生成AIと個人情報保護：個人情報保護委員会の注意喚起から学ぶ実務
個人情報をAIに入力する前に確認すべき点と社内対策
生成AIに顧客名簿や面談メモを貼り付けてしまうと、個人情報保護法上の問題につながる可能性があります。個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表し、事業者と一般利用者それぞれへの注意点を示しました。
事業者（個人情報取扱事業者）向けの注意点
注意喚起は、事業者が生成AIサービスを使う際の要点として次の2つを挙げています。
- 個人情報を含むプロンプトを入力する場合は、特定した利用目的を達成するために必要な範囲内であることを十分に確認すること
- 本人の同意なく個人データを含むプロンプトを入力し、そのデータが応答の出力以外の目的で扱われる場合は、法の規定に違反する可能性がある。そのため、サービス提供事業者が個人データを機械学習に利用しないことなどを十分に確認すること
つまり「入力する前に、そのサービスが入力内容をどう扱うかを確かめる」ことが出発点です。
一般の利用者向けの留意点
- 入力した個人情報が機械学習に使われ、他の情報と結びついて、正確または不正確な内容で出力されるリスクがある
- 応答には不正確な内容（ハルシネーション）が含まれることがあり、不正確な個人情報が出力されるリスクがある
- 利用規約やプライバシーポリシーを十分に確認したうえで判断する
AI事業者ガイドラインでの位置づけ
総務省・経済産業省の「AI事業者ガイドライン（第1.1版）」も、AI利用者が取り組む事項として、AIシステム・サービスに個人情報を不適切に入力しないよう注意を払うこと、プライバシー侵害に関する情報を集めて防止を検討することを挙げています。
実務で確認したいこと
サービス側の設定
- 入力データが学習に使われるか、既定値は何か、オフにできるか
- データの保存期間と保存場所
- 法人向けプランで管理者がどこまで設定できるか
主要サービスの多くは、法人向けプランでは既定で業務データを学習に使わないと公式に表明していますが、内容はサービスやプランごとに異なり変わることもあるため、契約前に最新の規約で確認します（主要チャットAIの比較）。
入力側の工夫
- 氏名・連絡先・社員番号などを、仮名や記号に置き換えてから入力する
- 要配慮個人情報（病歴、犯罪歴など）は原則として入力しない
- 社外の人の個人情報を扱う業務は、利用可否を社内ルールで明確にする
外国のサービスを使う場合
個人データを外国にある第三者に提供する場面では、法第28条に基づく規律があります。個人情報保護委員会の「ガイドライン（外国にある第三者への提供編）」で、本人同意や情報提供のルールを確認してください。
よくある失敗
- 問い合わせメールを丸ごと貼って返信案を作らせる
- 採用候補者の履歴書を要約させる
- 会議の録音文字起こしを、出席者に知らせずに外部AIへ入力する
社内ルールの作り方は社内AI利用ガイドラインの作り方、全体像はAIと日本の法律・ガイドラインを参照してください。
※本記事は一般的な情報提供を目的としたもので、法的助言ではありません。個別の案件は弁護士など専門家にご相談ください。
参考リンク
編集: AI Play 編集部 最終更新: 2026-10-25