生成AIと個人情報保護法｜事業者が確認すべき5つのチェック項目

ChatGPTをはじめとする生成AIの業務活用が急速に広がっています。議事録の作成、顧客対応の効率化、データ分析など、その用途は多岐にわたります。

しかし、便利さの裏側で見落とされがちなのが、個人情報保護法との関係です。「AIに入力しただけ」「社内で使っているだけ」と考えていても、法律上は事業者としての責任が発生している可能性があります。

本コラムでは、生成AIを利用する事業者の皆様が確認すべき5つのチェック項目を中心に、実務上の注意点を整理します。自社のAI利用が適切かどうかを点検する際の参考としてご活用ください。なお、説明の簡明さを優先し、「個人情報」「個人データ」等の用語を厳密な法令上の定義に従わず、一般的な意味で用いています。

結論｜生成AIへの個人情報入力は「事業者による取扱い」として法的責任が生じる

生成AIを利用しても個人情報保護法の適用は免れない

生成AIサービスを利用する場合でも、個人情報保護法の規制から逃れることはできません。同法は、個人情報を取り扱う事業者に対して様々な義務を課しています。AIサービスを介して個人情報を処理することも、この「取扱い」に含まれます。

「AIが処理するのだから自社の責任ではない」という理解は誤りです。むしろ、外部のAIサービスを利用するからこそ、追加的な検討が必要になる場面が多いといえます。

入力した時点で事業者としての責任が発生する理由

個人情報保護法上、個人情報の「利用」や「提供」は、事業者が主体となって行う行為です。生成AIに個人情報を入力する行為は、その情報を外部のサービス事業者に送信することを意味します。

つまり、入力ボタンを押した瞬間に、事業者として個人情報を「利用」し、場合によっては「提供」したことになります。この点を正しく認識しておくことが、適切な対応の出発点となります。

生成AI利用で何が起きているか｜情報の流れを正しく理解する

入力データはどこに送られ、どう処理されるのか

生成AIサービスを利用すると、入力したデータはインターネットを通じてAI事業者のサーバーに送信されます。サーバーの所在地は国内とは限らず、海外に置かれているケースも少なくありません。

送信されたデータは、AIによる回答生成のために処理されます。この処理の過程で、データがどのように扱われるかは、各サービスの利用規約やプライバシーポリシーによって異なります。

学習利用・ログ保存など見落としがちなリスク

見落としがちなのが、入力データの二次的な利用です。一部のサービスでは、入力されたデータがAIモデルの学習（トレーニング）に使用される場合があります。また、一定期間ログとして保存されることも珍しくありません。

このような利用形態は、当初想定していた「回答を得る」という目的を超える可能性があります。サービスごとの取扱いを確認し、リスクを把握しておくことが重要です。

チェック項目①｜安全管理措置は十分か

技術的・組織的安全管理措置の見直しポイント

事業者には、取り扱う個人情報について安全管理措置を講じる義務があります。生成AIを利用する場合、この措置を見直す必要が生じることがあります。

技術的な観点では、通信の暗号化、アクセス権限の設定、ログの管理などが検討事項となります。組織的な観点では、AI利用に関する責任体制の明確化や、インシデント発生時の対応手順の整備が求められます。

従業員教育とアクセス制限の重要性

どれほど優れたシステムを導入しても、利用する従業員の理解が不十分であれば、リスクは残ります。どのような情報をAIに入力してよいのか、どのような操作が禁止されているのかを、従業員に周知徹底することが不可欠です。

また、個人情報を含むAI利用について、アクセスできる従業員を必要最小限に限定することも、安全管理措置の一環として重要です。

ハルシネーションによるデータ棄損のリスク

生成AIの利用においては、情報の漏えい防止に加えて、個人情報の正確性・完全性の維持にも注意が必要です。生成AIは、事実に基づかない内容を生成する、いわゆるハルシネーションを起こす可能性があります。

この結果、個人情報を含むデータについて、

• 誤った内容への書き換え
• 不正確な補完や要約
• 意図しない情報の付加

といった形で、データの内容が棄損されるリスクがあります。

このようなリスクを踏まえると、生成AIを個人情報の処理に利用する場合には、

• 出力内容の確認プロセスの整備
• 元データとの照合
• 自動処理結果の無条件利用の禁止

といった対応を講じることが重要です。

チェック項目②｜「委託」か「第三者提供」か

AI事業者への情報提供が「委託」に該当する場合

個人情報を外部に提供する場合、原則として本人の同意が必要です。ただし、利用目的の達成に必要な範囲で業務を委託する場合は、例外として同意なく提供できます。

AI事業者への情報提供が「委託」に該当するかどうかは、契約内容や実態によって判断されます。委託に該当する場合でも、委託先の監督義務が生じる点に注意が必要です。

「第三者提供」と評価されるリスクがあるケース

一方で、AI事業者が入力データを自社の目的（AIの学習など）で利用する場合、「委託」ではなく「第三者提供」と評価される可能性があります。この場合、原則として本人の同意が必要となります。

サービスの利用規約をよく確認し、データがどのように利用されるかを把握することが重要です。

海外サービス利用時の越境移転規制への対応

海外のAIサービスを利用する場合、個人情報保護法の「外国にある第三者への提供」に関する規制が適用される可能性があります。この場合、追加的な要件（本人への情報提供や同意取得など）を満たす必要があります。

