B-39：生成AIに個人情報を入れてよいか。範囲は、あとから広げられます

使い始めのころは、入れないでよかった

AIを使い始めたばかりの会社が、まず手をつけるのは社内向けの文章や調べものです。案内文の下書き、議事録の整理、言葉の意味を聞く。ここにお客様の情報は出てきません。

だから「顧客の個人情報は入れない」と決めておけば足りていました。「 B-21：社員がAIを使い始めたら、社長は何をすべきか？ —ルール・評価・教育、現場導入後にやるべきこと」でお伝えしたA4一枚のルールは、この段階のためのものです。

ところが、使い慣れてくると景色が変わります。手間のかかっている仕事にこそ使いたくなるからです。見積書、問い合わせへの返信、記録の整理、名簿の突き合わせ。そのどれもが、お客様のデータを扱う仕事です。

まず、業種を問わない線があります

2023年6月、国の個人情報保護委員会が、生成AIの利用について注意喚起を出しています。書かれているのは、こういうことです。

本人の同意を得ずに、個人データを含む指示文をAIに入力し、そのデータが「返事を返す」以外の目的で扱われるなら、個人情報保護法に違反することになる可能性がある。だから入力する前に、そのサービスの提供事業者が機械学習に利用しないことを十分に確認する必要がある。

これは介護でも金融でも製造業でもない、すべての会社にかかる話です。ここが「 B-19：AIを使うときに社長が知っておくべきリスク —情報漏洩・著作権・丸投げの落とし穴」でお伝えしたプランの話とつながります。無料の個人向けアカウントなのか、学習に使わないと契約で決めている法人向けなのか。あの判断は、この線を越えないためのものでした。

ただし、注意していただきたいことがあります。プランを選ぶことで解決するのは、「学習に使われるかどうか」だけです。

その先に、自社では動かせない線があります

お客様のデータは、自社が作ったものではありません。預かったものです。

預かるときに、何のために使うかを相手に伝えています。見積りのため、配送のため、契約の履行のため。その範囲で預かっています。AIに読ませることは、たいていその範囲に入っていません。

📌 問いが2つあります。混ぜないでください
①この情報が外に出ても、会社として大丈夫か。自社の損得で引く線です。判断するのは自社です（B-19でお伝えした問いです）。
②この情報を、AIに読ませてよいと相手は言っているか。相手の権利で引く線です。判断するのは自社ではありません。

法人プランへの変更が効くのは、①だけです。②は、契約の内容を変えても、料金を上げても動きません。持ち主が決めることだからです。

法人相手の商売なら、関係ないのでしょうか

ここで、こう思われた方がいると思います。「うちは会社が相手だ。個人情報の話ではないし、取引先の情報はもともと公開されている」。

もっともな感覚です。ただ、国の見解は違っています。個人情報保護委員会が公開しているよくある質問には、こう書かれています。

• 法人の代表者の情報は、個人情報にあたります。取引先の担当者の名前も同じです。
• 登記簿で公開されていても、個人情報であることに変わりはありません。取得するときには、利用目的を決める必要があります。官報や新聞に載っている情報も同じ扱いです。
• ただし、会社名でしか引けない構成の名簿なら、個人データにはあたりません。担当者名で検索できる形にしていると、あたります。

「公開されているから自由に使える」は成り立ちません。公開されているかどうかは、判定の条件に入っていないからです。最後の1件だけは、自社の作り方しだいで変えられます。

法人相手では、線を引いているのが契約になります

BtoBの現場で扱うものの多くは、そもそも個人情報ではありません。この領域はB-19でも触れています。出願前の技術情報、発表前の新製品、締結前の交渉内容。あちらは「時期」で仕分けました。出願が済めば、発表が済めば、入れてよくなる。時が来れば解けるという整理です。

ところが、時が来ても解けないものがあります。

取引先と秘密保持契約を交わして預かった資料です。相手が公開すると決めない限り、こちらの都合で期限は来ません。そして、外部のAIに入れる行為が「第三者への開示」にあたるかどうかが問われます。取引先から届くセキュリティチェックシートで再委託や外部提供を聞かれるのは、この確認です（「 B-15：取引先から「セキュリティチェックシート」が届いた —中小企業経営者のための正しい答え方と事前準備」）。

そして、見落とされやすいのが自社の側です。

不正競争防止法で営業秘密として守られるには、条件があります。経済産業省の指針では、有用であること、公然と知られていないこと、そして秘密として管理していることの3つです。社員が誰の許可も得ずにAIへ貼っている状態を放置していると、3つ目が崩れます。

性質が逆になります。個人情報や出願前の技術情報は「漏れたら困る」話です。営業秘密は、入れたこと自体で、守ってもらえる立場のほうを失いかねない話です。漏れたかどうかを待たずに効いてきます。

業種によっては、線がもっと手前にあります

法律には要配慮個人情報という区分があります。病歴、障害、信条、犯罪の経歴など、扱いを誤ると差別や偏見につながる情報のことです。これらは、手に入れる段階から本人の同意が原則として必要です。外に出したときの話ではなく、持った時点で問われます。

この種の情報が業務の中心にある業種には、国が別の指針を出しています。

• 医療・介護：病歴や障害の記録が仕事そのものです（個人情報保護委員会と厚生労働省のガイダンス。2026年4月に一部改正）。
• 金融（銀行・保険・証券・貸金）：一般の法律より厳しくなっています。保健医療や本籍地などを機微情報と呼び、手に入れること・使うこと・第三者へ渡すことが原則として禁止されています（個人情報保護委員会と金融庁のガイドライン。2026年4月1日施行の改正版）。
• 電気通信：通信の秘密が法律で守られており、罰則があります。
• 士業（税理士・弁護士・社会保険労務士など）：法律上の守秘義務があり、外部のAIに入れる行為が第三者への開示にあたるおそれがあります。資格ごとの団体が、AI利用の指針を出し始めています。
• 学校・保育：子どもの情報を扱うため、文部科学省が別にガイドラインを出しています（2024年12月）。

ここに当てはまる会社は、法人プランに変えても越えられません。プランが解決するのは学習の話で、手に入れることと使うことの同意は、別に必要だからです。

自社の業種だけで判断しないでください。取引先がこれらの業種であれば、そこから預かっているデータも同じ扱いになります。

範囲は、あとから広げられます

ここまで読んで、「うちは使えないということか」と感じた方がいるかもしれません。そうではありません。

線を引いているのが相手なら、相手に聞けばよい。やることは決まっています。

相手が個人か会社かで、聞く先が変わるだけです。やることは同じです。

筆者の余談

この記事のまとめ