多くの場合は可能です。ただし答えを左右するのは、モデルのブランドではなく、四つの決定です。データをどこに保存するか、推論をどこで実行するか、誰が処理者になるか、そして途中で個人データが国境を越えるかどうかです。これらを業務フローごとに決め、書き出し、弁護士に確認してください。この記事は法的助言ではありません。
要点
- コンプライアンスを決めるのはモデルの名前ではなく、保存場所、推論の場所、処理者、移転です。
- 推論の場所は、保存場所と同じくらい重要です。モデルを呼び出すたびに、モデルが動いている場所でデータが処理されるからです。
- 提供者がどの国でどのモデルを提供しているかはよく変わるため、最新の地域一覧を日付入りの書面でもらってください。
- 先にホスティングを、次にモデルを選んでください。そうしなければ、パイロットが本番に進むことを認められない場合があります。
- これは法的助言ではありません。顧客データを使う前に、弁護士が法的根拠を確認します。
#UAEとサウジアラビアのデータ保護法は、何を対象にしていますか
UAEでは、個人データは個人データ保護に関する2021年連邦法令第45号によって規律されています(UAE政府ポータル)。サウジアラビアでは、個人データ保護法(PDPL)が2024年9月14日に全面的に施行され、SDAIAが規制当局です(Clyde & Co、2024年9月)。
どちらの法律も、個人データがどのように処理され、移動されるかを規律しています。御社の特定の業務フローに何が求められるのか、他国から行われるモデルの呼び出しがどう扱われるのかは、弁護士に確認すべき問題です。この記事は、その相談に持っていくべき決定事項を示すものです。法的助言ではありませんので、各点を弁護士に確認してください。
なぜ保存場所だけでなく、推論の場所が重要なのですか
多くのチームは、データベースがどこにあるかを確認して、そこで終わってしまいます。しかし、業務フローが顧客の記録をモデルに送るたびに、その記録はモデルが動いている場所で処理されます。保存場所が国内でも、推論が別の地域で行われていれば、個人データは移動しています。提供者には、モデルごとに推論の地域を、確認した日付とともに書面で求めてください。
同じことが、ログ、プロンプトのキャッシュ、評価用のコピー、ベンダーのサポート担当者によるアクセスにも当てはまります。どれも、顧客データが置かれたり読まれたりし得る場所です。メインのデータベースの後回しにせず、並べて一覧にしてください。
#UAEやサウジアラビア国内でホスティングできるAIモデルはどれですか
ここでは、モデルと国の組み合わせを挙げません。地域ごとの提供状況は各クラウド事業者とモデルベンダーが決めており、新しいリリースのたびに変わるからです。使う予定の正確なモデルのバージョンについて、提供者に最新の地域一覧を求めてください。書面でもらい、日付を残し、新しい業務フローを始める前に毎回確認し直してください。
比較する選択肢には、通常、クラウド事業者の国内リージョンで提供されるモデル、御社が管理するインフラで動かすオープンウェイトのモデル、そしてベンダー自身のAPIが含まれます。それぞれ、以下の決定事項に対する答えが異なるため、ベンチマークの点数ではなく、これらの決定事項で比べてください。
業務フローごとに、何を書き出すべきですか
- 保存場所:元データ、ログ、あらゆるコピーがどこに置かれ、誰が読めるのか。
- 推論:この業務フローでモデルが動く地域で、提供者が日付付きの書面で確認したもの。
- 処理者:御社に代わってデータを処理するのが、モデルベンダーか、クラウド事業者か、その両方か、そして契約に何が定められているか。
- 国境を越える移転:個人データを国外に送る手順があるかどうか、そして弁護士がそれについてどの法的根拠を確認したか。
- 最小化:モデルが実際に必要とする項目はどれか。氏名、ID、口座番号は、呼び出しの前に伏せられることが多くあります。
処理者の問題については、AIが御社のクラウドで動くとき、データ処理者は誰かで詳しく取り上げています。顧客のテキストは、信頼できない入力としても扱ってください。OWASP Top 10 for LLM Applicationsの一覧では、プロンプトインジェクションが最初のリスクです。
We are
Stennirは、業務フローごとに保存場所、推論、処理者、移転を整理し、御社のルールが求める場所にホスティングし、アカウント、データ、停止スイッチを御社の所有のままにします。
We aren't
Stennirは法律事務所ではなく、法的意見は述べません。顧客データで何かを動かす前に、御社の弁護士が法的根拠を確認します。
米国のクラウドにデータを移さずに、業務フローを自動化できますか
多くの場合、できます。モデルより先にホスティングを選べばよいのです。業務フローと、それが扱うデータから始め、保存と推論を御社のルールが求める場所にとどめる構成を選び、そのうえでそこで使えるモデルを選びます。先にモデルを選ぶと、法務部門が本番への移行を認めないパイロットが出来上がってしまいます。
発注者からは、アラビア語でも同じ質問を受けます。«هل يجوز استخدام ChatGPT مع بيانات العملاء في السعودية حسب نظام حماية البيانات الشخصية؟»(サウジアラビアで、個人データ保護法に照らして顧客データをChatGPTで使ってよいか)。考え方の枠組みは同じで、Stennirは御社のチームと一緒に、アラビア語と英語でそれを一つずつ確認していきます。
コンプライアンスやオペレーションの責任者は、次に何をすればよいですか
顧客データを扱う業務フローを一つ選び、上の五つの決定事項を埋めてください。その表を弁護士のもとに持っていきます。AIコンサルティングでは推奨する構築案にホスティング地域を含め、AI導入では御社のルールが求める場所で業務フローを稼働させます。コンプライアンス向けのAIをご覧いただくか、無料の準備度診断を受ける、または30分の通話を予約することができます。
よくある質問
サウジアラビアで、顧客データをChatGPTで使うことは合法ですか。
製品名ではなく、データがどのように処理、保存、移転されるかによります。PDPLはSDAIAが執行しており、業務フローごとの法的根拠は御社の弁護士に確認してもらう必要があります。これは法的助言ではありません。具体的な用途について、保存場所、推論、処理者、移転についての決定事項を弁護士に持っていってください。
当社のデータはどこに保管されますか。
業務フローごとに、御社が決めた場所です。Stennirは、保存地域、推論地域、そしてログやキャッシュなどコピーが置かれ得るすべての場所を書き出します。アカウントは御社の名義なので、御社自身で設定を確認でき、Stennirに頼まずに変更したり閉じたりできます。
始めるにあたって、当社は何を用意すればよいですか。
想定している業務フロー、それが扱う項目、現在のクラウドとベンダーとの契約、そして法務またはコンプライアンスの窓口です。これらがあれば、モデルを選ぶ前にホスティングを決められます。この順番であれば、パイロットが後で本番に進める状態を保てます。
どんな問題が起こり得ますか。
よくある失敗は、保存場所だけを確認して推論を見落とすことです。データベースは国内にあっても、モデルの呼び出しはすべて別の場所に行っている、という状態です。ほかにも、ログが別の地域に保管されている、ベンダーのサポート担当者がプロンプトを読める、契約後に提供者が地域一覧を変更する、といったことがあります。新しい業務フローを始める前に、毎回一覧を確認し直してください。
