Partner articleAI開発会社ガイド2026/7/8

AI開発のDPIA/RFPの書き方

個人情報を扱うAI開発で、DPIAに近い事前評価をRFPへ落とし込み、データ最小化、権限、ログ、委託先確認をそろえる方法を整理します。

結論

個人情報を扱うAI開発では、機能一覧より前に、利用目的、対象データ、最小化、同意や通知、権限、ログ、保存期間、委託先管理をRFPに入れるべきです。後からプライバシー確認をすると、開発済みのデータ設計やログ設計を戻すことになり、費用と期間が膨らみます。

DPIAに近い事前評価は、法務だけの文書ではありません。発注者、業務部門、情報システム、セキュリティ、開発会社が同じ前提で見積もるための材料です。RFPでは、何を作るかだけでなく、何を使わないか、何を保存しないか、誰が確認するかを明記します。

まず、AIが支援する業務と利用目的を明確にします。問い合わせ分類、本人確認補助、顧客対応要約、採用書類の整理、医療や金融に近い判断補助など、用途によって必要な注意は変わります。目的が曖昧なまま「AIで分析したい」と書くと、提案側は広くデータを集める設計を出しやすくなります。

次に、利用する個人情報の種類を分けます。氏名、連絡先、契約情報、問い合わせ内容、従業員情報、評価情報、音声、画像などは、必要性と保存方法を別々に考えます。AIに渡す前に匿名化やマスキングで目的を満たせるなら、RFPにその前提を書きます。

提案比較では、価格だけでなく、プライバシー設計が見積に含まれているかを見ます。データフロー図、権限設計、ログ設計、削除手順、テストデータの扱いが別費用になっている場合、後工程で追加費用が出やすくなります。

検収では、機能が動くことだけでなく、個人情報が想定外に保存されないこと、権限外のユーザーが見られないこと、ログが確認できること、削除依頼や停止時の手順があることを確認します。テストデータにも個人情報を使う場合は、マスキング、利用範囲、削除日を決めます。

運用開始後は、利用目的の変更やデータ項目の追加が起きます。RFPに「目的やデータが変わる場合の再評価手順」を入れておくと、機能追加のたびに判断が属人化しにくくなります。

この記事の画像は、利用目的、データ最小化、権限、ログ、委託先確認、再評価の流れを示す図解です。DPIAを難しい文書としてではなく、RFPと検収へつながる確認順として把握できるようにしています。

個人情報を扱うAI開発を進める場合は、AI開発会社一覧で相談先を比較し、RFPにプライバシー評価の前提を入れます。社内側の学習には情報セキュリティ担当向けAI学習ロードマップも参考になります。

Q. 小規模なAI開発でもDPIAに近い確認は必要ですか? A. 個人情報を扱うなら規模に関係なく、利用目的、データ項目、保存、権限、委託先確認は整理すべきです。

Q. RFPに個人情報の全項目を書くべきですか? A. 目的に必要な項目、除外する項目、匿名化やマスキングの前提を明記します。詳細は別紙で管理しても構いません。

Q. 提案比較で一番見落としやすい点は何ですか? A. ログ、削除手順、目的変更時の再評価、外部AI/APIの学習利用設定です。

出典:

個人情報保護委員会: https://www.ppc.go.jp/ (確認日: 2026-07-08)
経済産業省 AI事業者ガイドライン第1.2版: https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html (確認日: 2026-07-08)
NIST AI Risk Management Framework: https://www.nist.gov/itl/ai-risk-management-framework (確認日: 2026-07-08)