投稿者 global-ai-media 
米国でOpenAIに対し、ChatGPTの入力データがトラッキングツールを通じて第三者に共有されているとする集団訴訟が提起されました。本記事ではこの事例をテーマに、AIサービスの利用・開発において日本企業が直面するデータガバナンスの盲点と、実務的な対応策を解説します。
米国でのOpenAIに対する集団訴訟の波紋
昨今、カリフォルニア州の連邦裁判所において、OpenAIに対する新たな集団訴訟（クラスアクション）が提起されました。原告の主張によると、OpenAIはChatGPTのウェブサイト内に「Facebook Pixel」や「Google Analytics」といった一般的なトラッキング（追跡）コードを埋め込んでおり、ユーザーの同意を得ることなく、入力したクエリ（プロンプト）や関連情報がMetaやGoogleといった第三者に送信されていると非難されています。
この訴訟の行方は今後の司法判断を待つ必要がありますが、ここで注目すべきは「AIそのものの学習データへの利用」ではなく、「ウェブサービスとしての一般的なマーケティングツールによるデータ流出リスク」が問われている点です。これは、AIを活用するあらゆる企業にとって、対岸の火事ではない重要なテーマと言えます。
学習データだけではない「トラッキングツール」の盲点
これまで多くの日本企業は、従業員にChatGPTなどの生成AIを利用させる際、「入力したデータがAIの再学習に利用されないか（オプトアウトされているか）」という点に細心の注意を払ってきました。しかし、AIサービスも一つのウェブアプリケーションである以上、サイトの利用状況を分析するためのアクセス解析ツールや、広告配信のためのタグが裏側で動いている可能性があります。
ユーザーが業務効率化のためにプロンプトへ機密情報や顧客の個人情報を入力した場合、それがAIの学習に使われなかったとしても、トラッキングツールを通じて外部の分析プラットフォームに予期せず送信されてしまうリスクが存在します。企業がAIのリスク評価を行う際、こうした「ウェブトラッキングを通じたデータの流れ」は見落とされがちな死角となっています。
日本の法規制と組織のガバナンスへの影響
日本国内においても、データプライバシーに関する規制は年々強化されています。改正個人情報保護法では、Cookieなどの「個人関連情報」を第三者に提供し、提供先で個人データとして紐づけられる場合には、本人の同意取得が義務付けられています。また、改正電気通信事業法において導入された「外部送信規律」により、ユーザーの端末から外部へ情報を送信させる場合、事前の通知や公表が求められるようになりました。
企業が業務で生成AIを利用する場合、無料版のコンシューマー向けサービスではなく、データ保護やプライバシー要件が厳格に定められた法人向けプラン（Enterprise版など）や、APIを経由した利用を原則とすべきです。これらの法人向けサービスでは、通常、入力データが再学習に利用されないだけでなく、第三者のトラッキングツールによる情報収集も制限されているため、コンプライアンス上の安全性が高まります。
自社プロダクトに生成AIを組み込む際の留意点
この問題は、AIを利用する側だけでなく、自社の新規事業や既存プロダクトにLLM（大規模言語モデル）を組み込んで提供する開発側にとっても重要な教訓となります。
自社で開発したAIチャットボットや業務支援ツールにおいて、利用動向を把握するためにGoogle Analytics等のタグを安易に埋め込んでいる場合、ユーザーが入力した機密性の高いプロンプトが外部サービスに送信されていないか、技術的な監査が必要です。プロダクト担当者やエンジニアは、マーケティング目的のデータ収集と、ユーザーのプライバシー保護のバランスを慎重に設計し、プライバシーポリシーにおいて「どのようなデータが、誰に、何の目的で送信されるのか」を透明性をもって説明する責任があります。
日本企業のAI活用への示唆
今回の事例から得られる、日本企業がAIを安全かつ効果的に活用するための実務的な示唆は以下の通りです。
1. 社内ガイドラインのアップデート：AIの「学習利用の有無」だけでなく、利用するツールが裏側でどのようなデータ通信（トラッキングなど）を行っているかを含めて、利用可否の基準を設ける必要があります。
2. 法人向けプラン・APIの活用：業務利用においては、セキュリティとデータガバナンスが担保されたエンタープライズ版やAPI利用を標準とし、従業員がシャドーITとしてコンシューマー向けAIを利用するリスクを低減させることが重要です。
3. 自社プロダクトにおける「Privacy by Design」の実践：自社サービスにAIを組み込む際は、企画・設計の初期段階から法務・コンプライアンス部門を巻き込み、日本の個人情報保護法や電気通信事業法（外部送信規律）に準拠したデータフローと同意取得プロセスを構築することが求められます。