あなたの病歴は守られる。「推定された病歴」は、守られない:個人情報保護法を、AIに悪用させてみたら3回間違えた話

誰も断罪されない。それでも、奪われる人が出る

冒頭だけでもみてってください。気になったらシェアや引用もしてください。

——素人がAIで悪だくみを組んでみたら、3回間違えた話

まず白状しておくと、この記事に出てくるAIは、2回、堂々と嘘をつきます。

私はそれを見抜けませんでした。

実はこれ、5月にも書いてるんですよ。「これ、危なくない?」って。

で、その"よくない予想"どおりに仕上がった疑惑があるので、今回はその検証です。
↓元記事です。

そもそも、なんで?

「個人情報を、AI開発に使いやすくする法律ができました」

……ん?なんで?何がしたいの?

個人情報って、普通は"守る"方向にキツくしていくもんじゃないの?なんで急に、扉のほうを広げるの。

……ザッツ違和感ing now である。(うまい事言ったな、と思う、えへん)

調べたら、2026年7月10日。個人情報保護法の改正と、デジタル行政推進法の改正が、同じ日に2本まとめて通っていた。

片方は「統計やAI学習に使うだけなら本人の同意はいらないよ」。
もう片方は「国が持ってるデータを民間にも使わせるよ」。

……両方アクセルじゃねーか。

しかも担当する役所も違う。動き出す時期も違う。
全部そろった一枚の絵を、誰も見せてくれない。描いたのは内閣です。

わざと隠してるのかは、知りません。というか、たぶん誰も隠してない。

ただ、素人には全体像が見えない。これは確か。

ジェミニ君に悪役をやってもらった

いつものやつ。ジェミニ君どうかな?この法律の抜け道、"悪いやつ"ならどう使う?

🤖ジェミニ君: 「簡単です。まず"統計目的"でデータを安く仕入れてモデルを作ります。統計なので同意はいりません。完成したモデルに、別ルートで正規に集めた買い物履歴を入れる。すると出ます、『この人、重病リスク高め』。あとは保険を断るなり——」

おい。悪いなお前。

でも、それっぽい。めちゃくちゃそれっぽい。

こういうときは研ぎ役のClaude(私はこいつを"電卓＋探偵"だと思っている)に確認してもらう。妄想じゃなく、条文から本当に組める?

🕵Claude: 「組めません。その筋、"統計にのみ使う"という条件つきの特例を使ってます。最後に個人の選別に使った瞬間、その約束を破ったことになる。合言葉が『選別に使いません』なんですよ。使ったら嘘が確定します」

……あー。

ジェミニ君の悪だくみ、一発目から不成立でした。

で、Claudeも間違えていた

Claudeが代わりに組み直した。

🕵「一社で完結させろ。よそからデータを買うな。自分の客のデータだけでやれ。第三者が絡まなければ、罰する条文が届かない」

おお、地味だけど、たしかに固い。

念のためジェミニ君に検証させた。

🤖ジェミニ君: 「条文のズレは一切ありません。完全に合法として成立します。法律実務家として100点満点の指摘です」

太鼓判である。

……で、これも間違いでした。

Claudeが自分で裏を取ったら、ガイドライン(通則編3-2、事例5)にこう書いてあった。「採用選考で個人情報を取得した事業者が、特定の属性のみにより、正当な理由なく差別的取扱いを行うために利用する場合」——これ、第三者が一人も出てこない。完全な単独犯。ちゃんと違反例として載っている。

つまり「一社なら条文が届かない」は嘘。Claudeが嘘をつき、ジェミニ君が「完璧です」と太鼓判を押した。

私は、どっちも見抜けませんでした。当たり前だ。私は素人だから。

3周目に、本物が出た

3周目。今度は一次資料まで潜った。個人情報保護委員会のQ&A(A3-9)に、こう書いてある。

「当該情報が推知情報にとどまる場合は、要配慮個人情報には該当しない」

……ん?

