生成AI利用時の個人情報保護法リスクと対策

ChatGPTやCopilotなどの生成AIを業務で使う企業が急増する一方、個人情報保護法違反のリスクに気づかず情報漏えい事故につながるケースが増えています。本記事では、経営者が押さえるべき法的リスクと社内ルールの整備方法を具体的に示します。

• なぜ今「生成AI」と個人情報保護法が経営リスクになるのか
• 個人情報保護法における生成AI利用の基本ルール
• 従業員が生成AIに顧客情報を入力してしまうリスクと実例
• 社内ガイドライン・利用ルールの整備ポイント
• 委託先・外部AIベンダーとの契約で確認すべき事項
• まとめ:個人情報保護法違反を防ぐために今すぐできること

なぜ今「生成AI」と個人情報保護法が経営リスクになるのか

ChatGPTやCopilotなどの生成AIツールは、議事録作成やメール文案の作成、資料の要約など、幅広い業務で活用が進んでいます。便利さの一方で見落とされがちなのが、個人情報保護法との関係です。従業員が顧客リストや取引先の担当者名、問い合わせ内容といった個人情報を含む文章を無意識のうちにAIへ入力してしまうと、入力データが外部のサーバーに送信され、事業者が想定していない形で利用・保存される可能性があります。

個人情報保護委員会は2023年以降、生成AIサービスの利用に関する注意喚起を複数回発出しており、企業が「知らなかった」では済まされない状況になっています。特に中小企業では、明確な利用ルールがないまま従業員が個人の判断でAIツールを使っているケースが多く、情報漏えいや目的外利用が発覚した際に、経営者の管理責任が問われることになります。

万が一、生成AIの利用が原因で個人データの漏えい等が発生し、個人の権利利益を害するおそれが大きいと判断される場合には、個人情報保護法に基づき個人情報保護委員会への報告および本人への通知が義務付けられています。対応を怠れば行政指導や勧告の対象となるだけでなく、報道等を通じて取引先・顧客からの信頼を失い、事業継続に直結するダメージを受けかねません。「便利だから」という理由だけで生成AIの利用範囲を広げる前に、法的リスクを正しく理解しておくことが経営者には求められます。

個人情報保護法における生成AI利用の基本ルール

個人情報保護法上、生成AIの利用そのものが禁止されているわけではありません。重要なのは、個人情報を取り扱う際の基本原則がAI利用時にも適用されるという点です。具体的には次のようなルールを押さえる必要があります。

• 利用目的の範囲内での取り扱い:取得時に特定した利用目的を超えて、個人情報をAIの学習や分析に用いることはできません。
• 第三者提供の制限:AIサービスの提供事業者が海外法人である場合、個人情報の越境移転に該当し、本人同意や体制整備などの追加対応が必要になることがあります。
• 安全管理措置:入力した情報が漏えい・滅失・毀損しないよう、組織的・技術的な安全管理措置を講じる義務があります。

特に注意したいのが、無料版の生成AIサービスの多くが、入力データをAIモデルの再学習に利用する規約になっている点です。有料プランやビジネス向けプランでは学習利用をオプトアウトできる場合が多いため、契約内容の確認が欠かせません。

また、氏名や連絡先を削除・置換した「匿名加工情報」や「仮名加工情報」として扱えば規制の適用が緩和される場合もありますが、加工の程度が不十分で元の個人を推測できる状態であれば、個人情報として扱われ続けます。「マスキングしたから安全」という自己判断は危険であり、加工の基準についても社内で明確化しておく必要があります。

なお、ChatGPT Enterprise、Microsoft 365 Copilot、Google Workspace向けGeminiなどの法人向けプランでは、入力データをAIモデルの学習に使用しない契約設計になっているものが一般的です。個人向け無料プランを従業員が各自の判断で利用する状態を放置するのではなく、会社として法人向けプランを契約し、利用者を限定することが最も現実的なリスク低減策の一つといえます。

従業員が生成AIに顧客情報を入力してしまうリスクと実例

実務でよく見られるのが、以下のようなケースです。

• クレーム対応の記録を要約させるため、顧客の氏名・連絡先を含む文章をそのままAIに貼り付けてしまう
• 採用選考で応募者の履歴書をAIに読み込ませ、評価コメントの作成を依頼する
• 取引先とのメールのやり取りをAIで翻訳・要約する際に、担当者名や契約条件が含まれる

これらは、いずれも業務効率化を目的とした善意の行動である場合がほとんどですが、個人情報保護法上は「取得した個人情報を、本人の同意なく外部の第三者システムに提供した」と評価されるリスクをはらんでいます。実際に、大手企業でも従業員が機密情報や個人情報を生成AIに入力したことが社内で問題化し、利用制限や再発防止策の公表に至った事例が報道されています。中小企業であっても、取引先や顧客からの信頼を損なう事態は避けなければなりません。

