端的な答え、それはあなたがどこで働き、何を伝えられていたかによります

AIを用いた雇用主による監視は、一律に許可されているわけでも禁止されているわけでもありません。法的な位置づけは法域によって大きく異なり、そして決定的に重要なのは、あなたが知らされていたかどうかによって異なる点です。主要なほとんどの法域では、雇用主は雇用主のシステム上でAIツールを用いてあなたを監視できますが、それは十分な開示、比例的な目的、そしてデータ保護法の遵守があってこその話です。あなたの知らないところで行われる秘密裏のAI監視は、ほとんどの法域で違法です。

いまAI監視は実際にどのようなものか

職場の監視は、インターネットの利用状況の追跡やキーストロークの計数をはるかに超えて進化してきました。現代のAI監視ツールは次のことができます。感情、話題、またはコンプライアンス上のリスクを対象にメールやメッセージの内容を分析する、開いているアプリケーション、訪問したウェブサイト、アクセスした文書などを含むコンピューター上の活動を監視する、文書の作成、コミュニケーションの頻度、タスクの完了状況を通じて生産性を追跡する、録音された通話を分析してコールセンターやカスタマーサービスの品質を採点する、映像分析を通じて会議への参加度やエンゲージメントを評価する、倉庫や小売の現場で物理的な位置や移動を測定する、生体データ（疲労検知、文脈によっては感情認識）を分析する、そして以上のすべてを集約して従業員のリスクスコアや業績プロファイルにまとめ上げる、といったことです。

Microsoft 365 Copilotのようなツールは、完全な権限を付与して展開されると、メール、Teams、文書、カレンダーにまたがる従業員のデジタルフットプリント全体を分析できます。この能力は状況を一変させるものです。つまり、AI監視は、監視ソフトウェアをわざわざ調達する組織だけでなく、Microsoftのエンタープライズライセンスを持つあらゆる組織で、いまや利用可能になったということです。

法域ごとに見る、許可されるものとされないもの

オーストラリア： プライバシー法（Privacy Act）は、個人情報のオープンで透明性のある管理を求めていますが（APP 1）、同法の従業員記録に関する適用除外規定（s 7B(3)）により、民間部門の雇用主が既存の従業員記録を取り扱う場合にはAPPの多くが適用されないため、通知義務の主な根拠は州の監視法にあります。2005年職場監視法（Workplace Surveillance Act 2005、ニューサウスウェールズ州）は、監視について少なくとも14日前の書面通知と、既存かつ周知されたコンピューター監視ポリシーを求めています（第10条、第12条）。オーストラリア首都特別地域（ACT）では2011年職場プライバシー法（Workplace Privacy Act 2011）のもとで同様の制度がありますが、クイーンズランド州や南オーストラリア州を含むその他の州は、NSW州のような通知制度を持たない一般的な監視機器法のみに依拠しています。秘密裏の監視、すなわちあなたに伝えずに行う監視は、ニューサウスウェールズ州では治安判事（マジストレート）が発行する秘密監視の許可を必要とし、ACTでも同様の制度がありますが、その他大半の州には職場に特化した秘密監視の許可要件はありません。機微情報（生体データ、健康情報）を収集するAI監視には、あなたの同意または法定の例外事由が必要です。

英国： ICO（情報コミッショナー事務局）の「Employment practices and data protection: Monitoring workers（雇用慣行とデータ保護、労働者の監視）」ガイダンス（2023年10月公表、旧草案ガイダンス「Monitoring at Work」の後継）は、雇用契約、従業員ハンドブック、またはプライバシー通知の中で監視を開示することを求めています。データ保護影響評価（DPIA）は、監視が労働者の権利に高いリスクをもたらすおそれがある場合、UK GDPR第35条により法的に義務づけられており、生体認証やAIによる監視は通常これに該当します。さらにICOはガイダンスでこれを超えて、厳密には義務でない場合であっても、労働者の監視を行う前にDPIAを実施することを期待すると述べています。UK GDPRは、適法な根拠、典型的には正当な利益を必要とし、これは正当な利益評価の中で従業員のプライバシー権と比較衡量されなければなりません。監視が侵襲的であればあるほど、そのバランスを取ることは難しくなります。秘密裏の監視が正当化されるのは例外的な場合に限られます。ICOはこれを、より侵襲性の低い手段がない状況で、犯罪行為または重大な非違行為の疑いを防止し、または発見するために必要な場合と説明しており、その場合であってもDPIAの対象とし、上級管理職の承認を得て、対象を厳格に絞り、期間を限定し、調査の終了とともに中止しなければなりません。

