香港の個人データ保護AIサンドボックス：企業が学べるプライバシー管理
香港が学校向けAIサンドボックスを開始。企業は第1段階に応募できませんが、そのAIプライバシー管理原則は参考になります。
学校を対象とする6か月間のAIサンドボックス
香港の個人資料私隱専員公署（PCPD）とデジタル政策局（DPO）は2026年7月6日、「個人データ保護AIサンドボックス」を共同で開始しました。第1段階は6か月間で、学校が個人資料（プライバシー）条例（PDPO）を遵守しながらAIソリューションを検討・導入できるよう支援するものです。
応募範囲は限定されています。応募できるのは公的資金を受ける小学校及び中学校のみで、15校が選定されます。応募期限は 2026年10月30日、説明会は 2026年8月28日 に予定されています。一般企業やその他の組織は第1段階の応募対象ではありません。
選定校は、PCPDによる個人データ保護の規制上のガイダンス、DPOによる香港生成AI技術・応用ガイドラインに関する指導、さらにCyberport及び香港生産力促進局による技術的助言を無料で受けることができます。
企業にとっても参考になる理由
企業は第1段階に応募できませんが、この制度は、AI導入を単なるソフトウェア購入として扱うのではなく、プライバシー・ガバナンス、技術的統制及び説明責任を伴う運用として設計すべきことを示しています。
PCPDのAI Privacy Protection資料には、従業員による生成AI利用ガイドラインのチェックリストと「Artificial Intelligence: Model Personal Data Protection Framework」が含まれています。PCPDによれば、これらは、組織が従業員向けの社内方針を策定し、PDPOに沿ってAIを調達・実装・利用することを支援するための資料です。
組織向けAIプライバシー確認項目
従業員が生成AIを利用する前、又は組織がAIシステムを導入する前に、経営陣は次を確認できます。
- 目的とデータ範囲を定める。 業務目的、扱う個人データの種類、個人データ処理の必要性を記録します。
- 入力データを最小限にする。 承認、必要性及び適切な保護措置がない限り、顧客、従業員又は本人確認情報を公開AIツールに入力しません。
- アクセス権と保存期間を管理する。 利用権限、保存期間、削除方法、AI出力のダウンロード及び再利用ルールを設定します。
- ベンダーとデータフローを確認する。 プロンプト、アップロードファイル及び生成物がどこで処理・保存・移転されるかを把握し、契約及びセキュリティ管理を評価します。
- 人による監督を維持する。 正確性、偏り、プライバシーへの影響及び重要な判断を確認する責任者を定め、AI出力を自動的に信頼しません。
- インシデント対応を準備する。 誤開示などの個人データ事故に備え、エスカレーション、封じ込め、証拠保存及び通知手続きを整えます。
- 従業員教育と記録保存を行う。 許容される用途、入力禁止データの例、高リスク利用の承認経路を明示します。
これらは個別事情に応じたプライバシー、法務又はサイバーセキュリティ評価に代わるものではありませんが、AIの試行をPDPO及び社内ガバナンスと整合させる出発点になります。
出典
香港特別行政区政府、2026年7月6日：https://www.info.gov.hk/gia/general/202607/06/P2026070300679.htm
PCPD AI Privacy Protection資料：https://www.pcpd.org.hk/english/artificial_intelligence/index.html
免責事項
本稿は一般情報の提供のみを目的とし、法律、プライバシー、サイバーセキュリティ、会計又は規制上の助言ではありません。組織は最新の公式ガイダンスを確認し、自社のシステム、データ及び事情に応じた助言を得てください。