第五部では、アシスタントが答えることと従業員が対応することの境界線を引き、会話全体を引き継ぐ引き渡しを求めました。これまで築いてきたものはすべて、ひとつのものの上に成り立っています。顧客との会話の記録です。そしてその記録は業務ファイルではなく、法律で規律される個人データです。

この部は脅し文句でも、条文の読み上げでもありません。中小企業に必要なことの大半は、公開前に一度だけ下す簡単な経営判断に集約され、そのコストはコンサルタントではなく一時間の会議です。公開後に下すと、その何倍ものコストがかかります。

WhatsAppの会話は個人データであり、その責任はあなたにある

王国の個人データ保護法（PDPL）は 2023年9月14日 に施行され、準拠のための猶予期間は 2024年9月14日 に終了しました。監督機関はサウジデータ・人工知能庁（SDAIA）です。その適用範囲は多くの経営者が考えているより広く、王国内にいる個人のデータをいかなる手段で処理する場合も対象とし、王国内の人のデータを処理する王国外の事業者にも及びます。

顧客が設置の予約を取るために自分の名前、番号、自宅の住所を送ってきたとき、それは法律上の個人データであり、ただの雑談ではありません。そして多くの人が見落としているのは、会話に実際どれだけのものが含まれているかです。氏名と番号、顧客が頼まれてもいないのに送ってくる身分証や在留許可証の写真、自宅住所、書類や請求書の画像、そして時には苦情の中でついでに触れられる健康や金銭に関する情報。AIアシスタントがこのデータを生み出すわけではありませんが、従業員のスマートフォンの中で失われるのではなく、保存され、索引付けされ、検索可能な状態にします。それ自体が業務上の改善であり、同時にあなたの責任も重くします。

法的根拠と顧客への通知

正当な理由なく個人データを処理することはできません。ほとんどの会社にとって根拠は単純です。顧客が自らサービスを求めて会話を始めたのであり、求められたものを提供するにはそのデータを処理する必要がある。これは問い合わせに答え、注文を準備するための確かな根拠です。顧客が求めていないことにまで自動的に及ぶものではありません。

実務上の区別は立ち止まって考える価値があります。顧客の問い合わせに返信することと、一か月後にその番号を一斉マーケティング配信に加えることは、まったく別のことです。前者は求められたものを提供すること、後者は明示的な同意が必要な新しい目的です。これは私たちが市場で目にする最もよくある違反であり、まさに無料で無害に見えるからこそ起きています。

通知については、想像しているより求められることは少なく済みます。会話の冒頭の短い一行、またはアシスタントがリンクするサイト上のプライバシーポリシーで、あなたが誰で、なぜデータを集め、どれくらい保管し、誰と共有し、顧客がどうやって自分の権利を行使できるかを示せばよいのです。契約書の言葉ではなく、顧客が理解できる言葉で書いてください。

最小限だけを集め、目的を果たしたものは削除する

法律全体の中で最も実践しやすいルールです。一度も集めていないデータは、あなたから漏れることも、あなたに提出を求められることもありません。管理はそこから、つまりアシスタント自身の質問の言い回しから始まります。

  • サービスに必要なものだけを尋ねる。予約に必要なのが名前、番号、地区であれば、昔の紙の申込書にその欄があるというだけで、身分証番号や生年月日をアシスタントに尋ねさせてはいけません。
  • チャットで機微な書類をブロックする。身分証の写真や銀行カードはWhatsAppで求めるものではありません。第四部で作った拒否リストに入れ、本当に必要な場合は顧客を適切なチャネルに案内してください。
  • 保管期間を文書で定める。種類ごとに一つ決めます。注文に結びつかなかった問い合わせの会話と、会計や規制上の理由で記録を保管しなければならない完了済みの注文です。大切なのは、期間が文書化されて実際に適用されることであり、いつまでも未定のままにしないことです。
  • 削除を意図ではなく手順にする。仕組みの裏付けがない保管期間は、名前を変えただけの永久保存です。会話や顧客一人分のデータをどう削除するのか、そしてそれがベンダーのバックアップから実際にいつ消えるのかを、ベンダーに確認してください。

チームの誰が会話を見られるのか？

顧客データにとって最大の実務上のリスクは、外部からの侵入ではなく、制限のない内部アクセスです。会話が従業員の個人のスマートフォンにあると、退職したその日に会話も一緒に会社を出ていき、あなたの手元にはコピーも管理手段も残りません。会話を一元的なシステムに移せばこの問題は解決します。ただし、誰が何を見られるかをあなたが管理していることが前提です。