EU： GDPRは従業員の監視データに適用されます。ほとんどのEU加盟国はさらに追加的な要件を課しています。労使協議会（Betriebsrat）が存在する職場では、ドイツ法（経営組織法（BetrVG）第87条第1項第6号）により、労使協議会は業績監視技術について共同決定権を有し、紛争は調停委員会（Einigungsstelle）によって解決されます。フランスでは、労働法典（第L.1222-4条）が監視の透明な開示を求めており、CNILのガイダンスは比例性と定期的な見直しを強調しています。スペインの労働法は、展開の前にAIによる管理の仕組みについて従業員代表に情報提供することを求めています。

米国： 連邦法（ECPA、電子通信プライバシー法）には、従業員に通知がなされている場合に、勤務時間中の雇用主所有システムの監視を認める広範な雇用主向けの例外規定があります。いくつかの州は書面による通知を求めており、ニューヨーク州の電子監視法（Electronic Monitoring Law、2022年施行）は、雇用主に対し、採用時に新入社員へ通知し、掲示による告知を提示することを求めています。コネチカット州とデラウェア州にも同様の要件があります。通知を伴う雇用主システム上での従業員に対するAI監視について、連邦レベルの禁止規定はありません。ただし、労働組合の結成活動に従事する従業員を特定し、またはこれに報復するためにAI監視を用いることは、開示の有無にかかわらずNLRA（全国労働関係法）に違反します。

法域を問わず雇用主ができないこと

主要なすべての法域を通じて、限界が存在します。雇用主は一般に次のことができません。あなたの具体的でインフォームドな同意なしに、あなたの個人的なメールアカウントや個人所有のデバイスを監視すること、労働組合の結成活動を監視するためにAIを用いること、または保護された協調的活動に従事したことを理由に従業員へ報復すること、十分な開示なしに、そして多くの法域では同意なしに、生体認証技術を用いてあなたを監視すること、開示された目的を超えて監視データを用いること（たとえば、開示せずに福利厚生目的の監視データを業績管理に用いること）、あるいは職場でAIを用いてあなたの感情を推測することです。最後の点について、EU AI法第5条第1項(f)は、医療上または安全上の理由による使用を除き、2025年2月2日以降、EUにおいてこれを全面的に禁止しています。職場におけるその他の生体監視は、AI法によって一律に禁止されているわけではありません。附属書IIIに基づく高リスクとして扱われており、2026年7月27日に発効した規則（EU）2026/1744は、附属書IIIの単独型高リスク義務を2027年12月2日に延期したため、それまでの間はGDPR第9条と各国の労働法が実務上の制約であり続けます。

あなたの実際的な権利

主要なすべての法域において、次のことを行ってください。監視に関する開示について、雇用契約、ITの利用規程、プライバシー通知を読むこと、監視データを含むあなたの個人データについて、開示請求（サブジェクトアクセスリクエスト、データアクセス請求）を行うこと、雇用主のデータ保護責任者または人事部門に懸念を伝えること、監視が違法だと考える場合、関係する監督機関（英国ではICO、オーストラリアではOAIC（オーストラリア情報コミッショナー事務局）、EU加盟国では各国のDPA）に連絡すること、そして米国では、監視が保護された組合活動を妨害するために用いられていると考える場合、NLRB（全国労働関係委員会）に連絡することです。

関連記事

さらに読む、OECD『AIと仕事（AI and Work）』