中小企業が生成AIを使うときに知っておくべき個人情報保護の基本と実務対応

なぜ今、生成AIの個人情報対応が中小企業にも必要なのか

業務効率化を目的に、まずはChatGPTなどの生成AIを使ってみようと考える企業は増えています。しかし実際の現場では、顧客の氏名や連絡先、社員の評価情報、取引先とのやり取りをそのままツールに入力してしまうケースが少なくありません。

問題は、こうした使い方が個人情報保護法の観点から、グレーゾーンにとどまらず、明確なリスクになりうることです。大企業であれば、法務部門や情報セキュリティ担当がガイドラインを整備できる場合があります。一方で、社内にシステムや法律に詳しい人材がいない中小企業では、問題に気づかないまま運用が続いてしまいやすいのが実情です。

個人情報保護法に違反した場合、社名公表だけでなく、法人に対して最大1億円以下の罰金が科される可能性もあります。「うちは小規模だから大丈夫」という考え方は、もはや通用しません。生成AIを業務に取り入れるのであれば、法的な最低限の知識と、現実的な安全策をあわせて押さえておくことが不可欠です。

生成AIで個人データが関わる代表的な場面

まず確認したいのは、どのような業務で個人情報が生成AIに触れるのかという点です。

顧客対応や問い合わせ業務では、メール文面の作成や返信案の作成に生成AIを使うケースが増えています。このとき、送信者の氏名、メールアドレス、相談内容などをそのまま入力して返信案を作らせることがありますが、これは個人情報を外部サービスに送信している状態です。

社内資料や議事録の作成でも同様です。会議内容を文字起こしし、生成AIに要約を依頼する場面では、参加者の氏名、発言内容、プロジェクト名、取引先情報などが含まれていることが珍しくありません。

採用や人事の領域では、さらに慎重な対応が求められます。応募者の履歴書、面接メモ、社員の評価コメントを整理・要約するために生成AIを使いたい場面もありますが、こうした情報には、特に慎重な取り扱いが必要な情報が含まれることがあります。

まず押さえておきたい「個人情報」の基本区分

個人情報保護法における「個人情報」とは、特定の個人を識別できる情報を指します。氏名はもちろん、メールアドレスや電話番号も、それだけで個人が特定できる場合は個人情報に該当します。

注意したいのは、「氏名を削除すれば問題ない」とは限らないことです。たとえば「30代・女性・〇〇市在住・特定の病気を持つ方」といった記述でも、文脈によっては本人を特定できる可能性があります。このような場合、十分に匿名化されていないデータと判断されることがあります。

法律上、特に慎重な扱いが求められるのが「要配慮個人情報」です。病歴、障害、犯罪歴、信条、人種、労働組合への加入状況などがこれに含まれます。こうした情報は、原則として本人の同意なしに取得・提供できません。

また、「仮名加工情報」と「匿名加工情報」は別のものです。仮名加工情報は、氏名を記号に置き換えるなど一定の加工を施した情報ですが、引き続き適切な管理が必要です。一方、匿名加工情報は、個人を特定できない水準まで加工した情報であり、法的な扱いも異なります。両者を混同しないことが重要です。

法的な判断が分かれる3つのポイント

生成AIの利用が個人情報保護法に抵触するかどうかは、主に3つの観点で判断が分かれます。

利用目的の範囲を超えていないか。 個人情報を取得するときには、何のために使うのかを定めておく必要があります。たとえば、顧客からの問い合わせ対応のために取得した情報を、別用途のマーケティング分析に生成AIで活用する場合、当初の利用目的を超える可能性があります。

外部サービスへの入力が第三者提供にあたるか。 多くの生成AIサービスはクラウド上で提供されており、入力したデータは事業者のサーバーに送信されます。これが第三者提供にあたるかどうかは、契約内容によって変わります。事業者が入力データを自社のAI学習に利用すると定めている場合は、実質的に第三者提供とみなされる可能性があるため、利用規約の確認が欠かせません。

業務委託として整理できるか。 第三者提供の例外として、適切な管理のもとで外部事業者に業務を委託する形があります。ただし、この整理を成り立たせるには、秘密保持やデータ管理条件を明記した契約が必要です。生成AIサービスの中には、法人向けプランで「入力データをAI学習に使わない」「内容を保存しない」といった条件を選べるものもあるため、業務利用ではこうした選択肢を検討するのが現実的です。

同意が必要な場合と、必ずしも必要でない場合

個人情報を使う以上、すべて本人の同意が必要だと思われがちですが、実際には同意が不要なケースもあります。

本人の同意が必要になるのは、主に利用目的の範囲を超えて情報を使う場合や、第三者に提供する場合です。また、要配慮個人情報を取得する場合も、原則として事前の同意が必要です。

