生成AIと個人情報の関係とは｜押さえるべき2つの論点
生成AIにおける個人情報の論点は、AIを開発する側とAIを業務で使う側の2層に分かれます。日本企業の実務で問われるのは、ほぼ後者です。
論点は「入力する側」と「学習する側」に分かれる
1つ目は、AIベンダーがモデルを学習させる段階の問題です。Web上の情報を大量に収集する過程で、本人の同意なく個人情報が学習データに取り込まれるのではないかという論点で、規制当局が主に注視してきた領域にあたります。
2つ目は、企業が生成AIを業務で使う段階の問題です。顧客リストや問い合わせ履歴、社員の評価情報などをプロンプト（AIへの指示文）に入力する行為が、自社が負っている個人情報保護法上の義務に反しないかという論点です。社内で「生成AIに個人情報を入れてよいか」が議題に上がるとき、実際に問われているのはこちらです。
この2つは規律の主体が違います。前者はAIベンダーの責任、後者は入力する企業自身の責任として問われます。ベンダーが安全性を謳っていても、入力する側の義務が自動的に免除されるわけではありません。
個人情報・個人データ・要配慮個人情報の違い
法令上の要件を読むときは、3つの語を区別する必要があります。混同すると、必要のない場面まで一律に禁止したり、逆に規制が及ぶ場面を見落としたりします。
- 個人情報：氏名や生年月日など、特定の個人を識別できる情報。名刺1枚に書かれた氏名もこれにあたります
- 個人データ：個人情報をデータベース化し、検索できる状態にしたもの。顧客管理システムの一覧や問い合わせログが該当します
- 要配慮個人情報：信仰、病歴、犯罪歴など、差別や偏見につながりうる情報。取得そのものに本人の同意が必要です
生成AIの利用で最も規律が厳しくなるのは、個人データと要配慮個人情報です。顧客リストをそのまま貼り付ける行為は個人データの取り扱いにあたり、健康相談の内容や採用選考のメモには要配慮個人情報が紛れ込みやすくなります。
生成AIで個人情報が漏れる仕組み｜5つのリスク経路
生成AI経由の情報漏洩は、1つの経路で起きるとは限りません。「学習に使われるかどうか」だけを見て安心すると、残る4つの経路が手つかずのまま残ります。
関連記事：AIによる情報漏洩とは？生成AIの事例と5つの原因、企業の対策チェックリスト
経路1｜プロンプトが学習データになる
入力したテキストがモデルの学習に使われ、将来の応答として第三者に出力される可能性がある経路です。最も広く知られている一方で、2026年時点では法人向けプランの多くが既定で学習利用をオフにしており、契約と設定によって成否が分かれます。
経路2｜学習に使われなくても事業者側に保存される
学習に使われない場合でも、入力データは事業者のサーバーに保存されます。保存期間や人によるレビューの有無は各社で異なり、たとえば Anthropic は商用プランでも、利用者が応答に👍👎のフィードバックを送った場合は関連する会話が最大5年間保存され、モデルの改善に使われる可能性があると説明しています（Anthropic Privacy Center）。学習の可否と保存期間は別の論点として確認する必要があります。
経路3｜AIが誤った個人情報を出力する
生成AIは確率的な相関関係にもとづいて文章を作るため、実在する人物について誤った経歴や属性を出力することがあります。個人情報保護委員会も注意喚起のなかで、応答結果に不正確な内容の個人情報が含まれるリスクを明示しています。これは入力側の対策では防げず、出力を社外に出す前の確認体制で対処する領域です。
関連記事：ハルシネーションとは？意味・原因・対策と生成AIを安全に使うコツ
経路4｜AIの権限が横断的にデータへ届く
AIを社内システムやファイル共有サービスと連携させると、人間よりも速く広範囲に情報を横断できるようになります。プロンプトに何を書いたかとは無関係に、AIに渡した権限の範囲でデータへ到達してしまう経路です。AIエージェント（複数の工程を自動で進めるAI）を業務に組み込む段階では、この経路の比重が上がります。
経路5｜従業員が個人アカウントで持ち出す
