顧客データをAIに扱わせるときの同意の取り方

なぜ「前から持っているデータだから大丈夫」ではないのか

顧客の名前や連絡先、購入履歴をすでに預かっている会社は多いはずです。 問題は「預かっていること」ではなく「何に使うと言って預かったか」です。

個人情報を集めるとき、会社は利用目的をあらかじめ本人に伝えている、または 公表していることになっています。多くの場合、その目的は 「注文の処理」「配送」「問い合わせ対応」のように具体的な業務を指しています。

AIに顧客データを読み込ませて、応対の下書きを作らせたり、 傾向を分析させたりする使い方は、この当初の目的に含まれていないことがあります。 含まれていなければ、目的の変更として扱われ、 あらためて本人に通知するか、同意を得る必要が出てきます。

利用目的の変更は、個人情報保護法17条2項で「変更前の利用目的と 関連性を有すると合理的に認められる範囲」を超えてはならないと定められています （個人情報保護委員会の公式FAQによる。2015年改正前は「相当の関連性」という より狭い基準でした）。範囲を超える変更は、あらためて本人への通知または 公表が必要になります（同法21条3項）。個人情報保護委員会は2023年6月2日、 生成AIサービスに個人情報を入力する事業者に向けて、入力内容が 特定した利用目的の達成に必要な範囲かを確認するよう注意喚起を出しています。 出典：個人情報保護委員会「法第15条第２項において、利用目的の変更が認められると 考えられる事例を教えてください。」、 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日）

同意が要るケースと、要らないケース

すべてのAI活用に新しい同意が要るわけではありません。 社内でよく出てくるパターンを整理すると、次のように分かれます。

• 同意が要らないと考えられる例：社内向けの文章作成や、 匿名化・統計化した数字（「先月の客単価」など個人が特定できない形）を AIに扱わせる場合。個人を特定できる情報がAIに渡らないためです。
• 同意が必要になりやすい例：顧客の氏名・連絡先・購入履歴などを そのままAIに読み込ませて、個別の返信文を作らせたり、 顧客ごとの傾向を分析させたりする場合。
• 特に慎重な判断が要る例：病歴や信条など「要配慮個人情報」を含む場合、 海外のAIサービスに個人データを送信する場合。 これらは通常の同意より重い手続きが必要になることがあります。

自社のケースがどれに当たるかは、扱うデータの種類と AIに渡す範囲によって変わります。判断が分かれる場合は、 専門家に確認したうえで進めることをおすすめします。

同意の取り方は何が変わるのか（時間の試算）

同意の取り方自体は、紙の同意書だけでなく、 Webサイトの利用規約や会員登録画面での明示、メールでの通知など複数の方法があります。 どの方法を選んでも、最初の整備には人の判断と作業時間がかかります。

前提：担当者1名が既存の利用規約・プライバシーポリシーを確認し、 AI活用の範囲を反映した文書に更新する作業時間をもとに試算。 初回整備（文書作成・通知案内）は一度きりの作業のため「AI化後」との比較ではなく、 新規に発生する工数として記載しています。問い合わせ対応と記録管理は、 月あたりの発生件数を10〜20件と仮定すると、月1〜3時間程度に収まる計算になります。 実際の時間は、顧客データの種類・件数、既存の文書の整備状況によって変わります。

同意を取るまでの流れ

同意の取り方に決まった正解の書式はありませんが、 社内で進める順番は次のように整理できます。

1. AIに何をさせるかを具体的に書き出す。 「AIを使う」ではなく、 「問い合わせメールの下書きをAIに作らせる」のように、 扱うデータの種類とAIの役割を1文で言えるところまで具体化します。
2. どのデータがAIに渡るかを確認する。 氏名・連絡先だけか、 購入履歴や相談内容まで含むかで、必要な手続きの重さが変わります。
3. 利用目的の文書（プライバシーポリシー等）を見直す。 現在の記載で AI活用がカバーされているかを確認し、足りなければ文言を追加します。
4. 既存顧客への通知方法を決める。 メール、サイト上の掲示、 次回利用時の画面表示など、伝わる方法を選びます。
5. 新規顧客からの同意取得画面を用意する。 会員登録やお問い合わせフォームに、 AI活用を含む利用目的の記載とチェック欄を設けます。
6. 同意した記録を残す。 いつ、どの内容で同意を得たかが あとから確認できる形（ログ、チェック履歴など）で保存します。

