このガイドは誰のためのものか、主な論点は何か
本ガイドは、従業員がすでにAIツールを使って文章を作成している中小企業（SME）および企業に向けて書かれています。たとえば、顧客へのメールの下書き、契約書の要約、売上表の分析などをAIに手伝わせている一方で、経営層が何を入力してよく、何を入力してはいけないかをこれまで定めていないケースです。
主な論点は3つあります。
- AIの利用そのものは違法ではありませんが、入力するデータによっては、会社がPDPAに違反したり、営業秘密の保護を失ったりする可能性があります。
- タイにはAIに特化した施行中の法律がまだ存在しないため、負担の大部分は既存の法律に由来します。
- 会社がすぐにコントロールできるのは、短く、明確で、実際に使われる方針です。
本ガイドでは全体を通じて2つのラベルを使い分けます。[法律] は違反すると法的効果が生じる義務を意味し、[実務上の指針] は望ましい推奨事項であって義務ではないものを意味します。
タイにはAIに特化した法律がすでにあるのか
[法律] 確認日である2569年10月13日時点で、AIに特化した法律が官報で公布されていることは確認されていない。
デジタル経済社会省はETDAと共同で、人工知能に関する法律草案を作成しており、高リスクの利用の規制に重点を置いている。Policy Watchの2569年8月1日付報告によれば、草案は意見聴取を経ており、今後、国務院法制局、内閣、下院を通過する必要がある。政府は2569年9月内に立法手続を開始することを目標としている。その後の確認では、草案がいずれかの段階を通過したというニュースは見つかっておらず、内容も変わり得るため、草案の文言を根拠に政策を策定すべきではない。
当面は、既存の法律、すなわちPDPA、営業秘密法（พ.ศ. 2545）、著作権法、労働法を適用する。
ETDAはこの点についてどのようなガイドラインを示していますか
[実務指針] ETDAは人工知能ガバナンスセンター（AIGC）を通じて、参照可能な文書を公表しています。具体的には次のとおりです。
- 組織の経営層のための、人工知能をガバナンスをもって活用するためのガイドライン — AIを導入しようとする経営層向けの概要
- 組織における生成AIのガバナンスある活用のためのガイドライン — 仏暦2567年10月30日公表。Gen AIの仕組み、利点と限界、リスクとその管理方法、および組織への導入方法を網羅
- AIGCを通じて公開されているツールキット集 AI Governance Guideline & Toolkits
これらの文書は、ETDAが組織に活用してもらうために公表しているガイドラインであり、強制力のある法律ではありません。ただし、監督機関や大手取引先が基準として用いることが多い方向性を示しています。すなわち、AIを安全に、透明に、責任者の下で利用し、業務のレベルに応じてリスクを評価することです。ポリシーを作成する担当者は、詳細が改訂される可能性があるため、ETDAのウェブサイトから最新版の文書を入手して参照すべきです。
従業員はAIに何を入力できるか、何が禁止か
これは、次の見出しで扱う法的義務を従業員がすぐに実務で使える形に変換したガイドラインです。データを層に分け、どの層をどのツールに入力できるかを定めています。
| データの層 | 例 | 公開AIツール | 会社が承認したツール |
|---|---|---|---|
| 公開可能 | 広告文、すでにウェブ上で公表されている情報 | 可 | 可 |
| 社内利用 | 一般的なメールの下書き、個人名や実数を含まない報告書の構成案 | 氏名および個人を特定する数値を削除した場合に可 | 可 |
| 個人データ | 氏名、連絡先、顧客の注文履歴 | 不可 | PDPAの要件を満たす場合に可 |
| 機微情報、本人確認に用いる情報、および重要な秘密 | 健康、生体情報、カード番号、レシピ・処方、コスト、ソースコード、開示を禁じる条項を含む契約書 | 不可 | 個別に承認を得た場合を除き不可 |
従業員に追加で教えるべき点は、氏名を削除するだけでは足りない場合があるということです。残った情報が依然として特定の個人を指し示す場合は、例えば役職と特定の出来事の組み合わせなど、なお個人データとみなします。
