お客様の情報を、安心して扱う
「有料プランだから大丈夫」は成り立ちません。契約書のどこを2点だけ確認すれば判断できるのかを、個人情報保護委員会の資料をもとに身につけます。
この回で、受講者ができるようになること
自社が使っているAIの契約書で2点を確認し、その情報を入れてよいか自分で判断できる
目安：読む 約5分 ＋ やってみる 約5分
よくある悩み
「有料プランに契約しているから大丈夫」と考えて、お客様の名前が入った見積書や問い合わせメールを、そのままAIに貼っている。
結論
入れてよいかを決めるのは料金プランではありません。そのAIサービスが、あなたの入力データを取り扱うことになっているかどうかで決まります。
なぜ「有料だから大丈夫」が成り立たないのか
個人向けの有料プランにも、学習をオフにする設定はあります。ただしそれは「学習に使わない」という一点の話です。
事業者側が中身を取り扱わないことや、アクセス制御まで契約で定めているとは限りません。料金を払っていることと、データの扱われ方は、別々に決まっています。
法人向け・組織向けのプランは、この点を契約条項として定めていることが多く、学習に使わない設定が初期状態になっている場合もあります。お客様や従業員の個人情報を扱うなら、法人プランが出発点です。
ただし、法人プランに変えれば終わりでもありません。プラン名ではなく、実際の契約書の記載で決まるからです。
入力は3つのどれかに分かれる
どこに当たるかで、必要な手続きが変わる
個人情報保護委員会は、サービスを使う場合の判断基準を示しています。基準になるのは「保存したデータに個人データが含まれるか」ではなく、その事業者が個人データを取り扱うことになっているかどうかです。
契約書で確認するのは2点だけ
利用規約かデータ処理契約で探す2行
- ✓入力したデータを、学習（機械学習）に使わないと書かれている
- ✓事業者側が中身を取り扱わない旨と、アクセス制御について書かれている
- ✓（お客様の情報を入れるなら）委託として扱える契約になっている
- ✓（海外の事業者なら）基準適合体制について書かれている
個人情報保護委員会はについて、本人の同意なく個人データを含むを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法に違反する可能性があるとしています。そのうえで、事業者が機械学習に利用しないことを十分に確認するよう求めています。
大手のAIサービスは、この2点を規約に書いています。規模の小さいサービスほど、ここがあいまいだったり、そもそも書かれていなかったりします。「AI搭載」とうたっていても、裏側でどのAIを使っているかが書かれていないサービスでは、この確認自体ができません。
入れてよいかを、この順番で確認する
覚えておきたい考え方
5つの問いに順番に答える
- 1個人が特定できる情報が入っているか（いいえ＝そのまま入れてよい）
- 2契約書に「学習に使わない」と書かれているか（いいえ＝入れない）
- 3「事業者は中身を取り扱わない」とアクセス制御の記載があるか
- 4お客様から預かった情報か（はい＝委託か第三者提供かを整理）
- 5相手は外国の事業者か（はい＝基準適合体制の記載を確認）
多くの場合、書き換えれば1番で終われる
具体例
お客様への返信文を作らせる場面
そのままだとNG
山田太郎様（豊川市在住・60代男性）から、8月20日に納品した給湯器の不具合でご連絡をいただきました。返信文を作ってください。
- 氏名・居住地・納品日・商品名が特定できる
- 2番目以降の確認が全部必要になる
こう書き換えればOK
お客様（60代・男性）から、先月納品した住宅設備の不具合について、厳しいご指摘をいただきました。返信文を作ってください。
- 個人が特定できない
- 返信文の品質はほとんど変わらない
AIが必要としているのは、相手の属性と状況の輪郭です。氏名・地名・日付・商品名を落としても、出てくる文章の質はほとんど変わりません。
議事録なら参加者を「営業部長」「経理担当」に、名簿なら氏名を「A」「B」に置き換えます。この一手間で、上の1番で終われます。
自社で使っているAIの利用規約（またはデータ処理に関する契約）を開いて、上のチェックリストの1つ目と2つ目にあたる記述を探してください。見つかった場合はその一文をメモに残し、見つからない場合は「記載なし」と書きます。 見つからなかったときは、そのサービスにお客様の情報を入れない、という判断になります。
ここまでできればOK：自社のAIの規約で、2点の記載の有無を確認できた
お客様の情報を入れるときの、もう1つの論点
委託と第三者提供の違い
個人情報保護委員会は、委託に該当しない例として、委託された業務と関係のない自社の営業活動に使う場合や、複数の委託元から預かったデータを区別せずに混ぜて扱う場合を挙げています。
海外の事業者であることを忘れない
OpenAI、Anthropic、Googleは、いずれも外国の事業者です。委託であっても、外国にある第三者へ個人データを渡す場合は、原則として本人の同意が必要とされています。
同意が不要になるのは、十分性認定を受けた国（EU・英国）である場合、相手が国内事業者と同等の措置を継続して講じる体制（基準適合体制）を整えている場合などです。法人向けサービスの多くは基準適合体制で対応できる設計になっているので、そう書かれていることを契約書で確かめます。
もう入れてしまった場合は、会話を消しても記録は残る前提で考えます。まず「どのサービスの、どのアカウントで、いつ、どの情報を入れたか」を記録してください。そのうえで学習利用の設定を確認してオフにし、の窓口があるかを調べます。
漏えいなどが疑われる場合、個人情報保護委員会への報告と本人への通知が必要になることがあります。この判断は要件が細かいため、自己判断で終わらせず、顧問弁護士や個人情報保護委員会の相談窓口に確認してください。
この教材は公表資料にもとづく一般的な整理であり、法的助言ではありません。
個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日） https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/ ガイドラインQ&A 1-Q7-53（クラウドサービスの利用と第三者提供・委託の判断基準） https://www.ppc.go.jp/all_faq_index/faq1-q7-53/ ガイドラインQ&A 1-Q7-37（委託に該当しない場合の事例） https://www.ppc.go.jp/all_faq_index/faq1-q7-37/ ガイドラインQ&A 1-Q12-1（外国にある第三者への委託と本人の同意） https://www.ppc.go.jp/all_faq_index/faq1-q12-1/
この回の完了
自社で使っているAIの利用規約を開き、「学習に使わない」「事業者は中身を取り扱わない」の2点の記載を探す
完了の目印
2点の記載の有無をメモに残した（見つからなければ「記載なし」と書く）
このレッスンの持ち帰り
- ✓入れてよいかは料金プランではなく、事業者が中身を取り扱うことになっているかで決まる
- ✓契約書で見るのは2点。学習に使われないか、事業者が中身を取り扱わない契約か
- ✓迷ったら入れない。氏名をAさん、社名をB社に置き換えれば多くの相談は通せる
この回に出てきた専門用語
覚えなくて構いません。読んでいて引っかかったら、ここで確かめてください。
- クラウド
- 自分のパソコンの中ではなく、インターネットの向こう側で動く仕組みのことです。手元に保存しないぶん、どこからでも開けます。何を預けるかは決めてから使います。
- 生成AI
- 文章や画像を新しく作り出すAIです。ChatGPTやClaudeはこの仲間です。検索が「すでにあるものを探す」のに対し、生成AIは「その場で作る」点が違います。
- プロンプト
- AIに出す指示のことです。「何を」「どんな形で」を書いた文章がプロンプトです。このサイトの教材では、コピーしてそのまま貼れる形でお渡ししています。
- オプトアウト
- 入力した内容をAIの学習に使わせない設定のことです。設定画面から自分で切り替えます。会社の情報を扱う前に、まずここを確認します。
すべての用語は、メニューの「用語」からも引けます。