顧客データをAIで活用するときの進め方と注意

自社の「データ」の準備度は？10問・約3分で確かめる（無料・登録不要）

問い合わせの記録の要約、購買履歴からのおすすめ、解約しそうなお客様の早期の把握など、顧客データはAIの効果が出やすい分野です。一方で、使い方を誤るとお客様の信頼を失い、法令の上でも問題になります。この記事では、個人情報保護委員会のガイドラインと注意喚起にそって、進め方と注意点を整理します。個別の判断は、専門家にご確認ください。

顧客データで、AIはどんな場面に役立ちますか？

顧客データとAIを組み合わせる場面は、大きく3つに分けられます。

場面によって、使うデータの細かさと、お客様に与える影響が変わります。対応の効率化は社内の作業を助ける使い方ですが、提案の工夫や兆しの把握は、お客様一人ひとりを分析する使い方です。後者ほど、利用目的の書き方とお客様への説明に気を配る必要があります。

使う前に、何を確かめればよいですか？

① 公表している利用目的の範囲内ですか？

個人情報保護法では、個人情報は、できる限り特定した利用目的の範囲内で使うのが原則です。範囲を超えて使うときは、原則として本人の同意が必要です。

通則編のガイドラインは、「事業活動に用いるため」のような抽象的な書き方では足りないとしています。本人から得た情報を分析する場合は、どのような分析が行われるかを本人が予測できる程度に利用目的を特定するよう求めています。例として、閲覧履歴や購買履歴を分析して趣味・嗜好に応じた広告に使う、といった書き方が示されています。

まず、自社のプライバシーポリシーに書いた利用目的を読み、AIで行いたい分析が含まれているかを確かめます。含まれていない場合は、利用目的の見直し（元の目的と関連する範囲での変更と、その通知または公表）か、本人の同意を検討します。

② AIのサービスに入力して大丈夫ですか？

個人情報保護委員会は2023年6月2日、生成AIサービスの利用について注意喚起を出しています。個人情報を含む指示文（プロンプト）を入力するときは、利用目的の達成に必要な範囲内かを十分に確かめること。本人の同意なく個人データを入力し、そのデータが応答を出す以外の目的で扱われる場合は、法律に違反するおそれがあること。そのため、サービスを提供する事業者がそのデータを機械学習に使わないことなどを十分に確かめること、が示されています。

社内では、次の点を確かめてから使います。

• 使うAIのサービスが、入力したデータを学習に使わない設定・契約になっているか
• データの保存の期間と、保存される場所（国内か外国か）
• 社内で使ってよいサービスを決め、個人のアカウントでの入力を避けているか

外国にあるサービスの場合は、外国にある第三者への提供の規律が関係することがあります（「海外のAIサービスと個人データの外国への移転」参照）。

③ 外部に渡す形になっていませんか？

顧客データを社外の会社に渡す場合、それが「委託」か「第三者提供」かで扱いが変わります。

• 委託：分析などの業務を任せ、任された範囲でだけデータを使ってもらう形です。本人の同意は原則として不要ですが、委託先の監督（選ぶ基準、契約での取り決め、扱いの状況の確認）が求められます。
• 第三者提供：渡した先が自社の目的でデータを使う形です。原則として本人の同意が必要です。

また、Cookieなどで集めた閲覧の履歴のように、それだけでは個人を特定できない「個人関連情報」でも、渡す先がそれを個人データとして受け取ると想定される場合は、渡す側が、相手が本人の同意を得ているかを確かめる義務があります（通則編のガイドライン）。広告や分析のサービスとデータを連携するときは、この点も確かめます。

どう進めればよいですか？

3つの点を確かめたら、次の手順で進めます。

① 目的と効果を決めます。 「問い合わせの対応時間を減らす」「おすすめの購入率を上げる」など、何のために使うかを一つに絞ります。

② 使うデータを絞ります。 目的に要らない項目（氏名、電話番号、細かな住所など）は外します。分析に個人の識別が要らない場合は、仮名加工情報として扱うことも選択肢です（「匿名加工情報・仮名加工情報・合成データの使い分け」参照）。

③ 使ってよい環境を決めます。 承認したAIのサービスや社内の環境だけで扱い、入力してはいけない情報を社内に示します。

④ 安全管理措置をとります。 見られる人を限る、記録を残す、委託先を監督する、といった措置を、データの量と性質に応じて整えます。

⑤ 小さく試して確かめます。 一部の部署や一部のデータで試し、効果と、誤った出力やお客様の不安につながる点がないかを確かめます。

⑥ お客様に説明できる形にします。 どのデータを、何のために、どう使うかを、プライバシーポリシーや問い合わせの窓口で説明できるようにしておきます。

使い始めた後は、何に気をつければよいですか？

• AIの出力をそのまま使わない：お客様への返信や提案は、人が確かめてから出す手順を残します。
• お客様からの問い合わせに答えられるようにする：自分のデータがどう使われているか、と聞かれたときの答え方を決めておきます。保有個人データの開示や利用停止の請求に応じる手順も確かめます。
• 漏えい等への備え：顧客データが漏えいした場合の報告と通知の流れを決めておきます（「個人データの漏えい等の対応と報告」参照）。
• 利用目的と使い方のずれを点検する：使い方を広げるたびに、①〜③を確かめ直します。

2026年の改正で、気をつけることは？

2026年7月17日に、個人情報保護法を改正する法律が公布されました。個人情報保護委員会は、施行に向けて政令・規則・ガイドラインなどを整えているとしています。統計の作成等にのみ使う場合の第三者提供の扱いや、重大な違反への課徴金の制度の導入などが含まれます。施行の日と細かな条件は今後示される予定のため（2026年11月時点）、顧客データの使い方を見直す機会に、最新の情報を確かめてください。

チェックリスト

• AIで行いたい分析が、公表している利用目的に含まれているかを確かめている
• 分析の内容を、お客様が予測できる程度の書き方で利用目的に示している
• 使うAIのサービスが、入力したデータを学習などに使わないことを確かめている
• 社内で使ってよいAIのサービスと、入力してはいけない情報を決めている
• 外部の会社に渡すときは、委託か第三者提供かを確かめている
• 委託先の選定・契約・扱いの状況の確認を行っている
• 目的に要らない項目を外し、使うデータを絞っている
• お客様への返信や提案は、人が確かめてから出している
• 漏えい等が起きたときの報告と通知の流れを決めている
• 2026年改正法の施行の日と条件を、確かめる担当を決めている