この記事でわかること
「社員がChatGPTのような生成AIに、顧客の名前や取引先の資料を打ち込んでいるようだが、法律的に大丈夫なのだろうか」。中小企業の経営者から、こうした不安をよく聞くようになりました。この記事は、そう感じている社長のための入口です。
ここでは、AIと個人情報保護の関係を、法律の専門用語をできるだけ使わずに整理します。細かい条文の解説ではなく、「自社の社員がAIに何を入れてよくて、何を止めるべきか」を、実務の目線で判断できるようになることを目指します。
この記事で扱う主な内容は、次のとおりです。
- なぜ今、AIと個人情報保護が問題になっているのか
- 生成AIに入力する前に、注意すべき情報は何か
- 個人情報保護委員会（PPC）が出した注意喚起の中身
- 会社として、まず何をすればよいのか
生成AIそのものの全体像を先に押さえたい場合は、生成AIとは何か・ビジネス活用の全体像もあわせて読むと、この記事の位置づけがつかみやすくなります。
なぜ今、AIと個人情報保護が問題になるのか
生成AIは、質問や資料を打ち込むだけで、要約や文章作成をこなしてくれます。便利であるがゆえに、つい何でも入力してしまいがちです。顧客リスト、取引先からもらった資料、社員の評価メモ。こうした情報を、深く考えずに貼り付けてしまう場面が増えています。
ここで立ち止まって考えたいのは、「その情報は、どこへ渡っているのか」という点です。多くの生成AIは、社外にあるサービス提供会社のサーバー上で動いています。あなたが入力した文章は、自社のパソコンの中で完結するのではなく、いったん外部へ送られて処理されます。
そして、サービスによっては、入力された内容がAIの学習などに使われる可能性があります。設定や契約プランによって扱いは変わりますが、「入れた情報が自社の外に出て、思わぬ形で残る・使われるかもしれない」という不安が、AIと個人情報保護の問題の出発点です。
個人情報を扱う会社には、個人情報保護法という法律に沿って情報を適切に管理する責任があります。紙やメールと同じように、生成AIに入力する情報についても、この責任は続いています。「便利なツールだから」で例外にはならない、という点が出発点になります。
結論＝安易に入力しない・利用目的の範囲内か確認する・社内ルールを決める
先に結論をお伝えします。経営者として押さえるべきことは、突き詰めると次の3つに整理できます。
1つ目は、個人情報や機密情報を、安易に生成AIへ入力しないことです。名前や連絡先、取引先の資料などは、入れる前に一度立ち止まる習慣をつけます。
2つ目は、その入力が「利用目的の範囲内」かを確認することです。個人情報は、あらかじめ決めた利用目的の達成に必要な範囲で扱うのが原則とされています。AIに入れる行為も、その範囲内かどうかを意識します。
3つ目は、会社として社内ルールを決めることです。何を入れてよくて何がダメか、個人の判断に任せず、会社の方針として線引きします。
この3つができていれば、生成AIを過度に恐れて使わない、という選択をしなくても済みます。以下では、それぞれをもう少しかみくだいて説明します。
AIと個人情報保護の関係 わかりやすく
まず、土台になる個人情報保護法とは何かを、平易に押さえておきます。
個人情報保護法は、ひとことで言えば「個人の情報を、本人が困らないように、事業者にきちんと扱わせるための法律」です。氏名や住所、電話番号、メールアドレスなど、特定の個人が誰なのかを識別できる情報が「個人情報」にあたります。
この法律は、会社が個人情報を扱うときのルールを定めています。たとえば、何のために使うのか（利用目的）をあらかじめはっきりさせること、決めた目的の範囲を超えて勝手に使わないこと、外部に渡すときは原則として本人の同意を得ること、といった約束事です。
では、ここに生成AIが加わると何が変わるのでしょうか。生成AIは、入力された情報を外部で処理し、場合によっては学習などに使うことがあります。つまり、社員がAIに個人情報を打ち込む行為は、その情報を社外のサービスへ送信することになりえます。そして、そのサービス提供者がデータをどう取り扱うか、契約や利用目的、実際の処理のされ方によっては、個人情報保護法上の第三者提供や委託にあたらないか、安全管理措置をどう講じるか、といった検討が必要になり得るのです。