会社が契約していないアカウントで、従業員が業務データを入力してしまう経路です。管理部門が把握しないままAIが使われる状態は、シャドーAIと呼ばれます。2023年初頭には複数の大手企業が、社内での外部生成AIサービスの利用を一時的に制限する措置を取ったと報じられました。技術的な制御と判断基準の明文化を、両方そろえないと塞げません。
関連記事：シャドーAIとは？意味・企業リスク・事例と対策をわかりやすく解説
個人情報保護法は生成AI利用をどう定めているか
法令の条文を読む前に押さえておきたいのは、個人情報保護委員会の注意喚起が生成AIへの入力を一律に禁じるものではない一方、入力する企業に利用目的や提供先の取扱いの確認を求めていることです。
個人情報保護委員会が求めているのは「禁止」ではなく「確認」
個人情報保護委員会は2023年6月2日、「生成AIサービスの利用に関する注意喚起等」を公表しました（個人情報保護委員会）。企業向けに示された注意点は2つです。
1つ目は、個人情報を含むプロンプトを入力する場合、特定された利用目的を達成するために必要な範囲内であることを十分に確認することです。2つ目は、本人の同意なく個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合は法に違反する可能性があるため、事業者が機械学習に利用しないこと等を十分に確認することです（個人情報保護委員会 別添1）。
これは個人情報保護委員会の注意喚起であり、法律の条文に「生成AIへの入力時の確認義務」がそのまま書かれているわけではありません。学習に使われない設定だけで入力可否が決まるものでもなく、利用目的の範囲や個人データの提供に関する法の規律を別途確認する必要があります。
条文で見る規律
生成AIの利用で関係する規律には、利用目的の特定（法第17条）、要配慮個人情報の取得制限（法第20条第2項）、委託先の監督（法第25条）、第三者提供の制限（法第27条）、外国にある第三者への提供の制限（法第28条）があります。
個人データを外部サービスに渡す場合は、提供先が特定済みの利用目的の範囲で処理する「委託」に当たるか、第三者提供に当たるかを実態に即して判断します。データ処理契約を結んだという事実だけで委託になるわけではなく、委託に当たる場合も法第25条に基づく委託先の監督が必要です（個人情報保護委員会・通則編ガイドライン）。
外国にある第三者への委託でも法第28条の確認は別途必要です。原則として本人の同意が必要ですが、提供先が法令で定める同等水準の国にある場合、基準適合体制を整備している場合などの例外があります。契約名や学習オフの設定だけで例外の適用を決めず、提供先の所在と必要な体制・継続的な措置を確認してください（個人情報保護委員会 FAQ Q12-1）。
個人情報を入力する前の判断表
| 確認する順番 | 判断する内容 | 確認できない場合 |
|---|---|---|
| 1. 利用目的 | 当初特定した利用目的を達成するために、その情報を入力する必要があるか | 目的を確認し、不要な氏名・識別子は除く |
| 2. 情報の種類 | 個人データや要配慮個人情報を含むか。取得時の同意などの条件を満たしているか | 入力を止め、管理部門・法務に相談する |
| 3. サービス側の取扱い | 入力データが応答以外の目的や学習に使われないことを、契約・設定で確認できるか | 個人データを入力せず、提供条件を確認する |
| 4. 提供先と所在 | 委託か第三者提供か。外国にある第三者なら法第28条の同意または例外を確認できるか | 入力を止め、委託先監督・越境提供の条件を確認する |
この表は「学習オフなら何でも入力できる」という判断を避けるための順序です。実際の利用可否はデータの種類、利用目的、契約内容、提供先の所在地によって変わります。
2026年7月公布の改正法で何が変わるか
「個人情報の保護に関する法律等の一部を改正する法律」は2026年7月10日に成立し、同年7月17日に公布されました（個人情報保護委員会）。施行は原則として公布から2年を超えない範囲内で政令により定められます。
改正の方向は2つに分かれます。1つは利活用の緩和で、統計情報等の作成にのみ利用される場合に、個人データの第三者提供と公開された要配慮個人情報の取得について本人同意を不要とする特例が設けられました（第30条の2、第31条の3）。この「統計情報等の作成」にはAI開発が含まれます。もう1つは制裁の強化で、重大な違反があった場合に、違反行為で得た財産的利益に相当する額の課徴金納付を命じる制度が新設されました（第148条の3から第148条の17、改正法の概要）。