PDPA：顧客データをAIに送信する際、会社にはどのような義務があるか
[法律] 会社がデータ管理者である場合、従業員が顧客データをAI提供事業者に送信することは、会社によるデータの利用または開示にあたります。主な義務は以下のとおりです。
- 目的が届出済みの内容と一致していること（第21条） 会社は、収集前に、または収集の時点で通知した目的に従ってデータを収集・利用・開示しなければなりません。これとは異なる新たな目的である場合は、法律上認められる場合を除き、事前に通知し同意を取得する必要があります。
- 法的根拠が必要 例えば、同意、契約の履行、正当な利益などです（第24条は同意を要しない根拠について規定）。正当な利益の根拠は、データ主体の基本的権利の方が重要である場合には用いることができません。
- データ主体への通知が必要（第23条） 収集前に、または収集の時点で、目的、データを受け取る可能性のある個人または機関の類型、保管期間、データ主体の権利を通知しなければなりません。AI提供事業者について一切言及していない会社のプライバシーポリシーは改訂すべきです。
- 適切な安全管理措置が必要（第37条） また、データ管理者以外の者にデータを送信する場合、その者が権限なく、または不正にデータを利用・開示しないよう措置を講じる必要があります。
- AI提供事業者が会社の指示に基づき処理する場合、契約が必要（第40条） 法律は、処理者がデータ管理者の指示にのみ従うこと、安全管理を行うこと、侵害事案を通知すること、データ管理者が両者間の契約を整備することを定めています。提供事業者が指示の範囲を超えて自らデータを利用する場合、例えば自社モデルの学習のために用いる場合には、その提供事業者は純粋な処理者とは言えない可能性があり、そのため各社の条件を確認する必要があります。
- 国外へのデータ送信（第28条） 提供事業者が国外でデータを保存または処理する場合、送信先は個人情報保護委員会が公表した基準に従い、十分なデータ保護水準を有している必要があります。ただし、例外に該当する場合、例えば、送信先の水準が十分でないことを通知された後にデータ主体が同意した場合、またはデータ主体との契約を履行するために必要な場合を除きます。
機微なデータにはこれより厳しいルールがあり、データ漏えいが生じた場合には当局への届出の手続があります。全体像はPDPA対応チェックリスト、従業員データの場合はHR向けPDPAをご覧ください。組織全体のPDPA体制構築についてはPDPAサービスをご覧ください。
AIの利用によって営業秘密が失われるのはどのような場合か
[法律] タイ営業秘密法（仏暦2545年／พ.ศ. 2545）第3条は、営業秘密を、一般的に知られていない取引情報であって、秘密であることにより商業上の利益を有し、かつ、その所有者が秘密として維持するために適切な措置を講じているものと定義しています。いずれかの要件を欠けば、この法律による保護を受けられません。
最後の要件が、AIに関するリスクポイントです。会社が、従業員に処方・配合、顧客リスト、原価、ソースコードを、事業者が保存したりモデルの学習に利用したりできる公開ツールに入れさせ、何らの規則や管理も行わない場合、訴訟の相手方は、会社が適切な措置を講じていなかったと主張する可能性があります。裁判所は、情報の種類と価値、事業の規模、アクセスの容易さに応じて、事案ごとに判断します。したがって、一度情報を投入しただけで権利が消滅するか否かを明確に答えることはできません。しかし、方針が全くない場合には、措置があることを立証するのは困難になります。
[実務上の対応] 立証のために講じるべき措置には、秘密区分のラベルを貼ること、従業員に方針への同意に署名させること、承認済みのツールを限定すること、アクセス記録を保存すること、雇用契約および取引先との契約に開示禁止条項を設けることが含まれます。特許出願と営業秘密として保持することの選択の基本については、特許出願か営業秘密として保持かをご覧ください。NDAで拘束されている顧客情報については、別途契約上の義務も存在し、AIへの投入は第三者への直接の開示に該当する可能性があります。
