← 研修トップ
コードの外の約束 — 個人情報・ライセンス・生成物の権利
AI が書いたコードも文章も、そのまま出荷できる時代です。個人情報保護法・OSS ライセンス・著作権法の本文が何を言っているかを読み、エンジニアが気づいて法務に渡すべき場面を見分けます。法的な判断はしません。
- 1約 9 分個人情報かどうかは、照合で誰かに届くかで決まる個人情報保護法の定義は、氏名が書いてあるかではなく、その情報から特定の個人を識別できるか(他の情報と容易に照合して識別できる場合を含む)で線を引いています。
- 2約 9 分ログに残さないものは、秘密と個人の2軸で決まるログから外すものを「パスワードやトークン」だけで考えると、半分しか見ていません。OWASP の Logging Cheat Sheet は、秘密と個人に関するデータを別の項目として並べています。
- 3約 9 分ハッシュにしても、まだ誰かを指しているハッシュは一方向ですが、元の値の候補が少なければ全部試して戻せます。候補が多くて戻せなくても、同じ値は同じハッシュになるので、同じ人の行を束ねられます。GDPR は仮名化(pseudonymisation)したデータを匿名の情報とは分けて書いています。
- 4約 9 分漏えいは時計を動かす — 起点は「知った時点」、動かすのは「おそれ」個人情報保護法の施行規則は、報告の期限を「事態を知った」時点から数えます。通則編は、事業者が法人なら「いずれかの部署が当該事態を知った時点を基準とする」と書き、規則の4類型には「発生したおそれがある事態」も入っています。
- 5約 9 分著作権が守るのは、解法ではなく表現著作権法は著作物を「思想又は感情を創作的に表現したもの」と定義し、プログラムについては、保護が「プログラム言語、規約及び解法に及ばない」と明記しています(第10条第3項)。
- 6約 9 分ライセンスは条件つきの許諾 — 条件はコピーに付いてくるOSS ライセンスは「自由に使ってよい」の一言ではなく、許すことの一覧と、それに付いた条件でできています。MIT の条件は複製物に表示を含めることで、Apache-2.0 は複製・配布するときの条件を (a)〜(d) と並べます。
- 7約 9 分GPL の条件は、コピーを渡したときに効きはじめるGPLv3 の本文は、実行と私的な改変を propagate(伝播)の定義から外し、convey しない作成・実行・伝播をライセンスが有効な限り条件なしとして、convey(他者がコピーを作れる・受け取れるようにする)を本文の条件の下に置いています。サーバの中で動かすだけなら convey ではなく、ブラウザへ配る JavaScript はコピーを渡している、という区別がここから出てきます。
- 8約 9 分license 欄は要約 — AND は「全部に従う」、OR は「どれかを選ぶ」package-lock.json の license 欄は、パッケージの許諾条件を1行の SPDX 式に縮めた要約です。式の AND は「同時に全部に従う」、OR は「どれかを選ぶ」で、1語の後ろには29個ものライブラリと、欄には書かれない条件が控えていることがあります。
- 9約 9 分AI の学習に使えるかは、目的で分かれる著作権法第30条の4は、著作物に表現された思想又は感情の「享受」を目的としない利用を、必要と認められる限度で認め、但書で例外を置きます。文化審議会著作権分科会法制度小委員会がまとめた「AI と著作権に関する考え方について」(令和6年3月15日)は、AI 学習を含む情報解析はこれに当たると考えられる一方、目的のうちひとつでも享受が含まれれば要件を欠く、と整理しています。
- 10約 9 分生成物の権利も侵害も、AI ではなく人を通して判断される文化審議会著作権分科会法制度小委員会の「AI と著作権に関する考え方について」(令和6年3月15日)は、AI は著作者になり得ないとし、生成物が著作物か・侵害かを、人の行為を入口に考えます。侵害では開発した事業者が問われる場合にも触れます。