--- title: "生成AIと個人情報の扱い：個人情報保護法と注意喚起から確かめること｜AI-Ready.jp" url: https://www.ai-ready.jp/guide/personal-data-and-generative-ai/ description: "生成AIに個人情報を入力するときは、利用目的の範囲内か、入力した情報が応答以外に使われないか、委託や外国のサーバの扱いはどうかを確かめます。個人情報保護法と個人情報保護委員会の注意喚起にそって、会社が確かめる点を整理しました。" updated: 2026-10-26 publisher: "フロレンティナ株式会社" --- はじめる[柱：ガバナンスと法令](https://www.ai-ready.jp/about-ai-ready/governance/)[柱：データ](https://www.ai-ready.jp/about-ai-ready/data/) # 生成AIと個人情報の扱い：個人情報保護法と注意喚起から確かめること 執筆：[嵐保憲](https://www.ai-ready.jp/about/authors/#arashi)更新 2026-10-26制度の最終確認 2026-10-26出典 6件[図解 1点](https://www.ai-ready.jp/zukai/) この記事の結論 生成AIに個人情報を入力するときは、「利用目的の範囲内か」「入力した情報が応答以外に使われないか」「サービスの提供者やサーバの所在をどう扱うか」の3点を、使うツールごとに確かめておくと判断しやすくなります。 生成AIは、問い合わせの下書きや議事録の要約など、個人情報を含む業務にも使われるようになっています。この記事では、個人情報保護法と、個人情報保護委員会が示した注意喚起にそって、会社として確かめる点を整理します。個別の取扱いの判断は、社内の担当部署や弁護士などの専門家にご確認ください。 この記事でわかること - 生成AIの利用で関わる、個人情報保護法の主な規定 - 個人情報保護委員会の注意喚起が示す、事業者の注意点 - ツールを選ぶとき、社内ルールを作るときに確かめる点 ## どんな情報が「個人情報」に当たりますか？ 個人情報保護法は、個人情報を、生存する個人に関する情報で、氏名や生年月日などの記述により特定の個人を識別できるもの、または個人識別符号が含まれるものと定めています（第2条第1項）。**ほかの情報と容易に照合でき、それにより特定の個人を識別できるものも含まれます。** 生成AIへの入力で気をつけたいのは、名前を消しても個人情報でなくなるとは限らない点です。社員番号や顧客番号、所属と役職、出来事の日時などが組み合わさると、特定の個人がわかることがあります。 また、病歴などの「要配慮個人情報」は、法令にもとづく場合などを除き、あらかじめ本人の同意を得ないで取得してはならないとされています（第20条第2項）。生成AIに入力する情報としても、慎重に扱う対象になります。 ## 個人情報保護委員会は何を注意喚起していますか？ 個人情報保護委員会は、2023年6月2日に「生成AIサービスの利用に関する注意喚起等について」を公表しました。事業者（個人情報取扱事業者）に向けた注意点は、次の2つです。 1. **利用目的の範囲内かを確かめる**：生成AIサービスに個人情報を含む指示（プロンプト）を入力する場合は、特定した利用目的を達成するために必要な範囲内であることを十分に確かめること。 2. **応答以外の目的で扱われないかを確かめる**：本人の同意を得ずに個人データを含む指示を入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合は、法の規定に違反する可能性があるため、サービスの提供者が個人データを機械学習に利用しないことなどを十分に確かめること。 一般の利用者に向けては、入力した個人情報が機械学習に使われて出力されるおそれがあること、応答に不正確な個人情報が含まれるおそれがあること、提供者の利用規約やプライバシーポリシーを十分に確かめることが挙げられています。社員向けの研修でも、そのまま使える観点です。 総務省・経済産業省の「AI事業者ガイドライン」も、AIを業務で使う「AI利用者」の取り組みとして、AIシステム・サービスへ個人情報を不適切に入力しないよう注意を払うことを挙げています。 ## 法律のどの規定が関わりますか？ 生成AIの利用で関わることの多い規定を、目的ごとにまとめます。 | 規定 | 内容の要点 | 生成AIで確かめること | |---|---|---| | 第17条・第18条（利用目的） | 利用目的をできる限り特定し、本人の同意なく、その範囲を超えて取り扱わない | 入力しようとする業務が、取得したときの利用目的の範囲内か | | 第23条（安全管理措置） | 個人データの漏えいなどを防ぐため、必要かつ適切な措置を講じる | アカウントの管理、権限、記録の残し方 | | 第25条（委託先の監督） | 個人データの取扱いを委託する場合は、委託先を必要かつ適切に監督する | 提供者に取扱いを委託する形になる場合の監督の方法 | | 第27条（第三者提供の制限） | 原則として、本人の同意なく個人データを第三者に提供しない。委託に伴う提供などは第三者に当たらない（第5項） | サービスの利用が「提供」に当たるか、委託に当たるか | | 第28条（外国にある第三者への提供） | 外国にある第三者への提供には、原則として本人の同意などが必要 | 提供者やサーバが外国にある場合の扱い | | 第26条（漏えい等の報告等） | 規則で定める事態が生じたときは、委員会への報告と本人への通知 | 誤って入力した場合などの報告の流れ | ### クラウドのサービスに入力する場合は、どう考えますか？ 