ざまくりプランツざまくりプランツZAMAKURI PLANTS

AI導入 / 2026-08-04

生成AIと個人情報：入力前に確認するデータ管理の実務

生成AIへ個人情報を入力する前に確認する、目的、最小化、契約、保存、共有、削除の実務手順。

生成AIへ文章を貼り付ける操作は簡単でも、その文章に氏名、連絡先、顧客履歴、人事情報、相談内容などが含まれていれば、通常の情報管理と個人情報保護の検討が必要です。「AIだから特別」ではなく、どの情報を、誰が、何の目的で、どの事業者へ送るかを確認します。

個人情報保護委員会は「生成AIサービスの利用に関する注意喚起等」を公表しています。実務では、その注意喚起と個人情報保護法、自社規程、委託・第三者提供に関する判断、利用サービスの最新契約条件を組み合わせて確認します。この記事は法的助言ではありません。個別案件は個人情報保護責任者や法務担当へ相談してください。

組織全体の入力ルールと責任分担は生成AIの社内ルール設計と併せて決めます。

最初に確認する3つの問い

1. 本当に個人データが必要か

要約、分類、文章校正などでは、氏名や連絡先を削除しても目的を達成できる場合があります。必要最小限へ減らし、仮名やダミーデータで検証できないかを先に考えます。

単に名前を消しただけで、再識別できないとは限りません。部署、地域、希少な属性、具体的な出来事の組合せで個人が分かる可能性があります。「匿名化済み」という判断は、実際のデータと利用文脈に基づいて行います。

2. 送信先とデータの扱いを説明できるか

利用するサービスと契約プランを特定し、少なくとも次を確認します。

  • 入力・出力が学習やサービス改善に使われるか
  • 保存期間と削除方法
  • 管理者が設定できるデータ制御
  • 共有リンクや履歴の公開範囲
  • 委託先・再委託先の取扱い
  • データの保存・処理地域
  • インシデント時の通知

同じブランドでも個人向け、法人向け、APIで条件が異なる場合があります。一般的な評判ではなく、契約するサービスの最新文書で確認します。たとえばOpenAIは、Business、Enterprise、Edu、Healthcare、Teachers、APIの組織データを既定でモデル学習に使用しない旨を公式ページで説明していますが、実際の利用条件、設定、対象製品は契約時に再確認が必要です。

保存、削除、再委託などを含む契約前の確認項目は生成AIサービスの調達・契約チェックリストで整理します。

3. 利用目的と本人への説明に整合するか

収集時に示した利用目的から外れていないか、第三者提供・委託などの整理が必要か、本人の権利へ影響しないかを確認します。採用、評価、与信など、個人へ大きな影響を与える用途は、単なる文章支援より厳しい検討が必要です。

入力前チェック

項目確認内容
目的AIを使う必要と具体的な成果物が説明できる
最小化不要な識別情報を削除した
許可自社規程と業務Ownerの許可範囲内である
契約対象製品・プランのデータ条件を確認した
権限利用者と管理者を必要最小限にした
出力出力に個人情報が残る場合の保存・共有を決めた
削除終了時の削除・エクスポート方法が分かる
事故誤入力や誤共有時の連絡先が分かる

ひとつでも不明なら、個人データを入力せず、ダミーデータで作業設計だけを確認します。

出力側にも個人情報が現れる

入力に氏名がなくても、AIが既知情報や文脈から人物に関する内容を生成することがあります。出力が正しいとは限らず、誤った属性や評価を個人へ結び付ければ不利益が生じます。外部利用前に、本人特定、事実確認、必要性、表現の妥当性を人が確認します。

ログと共有の落とし穴

プロンプト履歴、評価データ、画面キャプチャ、共有リンクにも個人情報が残り得ます。AI本体の設定だけでなく、ブラウザ拡張、連携アプリ、チケット、社内チャットへの転記もデータフローへ含めます。事故調査のための記録と、不要な長期保存を区別します。

まとめ

生成AIと個人情報の実務では、「入力してよいか」を製品名だけで決めません。目的、必要性、送信先、契約、保存、共有、人への影響を確認し、不明な場合は入力しないことが基本です。

Sources