- AIへの入力は「第三者提供にも委託にも当たらない」「委託」「第三者提供」の3つに分かれ、どれに当たるかで必要な手続きが変わる
- 分かれ目は料金プランではなく、提供事業者が個人データを取り扱うことになっているかどうか
- 契約書で見るのは2点。学習に使われないか、自分たち以外が中身を見られない契約か
- お客様の情報を入れるときは、委託か第三者提供かで本人の同意の要否が変わる
- OpenAI・Anthropic・Googleは外国の事業者なので、委託でも原則は本人の同意が必要になる
個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日）と、同委員会のガイドラインに関するQ&A（1-Q7-53／1-Q7-37／1-Q12-1）、および令和8年改正個人情報保護法の公表資料を参照しています。出典は記事末に記載しています。
「有料プランに契約しているから、AIに個人情報を入れても大丈夫」。この理解は成り立ちません。料金を払っているかどうかと、そのサービスが入力データをどう扱うかは、別の問題だからです。
個人情報保護法では、AIサービスへの入力が3つのどれに当たるかで、必要な手続きが変わります。この記事では、その分かれ目と、契約書のどこを読めばよいのかを整理します。
入力が3つのどれに当たるかで、必要な手続きが変わる
- 法律上の位置づけ
- 第三者提供にも委託にも当たらない
- 必要な手続き
- 本人の同意は不要。委託先の監督義務も生じない（自社の安全管理措置は必要）
- 法律上の位置づけ
- 委託
- 必要な手続き
- 本人の同意は原則不要。ただし委託先を監督する義務が生じる
- 法律上の位置づけ
- 第三者提供に当たりうる
- 必要な手続き
- 原則として本人の同意が必要
| データの扱われ方 | 法律上の位置づけ | 必要な手続き |
|---|---|---|
| 契約で提供事業者が中身を取り扱わないと定められ、アクセス制御もされている | 第三者提供にも委託にも当たらない | 本人の同意は不要。委託先の監督義務も生じない（自社の安全管理措置は必要） |
| 事業者が、委託された業務の範囲で個人データを取り扱う | 委託 | 本人の同意は原則不要。ただし委託先を監督する義務が生じる |
| 入力したデータが、回答を返す以外の目的にも使われる | 第三者提供に当たりうる | 原則として本人の同意が必要 |
個人情報保護委員会は、クラウドサービスを使う場合の判断基準を示しています。基準になるのは「保存したデータに個人データが含まれるか」ではなく、その事業者が個人データを取り扱うことになっているかどうかです。
契約条項で取り扱わないと定められ、適切にアクセス制御がされていれば、第三者提供にも委託にも当たりません。この場合、本人の同意も、事業者に対する監督義務も生じません。
有料プランであることは、判断材料になっていない
個人向けの有料プランにも、学習をオフにする設定はあります。ただしそれは「学習に使わない」という一点の話です。
事業者側が中身を取り扱わないことや、アクセス制御まで契約で定めているとは限りません。先ほどの表でいうと、いちばん上の行に入れてよいのかを確認できない状態にあたります。
法人向け・組織向けのプランは、この点を契約条項として定めていることが多く、入力データを学習に使わない設定が初期状態になっている場合もあります。お客様や従業員の個人情報を扱うのであれば、法人プランが出発点になります。
ただし、法人プランに変えれば終わりでもありません。プラン名ではなく、実際の契約書の記載で決まるからです。
契約書で確認するのは2点だけ
入力したデータが学習に使われない設定・契約になっているか
個人情報保護委員会は、生成AIサービスについて注意喚起を出しています。本人の同意を得ずに個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法に違反する可能性があるという内容です。
そのうえで、提供事業者がそのデータを機械学習に利用しないことを十分に確認するよう求めています。
自分たち以外が中身を見られない契約になっているか
学習に使わないことと、事業者の担当者が中身を見られないことは別の話です。契約条項として「取り扱わない」と定められているか、アクセス制御がされているかを確認します。
大手のAIサービスは、この2点を利用規約やデータ処理に関する契約に記載しています。規模の小さいサービスほど、この記載があいまいだったり、そもそも書かれていなかったりします。
「AI搭載」とうたっていても、裏側でどのAIを使っているかが書かれていないサービスでは、この確認自体ができません。地域の中小企業が業務システムに付属したAI機能を使う場面では、ここが盲点になりやすい部分です。
お客様の情報を入れる場合は、論点がもう1つ増える
自社の情報であれば、自分たちの判断で入れるかどうかを決められます。お客様から預かった個人情報となると、本人の同意が必要になる場合が出てきます。ここで登場するのが「委託」と「第三者提供」です。
- 委託
- 自社の指示の範囲で処理してもらう
- 第三者提供
- 回答を返す以外の目的にも使われる
- 委託
- 原則として不要
- 第三者提供
- 原則として必要
- 委託
- 委託先を監督する義務
- 第三者提供
- 同意の取得と記録の作成
| 委託 | 第三者提供 | |
|---|---|---|
| データの扱われ方 | 自社の指示の範囲で処理してもらう | 回答を返す以外の目的にも使われる |
| 本人の同意 | 原則として不要 | 原則として必要 |
| 自社に生じる義務 | 委託先を監督する義務 | 同意の取得と記録の作成 |
注意したいのは、契約書に「委託」と書いてあれば委託になる、というものではない点です。
個人情報保護委員会は、委託に該当しない例として、委託された業務と関係のない自社の営業活動に使う場合や、複数の委託元から預かったデータを区別せずに混ぜて扱う場合を挙げています。実際にどう扱われるかで決まります。
見落としやすい論点が2つある
相手が海外の事業者であること
