個人情報を生成AIに入力してよいか｜法律とルールの整理

個人情報保護法は生成AI入力を禁止していない

個人情報保護法は、AIの利用そのものを禁じる法律ではありません。 規制しているのは「個人情報をどう取得し、どう使い、どう管理するか」という取り扱いのルールです。 生成AIへの入力も、この取り扱いの一場面として扱われます。

法律が求めている基本の考え方は次の3つです。

• 利用目的の範囲内か：取得したときに示した目的の外で使っていないか
• 本人の同意や規約との整合性：第三者への提供にあたる場合、同意やオプトアウトの手続きが要るか
• 安全管理措置：漏えい・滅失・毀損を防ぐ体制があるか

生成AIサービスに顧客の氏名や問い合わせ内容を入力する行為は、多くの場合「委託」または「利用目的の範囲内での処理」として整理できます（個人情報保護法上、委託に伴って個人データを提供する場合、提供先は「第三者」にあたらないという整理が一般的です）。 ただし、入力した内容がAI事業者側の学習データとして再利用される設定になっていると、想定していない範囲まで情報が渡ることになります。 ここが実務上、最も事故が起きやすいポイントです。

個人情報保護委員会は2023年6月2日、「生成AIサービスの利用に関する注意喚起等について」を公表し、個人情報取扱事業者に対して、生成AIサービスに個人データを含むプロンプトを入力する場合は利用目的の達成に必要な範囲かどうかを確認するよう求めています（出典：個人情報保護委員会 https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/ ）。

個人情報保護法第27条第5項第1号は、個人情報取扱事業者が利用目的の達成に必要な範囲内で個人データの取扱いの全部又は一部を委託することに伴い当該個人データが提供される場合、提供を受ける者は「第三者」に該当しないと定めています（出典：e-Gov法令検索「個人情報の保護に関する法律」第27条第5項第1号 https://laws.e-gov.go.jp/law/415AC0000000057 ）。

生成AIに入力すると情報はどこへ行くのか

入力した情報の行き先は、契約しているAIサービスのプラン・設定によって変わります。 大きく分けると次の2パターンです。

この表はサービスごとに設定が異なるため、契約前に必ず個別に確認する前提の目安です。 個人向け無料プランでは、ChatGPT・Claudeともにデフォルトで対話内容がモデル学習に利用される設定になっており、利用者が設定画面で個別にオフにする必要があります（出典：OpenAI Help Center「What if I want to keep my history on but disable model training?」 https://help.openai.com/en/articles/8983130-what-if-i-want-to-keep-my-history-on-but-disable-model-training 、Anthropic Privacy Center「How do I change my model improvement privacy settings?」 https://privacy.claude.com/en/articles/12109829-how-do-i-change-my-model-improvement-privacy-settings 、いずれも2026年8月時点）。 実際に確認できた範囲では、Anthropicは商用利用規約（Team・Enterpriseプラン・API）で「顧客データをサービスからモデル学習に用いない」と明記しています（出典：Anthropic Commercial Terms of Service https://www.anthropic.com/legal/commercial-terms 、2026年8月時点）。 Microsoftも、Microsoft CopilotとCopilot Chatのプロンプト・応答・Microsoft Graphデータは基盤モデルの学習に使わないとしています（出典：Microsoft Learn「Enterprise data protection in Microsoft Copilot and Microsoft Copilot Chat」 https://learn.microsoft.com/en-us/microsoft-365/copilot/enterprise-data-protection 、2026年8月時点）。 OpenAIも、ChatGPT Enterprise・Business・Edu・API等では既定でモデル学習に利用しないとしています（出典：OpenAI「Enterprise privacy」ページ https://openai.com/enterprise-privacy/ 、2026年8月時点）。 「学習に使われない」と明記された契約形態を選ぶことが、個人情報を扱う業務でAIを使う際の最低条件になります。

業務別に見る「入力していい/だめ」の線引き

すべての個人情報を一律で禁止すると、業務が止まります。 逆にすべて許可すると事故が起きます。実務では、情報の種類ごとに線を引きます。

要配慮個人情報とマイナンバーは、業務効率化の目的があっても入力しない、という線を最初に固定することをおすすめします。 迷う業務が出てきたときに毎回判断させるのではなく、「この2種類は入れない」というルールだけ先に決めておくと、現場の判断コストが下がります。