個人情報保護委員会のQ&A（Q7-53）は、クラウドサービスの利用が第三者提供や委託に当たるかは、保存しているデータに個人データが含まれるかではなく、**サービスの提供者が個人データを取り扱うこととなっているか**で判断するとしています。契約の条項で提供者が個人データを取り扱わない旨が定められ、適切にアクセス制御が行われている場合などは、提供には当たらないと考えられるとしています。 この場合でも、利用する会社は、自らの安全管理措置として、適切な措置を講じる必要があります（Q7-54）。さらに、外国の事業者のサービスを使う場合は、その外国の個人情報の保護に関する制度などを把握したうえで安全管理措置を講じ、提供者やサーバが所在する外国の名称などを本人が知り得る状態に置く必要があるとされています（Q10-25）。 生成AIのサービスが、入力された情報を学習などに使う場合は、「提供者が個人データを取り扱わないこととなっている場合」には当たりにくいと考えられます。**どの立場で扱われるのかは、利用規約や契約の内容によって変わる**ため、ツールごとに確かめます（「[法人向けの生成AIツールの選び方](https://www.ai-ready.jp/guide/choosing-business-ai-tools/)」参照）。 クラウドのサービスに入力する場合の考え方 - **提供者が個人データを取り扱わない**：契約の条項と適切なアクセス制御などがあれば、提供には当たらないと考えられます - **その場合でも**：利用する会社は、自らの安全管理措置として適切な措置を講じます - **サービスが入力された情報を学習などに使う**：「取り扱わないこととなっている場合」には当たりにくいと考えられます - **外国の事業者のサービス**：外国の制度などを把握したうえで安全管理措置を講じ、外国の名称などを本人が知り得る状態に置く必要があるとされています どの立場で扱われるのかは、利用規約や契約の内容によって変わるため、ツールごとに確かめます。個別の判断は、社内の担当部署や弁護士などの専門家にご確認ください。 ## 会社として何をすればよいですか？ ① **入力してよい個人情報の範囲を決めます。** 「入力してよい」「条件付き」「入力しない」の3区分で示すと、現場で判断しやすくなります（[入力してはいけない情報の一覧](https://www.ai-ready.jp/templates/prohibited-input-list/)）。要配慮個人情報や、取引先から預かった個人情報は「入力しない」に置くと、判断に迷う場面を減らせます。 ② **使ってよいツールと設定を決めます。** 入力した情報が学習に使われない設定ができるか、データの保存期間や保存場所、会社のアカウントで管理できるかを確かめ、承認したツールの一覧にします。 ③ **利用目的との関係を確かめます。** 個人情報を扱う業務でAIを使う場合は、プライバシーポリシーなどで公表している利用目的の範囲内かを、担当部署が確かめます。 ④ **加工してから入力する方法も検討します。** 名前や番号を記号に置き換えるなど、特定の個人がわからない形にしてから入力すると、扱いやすくなります。ただし、加工の程度によっては個人情報のままのこともあるため、方法を決めておきます。法律上の「仮名加工情報」「匿名加工情報」には、それぞれ作り方と扱いの決まりがあります。 ⑤ **誤って入力したときの流れを決めます。** 報告の窓口、ツールの提供者への削除の依頼、漏えいなどに当たるかの確認を、担当と手順として決めます。すぐに報告すれば責めない方針を示すと、報告が早くなります。 ⑥ **社員に伝えます。** 注意喚起の内容と社内ルールを、研修や確認テストで伝えます（「[生成AIの利用ルールの作り方](https://www.ai-ready.jp/guide/generative-ai-usage-policy/)」参照）。 ## 法改正の動きはありますか？ 2026年7月17日に「個人情報の保護に関する法律等の一部を改正する法律」が公布されました。個人情報保護委員会の資料では、統計情報などの作成（統計作成等と整理できるAI開発などを含みます）にのみ利用される場合の本人同意の扱い、データ処理などの委託を受けた事業者に対する規律の見直しなどが示されています。施行期日は、原則として公布の日から2年を超えない範囲内とされています。 政令・規則・ガイドラインの整備はこれから進められるため、**いまの社内ルールは現行の法令と注意喚起にもとづいて作り、改正の詳細が示された段階で見直す**形が現実的です。 ## チェックリスト ## 関連するひな形・ガイド・用語 ひな形 - [入力してはいけない情報の一覧](https://www.ai-ready.jp/templates/prohibited-input-list/) - [生成AIの利用ルール（ひな形）](https://www.ai-ready.jp/templates/generative-ai-usage-policy-template/) ガイド - [生成AIの利用ルールの作り方（ひな形つき）](https://www.ai-ready.jp/guide/generative-ai-usage-policy/) - [法人向けの生成AIツールの選び方：契約と設定で確かめること](https://www.ai-ready.jp/guide/choosing-business-ai-tools/) - [AIに使うデータの整え方：所在・置き場所・権限・品質・責任者](https://www.ai-ready.jp/guide/data-preparation-for-ai/) 