経営判断は三つで十分です。各従業員は全部ではなく、自分に割り当てられた会話か業務に関係する会話だけを見る。チームで使い回す共有ログインではなく、一人ひとりが記名のアカウントを持ち、誰が何を閲覧したかが分かるようにする。そして雇用関係が終わったその日にアクセス権を取り消し、数週間後にはしない。雇用契約と社内手続きに、顧客データのエクスポートやシステム外への持ち出しを禁止する条項を加えてください。

会話が王国の外に出るとき

ここは経営者がまったく見落としている部分です。目に見えないからです。AIアシスタントは言語モデルの上で動いており、そのモデルは王国の外でホストされている場合があります。つまり、返信を生成するために、顧客との会話のテキストが国境を越える可能性があるということです。

個人データの王国外への移転は、法律によって定められた場合と管理措置に限定されており、ベンダーの裁量に任されているわけではありません。法律の専門家である必要はありません。どのベンダーにも書面で三つの質問をし、回答を記録として保管すればよいのです。

  • 顧客との会話はどこに保存され、どこで処理されますか？データはどこかの段階で王国の外に出ますか？
  • 出る場合、移転はどの根拠とどの管理措置に基づいていますか？
  • 顧客の会話を自社モデルの学習や、自社の何らかの目的に使っていますか？

三つ目の質問は、ビジネス上最も重要でありながら、最も尋ねられることの少ない質問です。顧客データはあなたのものであり、ベンダーがサービス提供のためにそれを預かっていることは、別の目的に使ってよいという許可ではありません。文脈に委ねるのではなく、契約で禁止を明記してください。

顧客の権利、そしてあなたの責任が終わりベンダーの責任が始まる場所

法律はデータ主体に明確な権利を認めています。データが収集されていることとその理由を知らされる権利、データにアクセスしコピーを入手する権利、訂正を求める権利、そして目的がなくなったときに破棄を求める権利です。これらは机上の条文ではなく、いつか同じWhatsAppの会話で届くかもしれない請求です。ですから、請求が来たときにどうするかをチームが知っておく必要があり、システムには手間のかかる手作業ではなく、それを実行するボタンが必要です。

残るのは、ベンダーとの議論の大半に決着をつける点です。処理の目的と方法を決めるのはあなたなので、あなたが管理者であり、AIアシスタントのベンダーはあなたに代わって行動する処理者です。不具合が技術的なものでベンダー側にあったとしても、顧客に対する法的責任はあなたに残ります。だからこそ書面の契約を求めてください。ベンダーがあなたのデータでしてよいこと・してはいけないことを定め、あらゆる漏えいを遅滞なく通知する義務を課し、関係が終わる日にデータがどうなるか、つまり全部返却され、その後ベンダー側で破棄されることを定めた契約です。

Origamiの見方

OrigamiのWhatsApp向けAIアシスタントMahirでは、アシスタントは会社がすでに持っている番号で動き、新しい番号も、従業員のスマートフォンへの追加アプリも不要で、連携は一回のQRスキャンで済みます。そのため顧客との会話は、持ち主とともに去っていく個人の端末に散らばるのではなく、会社のシステムに残ります。学習は、あなたのサイトのリンクを渡して読み込ませ、情報を入力させるところから始まり、その後サービス、価格、そしてあなたが承認した回答付きのよくある質問を追加します。選べるプランは二つあり、速く繰り返しの多い直接的な質問にはMalik、長い会話や複合的な依頼、反論にはMahirが向いています。再連携も学習内容の喪失もなくいつでも切り替えられ、試用は無料です。この部で挙げた、保存場所、王国外への移転、学習へのデータ利用に関する六つの質問については、私たちを含め、検討しているどのベンダーにも書面で尋ね、回答を契約に残してください。

まとめ

求められていることは、恐れているほど多くはありません。明確な法的根拠、短く分かりやすい通知、必要最小限の収集、文書化した保管期間とそれに続く実際の削除、チーム内の管理されたアクセス、データがどこにあり、どう移動し、どう使われるかについての記録された回答、そして双方が自分の役割を理解しているベンダーとの書面の契約です。これらの判断は公開前に下してください。後から直すよりはるかに簡単です。残るのは経営者の最後の問いです。これらすべてで何が得られ、どうやって一週間で導入するのか。それが第七部であり、シリーズの最終回です。

出典

  • サウジデータ・人工知能庁（SDAIA）：個人データ保護法およびその施行規則。適用範囲、処理の法的根拠、データ主体の権利、管理者と処理者の義務。
  • SDAIA：個人データの王国外移転に関する規則と関連する管理措置。
  • SDAIA：同庁のプラットフォームで管理者向けに公開されているコンプライアンスのガイダンスとツール。
  • サウジ・ビジョン2030：デジタル経済と、デジタル取引における消費者の信頼構築。