サーバーの所在地や、AI事業者の本拠地によって、対応が変わる場合があります。

チェック項目③｜利用目的との整合性は取れているか

「AI利用そのもの」ではなく「利用目的の中身」で判断する

個人情報保護法では、個人情報を利用する際には、その利用目的をできる限り特定し、その範囲内で利用することが求められています。

ここで重要なのは、AIの利用自体が利用目的に含まれているかどうかではなく、AIを用いた処理が当初の利用目的の範囲内といえるかという点です。

---

利用目的と手段の区別

生成AIの利用は、多くの場合、マーケティング、顧客対応、給与計算といった既存の業務目的を達成するための「手段」にすぎません。

したがって、AIを用いて処理しているという理由だけで、直ちに目的外利用となるわけではありません。

しかし、たとえば、「お問い合わせへの対応」という目的で取得した情報を、AIを用いて分析し、その結果をマーケティング用途に利用する場合には、
当初の利用目的を超える利用と評価される可能性があります。

---

利用目的の変更が必要となる場合

当初の利用目的を超える形で個人情報を利用する場合には、利用目的の変更または追加が必要となります。

この場合、個人情報保護法上は、「変更前の利用目的と関連性を有すると合理的に認められる範囲」での変更であることが求められます。

この範囲を超える場合には、原則として本人の同意が必要となります。

チェック項目④｜プライバシーポリシー・社内規程の整備状況

見直すべき記載事項と改定のポイント

生成AIの業務利用を開始する場合、プライバシーポリシー（個人情報保護方針）の見直しが必要になることがあります。利用目的の記載、第三者提供に関する事項、安全管理措置の内容などが見直しのポイントとなります。

特に、AI処理を行うことや、海外のサービスを利用する可能性があることを明記すべきかどうか、検討が必要です。

社内AI利用ガイドラインに盛り込むべき内容

プライバシーポリシーとは別に、社内向けのAI利用ガイドラインを整備することも有効です。利用可能なサービスの範囲、入力してよい情報の基準、禁止事項、問題発生時の報告フローなどを定めておくことで、現場での判断基準が明確になります。

チェック項目⑤｜入力データの範囲と運用ルールの明確化

入力してよい情報・避けるべき情報の線引き

実務上最も重要なのは、どのような情報をAIに入力してよいかの線引きです。氏名、住所、連絡先といった基本的な個人情報はもちろん、病歴、信条、犯罪歴などの要配慮個人情報（特に慎重な取扱いが求められる個人情報）については、入力を特に避けるべきです。

業務上どうしても必要な場合は、個別に検討し、適切な措置を講じた上で判断することになります。

匿名加工・仮名加工情報の活用可能性

個人を特定できない形に加工した情報を活用する方法もあります。匿名加工情報や仮名加工情報として適切に加工すれば、一定の条件のもとで柔軟な利用が可能になります。

ただし、加工の方法や管理体制には法律上の要件があり、単に氏名を削除しただけでは不十分な場合もあります。

よくある誤解｜「業務効率化目的なら問題ない」は危険

目的の正当性と手段の適法性は別問題

「業務効率化のためにAIを使うのだから問題ないはず」という考えは危険です。目的が正当であっても、その手段が法律に適合しているかどうかは別の問題です。

効率化という目的自体は否定されませんが、その過程で個人情報保護法の義務に違反していれば、法的責任を問われる可能性があります。

本人同意があれば万全というわけではない理由

「本人の同意を取れば大丈夫」という理解も、必ずしも正確ではありません。同意の取得方法や内容が適切でなければ、有効な同意とは認められない場合があります。また、同意があっても、安全管理措置など他の義務が免除されるわけではありません。

専門家への相談を検討すべきケース

大量の顧客データをAI処理に利用したい場合

顧客データベースなど、大量の個人情報をAIで分析・処理したい場合は、事前に法的な検討を行うことをお勧めします。影響範囲が大きいだけに、万が一問題が生じた場合のリスクも大きくなります。

過去の運用に法的リスクがないか確認したい場合

すでにAIを業務利用しているが、これまで法的な検討を十分に行ってこなかった場合、現状の運用に問題がないかを点検することが有益です。早期に課題を把握し、必要な対応を取ることで、将来のトラブルを防ぐことができます。

監督官庁への対応や社内体制構築を進めたい場合

個人情報保護委員会からの問い合わせへの対応や、社内のガバナンス体制の構築を進めたい場合も、専門家の知見を活用することで、効率的かつ適切な対応が可能になります。

法的な観点からの助言を受けることで、安心して生成AIを活用できる体制を整えることができます。当事務所でも、生成AIと個人情報保護に関するご相談を承っておりますので、お気軽にお問い合わせください。

まとめ｜5つのチェック項目で自社のAI利用を点検する

生成AIの業務利用において、事業者が確認すべきポイントを5つのチェック項目として整理しました。

1. 利用目的との整合性：当初の利用目的にAI処理が含まれているか
2. 安全管理措置：技術的・組織的な対策が十分か
3. 法的整理：「委託」か「第三者提供」か、越境移転の問題はないか
4. 規程整備：プライバシーポリシーや社内ガイドラインの見直しは済んでいるか
5. 運用ルール：入力データの範囲は明確か

これらの項目について自社の状況を点検し、必要に応じて対応を進めることが、適法かつ安全なAI活用につながります。判断に迷う点や、より詳しく検討したい点がありましたら、専門家へのご相談をご検討ください。

Q＆A

＊本記事は執筆時点における法律を参照しています。お読みになった時点で最新の内容とは限りません。