Microsoft Cognitive Servicesのデータプライバシーを考えよう

MS、プライバシーポリシーに「Cognitive Services」の例外を追記

マイクロソフトが開発した音声認識、画像認識、テキスト解析などのAIテクノロジーをWeb APIの形で利用できる「Microsoft Cognitive Services」。顔情報（表情、性別、年齢）を読み取り本人識別する「Face API」、顔写真から感情を推定する「Emotion API」、音声をテキスト変換する「Speech to Text API」、画像に映っている物や状況を把握して説明する「Computer Vision API」、会話の内容を理解する「LUIS API」などが提供されている。

　これらのAI APIを企業が自社のサービスに実装し、広告やマーケティング、営業支援、自動接客などに活用しようという事例が国内でも増えてきた。店舗や施設を訪れた顧客の年齢層、性別、感情を把握してそれに合わせた広告を出す、顔画像からリピーターであるか初来店かを把握する、商談の会話内容を分析して適切な商材をレコメンドする、ロボットやチャットボットをフロントにしてAIで自動接客するといったシステムが、実サービスやPoCで打ち出されている。

　Cognitive ServicesはMicrosoft AzureのAIエンジンを利用するサービスなので、インプットされたデータはAzureに送信される。ここで、Cognitive ServicesのAPIを実装した広告システムや営業支援システムを開発する企業に、顧客の顔画像や音声データなどの扱いに関するプライバシーの考え方を質問すると、「顧客に録音・録画することへの承諾をとる」、「Cognitive Servicesの分析結果は個人情報に当たらないので広告利用は問題ない」、「マイクロソフトは顧客データを勝手に利用することはないと聞いている」、「マイクロソフトのセキュアなクラウドデータセンターで顧客データを扱うので安全」といった回答が聞かれた。

Cognitive Servicesのプライバシーポリシーを読む

　マイクロソフトは、同社の企業向けオンラインサービスのプライバシーポリシーに「顧客データを広告やマーケティング目的でマイニングしない」、「マイクロソフト社員であっても顧客データへのアクセスは制限される」、「サービス利用終了時には顧客データを削除する」などの条項を記載している。企業ユーザーがAzureやOffice 365、Dynamics 365で扱うデータについては、マイクロソフトが（合意したサービスを提供する目的以外で）利用することはない。

　しかしマイクロソフトは先ごろ、この企業向けオンラインサービスのプライバシーポリシーに、「Microsoft Cognitive Servicesには適用されない」の一文を明記した。

　より詳細な情報が書かれた「Microsoftのプライバシーに関する声明」のMicrosoft Cognitive Servicesセクションを読むと、「Cognitive Servicesは、画像、オーディオファイル、ビデオファイル、テキストなど、さまざまな種類のデータを収集して使用します。すべてのデータはMicrosoftによって保持されます」と記述がある。また「Microsoftは、Cognitive Servicesが保持する一部のデータを匿名化するための事業と技術的手法を確立しています。匿名化によってデータの匿名性が完全に保証されるわけではありません」とある。

　さらに、同社の「オンラインサービス条件（OST）」のMicrosoft Cognitive Servicesセクションでは、マイクロソフトは顧客がCognitive Servicesに送信する顧客データを「Cognitive Servicesの提供およびマイクロソフトの製品サービスを改善することをのみ目的として、収集、保持、使用、複製、およびその二次著作物の作成を行うことができる」とあり、「Cognitive Servicesに送信する顧客データに個人データが含まれる場合、お客様は、データ主体からマイクロソフトがデータ処理を行うことへの十分な同意を得るものとする」と記載されている。

個人情報管理の責任はCognitive Servicesのユーザー企業が負う

　まとめると、企業が自社サービスにCognitive ServicesのAPIを実装して利用するケースでは、AIにインプットされたデータはマイクロソフトがAIの精度向上などを目的として利用する。企業がCognitive Servicesを実装したシステムで顧客データを扱い、そのデータに個人情報が含まれる場合には、顧客からマイクロソフト側でのデータ利用までを含めて同意を得る必要がある。 　AI活用の夢は広がるが、データプライバシーの検討はAIをビジネスに活用する上で避けて通れない。一方で、国内ではビッグデータをビジネスで有効活用したい企業にとって追い風となる「匿名加工情報制度」を盛り込んだ「改正個人情報保護法」が5月30日に全面施行された。マイクロソフトがCognitive Servicesのプライバシーポリシーを明示し、改正個人情報保護法が施行されたこのタイミングで、今度はAIを使う側の企業が自社のサービス設計やAIのデータプライバシーについて考えてみてはいかがだろうか。