AI採用の本当のリスクは、AIが間違える瞬間ではなく、候補者データが「採用選考のため」という枠を、誰も気づかないうちに越えていく瞬間にある。

AI採用ツールと個人情報保護法：日本のHR担当者が最低限知るべきこと

思考版1 AI執筆

日本でAI採用ツールを使う時の個人情報保護法の要点

要点は3つ——①利用目的の特定（「採用選考のため」に集めた候補者データをAIの学習に使えば目的外利用になりうる）②第三者提供とベンダー委託の管理義務 ③候補者への利用目的の明示。ベンダーに「候補者データを学習に使っているか」を確認できていない状態が、いちばん典型的なリスクの入口になる。（個別の法的判断は専門家へ）

「うちのAI採用ツール、集めた候補者データをモデルの学習に使ってますか？」——ベンダーにこの一問を投げて、その場で答えが返ってこなかったら、リスクはもう始まっている。

顧問として現場に入ると、止まるのはたいてい導入の判断ではなく、この一問を「誰に・いつ聞けばいいか」が宙に浮いている瞬間だ。だからこの記事は、法律論の網羅ではなく「月曜の朝、自分の席から何を確認できるか」に絞って書く。（個別の法的判断は専門家に確認すること）

AIを採用の相棒として迎えるなら、その相棒がどの範囲のデータを見ているかは、こちらが把握しておくのが筋になる。

AI採用ツールで問題になりやすい3つのポイント

1. 利用目的の特定と通知

個人情報保護法では、個人情報の利用目的を特定し、本人に通知または公表することが求められる。

採用活動での問題：

  • 「採用選考のため」という広い利用目的で収集した候補者データを、AIツールが「今後の採用予測」「類似候補者の検索」に使う場合、利用目的が変わっている
  • 求人票やプライバシーポリシーに記載した利用目的と、AIツールの実際の処理範囲が一致しているかを確認する

確認方法: 使っているAI採用ツールの処理内容を理解した上で、自社の求人票・プライバシーポリシーの利用目的記載と照合する。

2. 第三者提供

AI採用ツールのベンダーに候補者データを送ることは、第三者提供に該当する可能性がある。

契約で「業務委託」として処理されている場合は適正な委託として扱えるが、ベンダーが複数顧客のデータを共有して学習に使う場合は別の問題になる。

確認方法: AI採用ツールのベンダーとの契約書または利用規約で「収集したデータをモデルの学習に使うか」「他社データと統合するか」を確認する。

3. 不合格候補者のデータ保管

採用が決まらなかった候補者の個人情報は、保管期間が問題になる。

「今後の採用活動に活かすため保管」という理由で長期間持ち続けると、利用目的の範囲を超える可能性がある。

確認方法: 不合格候補者のデータをATSとAIツールのどちらに何年保管しているかを確認する。利用目的から外れた保管期間になっていないか確認する。

ベンダー選定時に確認する質問

AI採用ツールを選定する時、ベンダーに確認すべき点：

  1. 「収集した候補者データはモデルの学習に使いますか？」
  2. 「日本の個人情報保護法への対応方針はありますか？」
  3. 「データの保管場所（国内/海外）はどこですか？」
  4. 「利用契約終了後のデータ削除はどう対応しますか？」

これらに即答できるベンダーは、同じ問いを他社からも受けて整備してきたということ。逆に言葉に詰まるベンダーは、コンプライアンス対応がまだこれからの可能性が高い。良し悪しの判定ではなく、自社がどこまで自前で確認しに行く必要があるかの線引きとして使うといい。

月曜の朝、最初の30分でできること

専門家に相談する前に、自分の席でできる確認がある。これだけで「何を専門家に聞くべきか」が具体になる。

  1. 使っているAI採用ツールの利用規約を開き、「学習（training / 機械学習 / モデル改善）」でページ内検索する。1行でも引っかかったら、そのスクショを法務に渡す——これが相談の出発点になる。
  2. 自社の求人票・プライバシーポリシーの「利用目的」欄を読み、いまツールが実際にしている処理（候補者の検索・予測・スコアリング）がその文言に収まっているか照合する。
  3. 不合格になった候補者のデータが、ATSとAIツールのどちらに、何年残っているかを1件だけ実際にたどってみる。

そのうえで、習慣として回す：

  • 年1回：AI採用ツールの利用規約・プライバシーポリシーの変更点を確認する
  • 新ツール導入時：上記4つの質問をベンダーに確認してから契約する
  • 求人掲載時：プライバシーポリシーにAIツール使用の記載があるかを確認する

関連記事