この特例は主にAI開発事業者を想定した規定です。担保として一定事項の公表や提供元と提供先の書面合意が求められ、業務で生成AIに顧客情報を入力する場面はこの枠組みの外にあります。
AIエージェントを「どう作り、どう育てるか」を、GiftX記事制作エージェントの実物で解説。
入力した個人情報を学習させない設定の使い方｜ChatGPT・Gemini・Copilot・Claude
社内で最初に決めるべきは「どのツールのどのプランを使うか」です。同じ名前のサービスでも、契約と設定によって入力データの扱いは変わります。
| ツール | 法人プランの既定 | 消費者向けプランでの設定 | 注意点 |
|---|---|---|---|
| ChatGPT | Business / Enterprise / Edu / API は既定で学習に不使用 | Settings → Data Controls →「Improve the model for everyone」をオフ | フィードバック送信への明示的な同意は例外 |
| Gemini | Workspace 版は許可なくドメイン外の学習に不使用 | 「Gemini アプリ アクティビティ」をオフ | 個人版はオフにしても最長72時間保存される |
| Microsoft 365 Copilot | 職場アカウントでの利用は基盤モデルの学習に不使用 | 個人アカウントは保護の対象外 | 職場アカウントでのサインインが前提 |
| Claude | Team / Enterprise / API は既定で学習に不使用 | 設定でモデル改善への利用をオフ | フィードバック送信時は最大5年保存 |
4つに共通しているのは、法人契約なら既定で学習に使われない一方、フィードバック送信や個人アカウントでの利用が抜け道になる構造です。
ChatGPT｜法人プランは既定でオフ、個人プランは Data Controls
OpenAI は、ChatGPT Business、Enterprise、Healthcare、Edu、for Teachers、および API プラットフォームのビジネスデータについて、ユーザーが明示的にオプトインした場合を除きモデルの学習に使用しないと明記しています（OpenAI、2026年1月8日更新）。例外はフィードバック機能などを通じてデータ共有に同意した場合です。
保持期間も契約で変わります。API では最大30日間保持し、要件を満たせばゼロデータ保持を申請できます。
個人向けプランで学習利用を止めるには、プロフィールアイコンから Settings を開き、Data Controls で「Improve the model for everyone」をオフにします（OpenAI Help Center）。オフにしても会話は履歴に残りますが、学習には使われません。
関連記事：ChatGPTに学習させない方法｜PC・iPhone・Androidのオプトアウト設定
Gemini｜Workspace 版と個人アプリ版で扱いが違う
Google Workspace の Gemini は、組織のプロンプトや Workspace 上のコンテンツを、許可なくドメイン外で生成AIモデルの学習に使用しないとされています。プロンプトや生成された回答が人によるレビューの対象になることもありません（Google Workspace 生成 AI プライバシー ハブ）。管理者は会話履歴の保持期間やサービスごとの有効・無効を設定できます。
一方、個人アカウントで使う Gemini アプリは既定の挙動が異なります。入力内容はモデルのトレーニングを含む目的で処理され、Google のサービスプロバイダーがチャットの一部をレビューします。
学習利用を止めるには「Gemini アプリ アクティビティ」をオフにします。以降のチャットはモデルの学習にも人によるレビューにも使われなくなりますが、サービス提供や安全性確保のため最長72時間はアカウントに保存され、この期間は設定では消せません（Gemini アプリのプライバシー ハブ）。
