従業員データのプライバシーとAI：人事が守るべきもの

著者: Kevin Kim · 更新日: 2026年10月11日

AIにおける従業員データのプライバシーとは、人事が人事情報をAIツールに入力する際に適用される法的・実務的な義務の集まりです。どのデータが機微かを把握すること、利用する適法な理由を持つこと、人々に伝えること、事前にリスクを評価すること、重要な意思決定に人を関与させ続けること、契約でベンダーを拘束すること、データの保持期間を限定すること、データが移動する先を管理することが含まれます。 人事が保有するデータ（健康に関する詳細、給与、評価メモ、懲戒履歴、ときには指紋や顔）は、社内でも最も機微なものの一部です。そこにAIツールを向けると、リスクが変わり、誰が何について法的責任を負うかも変わることがよくあります。

本記事は、人事部長、ピープルオペレーションの責任者、人事ツールを承認するマネージャー向けです。EUと英国の法律における主な義務と、特に影響の大きい米国の州法を順に説明し、そのうえでユースケース表と段階的なプロセスを示します。全体像については、AIのための人事データ基盤から始めてください。これは一般的な情報であり、法的助言ではありません。

重要なポイント

• GDPRの基本的な処理原則、同意の条件、特別カテゴリーの規則、データ主体の権利、国際移転の規則への違反には、最大2,000万ユーロ、または全世界の年間売上高の4%のいずれか高い方の制裁金が科されることがあります。管理者と処理者の義務（処理者との契約や影響評価を含む）への違反には、最大1,000万ユーロまたは2%の制裁金が科されることがあります（GDPR第83条）。
• 欧州データ保護会議（EDPB）は、現在または将来の従業員のデータを同意に基づいて処理することは、自由に与えられた同意とは考えにくいため「問題がある」としています（EDPBガイドライン05/2020）。
• カリフォルニア州の雇用関連の個人情報に対する適用除外は2022年12月31日に失効したため、カリフォルニア州の居住者である従業員と求職者は、現在CCPAの対象です（California Attorney General）。
• 2023年12月、EU司法裁判所は、顧客がスコアに決定的な役割を与えている場合、与信の「スコアリング」は禁止された自動化された個人の意思決定にあたると判断しました（Court of Justice press release）。
• EU・米国データプライバシーフレームワークは、2023年7月10日の欧州委員会による十分性認定に基づいています。一般裁判所は2025年9月3日にこれに対する異議申し立てを棄却し（General Court press release）、2025年10月31日に上訴が提起されました（Digital Policy Alert）。

AIがプライバシーの状況を変える理由

人事は昔から機微な記録を保有してきました。AIは3つのものを加えます。到達範囲： すべての評価、チケット、チャットメッセージを読み取るツールは、マネージャーがファイルをめくる場合よりはるかに多くのものに触れます。推論： AIは、離職リスクのスコアや、欠勤パターンから健康状態を推測するといった、新しい事実を導き出します。個人についての推論は、依然としてその人についての個人データです。第三者： 人事AIの大半は購入するものなので、サブプロセッサーや他国のサーバーを持つベンダーが、自社とデータの間に入ります。処理は外部委託できます。説明責任は外部委託できません。

アクセス管理の面については、AIアクセスのためのデータ分類が、AIツールにどのデータ階層を見せてよいかを判断する方法を示しています。

人事が正しく対応すべき7つの義務

1. どのデータが機微かを把握する

GDPRでは、特定のカテゴリーの処理は、特定の条件が当てはまらない限り禁止されています。第9条は、人種的・民族的出自、政治的意見、宗教的・哲学的信条、労働組合への加入を明らかにするデータに加え、遺伝データ、個人を一意に識別するために処理される生体データ、健康データ、性生活や性的指向に関するデータを挙げています（GDPR第9条）。英国の規制当局は、生体データは個人を一意に識別するために処理される場合に特別カテゴリーのデータになり、通常の写真は、自動照合用のテンプレートを作成するといった特定の技術的処理を経ない限り該当しないと説明しています（ICO）。

人事では、病気休暇の診断書、配慮の申請、組合費、ダイバーシティ調査、そして出退勤の打刻に使う指紋や顔のテンプレートは、すべて特別カテゴリーのデータです。ラベルが付いていないデータでも、それを明らかにすることがあります。欠勤のパターンや、従業員が診断名に触れたチャットボットとの会話などです。