用語 - [個人情報保護法](https://www.ai-ready.jp/glossary/personal-information-protection-act/) - [仮名加工情報](https://www.ai-ready.jp/glossary/pseudonymously-processed-information/) - [匿名加工情報](https://www.ai-ready.jp/glossary/anonymously-processed-information/) - [データ漏えい](https://www.ai-ready.jp/glossary/data-leakage/) - [シャドーAI](https://www.ai-ready.jp/glossary/shadow-ai/) ## よくあるご質問 Q社員が顧客の名前を含む文章を生成AIで要約することは、問題になりますか？ Aただちに違反になるとは限りませんが、確かめることがあります。その顧客の情報を取得したときに特定した利用目的の範囲内か、使うサービスで入力した情報が応答の出力以外の目的、たとえば学習に使われないかです。社内ルールで、使ってよいツールと条件を決めておくと判断がそろいます。 Q入力内容を学習に使わない設定にすれば、個人情報を入力してもよいですか？ A学習に使われないことは大切な確認点ですが、それだけで判断が終わるわけではありません。利用目的の範囲内か、サービスの提供者が個人データを取り扱う立場か、サーバがどの国にあるか、安全管理の措置が取れているかもあわせて確かめます。 Q名前を消してから入力すれば、個人情報ではなくなりますか？ A名前を消しても、ほかの情報と組み合わせて特定の個人を識別できる場合は、個人情報に当たることがあります。社員番号、顧客番号、珍しい役職や出来事なども手がかりになります。加工の方法は、社内の担当部署や専門家と確かめます。 Q個人情報保護法の改正は、生成AIの使い方に関係しますか？ A2026年7月17日に個人情報保護法などの改正法が公布され、統計情報などの作成（AI開発などを含みます）や、委託を受けた事業者の扱いの見直しが含まれています。施行に向けて政令・規則・ガイドラインの整備が進められているため、個人情報保護委員会の公表を確かめながら社内ルールを見直します。 ## 関連する法令・判例・指針（参考情報） - 法令 個人情報保護法第17条（利用目的の特定） 個人情報を取り扱うときは、利用の目的をできる限り特定しなければなりません。利用目的を変更できるのは、変更前の目的と関連性があると合理的に認められる範囲までです。 個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057) - 法令 個人情報保護法第18条（利用目的による制限） あらかじめ本人の同意を得ないで、特定した利用目的の達成に必要な範囲の外で個人情報を取り扱ってはなりません。法令にもとづく場合など、例外も定められています。 個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057) - 法令 個人情報保護法第20条（適正な取得） 偽りその他不正の手段で個人情報を取得してはなりません。病歴など、不当な差別や偏見が生じないよう取扱いに配慮が要る「要配慮個人情報」は、法令にもとづく場合などを除き、あらかじめ本人の同意を得ないで取得してはならないとしています（第2項）。 個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057) - 法令 個人情報保護法第23条（安全管理措置） 個人情報取扱事業者は、取り扱う個人データの漏えい・滅失・毀損の防止その他の安全管理のために、必要かつ適切な措置を講じなければなりません。 個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057) - 法令 個人情報保護法第25条（委託先の監督） 個人データの取扱いの全部または一部を委託する場合は、委託を受けた者において個人データの安全管理が図られるよう、委託先に対して必要かつ適切な監督を行わなければなりません。 個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057) - 法令 個人情報保護法第27条（第三者提供の制限） 法令にもとづく場合などを除き、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはなりません。委託に伴って個人データを渡す場合などは、ここでいう第三者に当たらないとされています（第5項）。 個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057) - 指針 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日） 生成AIサービスを使うときの個人情報の扱いの注意点です。事業者には、個人情報を含む指示の入力が利用目的の達成に必要な範囲内かを十分に確かめることや、入力した個人データをサービスの提供者が機械学習に使わないことなどを確かめることを求めています。 [発行元の公式ページで開く](https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/) 法令は2026年10月26日時点の内容です。