関連記事：Geminiアクティビティはオフにした方が良い？デメリット・学習させない設定・履歴削除
Microsoft 365 Copilot｜職場アカウントでの利用が条件
Microsoft 365 Copilot と Copilot Chat の利用は、データ保護補遺と製品条項の対象になります。プロンプトと応答は Exchange のメールや SharePoint のファイルと同じ契約条件で保護され、基盤モデルのトレーニングには使用されません（Microsoft Learn）。
分岐点は、組織のライセンスで職場アカウントとしてサインインしているかどうかです。同じ Copilot でも、個人アカウントでの利用はこのデータ保護の対象外です。
関連記事：Copilotに学習させない設定｜製品別の手順とオフでも残るリスク
Claude｜商用は既定でオフだがフィードバックが例外
Anthropic は、Claude for Work や Anthropic API などの商用製品について、既定でユーザーの入力と出力をモデル学習に使用しないとしています。例外は経路2で触れたフィードバックです。
組織単位で止める場合は、Team / Enterprise / API のオーナーが Organization settings → Data and Privacy の「Rate chats」でメンバーのフィードバック送信を無効化できます。消費者向けプラン（Free / Pro / Max）は扱いが異なり、2025年9月以降は設定でオフにしない限り学習に利用されます。
関連記事：Claudeに学習させない設定方法｜オプトアウト手順とデータ保持の注意点
個人情報を入力してしまったときの対応｜削除・設定確認・報告の要否
顧客の氏名や連絡先を誤って生成AIに入力してしまっても、それだけで一律に「漏えい」と決まるわけではありません。入力先のサービスと契約条件によって、取るべき対応が変わるためです。
入力に気づいたら、削除と並行して、その日のうちに社内の個人情報保護の担当者へ「いつ・どのサービスに・何を入力したか」を伝えます。後述する漏えい等報告の期限は、会社が事態を知った時点から進むためです。そのうえで、事実の確認、削除と設定の見直し、報告の要否の判断を進めます。
まず確認する3つのこと
- 入力したサービスとアカウント：会社が契約している職場アカウントか、従業員の個人アカウントか
- プラン：法人プランか、無料版・個人向けプランか
- 学習設定の状態：入力した時点で、学習への利用がオフになっていたか
法人プランの職場アカウントで学習への利用がオフになっていたなら、入力データは契約で定めた条件の範囲で扱われます。個人アカウントや無料版で学習設定がオンのままだった場合は、入力内容が応答以外の目的で使われる可能性があり、対応の優先度が上がります。法人プランでも、その会話で👍👎などのフィードバックを送っていた場合は例外で、Claude のようにフィードバックを送った会話を最大5年保存し、モデルの改善に使う可能性があるツールもあります。照合には、前章のツール別の設定と、法令の章の判断表を使ってください。
履歴の削除と設定の見直し
次に、入力した会話を履歴から削除し、学習設定がオンになっていればオフに切り替えます。従業員の個人アカウントで入力していた場合は、本人に削除と設定変更を依頼し、同じ情報を以後は入力しないよう伝えます。
多くのツールでは、学習設定の変更は変更後の会話から適用され、すでに入力した会話には遡りません。入力済みの会話を残さないためには、設定の切り替えとは別に履歴の削除が必要です。削除しても事業者の側で一定期間保存される場合があるため、保存期間もツールごとに確認し、削除と設定変更の操作は記録に残します。ツールごとの手順は、前章の各ツールの関連記事で解説しています。
漏えい等報告が必要になる4つのケース
個人データの漏えい等（そのおそれを含む）が一定の類型に当たる場合、事業者には個人情報保護委員会への報告と本人への通知が義務付けられています（個人情報保護法第26条）。個人情報保護委員会が示す類型は次の4つです（個人情報保護委員会）。
- 要配慮個人情報が含まれる個人データの漏えい等
