生成AIと個人情報の扱い：個人情報保護法と注意喚起から確かめること

生成AIは、問い合わせの下書きや議事録の要約など、個人情報を含む業務にも使われるようになっています。この記事では、個人情報保護法と、個人情報保護委員会が示した注意喚起にそって、会社として確かめる点を整理します。個別の取扱いの判断は、社内の担当部署や弁護士などの専門家にご確認ください。

どんな情報が「個人情報」に当たりますか？

個人情報保護法は、個人情報を、生存する個人に関する情報で、氏名や生年月日などの記述により特定の個人を識別できるもの、または個人識別符号が含まれるものと定めています（第2条第1項）。ほかの情報と容易に照合でき、それにより特定の個人を識別できるものも含まれます。

生成AIへの入力で気をつけたいのは、名前を消しても個人情報でなくなるとは限らない点です。社員番号や顧客番号、所属と役職、出来事の日時などが組み合わさると、特定の個人がわかることがあります。

また、病歴などの「要配慮個人情報」は、法令にもとづく場合などを除き、あらかじめ本人の同意を得ないで取得してはならないとされています（第20条第2項）。生成AIに入力する情報としても、慎重に扱う対象になります。

個人情報保護委員会は何を注意喚起していますか？

個人情報保護委員会は、2023年6月2日に「生成AIサービスの利用に関する注意喚起等について」を公表しました。事業者（個人情報取扱事業者）に向けた注意点は、次の2つです。

1. 利用目的の範囲内かを確かめる：生成AIサービスに個人情報を含む指示（プロンプト）を入力する場合は、特定した利用目的を達成するために必要な範囲内であることを十分に確かめること。
2. 応答以外の目的で扱われないかを確かめる：本人の同意を得ずに個人データを含む指示を入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合は、法の規定に違反する可能性があるため、サービスの提供者が個人データを機械学習に利用しないことなどを十分に確かめること。

一般の利用者に向けては、入力した個人情報が機械学習に使われて出力されるおそれがあること、応答に不正確な個人情報が含まれるおそれがあること、提供者の利用規約やプライバシーポリシーを十分に確かめることが挙げられています。社員向けの研修でも、そのまま使える観点です。

総務省・経済産業省の「AI事業者ガイドライン」も、AIを業務で使う「AI利用者」の取り組みとして、AIシステム・サービスへ個人情報を不適切に入力しないよう注意を払うことを挙げています。

法律のどの規定が関わりますか？

生成AIの利用で関わることの多い規定を、目的ごとにまとめます。

クラウドのサービスに入力する場合は、どう考えますか？

個人情報保護委員会のQ&A（Q7-53）は、クラウドサービスの利用が第三者提供や委託に当たるかは、保存しているデータに個人データが含まれるかではなく、サービスの提供者が個人データを取り扱うこととなっているかで判断するとしています。契約の条項で提供者が個人データを取り扱わない旨が定められ、適切にアクセス制御が行われている場合などは、提供には当たらないと考えられるとしています。

この場合でも、利用する会社は、自らの安全管理措置として、適切な措置を講じる必要があります（Q7-54）。さらに、外国の事業者のサービスを使う場合は、その外国の個人情報の保護に関する制度などを把握したうえで安全管理措置を講じ、提供者やサーバが所在する外国の名称などを本人が知り得る状態に置く必要があるとされています（Q10-25）。

生成AIのサービスが、入力された情報を学習などに使う場合は、「提供者が個人データを取り扱わないこととなっている場合」には当たりにくいと考えられます。どの立場で扱われるのかは、利用規約や契約の内容によって変わるため、ツールごとに確かめます（「法人向けの生成AIツールの選び方」参照）。

会社として何をすればよいですか？

① 入力してよい個人情報の範囲を決めます。 「入力してよい」「条件付き」「入力しない」の3区分で示すと、現場で判断しやすくなります（入力してはいけない情報の一覧）。要配慮個人情報や、取引先から預かった個人情報は「入力しない」に置くと、判断に迷う場面を減らせます。

② 使ってよいツールと設定を決めます。 入力した情報が学習に使われない設定ができるか、データの保存期間や保存場所、会社のアカウントで管理できるかを確かめ、承認したツールの一覧にします。

③ 利用目的との関係を確かめます。 個人情報を扱う業務でAIを使う場合は、プライバシーポリシーなどで公表している利用目的の範囲内かを、担当部署が確かめます。

④ 加工してから入力する方法も検討します。 名前や番号を記号に置き換えるなど、特定の個人がわからない形にしてから入力すると、扱いやすくなります。ただし、加工の程度によっては個人情報のままのこともあるため、方法を決めておきます。法律上の「仮名加工情報」「匿名加工情報」には、それぞれ作り方と扱いの決まりがあります。

⑤ 誤って入力したときの流れを決めます。 報告の窓口、ツールの提供者への削除の依頼、漏えいなどに当たるかの確認を、担当と手順として決めます。すぐに報告すれば責めない方針を示すと、報告が早くなります。

⑥ 社員に伝えます。 注意喚起の内容と社内ルールを、研修や確認テストで伝えます（「生成AIの利用ルールの作り方」参照）。

法改正の動きはありますか？

2026年7月17日に「個人情報の保護に関する法律等の一部を改正する法律」が公布されました。個人情報保護委員会の資料では、統計情報などの作成（統計作成等と整理できるAI開発などを含みます）にのみ利用される場合の本人同意の扱い、データ処理などの委託を受けた事業者に対する規律の見直しなどが示されています。施行期日は、原則として公布の日から2年を超えない範囲内とされています。

政令・規則・ガイドラインの整備はこれから進められるため、いまの社内ルールは現行の法令と注意喚起にもとづいて作り、改正の詳細が示された段階で見直す形が現実的です。

チェックリスト

• 個人情報の範囲（ほかの情報と照合して識別できるものを含む）を社員に説明している
• 生成AIに入力してよい個人情報の範囲を3区分で示している
• 要配慮個人情報と、預かった個人情報の扱いを決めている
• 承認したツールで、入力した情報が学習などに使われるかを確かめている
• 提供者が個人データを取り扱う立場か（提供・委託に当たるか）を、規約や契約で確かめている
• 提供者やサーバが外国にある場合の扱いを確かめている
• 個人情報を扱う業務でAIを使う場合に、利用目的の範囲内かを確かめる担当を決めている
• 誤って入力した場合の報告と対応の流れを決めている
• 法改正の動きを確かめ、社内ルールを見直す時期を決めている