だからこそ、生成AIを使うときも、個人情報保護法の考え方はそのまま生きています。「この情報を、この目的で、この相手（AIサービス）に渡してよいのか」を確認する。紙の書類を社外に持ち出すときと同じ感覚で立ち止まる。これが、AIと個人情報保護の関係を理解する出発点になります。
生成AIに入力する前に注意すべき情報
では、具体的にどんな情報を入れるときに注意すればよいのでしょうか。社員が判断しやすいよう、大きく3つのグループに分けて考えると整理しやすくなります。
1つ目は、個人情報です。顧客や取引先の担当者の氏名、住所、電話番号、メールアドレス、顔写真など、特定の個人が誰なのかを識別できる情報が該当します。名簿やアンケート結果をそのまま貼り付けて要約させる、といった使い方は、注意が必要な典型例です。
2つ目は、要配慮個人情報です。これは個人情報のなかでも、本人に不利益が生じ得るため、とりわけ慎重な取り扱いが求められる情報を指します。人種や信条、病歴、犯罪の経歴などが含まれます。たとえば社員の健康状態や通院歴をAIに相談する、といった場面は、この要配慮個人情報にあたる可能性があり、より慎重さが求められます。
3つ目は、取引先の機密情報や社内の秘密です。これは個人情報とは別の観点ですが、実務上あわせて気をつけたいものです。秘密保持契約（NDA）で受け取った資料、未公開の財務データ、開発中の製品情報などをAIに入れると、契約違反や情報漏えいにつながるおそれがあります。
判断に迷ったら、次の3つを自分に問いかけると線引きしやすくなります。
- これは、特定の個人が分かる情報か
- これは、決めた利用目的の範囲内の使い方か
- これは、社外のサービスに送ってよい情報か
1つでも「あやしい」と感じたら、入力前に上長へ確認する。この一拍を社内に根づかせることが、事故を防ぐいちばんの近道です。どうしても使いたい場合は、社内の基準に従って必要十分な匿名化・仮名化ができないかを検討します。ただし、名前を伏せる、数字を丸めるといった単純な加工だけでは、他の情報と照らし合わせて個人を再び特定できる余地が残ることもあり、その場合は個人情報としての性質が消えるとは限りません。安全に加工できるかどうか判断がつかないときは、無理に入力しない、と考えるのが安全です。
個人情報保護委員会（PPC）の注意喚起
国の側も、生成AIの利用について注意を呼びかけています。個人情報の分野を所管する個人情報保護委員会（PPC）は、令和5年（2023年）6月2日に「生成AIサービスの利用に関する注意喚起等」を公表しました。
この注意喚起で示された考え方のうち、経営者が押さえておきたい点は主に2つです。
1つは、事業者が生成AIに個人情報を含むプロンプト（指示文）を入力する場合、あらかじめ特定した利用目的の達成に必要な範囲内であることを、確認する必要があるとされている点です。つまり、「何のために集めた個人情報なのか」という当初の目的から外れた使い方になっていないかを、AIに入れる前にチェックする、ということです。あわせて押さえたいのが、本人の同意なく個人データを入力し、その情報が応答の出力以外の目的（たとえばAIの機械学習）に使われる場合には、法違反となる可能性があるとされている点です。そのため、利用するサービスの提供事業者が、入力したデータを機械学習に利用しないかどうか等を、十分に確認しておく必要があります。「利用目的の範囲内かの確認」と「提供事業者側の取り扱いの確認」は、いわば両輪の関係だと考えておくと安心です。
もう1つは、生成AIサービスを提供する側に向けたもので、本人の同意なく要配慮個人情報を取得しないよう、取り組みが求められているという点です。これはサービス提供事業者への求めですが、利用する側としても、要配慮個人情報の取り扱いには特に慎重であるべきだ、というメッセージとして受け止められます。
細かな要件や最新の内容は、PPCの公式情報を確認するのが確実です。ここでは「国も、生成AIに個人情報を入れる場面には注意が必要だと明確に示している」という事実を押さえておけば十分です。
知っておきたい用語