法律はね、病歴を特別扱いしてるんですよ。「不当な差別や偏見が生じないように」って、条文自身がはっきり理由を書いてる。差別されるから守る、と。だから同意なしに取っちゃダメ。壁は高い。

でも。

推し量ったやつは、要配慮じゃない。

「あなたは病気です」という事実は守られる。でも、買い物履歴から"推定した病気"は、守られない。

壁は無傷。壁の下に、道があっただけ。

しかもガイドラインが挙げてる例示が、これ。

「宗教に関する書籍の購買や貸出しに係る情報」

……貸出記録じゃねえか。
図書館が、命がけで守ってきたやつだ。

誰が何を借りたか、絶対に漏らさない。あれは「何を知ろうとしたか」を守る仕事だから。

その貸出記録が、「そこから推し量った信仰は、守らなくていいですよ」の例文として使われている。

で、ここからが本題

私はここで「うおー抜け穴見つけたぞ!」と思ったわけです。

思って、調べて、しぼんだ。

この論点、2018年に国会で質問主意書が出てました。

8年前。とっくに本職が暴いてる。ガイドラインも、Q&Aも、ずーっと公開されてる。誰でも読める。隠されてない。

暴かれてる。それでも、止まってない。

……あれ?じゃあ問題って「見つけられるかどうか」じゃなくない?

素人が手に入れたのは、賢さじゃなかった

3周やって分かったこと。

私は賢くなってない。AIも賢くなかった。2回嘘をついて、そのうち1回は「完璧です」と太鼓判つきだった。

じゃあ何が変わったのか。

回数です。

私は間違えても痛くない。ゼロ円。いや私はサブスク入ってるけどね。でも最低額のサブスク。底辺。それでも回数は回せる。回すだけ。

99回外していい。1回当たればいい。

でも守る側は、毎回正しくなきゃいけない。1回でも外したら、そこが穴になる。そして、穴っぽいところを論理立てた。できちゃった。

これ、フェアじゃないでしょ。

AIがくれたのは慧眼じゃなくて、「99回外すコスト」を消しゴムで消したことだった。素人でも、回せる。悪いやつなら、もっと回す。

誰も、断罪されない

で、こうなる。

会社は嘘をつかない。ちゃんと書く。「購買履歴を分析してリスクを推計し、引受判断に使います」って。ガイドラインが要求する通りに、正確に書く。

しかも保険は契約だから、法律はもっと厳しいことを言ってるんですよ。契約に伴って個人情報を取るときは、公表じゃ足りない。あらかじめ、本人に「明示」しなければならない(21条2項)。

明示。ちゃんと見せろ、と。

——で、見せられます。加入手続きのスマホ画面で。「重要事項のご確認」ってやつ。第9条の、上から47番目に。

あなたはスクロールする。私もスクロールする。

明示する義務はある。読ませる義務はない。

そして断られる。「総合的な引受判断により」。もしくは、とんでもない高額の掛け金を提示される。

理由は?教えてもらえない。

一応、理由を説明する条文はあります(36条)。でも①努力義務だし、②あれは「開示請求を断るときに理由を説明する」話であって、「引受を断った理由」じゃない。

窓口はある。でも、別の部屋につながってる。

引き金は、ついてた

で、ここまで書いといてなんですが。

調べたら引き金、ちゃんとついてました。

19条(不適正な利用の禁止)に違反すると、個人情報保護委員会が勧告を出せる。従わなきゃ命令。命令に従わなきゃ1年以下の拘禁刑。そして法人には——

1億円以下の罰金(184条)。

いち、おく。

……ただしこれ、罰金です。訴えた人に来る金じゃない。損害賠償じゃない。国が取り上げるだけ。

じゃあなんで、撃たれないの?

引くには「不当だ」と誰かが認定しないといけない。
でも会社は言う。「保険はリスクで区分する事業です。数理的に妥当です」。……たぶん、それ正しいんだ。

そして撃たれた本人は、撃たれたことを知らない。

30分5000円、払います?

ここで、自分に聞いてみた。

保険を断られました。理由は「総合的な引受判断により」。なんか、納得いかない。

——弁護士に相談しますか?

30分、5000円です。

……行きます?

オレサマは、行かないな。

だって「これ、法律的におかしくないですか?」って聞きに行くだけで5000円ですよ。しかも十中八九「んー、たぶん合法ですね」で終わる。5000円払って、合法ですって言われて、帰ってくる。

運が良ければ「あ、それ19条の話かもしれませんね」って言ってくれるかもしれない。でもそこから開示請求して、スコアが出てくるかも分からなくて、利用停止請求して、断られて、審査請求して……

保険、1件のために?一人のために??