OpenAI、Anthropic、Googleは、いずれも外国の事業者です。委託であっても、外国にある第三者へ個人データを渡す場合は、原則として本人の同意が必要とされています。
同意が不要になるのは、十分性認定を受けた国（EUおよび英国）である場合、相手が国内事業者と同等の措置を継続して講じる体制（基準適合体制）を整えている場合、法27条1項の例外に当たる場合です。
法人向けサービスの多くは、この基準適合体制で対応できる設計になっています。そう書かれていることを、契約書やデータ処理に関する契約で確かめるのが実務になります。
そもそも利用目的の範囲に収まっているか
その個人情報を集めたときに伝えた利用目的から外れていないか、という論点もあります。個人情報保護委員会も、個人情報を含むプロンプトを入力する場合には、特定した利用目的の達成に必要な範囲内であることを十分に確認するよう求めています。
自社で確認する手順
AIに情報を入れる前の5ステップ
- 01
個人が特定できる情報が入っていないかを見る
氏名、連絡先、顔写真、社員番号、カルテ番号など、その人にたどり着ける情報が含まれていないかを確認します。会議の音声、見積書、履歴書、問い合わせメールは、たいてい含まれています。
- 02
契約書で3点を確認する
学習利用の有無、事業者が個人データを取り扱うかどうか、アクセス制御の3点です。利用規約かデータ処理に関する契約（DPA）に書かれています。書かれていなければ、そのサービスには入れないという判断になります。
- 03
お客様の情報かどうかで分ける
自社の情報なら自分たちの判断で決められます。お客様から預かった情報なら、委託として進められるのか、本人の同意が必要なのかを整理します。
- 04
海外の事業者かどうかを見る
主要な生成AIサービスは外国の事業者です。基準適合体制についての記載があるかを契約書で確認します。
- 05
判断がつかなければ、入れない
氏名をAさん、社名をB社に置き換えれば、多くの相談はそのまま通せます。実務では、この置き換えがいちばん効きます。個人情報を入れないと成立しない相談は、それほど多くありません。
AIに任せることと、人が確認すること
- AIに任せてよいこと
- 文字起こし、要点の整理、決定事項の抽出
- 人が必ず確認すること
- 入れる前に、参加者の氏名を伏せるかどうかの判断
- AIに任せてよいこと
- 項目の整理、比較表への変換
- 人が必ず確認すること
- 取引先の担当者名が含まれていないか。金額の転記
- AIに任せてよいこと
- 記載項目の一覧化、フォーマットの統一
- 人が必ず確認すること
- 応募者本人への説明と同意。採否の判断はAIにさせない
- AIに任せてよいこと
- 文面の下書き、言い回しの調整
- 人が必ず確認すること
- お客様の氏名・連絡先を入れずに済む形にできるか
| 場面 | AIに任せてよいこと | 人が必ず確認すること |
|---|---|---|
| 会議の音声から議事録を作る | 文字起こし、要点の整理、決定事項の抽出 | 入れる前に、参加者の氏名を伏せるかどうかの判断 |
| 見積書や請求書を読み取る | 項目の整理、比較表への変換 | 取引先の担当者名が含まれていないか。金額の転記 |
| 応募書類を整理する | 記載項目の一覧化、フォーマットの統一 | 応募者本人への説明と同意。採否の判断はAIにさせない |
| 問い合わせメールに返信文を作る | 文面の下書き、言い回しの調整 | お客様の氏名・連絡先を入れずに済む形にできるか |
2026年の法改正は、まだ施行されていない
個人情報保護法の改正法が2026年7月17日に公布されました。一部を除き、公布から2年以内の政令で定める日に施行されます。統計等の作成を行う第三者への提供について本人の同意を不要とする措置や、課徴金制度の導入などが含まれます。
ただし現時点では未施行です。今日の判断は現行法で行うことになります。施行にあわせて政令・規則・ガイドラインが整備される予定なので、その内容が公表された時点で、あらためて自社の運用を見直すのが現実的です。
本記事は公表資料にもとづく一般的な整理であり、法的助言ではありません。実際の判断は、契約内容・扱う情報・業種によって変わります。判断に迷う場面では、顧問弁護士または個人情報保護委員会の相談窓口にご確認ください。
- 1「有料プランだから入れてよい」は成り立たない。料金と、データの扱われ方は別の問題
- 2分かれ目は、提供事業者が個人データを取り扱うことになっているかどうか
- 3契約書で見るのは2点。学習に使われないか、自分たち以外が中身を見られない契約か
- 4お客様の情報を入れるときは、委託か第三者提供かで本人の同意の要否が変わる。契約書に「委託」と書けば委託になるわけではない
- 5主要な生成AIは外国の事業者。委託でも原則は同意が必要で、基準適合体制の記載で確認する
- 6判断がつかなければ入れない。氏名をAさん、社名をB社に置き換えれば多くの相談は通せる
参考情報
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（令和5年6月2日）: https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/
- 個人情報保護委員会 ガイドラインQ&A 1-Q7-53（クラウドサービスの利用と第三者提供・委託の判断基準）: https://www.ppc.go.jp/all_faq_index/faq1-q7-53/
- 個人情報保護委員会 ガイドラインQ&A 1-Q7-37（委託に該当しない場合の事例）: https://www.ppc.go.jp/all_faq_index/faq1-q7-37/
- 個人情報保護委員会 ガイドラインQ&A 1-Q12-1（外国にある第三者への委託と本人の同意）: https://www.ppc.go.jp/all_faq_index/faq1-q12-1/
- 個人情報保護委員会「令和8年 改正個人情報保護法について」: https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/