- 不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等（クレジットカード番号、送金・決済機能のあるサービスのログインIDとパスワードなど）
- 不正の目的をもって行われたおそれがある行為による個人データの漏えい等
- 本人の数が1,000人を超える個人データの漏えい等
該当する場合、報告は事態を知ったあと速やかに行う必要があります。
ただし、生成AIへの入力そのものが直ちにこの「漏えい等」に当たるとは限りません。入力先のサービスが委託先として扱える契約条件で個人データを処理しているかどうかで、評価が変わるためです。社内だけで判断がつかないときは、法務や個人情報保護の担当者が上の4類型に当たるかを確認し、報告の要否を決めてください。要配慮個人情報が含まれている、本人の数が多いといった条件が重なる場合ほど、早い判断が求められます。
個人情報を扱う社内ルールの作り方｜入力の線引きとガイドライン策定の事例
設定を整えても、日々の判断は現場に委ねられます。何を入れてよいかが言語化されていないと、慎重な人は使わなくなり、無頓着な人は入れてしまいます。
GiftX が2026年6月に実施した「ビジネス職生成AI活用実態調査2026」でも、この停滞は数字に表れています。個人が感じる課題の第1位は「どこまでAI活用していいか判断できない」でした。組織側の課題では、制限の強さとルールの不在がほぼ同じ規模で並びます。
| 課題 | 区分 | 該当率 |
|---|---|---|
| どこまでAI活用していいか判断できない | 個人の課題（第1位） | 27.7% |
| セキュリティ制限でツールが使えない | 組織の課題（第3位） | 19.6% |
| 利用ルール・ガイドラインがない | 組織の課題（第4位） | 19.1% |
いずれも複数回答による設問です。ルールがないから判断できない層と、ルールが厳しすぎて使えない層が、同じ規模で並存していることが読み取れます。片方だけを見て制限を強めても、もう片方の停滞は解消しません。詳細な調査データは「ビジネス職生成AI活用実態調査（2026年版）」にてご覧ください。
入れてよい情報・注意が必要な情報・入れてはいけない情報
迷いを減らす最短の方法は、情報を3段階に分けて例示することです。抽象的な基準ではなく、自社で実際に扱う書類名まで落とすと現場が動けるようになります。
- 入力してよい情報：プレスリリース、公開済みの製品資料、報道記事、特許公報など、すでに社外に出ている情報
- 加工すれば入力してよい情報：社内限定の資料や未確定の数値。氏名を伏せる、企業名を「大手小売A社」に置き換えるなどの処理をしたうえで使う
- 入力してはいけない情報：顧客の氏名や連絡先を含むリスト、秘密保持契約の対象となる数値、健康情報や採用選考の評価など要配慮個人情報に該当しうるもの
氏名や企業名を伏せても、ほかの情報との組み合わせで個人を特定できる場合があります。加工後も特定可能性、守秘義務、外部サービスへの提供条件を確認し、判断できなければ入力しないでください。
判断に迷ったときの問いも決めておきます。すでに公開されているか、社内限定か、個人を特定できるか、契約上の守秘義務があるか、外に出た場合に困るか。この5つで整理し、確信が持てないものは加工するか使わない、という順序にしておくと現場の判断がぶれにくくなります。
オフィス系7職種のAI利用者669人の調査では、生産性向上を明確に実感した割合が、チャット中心の利用層14.3%に対しAIエージェント利用層54.3%。約3.8倍の差が見られました。
社内ルールに書いておく項目
ガイドラインを厚くするほど読まれなくなります。まず次の項目を1枚に収め、運用しながら足していく進め方が続きます。
- 使ってよいツールとプランの一覧：会社が契約しているアカウントを明示し、個人アカウントでの業務利用を対象外とする
- 入力してはいけない情報の定義：前項の3段階を、自社で扱う具体的な書類名で例示する
- 設定の必須化：オプトアウト設定を管理者が確認する運用と、確認の頻度を決める
- 出力の確認手順：社外に出す文書は、事実関係と個人名を人が確認してから公開する
- インシデント時の報告先：誤って入力した場合に、誰にいつまでに報告するかを1行で書く
