← AIの基礎知識

個人情報とAI——入力してよいかを、その場の判断に任せない

公開: 2026年9月8日 3分で読めます（約1,828文字） 執筆: 北村 惇士（プロフィール）

AIを業務に入れるとき、いちばん止まりやすいのがこの論点です。顧客名簿、問い合わせ履歴、従業員の情報。どこまで入れてよいのか。

その場の判断に任せてはいけない領域なので、先に線を引いておきます。

見る観点は三つ

法律の条文から入ると難しくなるので、実務で判断するときの観点に絞ります。

① 当初の利用目的の範囲に収まるか。個人情報を取得したときに、何のために使うと伝えているか。その範囲の中での利用なら、扱いは整理しやすくなります。範囲を超える場合は、別の手当てが要ります。

② サービス提供者をどう位置づけるか。AIサービスに入力するということは、その事業者にデータが渡るということです。委託として整理するのか、別の整理をするのか。委託であれば、委託先を監督する責任が自社に残ります。

③ 入力内容がどう扱われるか。学習に使われるか、どのくらい保存されるか（入力データの学習利用）。ここを確認していない状態で個人情報を入れると、②の監督責任を果たしたと言いにくくなります。

三つとも、AIに固有の話ではありません。クラウドサービスを導入するときに確認してきたことと同じ枠組みです。目新しい技術ほど、既存の判断基準が使えます。

子育ての現場でいうと

連絡網には、他所の家の電話番号が並んでいます。

これは、その目的のために預かったものです。緊急の連絡に使う。それ以外には使わない。子どもにも、勝手に写真を撮ったり友達に見せたりしないよう言います。当たり前のことですが、当たり前だからこそ、最初に言葉にしておくから守られます。

AIサービスへ個人情報を入力するときも、判断の形は同じです。何のために預かった情報か。その範囲の中の利用か。

国の注意喚起も、そこを起点にしています。

個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合には、特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること。

（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」令和5年6月2日・別添1）

新しい道具が出てきたときほど、預かりものをどう扱ってきたかという既存の作法が効きます。連絡網で守ってきた線を、そのまま引けばいい。

伏せて使う、という当座の運用

線引きが固まるまで全面禁止にすると、現場は止まり、見えないところで使われ始めます（シャドーAI）。

多くの会社が採っているのは、固有名詞を伏せて使う運用です。

• 「A社の田中様から、納期についてお問い合わせ」→「取引先から、納期について問い合わせ」
• 「社員番号1234の評価について」→「入社三年目の担当者の評価について」

置き換えても、判断の相談はほぼ成立します。回答の質も、思ったほど落ちません。相談したい中身は、たいてい固有名詞の側にはないからです。

この運用を明文化しておくと、現場は迷わず動けます。禁止と自由の間に、実際に使える段が一つ入ります。

人の待遇に関わる判断

もう一つ、線を引いておく領域があります。

採用の選考、人事評価、与信の判断。人の権利や待遇に直接関わる判断を、AIの出力だけで決めない。これは国が示した指針でも注意が向けられている点です（AI事業者ガイドライン）。

下調べや情報の整理に使うことと、判断そのものを任せることは別です。ここを区別せずに導入すると、後から説明ができなくなります。使ってよい範囲を「材料づくりまで」と書いておくと、現場も判断できます。

決めておくこと

社内で先に決めておくと、迷いが消えるものを挙げます。

1. 個人情報を入力してよいサービスは、どれか（一つに絞る）
2. 入力してよい場面は、どこまでか（伏せる運用を含めて）
3. 人の待遇に関わる判断には、どこまで使ってよいか
4. 迷ったときは、誰に聞くか

社内AI利用ルールの一枚に、この四つを含めておけば足ります。分厚い規程は読まれません。

なお、ここに書いたのは公開時点での一般的な整理であり、法的な助言ではありません。個別の事案については、個人情報保護委員会が公表している資料や、顧問弁護士など専門家にご確認ください。