2. 適法性の根拠を持ち、同意に頼らない

個人データのあらゆる利用には、適法性の根拠が必要です。雇用主は、敬意を示しているように感じられるため、同意に頼りがちです。これは通常、最も弱い選択です。EDPBのガイドラインは、雇用主と従業員の関係にある依存性のために、従業員が実際の不利益を恐れずに拒否できるとは考えにくく、したがって職場でのほとんどの処理では、根拠は同意では「あり得ず、あるべきでもない」と説明しています。同意が可能なのは、拒否しても不利な結果が生じない例外的な状況に限られます（EDPBガイドライン05/2020）。英国のICOも、そのガイダンスで同じことを述べています。力関係に不均衡がある場合、特に公的機関や雇用主に対しては、自由に与えられた同意を得ることはより難しくなります（ICO）。

では、代わりに何を使うのでしょうか。通常は、雇用契約、法的義務（給与計算、税務、労働安全衛生）、または正当な利益であり、正当な利益には文書化された比較衡量テストが必要です。特別カテゴリーのデータについては、第9条(2)の条件も必要で、そのうちの1つは、国内法が認める場合に雇用法上の義務のために必要な処理を対象としています。「AIによる分析に同意します」というチェックボックスが答えになることは、まずありません。

3. 人々にわかりやすく伝える

透明性は義務であり、礼儀ではありません。データを直接収集する場合、GDPRは、プロファイリングを含む自動化された意思決定があるかどうかと、少なくとも第22条の場合には、そこに用いられる論理と想定される結果についての意味のある情報を、とりわけ人々に伝えることを求めています（GDPR第13条）。「人事プロセスを改善するためにAIを使っています」では、この水準に達しません。ツールの目的、使用するデータ、どの意思決定に情報を提供するかを明示してください。

第88条はまた、各EU加盟国が、透明性と職場の監視システムに特に配慮した、より具体的な雇用データの規則を加えることを認めています（GDPR第88条）。実際には、国によっては、ツールを有効にする前に労使協議会との協議が必要になるということです。その観点については、AI従業員モニタリングをご覧ください。

4. 開始前に影響評価を行う

データ保護影響評価（DPIA）は、処理を始める前に行う、構造化されたリスク審査です。第35条は、特に新しい技術を使った処理が人々の権利に高いリスクをもたらす可能性が高い場合に、これを求めています。とりわけ、重大な影響を伴う決定の根拠となる、自動化された処理に基づく個人的側面の体系的で広範な評価と、特別カテゴリーのデータの大規模な処理には、これが必須とされています（GDPR第35条）。従業員のスコアリング、順位づけ、モニタリングなど、人事AIの多くの用途は、まさにこれに該当します。

DPIAは、処理とその目的、必要性と比例性、個人へのリスク、そのリスクに対処する措置を対象とします。適切な場合は、影響を受ける人々またはその代表の意見を求めてください。これは設計のためのツールとして扱ってください。どの保護措置でもリスクを下げられないなら、プロジェクトの規模を縮小します。

カリフォルニア州にも、これに並ぶ要件が現在あります。同州のプライバシー当局は、リスク評価と自動化された意思決定技術（ADMT）に関する規則を確定し、リスク評価のコンプライアンスは2026年1月1日から、「重大な決定」に関するADMTの義務は2027年1月1日から始まります（CPPA）。法律事務所による規則の要約は、重大な決定に雇用が含まれるとしています（Skadden）。カリフォルニア州の従業員を雇用している場合は、カレンダーに入れてください。

5. 自動化された意思決定を管理する

GDPR第22条は、法的効果を生じる、または同様に重大な影響を及ぼす、プロファイリングを含む自動化された処理のみに基づく決定の対象とされない権利を、人々に与えています。例外（契約の履行に必要な場合、法律による承認、明示的な同意）はありますが、その場合でも管理者は、少なくとも人による介入を得る権利、意見を述べる権利、決定に異議を唱える権利を提供しなければなりません。これらの例外に基づく決定は、明示的な同意または重要な公益の条件が当てはまり、保護措置が講じられている場合を除き、特別カテゴリーのデータに基づくことはできません（GDPR第22条）。