要旨は編集部が平易にまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士などの専門家にご確認ください。表記の決まりは[関連する法令・判例・指針（凡例）](https://www.ai-ready.jp/legal/)をご覧ください。 ## この記事に出てくる用語 - [生成AI](https://www.ai-ready.jp/glossary/generative-ai/) - [要約](https://www.ai-ready.jp/glossary/summarization/) - [個人情報保護法](https://www.ai-ready.jp/glossary/personal-information-protection-act/) - [プロンプト](https://www.ai-ready.jp/glossary/prompt/) - [機械学習](https://www.ai-ready.jp/glossary/machine-learning/) - [AI事業者ガイドライン](https://www.ai-ready.jp/glossary/ai-guidelines-for-business/) - [クラウド](https://www.ai-ready.jp/glossary/cloud/) - [仮名加工情報](https://www.ai-ready.jp/glossary/pseudonymously-processed-information/) - [匿名加工情報](https://www.ai-ready.jp/glossary/anonymously-processed-information/) - [データ漏えい](https://www.ai-ready.jp/glossary/data-leakage/) - [シャドーAI](https://www.ai-ready.jp/glossary/shadow-ai/) ## 「ガバナンスと法令」のほかの記事 [この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/governance/) [はじめる／ガバナンスと法令AI事業者ガイドラインの読み方：AIを使う会社がやること嵐保憲2026-10-25](https://www.ai-ready.jp/guide/ai-business-guidelines-for-users/)[はじめる／ガバナンスと法令AI法と企業の対応：罰則のない法律で何をすべきか嵐保憲2026-10-25](https://www.ai-ready.jp/guide/ai-act-japan-corporate-response/)[はじめる／ガバナンスと法令生成AIと著作権：文化庁の考え方にそって利用者が確かめること嵐保憲2026-10-26](https://www.ai-ready.jp/guide/generative-ai-and-copyright/) ## 出典 1. [個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」](https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/) 2. [個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」報道発表資料（別添1・別添2を含む。2023年6月2日）](https://www.ppc.go.jp/files/pdf/230602_kouhou_houdou.pdf) 3. [e-Gov法令検索「個人情報の保護に関する法律」（平成15年法律第57号）](https://laws.e-gov.go.jp/law/415AC0000000057) 4. [個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」](https://www.ppc.go.jp/personalinfo/faq/APPI_QA/) 5. [個人情報保護委員会「令和8年改正個人情報保護法について」](https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/) 6. [総務省・経済産業省「AI事業者ガイドライン（第1.2版）」本編](https://www.soumu.go.jp/main_content/001064279.pdf) 最終確認日：2026-10-26 ## 次の一歩 [測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/) 目次 1. どんな情報が「個人情報」に当たりますか？ 2. 個人情報保護委員会は何を注意喚起していますか？ 3. 法律のどの規定が関わりますか？ 4. 会社として何をすればよいですか？ 5. 法改正の動きはありますか？ 6. チェックリスト 7. よくあるご質問 この記事が扱う柱 主に「ガバナンスと法令」、あわせて「データ」 [ガバナンスと法令の解説](https://www.ai-ready.jp/about-ai-ready/governance/)[データの解説](https://www.ai-ready.jp/about-ai-ready/data/) --- 出典：フロレンティナ株式会社「生成AIと個人情報の扱い：個人情報保護法と注意喚起から確かめること｜AI-Ready.jp」 https://www.ai-ready.jp/guide/personal-data-and-generative-ai/