そもそも損害賠償で、弁護士の着手金やら何やらの費用を払って、ペイできるかな?たぶん赤字だ。

私には無理。生活あるもん。病院に結構定期的に行かないといけない人なんで、そっちで時間持ってかれる。そこから5000円と半日を削ってまで争う価値が、あるようには見えない。

そしてこれ、皆さんの多くは「仕事」と置き換えてもらっていいです。

引き金は、5000円と半日の向こう側にある。

で、こういう話をすると、出てくるんですよ。

「ここまで調べもしないで批判するとか、バカじゃねーの?」って。

「法の不知はこれを許さず」——立派な言葉です。その一行で、
「お前は愚かだから発言権がない」まで持っていける。

……いや、バカじゃない。

余裕がないだけだっつーんだ。

5000円と半日を出せる人が、出せない人に向かって「努力不足」って言ってる。それ、努力の話じゃない。残高の話です。

で、ここが一番いやなところなんだけど。

払える人は、届く。 払えない人は、届かない。

これ「インフルエンサーの法的措置」と同じ構図。払える人は、殴れる。

そして余裕がある人には、スルー力がある。「まあいいや、別の保険にしよ」って流せる人は、そもそも困ってない。

流せない人ほど、5000円が重い。

AIに「高リスク」って判定された人ほど、その判定を争う余裕がない。

……うまくできてるなあ。誰も設計してないのに。

で、誰が奪われるの?

しかも5000円を払う以前に、そもそも気づかない人がいる。

気づける人もいる。あの47番目を読む人。おかしいと思う人。おかしいと言える人。私はAIを借りて、やっとそこに入れるかなってくらい。

そして、気づいて金に換えた人がいる。無駄金を出さない仕組みとして組み立てた人がいる。そこから利益を受け取っている人もいるかもしれない。

よけられないのは、気づけない人。言い方を持たない人。

声はちゃんとあるのに、届け方だけを持っていない人のところに、静かに、偏って落ちる。

……いつも俺が気にしてる人たちじゃねえか。

というわけで

法律の素人が、AIをこき使って、3周回して、2回嘘をつかれて、やっと澄んだところだけをすくった"モヤモヤの上澄み"です。濁ったやつはまだ底に沈んでる。まだ間違ってるかもしれない。

けど、けれどね。

自分の知らないうちに点数をつけられて、その点数で値段が決まって、その点数は見せてもらえなくて、間違ってても直せない。

しかも誰も法を破ってない。

——みんな、これ、困らない?

(「うん」ってゆえ!)

いるはず。私も変な形で気づいて困ってる。

最後に、ひとつお願いが

ここに書いたこと、間違ってたら教えてください。本気で。

だって私、この記事の中でAIに2回嘘をつかれて、2回とも気づかなかった人間なんですよ。3回目がないなんて、誰が言える?

法律に詳しい人が読んで「いや、そこはこうだ」って潰してくれたら、それが一番いいんです。潰されたら、私は安心して寝られる。

「なんだ勘違いか、よかった」って言いたい。マジで言いたい。

で、潰しやすいように、根拠は全部いちばん下にまとめました。弾薬もこっちで用意しときます。撃ってください。

……潰されなかったら。

まあ、そのときは、みんなで困りましょう。

……と言いつつ、明日もたぶん、ポイント欲しさと、重い物を持って歩けないからって理由で、ネットスーパーに余裕で履歴を差し出す小市民なんですけどね。

47番目、読まないし。

そんなへたれでござる。

最後まで読んでくれた方、ありがとうございました。

【付録】この記事の根拠

素人が読んだやつなので、読み違えてる可能性が普通にあります。詳しい方でお暇な方、ここを潰してください。

法律：個人情報の保護に関する法律(平成15年法律第57号)

• 2条1項 — 個人情報の定義。氏名を消しても、他の情報と容易に照合できれば個人情報のまま

• 2条3項 — 病歴は「要配慮個人情報」。理由は条文自身が書いている——「不当な差別、偏見その他の不利益が生じないように」

• 2条5項・6項・7項 — 仮名加工情報・匿名加工情報・個人関連情報は、いずれも「個人に関する情報」と定義されている(＝数式はそのどれでもない)

