました。

ユーザーの不利益にならない範囲で、透明性を確保すれば、ビジネスや研究開発の向上につながるAIの利用は、ひいてはシンガポールのビジネスハブとしての国力の向上につながるというグランドデザインが政府にあるのかも？

また、デバイアス(AIのバイアスを低減する)ための個人データの学習の例に見られるように、学習には大量なデータを確保が必要。匿名化の努力を行いつつも、そのリスク低減のコストと得られる効果のバランス評価を社内的に影響評価を行い、個人データのままでよしとした時にはその記録を残す考え方も、合理的と感じました。

大量に扱う必要がある学習の場面こそ、「データ最小化」の考え方は重要。グローバルのルールもふまえ、日本の3年ごと見直しでも、議論すべきテーマなのかもしれませんね。

以上、シンガポール当局のHPを見ると、他にも参考になりそうな施策があります！

また、機会を見て、ご紹介したいと思います。

ではまた！

今日のDall-E3