この一連の流れは、AIツールの選定より先に済ませておく方が手戻りが少なくなります。 ツールを先に決めてから「このデータは使えなかった」と分かるケースが実際にあります。

失敗しやすいパターン

• 社内向けの整理だけで、顧客への通知を忘れる。 規程を作っても、 顧客本人に伝わっていなければ手続きとして不十分です。
• 同意文言が曖昧で、AI活用が含まれているか分からない。 「業務改善のために利用します」のような抽象的な表現だけでは、 AIに読み込ませることを本人が想定できていない可能性があります。
• 同意の記録を残していない。 あとから「同意を得た」と説明できる記録が 無いと、問い合わせやトラブルが起きたときに対応できません。
• 海外製AIサービスへのデータ送信を、国内利用と同じ扱いで進める。 データの送信先が海外にあるサービスを使う場合、 個人情報保護法28条1項により、原則としてあらかじめ 「外国にある第三者への提供を認める」旨の本人同意が別途必要です。 同意を取る際は、提供先の国名、その国の個人情報保護制度に関する情報、 提供先が講じる保護措置についても本人に伝える必要があります （個人情報保護委員会「外国にある第三者への提供編」ガイドライン、 同法施行規則17条2〜3項）。日本と同等水準の保護制度を持つ国への 提供や、提供先が体制整備等の相当措置を講じている場合は、 この同意が不要になることもあります。 出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」

費用感

同意文書の見直し自体に、必ずしも外部ツールの費用は発生しません。 社内で文書を作成・掲示する範囲であれば、人の作業時間が主なコストです。 弁護士や個人情報保護の専門家に文言のチェックを依頼する場合は、 別途費用が発生します。

【一次情報なし：弁護士報酬は2004年の弁護士会報酬基準廃止以降、 事務所ごとに自由に設定されており、個人情報保護に関する文書チェックに 特化した費用相場を公表している公的機関・団体の資料は見当たりません （日本弁護士連合会「弁護士報酬ガイド」は2008年の全体アンケートで、 プライバシーポリシー特化の統計ではありません）。依頼する場合は 複数の事務所に見積もりを取ることをおすすめします。】

進めるかどうかの判断基準（チェックリスト)

次の項目に「いいえ」がある場合は、AI活用を始める前に整備を優先してください。

• 顧客データをAIに読み込ませる用途を、具体的な業務として言語化できている
• 現在の利用目的の文書に、AI活用が含まれているか確認済みである
• 含まれていない場合、通知または同意取得の方法を決めてある
• 同意した記録を残す仕組み（ログ、チェック欄の保存等）がある
• 要配慮個人情報や海外サービスの利用がある場合、専門家に相談済みである

よくある質問

Q. すでに取得している同意で、AI活用もカバーできていますか。 多くの場合、当初の同意文言は具体的な業務（配送、問い合わせ対応等）を 指しており、AIへの読み込みまで含んでいるとは限りません。 現在の文書を確認し、含まれていなければ見直しが必要です。

Q. 同意を取り直すと、既存顧客が離れませんか。 通知の内容と方法によります。AIに何をさせるか、 個人情報がどう扱われるかを具体的に伝えることで、 不安を減らせます。曖昧な通知の方が不信感につながりやすい傾向があります。

Q. 匿名化したデータならAIに使わせても同意は不要ですか。 個人情報保護法が定める「匿名加工情報」（同法2条6項）まで加工していれば、 特定の個人を復元できない状態のため個人情報に当たらず、本人の同意なしに 扱えます。一方、他の情報と照合すれば個人を識別できる「仮名加工情報」 （同法2条5項）は、原則として個人情報のままで、第三者への提供は 原則禁止です。単に「氏名を伏せた」程度では、どちらの基準も 満たさないことが多く、「匿名化」の基準を満たしているかどうかの 判断は専門的な確認が必要です。 出典：個人情報保護委員会「匿名加工情報と仮名加工情報の違いは何ですか」

Q. 従業員が個人の判断でAIに顧客情報を入力してしまうリスクはどう防ぎますか。 社内規程で「顧客データを個人契約のAIツールに入力しない」等のルールを 明文化し、周知することが対策の基本になります。 併せて、業務で使ってよいAIツールを会社側で指定する運用も有効です。

Q. 同意の見直しは、どのタイミングで必要になりますか。 新しくAIを業務に取り入れるタイミングのほか、 AIの使い方を変える（読み込ませるデータの種類を増やす等)場合も 見直しが必要になることがあります。定期的な棚卸しをおすすめします。