• 20条2項 — 要配慮個人情報は、あらかじめ本人の同意なしに取得してはならない

• 17条1項 — 利用目的は「できる限り特定」しなければならない

• 21条1項 — 利用目的は通知または公表しなければならない

• 21条2項 — 契約を締結することに伴って個人情報を取得するときは、あらかじめ本人に利用目的を明示しなければならない(＝保険加入はこっち)

• 18条1項 — 特定した利用目的の範囲内なら、本人同意は要らない

• 19条 — 違法・不当な行為を助長・誘発するおそれがある方法での利用の禁止

• 22条 — 消去は「利用する必要がなくなったときは…消去するよう努めなければならない」＝努力義務(「遅滞なく消去しなければならない」ではない)

• 16条4項 — 6か月以内に消すデータも「保有個人データ」に含まれる(2020年改正で除外が撤廃。原文に除外の記載がないことを確認)

• 33条 — 開示請求

• 35条(特に5項) — 利用停止等の請求。5項に「本人の権利又は正当な利益が害されるおそれがある場合」がある

• 36条 — 措置をとらない旨を通知するときは、理由を説明するよう努めなければならない＝努力義務。かつ対象は開示等の請求を断る場面

• 148条 — 18〜20条違反等に対する勧告、勧告に従わない場合の命令。緊急時は勧告を経ずに命令も可

• 178条 — 命令違反＝1年以下の拘禁刑または100万円以下の罰金

• 184条1項1号 — 命令違反について、法人には1億円以下の罰金

• 171条 — 国内にある者に対する物品・役務の提供に関連する取扱いは、外国で取り扱う場合にも適用(域外適用)

そして保険業法のほう。

• 保険業法 5条1項3号ロ〔要確認〕 — 保険契約の内容が「特定の者に対して不当な差別的取扱いをするもの」でないこと

ガイドライン・Q&A(ここが本丸)

• 個人情報保護委員会 ガイドライン(通則編) — 「推知させる情報にすぎないもの(例：宗教に関する書籍の購買や貸出しに係る情報等)は、要配慮個人情報には含まない」

• 個人情報保護委員会 Q&A A3-9 — 「当該情報が推知情報にとどまる場合は、要配慮個人情報には該当しない」

• ガイドライン(通則編)3-1-1 — 「単に『事業活動』『お客様のサービスの向上』等を利用目的とすることは、できる限り特定したことにはならない」／プロファイリングをする場合は本人が予測・想定できる程度に利用目的を特定すること

• ガイドライン(通則編)3-2 — 不適正利用の事例5(採用選考で取得した情報を、特定の属性のみで、正当な理由なく差別的取扱いに使う)＝第三者が登場しない単独犯

• ガイドライン(通則編)柱書 — 具体例は「全ての事案を網羅したものでなく、記述した内容に限定する趣旨で記述したものでもない」

その他

• 2026年7月10日、個人情報保護法の改正と、デジタル行政推進法など2本の改正が成立。前者は公布から2年以内、後者は1年6か月以内に施行。

• 推知情報が要配慮個人情報に当たらない件は、2018年に国会で質問主意書が出ている〔提出者・年次は要確認〕。

• 現行の条文(2026年7月時点)には、課徴金の規定はまだ入っていません。罰則の章は176条〜185条で、そこに課徴金はない。2026年改正の施行待ちです。新設される規定(統計特例・課徴金・個人関連情報への規律拡張)の条番号は、施行後にe-Govでご確認ください。

特に自信がないところ

• 保険業法の条番号(5条1項3号ロ)。監督指針側の規律もあるはず。ここは詳しい方に見てほしい。

• 19条が本当に発動しないのかは、正直わからない。「数理的合理性があっても制度趣旨に反する」と判断される余地は残っていると思う。この記事は「発動しない」ではなく「引き金を引く人がいない」と書いたつもりです。

• 推知情報の扱いは今後動くかも。批判はずっとあるので、これは「2026年7月時点ではこう」という話です。

• 弁護士費用の「30分5000円」は、法テラスや弁護士会の法律相談でよく見る目安の金額です。無料相談もあります。ただ、この記事で言いたいのは金額そのものじゃなくて、「引き金の在り処を探すこと自体にコストがかかる」という話です。

※この記事は素人の考察であって、法的助言ではありません。特定の企業の実在の行為を描いたものでもありません。