個人情報保護の話でよく出てくる用語を、社員への説明に使える範囲で軽く整理しておきます。厳密な定義まで覚える必要はありません。
- 要配慮個人情報：人種・信条・病歴・犯罪の経歴など、取り扱いを誤ると本人に不利益が生じ得るため、特に慎重な扱いが求められる個人情報のことです。健康や思想信条に関わる情報、と大まかに捉えておくと実務では役立ちます。
- 匿名加工情報：特定の個人を識別できないように加工し、かつ元に戻せないようにした情報のことです。適切に加工すれば、個人情報そのものよりは活用の幅が広がる、と位置づけられています。
- 個人識別符号：それ単体で特定の個人を識別できる符号のことで、たとえば指紋データやマイナンバー、旅券番号などが該当します。これらも個人情報として扱われます。
用語の細部より、「本人に不利益が及びやすい情報ほど、AIに入れるハードルを高くする」という感覚を社内で共有することのほうが実務では大切です。
会社として何をすべきか
ここまでの内容を、明日から動ける形に落とし込みます。経営者として取り組みたいのは、次の3つです。
1つ目は、生成AIの利用ルールを社内で決めることです。「個人情報や取引先の機密は入力しない」「判断に迷ったら上長に確認する」といった原則を、口頭ではなく短い文書にして共有します。ルールがないと、社員は良かれと思って何でも入力してしまいます。逆に、明確なルールがあれば、安心してAIを使えるようになります。
2つ目は、入力前のチェックを習慣にすることです。前の章で挙げた「特定の個人が分かる情報か／利用目的の範囲内か／社外に送ってよいか」の3つを、入力前に確認する。この一拍を全社の当たり前にします。
3つ目は、利用するAIサービスの規約を確認することです。とくに「入力した内容が学習に使われるかどうか」は、サービスや契約プランによって扱いが異なります。業務で使うサービスについては、この点を事前に確認し、必要なら学習に使われない設定やプランを選ぶ、という判断も大切です。
なお、AIの使い方の指針としては、国が示している「AI事業者ガイドライン」もあります。これは個人情報に限らず、AIを開発・提供・利用する立場ごとに、どう向き合うべきかをまとめた文書です。詳しくは別記事で解説しますが、自社がAIをどう使うかを整理するうえで参考になります。
顧問先から「社内で生成AIの利用ルールを作りたい」と相談されたとき、私は、いきなり細かい禁止事項を並べることはしていません。
先に決めるのは、「誰が、どの業務で、どこまでAIに任せるか」の三点です。
ここが曖昧なまま「個人情報を入力しない」といった一般的な注意だけを配っても、現場は何をしてよいか分かりません。少しでも迷うと使わなくなるか、逆に会社の想定しない使い方が始まります。
そこで私は、使ってよい業務と、任せない業務を具体的に分けてもらいます。
たとえば、社内文書の下書きや会議記録の要約は「使ってよい業務」に。顧客への回答をそのまま送る、契約や採用の最終判断、送金や本番システムの変更は、「AIだけには任せない業務」に、といった具合です。
私が必ずセットで決めてもらうのは、次の三つです。
AIが自分で進めてよい範囲。人間の承認が必要になる境界。そして、AIへ絶対に渡さない情報と操作。この三つが決まっていれば、社員は許可された範囲で安心して使え、会社も問題が起きやすいところへ確認を集中できます。
そして、最初から完璧な規程を作ろうとしないこともお伝えしています。
生成AIは変化が速いので、何十ページもの規程は運用が始まる前に古くなりがちです。まずは一枚の簡易ルールで一つの業務を試し、実際に出た質問や問題を書き足して育てていくほうが、現場で使われるルールになります。
禁止事項を増やすほど安全になるわけではありません。社内ルールの目的は、生成AIを使わせないことではなく、安全に使える範囲をはっきりさせて、現場の改善と会社の統制を両立させることだと考えています。
法改正の動きにどう備えるか
最後に、法律の動きについても触れておきます。個人情報保護法は、時代の変化に合わせて、これまでも見直しが重ねられてきました。そして現在も、AIや統計分析のためのデータ利用のあり方などをめぐって、改正の議論が進められています。