司法裁判所は、これを広く解釈しています。SCHUFA事件で、裁判所は、銀行の顧客が与信の決定にスコアリングへ決定的な役割を与えている場合、そのスコアリングは「自動化された個人の意思決定」とみなされなければならないと判断しました（Court of Justice）。これを人事に置き換えるとこうなります。採用担当者やマネージャーがスコアの示すとおりに確認せずに承認するなら、スコアが決定です。「承認」をクリックするだけの人は、人の関与とは認められません。人によるステップを実質的なものにする方法は、人事AIにおける人間による監督で扱っています。

英国はアプローチを変えました。2025年データ（利用およびアクセス）法は、保護措置が維持されることを条件に、重大な自動化された決定について適法性の根拠の全範囲を開いていますが、特別カテゴリーのデータには適用されません。ICOは、同法のデータ保護規定がすでに施行されていると述べています（ICO）。EUの規則は同じ方向に動いていないため、多国籍企業は英国の立場をグループ共通の基準にすることはできません。

6. ベンダーを拘束し、保持期間を限定する

ベンダーが自社に代わって従業員データを処理する場合、第28条は拘束力のある契約を求めています。契約には、処理の対象事項、期間、性質と目的、データの種類と対象者の区分、そして自社の権利と義務を定めなければなりません。また、処理者が自社の文書化された指示にのみ従って行動すること、機密性を確保すること、セキュリティ措置を適用すること、別の処理者を起用する前に自社の承認を得ること、データ主体の要求を支援すること、サービスの終了時にデータを削除または返却すること、監査のために情報を利用可能にすることを求めなければなりません（GDPR第28条）。

AIベンダーについては、テンプレートが尋ねない点を加えてください。ベンダーは自社の従業員データでモデルを学習させるか。プロンプトと出力はどこに、どれくらいの期間保存されるか。サブプロセッサーは誰か。商業面は、AIツールのベンダー評価フレームワークで扱っています。

保持期間は、目立たないが重要な論点です。GDPRの保存制限の原則は、データは、処理する目的に必要な期間を超えて、識別可能な形で保持してはならないとしています（GDPR第5条）。AIはこれを難しくします。コピーがログ、プロンプトの履歴、ベンダーのバックアップに積み重なるからです。それぞれに期間を設定し、ベンダーが要求に応じて削除できることを確認してください。

7. データの行き先に目を配る

従業員データをEUや英国の外に送るには、移転の仕組みが必要です。1つは欧州委員会の十分性認定で、これに基づく移転には特別な承認は不要です（GDPR第45条）。もう1つは、拘束的企業準則のような適切な保護措置です（GDPR第46条）。米国については、欧州委員会が2023年7月10日に、EU・米国データプライバシーフレームワークの十分性認定を採択しました（European Commission）。一般裁判所は2025年9月3日、Philippe Latombe氏による異議申し立てを棄却し、決定が採択された日に米国が十分な水準の保護を確保していたことを確認しました（General Court）。2025年10月31日に上訴が提起されたため、その上訴が係属中の間も、フレームワークは有効なままです。ベンダーがこのフレームワークの認証を受けており、代替の仕組みを持っていることを確認してください。

米国の観点：カリフォルニア州とイリノイ州

従業員データに関する米国の単一のプライバシー法はないため、状況は層になっています。人事AIにとって特に重要なのは2つです。

カリフォルニア州（CCPA/CPRA）。 同州の雇用関連の個人情報に対する適用除外は、2022年12月31日に失効しました（California Attorney General）。2023年1月1日以降、対象となる事業者は、カリフォルニア州の従業員と応募者に対し、CCPAがあらゆる消費者に与える権利を負います。収集されている内容を知る権利、削除する権利、訂正する権利、販売や共有をオプトアウトする権利、機微な個人情報の利用を制限する権利です。この法律は、基準を満たす営利事業者に適用されるため、自社が該当するかどうかを確認してください。上記セクション4のADMT規則は、重大な自動化された決定に対する通知とオプトアウトの義務を加えています。