一方で、同意なしで進められる場合もあります。たとえば、業務委託として整理でき、委託先との間で適切な契約が締結されているケースでは、第三者提供には該当しないと解釈されます。また、情報を十分に匿名化できていれば、個人情報としての規制対象から外れる可能性があります。

注意したいのは、「社内利用だから問題ない」と考えてしまう場面です。従業員情報を含め、社内で扱う個人情報にも個人情報保護法は適用されます。社内で使うから自由に扱える、という理解は正しくありません。

現実的な安全策：何を実務に組み込むべきか

対策は、最初から完璧である必要はありません。まず重要なのは、リスクの高い使い方を避け、最低限のルールを決めることです。

もっとも取り組みやすく効果が高いのは、入力前に「この情報は本当に必要か」と確認することです。顧客の氏名や連絡先は、要約や文面作成では不要な場合が多く、削除してから入力するだけでもリスクは大きく下がります。これは情報の最小化という考え方です。

次に、利用するサービスの契約内容を確認することが大切です。無料プランでは、入力データがサービス改善やAI学習に使われることがあります。法人向けや有償プランでは、データ利用の範囲が限定されている場合が多いため、費用対効果を踏まえて見直す価値があります。

さらに、データの保存期間を決めておくことも重要です。生成AIとのやり取りに個人情報が含まれる可能性があるなら、不要になった時点で削除する運用を定めておくべきです。使い終わったら消すというルールを浸透させるだけでも、情報漏えいのリスク低減につながります。

社内ルールとして最低限整備すべき事項

社内ルールは、複雑にする必要はありません。まずは最低限の項目を明文化することが大切です。

最初に、「生成AIに入力してよい情報の範囲」を明確にします。たとえば、個人の氏名、連絡先、金額、病歴などは入力禁止とし、それ以外の一般的な業務情報のみ利用可とするだけでも、実務上の基準になります。

次に、「利用目的と手順」を明らかにしておきます。どの業務で、どのツールを、何のために使うのかを記録しておけば、内部確認やトラブル発生時の対応がしやすくなります。

あわせて、「保存・削除・確認の責任者」を決めておくことも重要です。誰がルールの運用を確認し、問題があれば見直すのかが曖昧だと、ルールは定着しません。専任でなくても構いませんが、総務担当や事務リーダーなど、担当者を明確にしておくことが必要です。

よくある誤解とトラブルのパターン

現場で特に多い誤解は、「社内で使っているだけだから問題ない」という考え方です。しかし、クラウド型の生成AIサービスを使っている時点で、情報は外部のサーバーに送信されています。社内利用という認識と、実際の情報の流れが一致していないことがあります。

また、「無料ツールだから手軽に使える」という意識にも注意が必要です。無料ツールほど、利用規約でデータの二次利用を認めているケースがあります。コストを抑えることと、リスクを抑えることは必ずしも両立しないと理解しておくべきです。

さらに、「名前を消したから大丈夫」という誤解もよく見られます。氏名がなくても、複数の情報が組み合わされることで個人を特定できる場合があります。加工しただけでは十分でなく、匿名化とは別物だという認識をチームで共有することが重要です。

今すぐ始めるための3ステップ・ロードマップ

ステップ1（今月中・短期）：使っている生成AIと扱っている情報を洗い出す
まずは現状把握から始めます。どの部門が、どのツールを使い、どのような情報を入力しているかを整理します。担当者へのヒアリングと利用規約の確認をあわせて行うことが重要です。工数は数時間から半日程度で、費用はほぼかかりません。外部の専門家に簡易レビューを依頼する場合は、3万〜10万円程度が目安です。優先度は最も高い項目です。

ステップ2（1〜2ヶ月以内・中期）：入力禁止情報と利用ルールを文書化し、社内に周知する
洗い出した内容をもとに、入力してよい情報と避けるべき情報の基準、利用手順を1〜2ページ程度にまとめます。そのうえで、15〜30分程度の説明の機会を設けると、現場への定着につながります。担当者の工数は数日程度で、外部支援を受ける場合の費用目安は5万〜20万円程度です。優先度は高いといえます。

ステップ3（3〜6ヶ月以内・長期）：契約内容と社内規程を見直し、体制を整える
利用中の生成AIサービスについて、法人向けプランへの移行や、業務委託として整理できる契約条件の確認を進めます。あわせて、プライバシーポリシーや個人情報取扱規程の見直しも行います。弁護士や行政書士への依頼を含める場合、費用は20万〜80万円程度が一つの目安です。優先度は中〜高で、コンプライアンス体制の整備として計画的に進めるのが適切です。