ただし、ここで具体的な条文の中身や施行の時期を断定するのは避けます。改正の議論は進行中であり、内容が固まっていない段階で「こう変わる」と決めつけると、かえって判断を誤らせるおそれがあるからです。最新の状況は、個人情報保護委員会の公式情報で確認するのが確実です。
経営者としての備え方はシンプルです。前の章で挙げた「安易に入力しない・利用目的の範囲内か確認する・社内ルールを決める」という基本を固めておくことです。この土台がしっかりしていれば、細かなルールが変わっても、大きく慌てる必要はありません。制度の変化を過度に恐れるより、日々の運用を整えておくことが、いちばんの備えになります。
なお、AIそのものを対象とした法律としては、2025年に施行された「AI新法（AI推進法）」もあります。こちらはAIの研究開発と活用を促進することを主眼とした法律で、企業に直接の罰則を課すものではないとされていますが、国のAI政策の土台となるものです。この点も別記事で解説します。
AIと個人情報についてよくある質問
AIに個人情報を入れてはいけない理由は？
生成AIに入力した情報は、多くの場合、社外にあるサービス提供会社のサーバーで処理されます。サービスによっては、入力内容がAIの学習などに使われる可能性もあります。そのため、顧客や取引先の個人情報を安易に入れると、情報が自社の管理の外に出て、思わぬ形で残ったり使われたりするおそれがあります。個人情報保護法のうえでも、決めた利用目的の範囲内で扱う責任は続くため、慎重さが必要とされています。
AIに個人情報を入力してしまったらどうする？
まず、慌てず、使ったサービスの仕様を確認します。会話履歴の削除や、学習に使わせない設定ができる場合もありますが、それだけで問題が解決するとは限りません。あわせて、社内の事故対応窓口や責任者へ報告し、どんな情報を入れてしまったか、その情報が保存・学習・第三者からのアクセスの対象になっていないかといった状況を把握します。そのうえで、個人データの漏えい等にあたる可能性はないか、個人情報保護委員会（PPC）への報告や本人への通知が必要になるかどうかを、必要に応じて専門家と確認する、という流れをおすすめします。同じことが起きないよう、利用ルールを見直すきっかけにもします。
日本にAIの法規制はある？
はい、関連する法律やルールは複数あります。個人情報の取り扱いについては個人情報保護法があり、AIを使う場合もこの法律の考え方が適用されます。加えて、2025年に施行されたAI新法（AI推進法）や、国が示すAI事業者ガイドラインなどもあります。ただし、これらは性質や目的が異なります。AI新法やAI事業者ガイドラインの詳しい内容は、それぞれ別記事で解説します。
どこまでが個人情報？
氏名や住所、電話番号、メールアドレス、顔写真など、特定の個人が誰なのかを識別できる情報が個人情報にあたります。単体では分からなくても、他の情報と組み合わせれば個人を特定できる場合も含まれます。さらに、指紋データやマイナンバーのように、それ単体で個人を識別できる「個人識別符号」も個人情報です。迷ったときは「これで特定の誰かが分かるか」を基準に、分かるなら個人情報として慎重に扱う、と考えると実務では判断しやすくなります。
関連記事と「AI戦略」に関するご案内
AIと個人情報保護は、細かな条文を覚えることより、「安易に入力しない・利用目的の範囲内か確認する・社内ルールを決める」という基本を、会社の当たり前にすることが大切です。この土台があれば、生成AIを過度に恐れず、上手に活用していけます。
生成AIをめぐる法律の話としては、権利の観点からAIと著作権も整理しています。あわせて読むと、自社でAIを使うときに気をつけたい「情報」と「権利」の両面がつかめます。生成AIそのものの全体像は生成AIとは何か・ビジネス活用の全体像で確認できます。
AI活用を個別の注意点で終わらせず、経営課題や業務改善につなげたい場合は、中小企業社長のためのAI戦略活用完全ガイドで全体像を確認できます。
確認日：2026年7月24日（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」〔令和5年6月2日〕ほか公開情報を参照。制度は改正されることがあるため、最新は個人情報保護委員会の公式情報をご確認ください）