イリノイ州（BIPA）。 生体情報プライバシー法は、指紋、顔の形状、類似の識別子の収集を規制しており、収集前の同意を求めています。2024年8月2日に署名された2024年の改正、Public Act 103-0769は、同じ方法による繰り返しの違反は1つの違反として数え、1人あたりの回復は最大1回とすると定めています（Faegre Drinker）。これにより1人あたりのリスクは減りましたが、なくなったわけではありません。被害を受けた人は、依然として個別の請求やクラスアクションを起こすことができます。タイムクロック、入館管理、本人確認で指紋や顔のスキャンを使っているなら、最初に確認すべき法律です。

他の州も、雇用におけるAIに関する規則を追加し続けています。採用に特化した状況については、AI採用に関する法律をご覧ください。

人事AIのユースケースごとに必要なこと

同じ6つの管理策が繰り返し現れます。DPIA、有効な適法性の根拠、実質的な人の関与、厳格な処理者契約、保持期間の制限、移転の確認です。

実践に移す方法

1. 人事AIの棚卸しをします。 既存の人事ソフトウェアの機能や、マネージャーが自分で導入したツールも含め、従業員や応募者のデータに触れるツールをすべて一覧にします。

2. データをマッピングします。 ツールごとに、何が入力されるか、どんな推論が出力されるか、そのうち特別カテゴリーや生体データに該当するものがあるかどうかを記録します。
3. 適法性の根拠を選び、文書化します。 同意を既定にしないでください。根拠を記録し、特別カテゴリーのデータには第9条の条件も記録します。正当な利益に依拠する場合は、比較衡量テストを書き出します。
4. スコアリング、順位づけ、モニタリング、機微データの利用を行うものすべてで、DPIAを実施します。 データ保護責任者がいればその人を、法律や文化が求める場合は労働者の代表を関与させます。
5. 通知を書き直します。 ツールが何をするのか、どのデータを使うのか、どの意思決定に情報を提供するのかを、初回の利用前に平易な言葉で伝えます。
6. 意思決定の権限を確認します。 採用、報酬、昇進、懲戒、解雇に影響を与えるすべてのツールについて、最終判断を下す人の名前を挙げ、その人が出力に異を唱えられることを確認します。
7. ベンダー契約を厳格にします。 第28条の条項、自社の同意なく共有モデルの学習に自社データを使うことの禁止、サブプロセッサーの承認、漏えい通知、終了時の削除、監査権を盛り込みます。
8. 保持と削除を設定します。 入力、出力、ログ、バックアップをどれだけの期間保持するかを決め、削除が実際に機能することをテストします。
9. 移転の経路を確認します。 ベンダーがデータをどこに保存し、どこからアクセスしているのか、それぞれのデータの流れをどの仕組みがカバーしているのかを把握します。
10. マネージャーを教育し、定期的に見直します。 漏えいの大半は、善意の人が人事評価を公開チャットボットに貼り付けることから起こります。ツール、データ、法律が変わったら、棚卸しとDPIAをやり直してください。

EUのAI規則に特化した規制については、EU AI法の概要がリスク区分を説明しています。欧州委員会は、2026年7月27日に発効したAIオムニバスを受けて、雇用などの分野で使われるシステムに対する高リスクの規則は、2027年12月2日から適用されると述べています（European Commission）。これはGDPRの上に重なるものであり、GDPRに取って代わるものではありません。

よくある落とし穴

• 同意を解決策として扱うこと。 従業員は、雇用主に対して実質的に断ることができないため、同意書は弱い土台であり、異議を唱えられる可能性があります。
• 項目にラベルがないから「機微ではない」と思い込むこと。 欠勤のパターン、チャットの内容、行動スコアは、健康、信条、組合活動を明らかにすることがあります。
• ベンダーが「準拠している」からとDPIAを省くこと。 ベンダーの認証は、自社の利用、自社のデータ、自社の従業員を評価するものではありません。
• 名ばかりの人の関与。 確認者が出力の99%を数秒で承認するなら、規制当局はそのプロセスを自動化されたものとみなします。
• ログを忘れること。 プロンプト、出力、監査証跡も個人データです。
• 1つの地域の答えがどこでも通用すると考えること。 英国、EU、米国の規則は異なり、変化し続けています。英国は自動化された意思決定の規則を緩和したばかりですが、EUは緩和していません。
• 出口の計画がないこと。 ベンダーが買収されたり、移転の仕組みを失ったりした場合に、データを取り戻して削除してもらう方法を把握しておく必要があります。