AIに個人情報を入れていい？有料プランでは足りない理由と、委託・第三者提供の線引き

まず早見表で確認する

日々の業務で扱う情報を、そのままAIに入れてよいかどうかで並べました。

判定	情報の種類	どうするか
◯	自社の売上表、商品説明、社内マニュアル、業務手順書	そのまま入れてよい
◯	会議の議事録（氏名を役職や記号に置き換えたもの）	そのまま入れてよい
△	社員の氏名が入った名簿、勤怠データ、評価シート	法人プランで、契約書の2点（後述）を確認してから
△	取引先の担当者名が入った見積書、メール、名刺	同上。あわせて委託に当たるかを整理する
×	応募者の履歴書、お客様のカルテ・相談記録・与信情報	本人への説明と同意なしには入れない
×	マイナンバー、クレジットカード番号、口座番号	入れない

△の行が、この記事でいちばん時間をかけて説明する部分です。プランと契約書しだいで、入れてよいかどうかが変わります。

入れてよいかを、この順番で確認する

上から順に答えていくと、自社の場合の結論にたどり着けます。

3つのどこに当たるかで、必要な手続きが変わる

データの扱われ方	法律上の位置づけ	必要な手続き
契約でAI提供事業者が中身を取り扱わないと定められ、アクセス制御もされている	第三者提供にも委託にも当たらない	本人の同意は不要。委託先の監督義務も生じない（自社の安全管理措置は必要）
事業者が、委託された業務の範囲で個人データを取り扱う	委託	本人の同意は原則不要。ただし委託先を監督する義務が生じる
入力したデータが、回答を返す以外の目的（学習など）にも使われる	第三者提供に当たりうる	原則として本人の同意が必要

個人情報保護委員会は、クラウドサービスを使う場合の判断基準を示しています。

基準になるのは「保存したデータに個人データが含まれるか」ではなく、その事業者が個人データを取り扱うことになっているかどうかです。

契約条項で取り扱わないと定められ、適切にアクセス制御がされていれば、第三者提供にも委託にも当たりません（ガイドラインQ&A 1-Q7-53）。

有料プランであることは、判断材料になっていない

個人向けの有料プランにも、学習をオフにする設定はあります。

ただしそれは「学習に使わない」という一点の話です。事業者側が中身を取り扱わないことや、アクセス制御まで契約で定めているとは限りません。

先ほどの表でいうと、いちばん上の行に入れてよいのかを確認できない状態にあたります。

法人向け・組織向けのプランは、この点を契約条項として定めていることが多く、入力データを学習に使わない設定が初期状態になっている場合もあります。お客様や従業員の個人情報を扱うのであれば、法人プランが出発点になります。

ただし、法人プランに変えれば終わりでもありません。プラン名ではなく、実際の契約書の記載で決まるからです。

契約書で確認するのは2点だけ

入力したデータが学習に使われない設定・契約になっているか

個人情報保護委員会は、生成AIサービスについて注意喚起を出しています。

本人の同意を得ずに個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法に違反する可能性があるという内容です。

そのうえで、提供事業者がそのデータを機械学習に利用しないことを十分に確認するよう求めています（生成AIサービスの利用に関する注意喚起等・令和5年6月2日）。

自分たち以外が中身を見られない契約になっているか

学習に使わないことと、事業者の担当者が中身を見られないことは別の話です。

契約条項として「取り扱わない」と定められているか、アクセス制御がされているかを確認します。ここが明記されていれば、表のいちばん上の行に入ります。

大手のAIサービスは、この2点を利用規約やデータ処理に関する契約に記載しています。規模の小さいサービスほど、この記載があいまいだったり、そもそも書かれていなかったりします。

入れる前に、情報を書き換えれば済むことが多い

個人情報を入れないと成立しない相談は、実務ではそれほど多くありません。

お客様からのご指摘に返信文を作る場面を例にします。

氏名・居住地・納品日・商品名を落としても、返信文の品質はほとんど変わりません。AIが必要としているのは、相手の属性と状況の輪郭だからです。

議事録なら参加者を「営業部長」「経理担当」に、名簿なら氏名を「A」「B」に置き換えます。この一手間で、上の判断フローの1番で終われます。

お客様の情報を入れる場合は、論点がもう1つ増える

自社の情報であれば、自分たちの判断で入れるかどうかを決められます。

お客様から預かった個人情報となると、本人の同意が必要になる場合が出てきます。ここで登場するのが「委託」と「第三者提供」です。

項目	委託	第三者提供
データの扱われ方	自社の指示の範囲で処理してもらう	回答を返す以外の目的にも使われる
本人の同意	原則として不要	原則として必要
自社に生じる義務	委託先を監督する義務	同意の取得と記録の作成

注意したいのは、契約書に「委託」と書いてあれば委託になる、というものではない点です。

個人情報保護委員会は、委託に該当しない例として、委託された業務と関係のない自社の営業活動に使う場合や、複数の委託元から預かったデータを区別せずに混ぜて扱う場合を挙げています（ガイドラインQ&A 1-Q7-37）。実際にどう扱われるかで決まります。

見落としやすい論点が2つある

相手が海外の事業者であること

OpenAI、Anthropic、Googleは、いずれも外国の事業者です。

委託であっても、外国にある第三者へ個人データを渡す場合は、原則として本人の同意が必要とされています。

同意が不要になるのは、十分性認定を受けた国（EUおよび英国）である場合、相手が国内事業者と同等の措置を継続して講じる体制（基準適合体制）を整えている場合、法27条1項の例外に当たる場合です（ガイドラインQ&A 1-Q12-1）。

法人向けサービスの多くは、この基準適合体制で対応できる設計になっています。そう書かれていることを、契約書やデータ処理に関する契約で確かめるのが実務になります。

そもそも利用目的の範囲に収まっているか

その個人情報を集めたときに伝えた利用目的から外れていないか、という論点もあります。

個人情報保護委員会も、個人情報を含むプロンプトを入力する場合には、特定した利用目的の達成に必要な範囲内であることを十分に確認するよう求めています。

もう入れてしまった場合にどうするか

そのうえで、順に確認します。

1. そのサービスの学習利用の設定を確認し、オフにする
2. 会話履歴の削除や、学習利用のオプトアウト窓口があるかを調べる
3. 契約書を読み直し、上の3分類のどこに当たっていたのかを確定させる
4. 本人への説明が必要な状態だったかを整理する

漏えいなどが疑われる場合、個人情報保護委員会への報告と本人への通知が必要になることがあります。

この判断は要件が細かいため、該当しそうな場合は自己判断で終わらせず、顧問弁護士や個人情報保護委員会の相談窓口に確認してください。

2026年の法改正は、まだ施行されていない

個人情報保護法の改正法が2026年7月17日に公布されました。一部を除き、公布から2年以内の政令で定める日に施行されます（個人情報保護委員会）。

統計等の作成を行う第三者への提供について本人の同意を不要とする措置や、課徴金制度の導入などが含まれます。

ただし現時点では未施行です。今日の判断は現行法で行うことになります。

施行にあわせて政令・規則・ガイドラインが整備される予定です。その内容が公表された時点で、あらためて自社の運用を見直すのが現実的です。