特に厄介なのは、こうした入力行為の多くが「会社に無断で」行われるのではなく、業務効率化に熱心な従業員ほど積極的にAIツールを活用しようとする点です。悪意はなくとも、ルールが存在しなければ従業員個人の判断基準に委ねられてしまい、担当者ごとに対応がばらつきます。経営者としては、性善説に頼るのではなく、仕組みとしてリスクを遮断する体制づくりが不可欠です。

社内ガイドライン・利用ルールの整備ポイント

生成AIのリスクを抑えつつ活用のメリットを享受するには、以下のような社内ルールの整備が有効です。

1. 入力してよい情報・禁止する情報の明確化

氏名・住所・電話番号・メールアドレスなどの個人情報や、取引先固有の非公開情報は原則入力禁止とし、匿名化・仮名化した上での利用を基本とするルールを定めます。

2. 利用ツールの限定と契約内容の確認

従業員が自由に無料版ツールを使うのではなく、会社として契約したビジネス向けプラン(学習利用オプトアウトが可能なもの)に利用を限定します。

3. 教育・研修の実施

ルールを整備しても、従業員がリスクを理解していなければ形骸化します。定期的な研修を通じて、具体的な入力禁止事例を共有することが実効性を高めます。

4. 違反時の報告体制

誤って個人情報を入力してしまった場合の報告フローをあらかじめ定め、迅速に個人情報保護委員会への報告や本人への通知が必要かどうかを判断できる体制を整えておきます。

5. 利用状況のモニタリング

ルールを定めるだけでなく、実際にどのAIツールがどの部署でどのように使われているかを定期的に棚卸しすることも重要です。IT部門やコンプライアンス担当が主体となり、半年に一度程度は利用実態を確認し、規程と実務の乖離がないかをチェックする体制を持つ企業が増えています。

委託先・外部AIベンダーとの契約で確認すべき事項

自社で生成AIを直接利用する場合だけでなく、業務委託先がAIツールを使って自社の顧客情報を処理するケースにも注意が必要です。委託契約を締結する際は、次の点を確認しましょう。

• 委託先が生成AIを利用する場合の入力データの取り扱い方針が明記されているか
• 再委託先も含め、個人情報の安全管理措置が契約上担保されているか
• AIサービスの提供事業者が海外にサーバーを置く場合、越境移転に関する同意取得や体制整備がなされているか
• 契約終了後のデータ削除・返還について取り決めがあるか

委託先の管理を怠ると、たとえ自社が直接AIを利用していなくても、委託先の監督義務違反として個人情報保護法上の責任を問われる可能性があります。委託契約書に生成AI利用に関する条項を追加することは、今後の企業法務における必須の対応といえるでしょう。

既存の業務委託契約書に生成AIに関する条項がない場合は、覚書等で「委託業務の遂行にあたり生成AIを利用する場合は事前に甲の書面による承諾を得るものとする」といった一文を追加するだけでも、無断利用の抑止と責任の所在の明確化につながります。契約書の見直しは、トラブルが発生してからでは遅く、平時のうちに対応しておくことが望ましい対応です。

まとめ:個人情報保護法違反を防ぐために今すぐできること

生成AIは業務効率を大きく向上させる強力なツールですが、個人情報保護法への配慮なく導入すると、情報漏えいや信用失墜といった重大なリスクを招きます。まずは自社における生成AIの利用実態を把握し、入力禁止情報の明確化、契約内容の確認、従業員教育、委託先管理という4つの観点から、社内体制を見直すことをおすすめします。

最後に、今日から着手できるチェックポイントを整理します。

• 自社で従業員が使っている生成AIツールを洗い出す(無料版・個人契約の有無を含む)
• 個人情報や機密情報の入力を禁止する社内ルールを文書化する
• 法人向けプラン(学習利用オプトアウト可能なもの)への移行を検討する
• 業務委託契約書に生成AI利用に関する条項があるかを確認する
• 誤入力発生時の報告・対応フローを整備する

生成AIの利用ルール整備や委託契約の見直しについて、自社だけで判断するのが難しいと感じる場合は、専門家への相談が有効です。個人情報保護法や生成AI関連の実務対応でお悩みの際は、ぜひLeONE法律事務所へお気軽にお問い合わせください。初回相談は無料です。

また、社内規程の整備や委託契約書のレビューなど、継続的なサポートが必要な場合は企業法務サービスの詳細はこちらからご確認いただけます。