社内ルールは「禁止」だけでは回らない

「個人情報は入力禁止」という一文だけのルールは、実務では機能しません。 理由は、何が個人情報にあたるかの判断を現場に丸投げしてしまうためです。 結果として、ルールを知りつつ「これくらいなら大丈夫だろう」と自己判断で入力するケースが増えます。

機能するルールには、次の3点が入っています。

• 入力していい情報の具体例（禁止の反対側も示す）
• 匿名化・仮名化の手順（氏名を「A社担当者」に置き換える、番号を伏せる等）
• 違反時の相談先（誰に聞けばいいかが決まっている）

一般的な業務量から試算すると、匿名化の手順（氏名や社名を仮名に置き換える作業）は文章1本あたり数分程度で済むことが多く、事前にテンプレート化しておけば追加の負担はほぼ増えません。 この試算は入力前チェックの手間のみを見たものであり、規程整備や周知にかかる初期の工数は含んでいません。

主要ツールの学習除外設定を確認する

契約プランの種類だけでなく、個別の設定でも学習への利用を止められる場合があります。 確認すべき項目は次の3つです。

• 管理画面に「データを学習に利用しない」設定があるか
• 会話履歴の保存期間を短縮・無効化できるか
• 社内アカウントごとに設定が統一されているか（個人の任意設定に任せない）

設定項目の名称・場所はサービスのアップデートで変わることがあるため、契約更新のタイミングで年1回は見直すことをおすすめします。

ChatGPTは「設定 → データコントロール → すべての人のためにモデルを改善する」のトグルをオフにすることで、以降の会話が学習に使われないようにできます（出典：OpenAI Help Center「What if I want to keep my history on but disable model training?」 https://help.openai.com/en/articles/8983130-what-if-i-want-to-keep-my-history-on-but-disable-model-training 、2026年8月時点）。 Claudeは「設定 → プライバシー → Help Improve our AI models」のトグルをオフにすることで同様に停止できます。ただし、既に開始済みの学習には設定変更前のデータが引き続き使われる点に注意が必要です（出典：Anthropic Privacy Center「How do I change my model improvement privacy settings?」 https://privacy.claude.com/en/articles/12109829-how-do-i-change-my-model-improvement-privacy-settings 、2026年8月時点）。

Microsoft Copilot（個人向け無料版）の同様の設定手順は、公式ヘルプの原文で確認できていないため本記事では記載しません。Microsoftアカウントのプライバシー設定画面から最新の手順を確認してください。

よくある質問

取引先の担当者名をAIに入力してメールの下書きを作らせてもよいですか

業務上の利用目的の範囲内であれば、多くの場合問題になりません。 ただし学習に利用される設定のツールでは避け、法人向け契約か学習除外設定を確認したうえで使うことをおすすめします。

顧客アンケートの自由記述をAIに要約させても大丈夫ですか

自由記述の中に病歴や信条など要配慮個人情報が含まれていないかを先に確認してください。 含まれる場合は、その部分を伏せてから入力するか、要約作業自体を人が行う必要があります。

社員が個人のAIアカウントで顧客情報を扱っていないか、どう確認すればよいですか

管理画面で法人アカウントの利用状況を確認する方法と、個人アカウントの利用を申告制にする方法があります。 まず「個人アカウントでの顧客情報の取り扱いを禁止する」という一文を規程に明記することが出発点になります。

個人情報保護法に違反した場合、どのくらいの罰則がありますか

違反の内容によって行政指導から罰則までの段階があります。 個人情報保護委員会の命令に違反した場合、違反した本人には1年以下の拘禁刑又は100万円以下の罰金（第178条）。 個人情報データベース等を不正な利益目的で提供・盗用した場合は、1年以下の拘禁刑又は50万円以下の罰金（第179条）。 どちらの違反も、行為者が所属する法人には別途1億円以下の罰金が科されます（両罰規定・第184条）。 金額や量刑は法改正で変わることがあるため、最新の条文は都度確認してください（出典：e-Gov法令検索「個人情報の保護に関する法律」第178条・第179条・第184条 https://laws.e-gov.go.jp/law/415AC0000000057 ）。