AIの回答は、顧客に送る前に人が確認する必要がありますか
[実務上の指針] タイ法には、確認者を置かなければならないという一般的な義務規定はまだありません。しかし責任の観点では、誰が起草したかにかかわらず、顧客へ書類を送付するのは会社です。AIは誤った情報を示したり、存在しない条文を引用したり、事実をでっち上げたりする可能性があります。
少なくとも次の三つを定めておくべきです。
- 社外に出る内容は、送付前に人が確認し、責任者として署名すること
- 数字、法令上の根拠、製品の品質に関する表明は、必ず一次情報と照合すること
- 採用選考やサービスの拒否など、個人に関する重要な決定を下す業務では、最終判断を人間が行うこと
AIを使って画像、文章、コードを生成し公表する場合は、著作権および当該ツールの生成物の利用条件についても確認すべきです。
AI サービス提供事業者との契約で確認すべき点
[実務指針]（上記5および6に基づくPDPAに関する部分は法律上の義務です）ツールを承認する前に、提供事業者の契約条件書類を取り寄せ、以下の項目を確認してください。
- データのモデル学習への利用 禁止またはオフにできるか。デフォルトの設定はどうなっているか
- 保存期間 入力したテキストと出力結果をどのくらいの期間保存するか。人間によるレビューはあるか
- データの保管場所 どの国か。下請けの提供事業者として誰を利用しているか
- セキュリティ 暗号化、アクセス制御、データ漏えい発生時の合意された時間内での通知
- データの削除 会社の請求時または契約終了時に削除できるか。書面で確認できるか
- データ処理契約 提供事業者が会社の指示のみに従うこと。データ主体の権利行使への対応が可能であること
- 責任と補償 提供事業者が責任をどのように制限しているか。提供事業者側からのデータ漏えいの場合、誰が責任を負うか
一般向け公開サービスの標準条件は通常交渉できません。いずれかの項目を満たさない場合は、設定を変更できる法人向けプランを選ぶか、リスクの低い層のデータのみに利用を限定してください。契約書のドラフト・レビューは契約書のドラフト・レビューサービスで承ります。
企業のAIポリシーには何を含めるべきか
[実務ガイドライン] 長くする必要はなく、1〜2ページで読み終えられるようにすべきです。
- 適用範囲 従業員、請負業者、あらゆる種類のAIツール（現在使用しているプログラムのAI機能を含む）に適用されます。
- 承認済みツールのリスト および使用可能なアカウント（会社の業務に個人アカウントを使用してはなりません）
- データ階層 上記の表に従い、社内の従業員が実際に遭遇する例を添えて
- 承認申請の手順 新しいツールや上位のデータ階層での利用について、誰に申請し、誰が決定するか
- 出力前の確認 前の見出しのとおり
- 記録 AIを個人データとともに用いるツールおよびプロジェクトの台帳を保管し、PDPAに基づく活動記録の作成に資する
- 研修 入社時に従業員を研修し、定期的に復習する。受講の証跡も保管する
- 通報窓口 データを誤って配置した従業員は、誰に報告すべきかを知り、早期に報告するよう支援を受けるべきであり、隠すべきではない
- 違反の結果 就業規則に言及する。雇用契約と従業員ハンドブックもご覧ください。懲戒処分には規程の根拠が必要だからです。
従業員が誤ってデータを入力してしまった場合はどうすべきか
- 従業員に直ちに使用を中止させ、報告させる。事実を確認する前に懲罰を与えない。
- どのようなデータを、誰の、いつ、どのツールに、どの種類のアカウントで入力したかを記録する。
- ツールの条件を確認し、モデルの学習に利用されるかどうかを調べたうえで、サービス提供者が提供する方法に従ってデータの削除または学習の停止を求める。
- 通知が必要な個人データ侵害に該当するかどうかを評価する。法律で定められた期限があるため、直ちに弁護士に相談すべきである。
- NDAに基づく顧客の秘密情報に関する場合は、顧客への通知義務を確認する。
- 方針を改定して再研修を実施するとともに、是正の証拠を保管する。
