「使うかもしれないから残しておく」——データレイク構築の合言葉が、AI学習パイプラインと結合した瞬間、監査に耐えない構造ができあがる。今号は日本の代表的な失敗事例から、データガバナンス欠陥の連鎖を解剖する。
2019年8月、株式会社リクルートキャリアが提供していた「リクナビDMPフォロー」に対し、個人情報保護委員会が勧告および指導を発出した。同サービスは、就活生の閲覧履歴・行動データをAIモデルで解析し、「内定辞退率」を予測して契約企業に販売する仕組みだった。契約企業はトヨタ自動車、本田技研工業、三菱電機、京セラを含む38社に及び、対象となった学生は延べ7,983名（2019年3月〜7月の販売分）にのぼる。
問題の核心は、就活生から取得していた同意文言が「サービス改善」の域を超え、第三者への予測スコア販売という利用形態をカバーしていなかった点にある。個人情報保護委員会は「本人の同意を得ずに第三者提供を行った」として、リクルートキャリアに勧告、リクルート（親会社）に指導を実施。契約企業38社にも別途、指導が行われた。厚生労働省も職業安定法違反の疑いで行政指導を出している。
財務的損失は非公開だが、サービス廃止・信頼失墜・訴訟対応コストは軽微ではない。より重い代償は、日本の主要企業38社が同時に行政指導を受け、社内のデータ利活用プロジェクトが一斉に凍結・見直しを迫られた点である。これらの企業の多くは、その後1〜2年間、外部データ調達を伴うAI予測モデルの新規導入を停止した。
当時の判断根拠として、リクルート側は「行動データは個人を特定しない匿名データ」と整理していたとされる。しかし、購入企業側が自社の応募者情報と突合できる仕様であったため、実質的に個人特定が可能な状態だった。「単独では匿名、結合すれば個人特定」という、データレイクに蓄積された多元データの本質的リスクが表面化した事例である。
公開ソース
・個人情報保護委員会「株式会社リクルートキャリアに対する勧告等について」ppc.go.jp/news/press/2019/20190826/
・厚生労働省「株式会社リクルートキャリアに対する職業安定法に基づく指導について」（2019年9月6日発表）
・日本経済新聞「リクナビ問題、38社に行政指導 個人情報委」（2019年12月4日）
明日からPoC・データ基盤レビューで確認できる7項目。
「データレイクからデータメッシュへ — 分散オーナーシップが監査を通す理由」
中央集権的なデータレイクの限界と、ドメイン別オーナーシップを前提とするデータメッシュ思想を、金融・製造業の実装例から解説する予定です。
「仮名加工情報の実務 — 2022年改正個人情報保護法が開いた新しい利活用の余地」
匿名加工情報と仮名加工情報の使い分け、AIモデル学習における実装上の注意点をまとめる予定です。
関連トピックへのご要望は ai-media.co.jp/contact/ から編集部までお寄せください。
データレイクの技術的成功は、ガバナンスの技術的失敗と表裏一体である。「溜めれば価値になる」から「溜めるほど責任が増える」へ、企業のデータ観は明確にフェーズを移した。次号は「AIエージェント時代の権限設計 — 自律実行が生む監査ログの空白」を予定している。
弊社が運営する連載『AIで投資の壁を越える』（note）では、AI投資・AI商用化の構造的な壁を18本の実装記録で検証しています。AI導入失敗の根源を技術側から知りたい方はこちらへ。