人事データをAIで扱う際のガバナンス設計

人事データは、企業が保有する情報のなかで最も機微なものの一つです。評価、給与、健康状態、面談記録、退職理由。これらをAIで分析・生成に使うことは大きな価値を生む一方で、扱いを誤れば従業員の信頼と法的な信用を同時に失います。本記事では、人事データをAIで扱う際のガバナンスを、方針・体制・記録・説明の4層で整理します。

本記事は法的助言ではありません。法令の適用については、必ず専門家にご確認ください。

なぜ「人事データ×AI」は別枠で考えるべきか

一般的な業務データと比べて、人事データには3つの特徴があります。

1. 本人に対する非対称性：データの主体である従業員は、会社に対して弱い立場にあり、利用に同意しないことが事実上難しい。
2. 判断への直結性：評価・配置・処遇という、本人の生活に直結する判断に使われる。
3. 偏りの蓄積：過去の人事判断そのものが偏りを含んでいる可能性があり、AIがそれを学習すると再生産される。

そのため、一般的なデータガバナンスに加えて、「AIの出力をどこまで人事判断に使うか」という意思決定の設計が必要になります。

参照すべき法規制とフレームワーク

日本：個人情報保護法

個人情報保護法は、個人情報の利用目的をできる限り特定し、その範囲内で取り扱うことを求めています。また、人種、信条、病歴などの「要配慮個人情報」については、原則として本人の同意なく取得してはならないとされています。人事データをAIで分析する場合、「その分析は、取得時に特定した利用目的の範囲内か」を確認することが出発点です。

個人情報保護委員会は2023年6月、生成AIサービスの利用について注意喚起を公表し、本人の同意なく要配慮個人情報を入力することや、利用目的の達成に必要な範囲を超えて個人情報を入力することに注意を求めています。面談記録や健康情報を外部の生成AIサービスに入力する際は、この点を運用ルールに反映する必要があります。

EU：AI Act と GDPR

EUのAI規則（Regulation (EU) 2024/1689）は、雇用・労働者管理の領域で使われるAIシステム、具体的には採用・選抜、昇進・解雇の判断、業務配分、監視・評価に用いるものを「高リスク」に分類しています。高リスクAIシステムには、リスク管理、データガバナンス、記録、透明性、人間による監視などの要件が課されます。欧州に拠点や従業員を持つ日本企業は、対象になりうることを前提に確認が必要です。

また、GDPR第22条は、法的効果や同様の重大な影響を及ぼす決定を、専ら自動処理のみに基づいて行われない権利を定めています。人事判断を完全に自動化しないという設計は、この観点からも重要です。

フレームワーク：NIST AI RMF と ISO/IEC 42001

米国NISTの AI Risk Management Framework（AI RMF 1.0）は、AIリスク管理を Govern、Map、Measure、Manage の4つの機能で整理しています。ISO/IEC 42001:2023 は、AIマネジメントシステムの要求事項を定めた国際規格で、組織としてAIの利用を継続的に管理する枠組みを提供します。どちらも、人事領域に限らず使える汎用的な枠組みですが、「体制」「記録」「測定」「改善」の要素を網羅する点で、人事データのガバナンス設計の骨格として有用です。