従業員が顧客情報をAIに入れるとき：個人情報保護法で確認したい論点
AIを使いこなすClaudeで執筆し、GPTで自動校閲・修正しています。
結論から言うと、「顧客情報を入れてよいか」は、AIの種類だけでは決まりません。日本の個人情報保護法の実務では、次の3点を順に確認します。 1. 入力が、本人に示している利用目的の範囲内か 2. AIサービス事業者に渡すことが、第三者提供・委託・そのどちらでもないのどれに当たるか 3. 自社として安全管理措置（アクセス制御、ルール、教育など）を取れているか 個人情報保護委員会（以下、委員会）は2023年6月2日に生成AIサービスの利用に関する注意喚起を出しています。個人情報を含むプロンプトの入力は、特定された利用目的の達成に必要な範囲内かを十分に確認するよう求めています。また、本人の同意なく入力した個人データが応答結果の出力以外の目的で取り扱われる場合は法違反となる可能性があるため、機械学習に利用されないこと等を十分に確認するよう示しています。 この記事は、法務や専門家に相談する前に現場で埋めておく「論点メモ」と、公式資料の探し方をまとめたものです。個別の適法性を判断するものではありません。対象は日本の個人情報保護法で、海外の顧客データや外国法が絡む場合は別途の確認が要ります。
この記事の目次
「学習に使われない」だけでは足りない理由
現場で混同されやすいのは次の3つです。
- 学習利用オフ：入力内容がモデルの改善に使われるかどうか。委員会の注意喚起でも確認事項の一つです。
- 秘密保持・取扱制限：事業者が内容を見られるか、保管期間はどうか、従業員が閲覧できるか。契約や規約で決まります。
- 法的な整理（提供か委託か）：個人データを外部事業者に渡す行為が、法第27条の第三者提供や、委託先の監督（法第25条）にどう結びつくか。
学習に使われない設定になっていても、残りの2つが整理されたことにはなりません。逆に、契約上きちんと整理されていても、社内で「利用目的の外」の入力をすれば別の問題が生じます。
論点1：利用目的の範囲内か
自社が顧客に示している利用目的（プライバシーポリシーや申込時の説明）を手元に出し、AIへの入力がその範囲に収まるかを見ます。
説明用の例（架空）：「お問い合わせへの回答のため」と示しているなら、問い合わせ文の要約や返信案作成は範囲内と説明しやすい一方、「問い合わせ履歴から見込み客リストを作る」は別の目的に見えるかもしれません。ここは文言次第なので、メモには文言そのものを貼ります。
論点2：第三者提供・委託・どちらでもない
委員会のガイドラインに関するQ&A（Q7-53）は、クラウドサービスについて次の考え方を示しています。判断の基準は、保存データに個人データが含まれるかではなく、サービス提供事業者が個人データを取り扱うことになっているかどうかです。取り扱わないことになっていれば、第三者提供にも委託にも当たらず、本人の同意や委託先の監督は問題になりません。取り扱わない場合の例として、契約条項で提供事業者が保存データを取り扱わないと定められ、適切にアクセス制御されているケースが挙げられています。
ただし、これはクラウドサービス全般についての整理です。生成AIサービスが同じ条件を満たすかは、契約・規約・設定ごとに確認が必要で、私は個別のサービスについて「満たす」とは言えません。メモには次を記入します。
- 提供事業者は入力内容（個人データ）を取り扱うのか。契約や規約のどの条項からそう読めるか
- 取り扱う場合、委託として整理するのか。その場合の監督手段（契約、報告、監査など）
- 提供事業者が自社目的（モデル改善など）で使う余地があるか
- 委託等に当たらず第三者提供となる場合、原則として必要な本人同意などの条件を満たしているか
論点3：安全管理措置
Q7-54によると、クラウド利用が第三者提供に当たらず委託先の監督義務が生じない場合でも、利用事業者は自らの安全管理措置（法第23条）の一環として適切な措置を講じる必要があります。AIでも「相手が取り扱わないから安心」とはならず、自社側の対策を書き出します。
- 利用してよいアカウントの種類（会社契約のみ、個人アカウント禁止など）
- 入力してよい情報／いけない情報の区分
- 利用者の範囲、ログの確認、退職時の扱い
- 誤入力した場合の連絡先と手順
判断表：入力前に従業員が確認すること
下の表は、社内ルールづくりのたたき台です（編集上の整理で、公式の判定表ではありません）。
- 個人を特定できない一般的な質問、まず確認：顧客情報が混ざっていないか、迷ったら：管理者に確認
- 氏名・連絡先を伏せた問い合わせ文、まず確認：他の情報で個人が分からないか、迷ったら：管理者に確認
- 氏名・連絡先・注文履歴など個人データ、まず確認：利用目的の範囲内か／契約上の整理は済みか／会社が承認したサービスか、迷ったら：入力せず、論点メモを持って相談
- 病歴・信条など要配慮個人情報の可能性があるもの、まず確認：取得・利用の根拠を別途確認、迷ったら：原則入力しない
相談前に埋める論点メモ
そのまま複写して使えます。
【論点メモ】
1. 業務内容：（例）問い合わせメールの返信案作成
2. 使うAIサービス・プラン・契約主体：
3. 入力する情報の種類：（氏名／連絡先／履歴／要配慮の有無）
4. 件数・頻度・利用者数：
5. 本人に示している利用目的（文言を貼る）：
6. 5の範囲内と言える理由／言えない点：
7. 提供事業者は入力内容を取り扱うか（根拠条項）：
8. 学習利用の扱い（設定・規約の根拠）：
9. 保管期間・削除方法・事業者側の閲覧：
10. 提供か委託か、いずれでもないかの自社の仮説：
11. 自社の安全管理措置（アカウント、権限、ログ、教育）：
12. 外国のサーバや外国事業者の関与：
13. 代替案（匿名化、ダミー化、入力しない運用）：
14. 専門家に聞きたいこと：AIにメモの穴を探してもらう依頼文
実際の顧客情報は入れず、メモの記入内容だけを貼ります。以下は未実行の依頼文例です。
次は、顧客情報を生成AIに入力する業務について、社内で作った論点メモです。
法的な結論は出さず、次の点だけ答えてください。
・空欄や曖昧な記入がある項目
・根拠条項や設定画面など、確認すべき資料が足りない項目
・専門家に聞くと良い質問を5つ
※個人名・連絡先などの実データは含まれていません。
【メモ】（ここに貼る）公式資料の探し方
- 委員会のサイトで「注意情報」を開き、生成AIの注意喚起と別添1を読みます（日付は2023年6月2日）。
- Q&A（「クラウドサービス」「委託」「第三者提供」）で、自社の状況に近い設問を探します。上の2つのQ&Aは入口になります。
- AIサービス側は、運営元のヘルプ・規約・データ処理に関する契約書を見ます。メモの7〜9に条項番号を書き写すのがコツです。
- 改正の動きを確認します。委員会の令和8年改正個人情報保護法のページによると、改正法は2026年7月10日に成立し、7月17日に公布されました。概要資料には、統計情報等の作成にのみ利用される場合の本人同意に関する見直しなどが含まれ、施行期日は原則として公布から2年以内とされています。公布と施行は別なので、適用する規定の施行日や条件、AIの業務利用への関わりは最新の公表資料で確認してください。
相談時に渡すもの
論点メモ、利用目的の文言、サービスの規約や契約書のURL・版、社内ルール案の4点があれば、法務や専門家は初回から具体的な話ができます。