これらは法令が直接求めている事項ではありません。ただし、個人情報保護委員会が求める「機械学習に利用されないことの確認」を組織として担保するには、確認した結果をルールに書き出しておく必要があります。
関連記事：生成AIの社内ガイドラインの作り方5ステップ｜企業事例と項目一覧
ツールを追加するときの共通チェック項目
新しいツールを検討するたびに一から調べ直さずに済むよう、確認する観点も併せて決めておきます。次の6点を一覧にしておけば、どのサービスでもそのまま使えます。
- 学習利用の既定値：利用規約、データ処理契約、プライバシーポリシーのどこに書かれているか
- オプトアウトの操作：管理コンソール上の設定項目名（Data Controls、Rate chats など）
- 保持期間：履歴保持の設定と、オフにした後も残る期間（72時間、30日、最大5年など）
- 人によるレビュー：レビューの有無と、その対象になる条件
- 越境移転：データの保存先リージョンと、基準適合体制の有無
- サインイン状態：職場アカウントか個人アカウントか。同名サービスでも契約が別になります
このうち抜けやすいのは保持期間とサインイン状態です。学習利用の可否だけを確認して終わりにすると、オフにした後も一定期間データが残る点と、個人アカウントでは契約条件が適用されない点が見落とされます。
一律禁止が機能しない理由
「生成AIに機密情報を入れるな」という規則は、単独で見ると筋が通っています。しかし多くの企業は、すでに秘密保持契約の対象となる資料や顧客情報を、外部のクラウドサービス上に保存しています。外部サービスへの送信を一律に禁じる基準を厳密に適用すると、それらもすべて使えなくなります。
判断には、社外送信の有無に加えて、利用目的、データの種類、サービス側の取扱い、委託先の監督、外国にある第三者への提供条件を確認する必要があります。法人プランで学習をオフにすることは、そのうちの1条件です。生成AI全体を1つの規則で縛るのではなく、ツールと入力する情報の組み合わせごとに扱いを決めるほうが運用に耐えます。
四半期に一度、社内で使われているAIツールの棚卸しをするだけでも出発点になります。契約の有無、プラン、設定状態を一覧にすれば、抜け道になっている個人アカウント利用も見つかります。
関連記事：ChatGPTのセキュリティ対策｜社内利用を禁止せず安全に使うためのルールと設定
ガイドライン策定を支援した事例
GiftX でも、生成AIの利用ガイドライン策定を支援した事例があります。業務での利用範囲、機密情報の取り扱い、成果物の検収基準を整理し、部門別のユースケースと入力してはいけない例を具体化して、現場が迷わない粒度まで落とし込みました。
従来は委員会形式で論点を洗い出し、他社事例を集めて起草とレビューを繰り返すため、策定に約3か月かかっていました。AIに公開されているガイドラインや社内のユースケースを整理させて草案を生成し、委員会はレビューと意思決定に集中する進め方に変えたところ、約3週間で策定できるようになりました。策定リードタイムは約75%短縮し、現場の利用率も上がっています。
時間がかかっていた工程は、論点の網羅と他社事例の収集でした。ここはAIが得意な領域です。一方で、自社のどの業務までを対象にするか、どの情報を入力禁止にするかという判断は人が担います。工程を分けたことが短縮につながりました。
生成AIを業務に組み込むときに陥りがちな3つの落とし穴
ルールと設定を整えたあと、実際に業務へ組み込む段階でつまずく型は決まっています。
落とし穴1｜いきなり全ての業務・全部門で使わせようとする
全社に一斉展開すると、業務ごとに扱う情報の機微さが違うため、ルールが最も厳しい部門に合わせた運用になります。結果として、安全に使えるはずの業務まで止まります。
落とし穴2｜壮大なAIガバナンス戦略から考えて手が止まる
体系的な統制の枠組みから設計を始めると、検討が数か月に及びます。その間に製品仕様も法令も動くため、完成した時点で前提が変わっていることも起こります。
落とし穴3｜既製品のチャット型AIでは業務フローに組み込めない
汎用のチャット型AIは、都度の相談には向いています。しかし自社の情報や手順を覚えさせて繰り返し同じ品質で実行させる用途では、カスタマイズの余地が足りず、業務フローに組み込めるレベルまで届かないことがあります。
スモールスタートで1業務をAIエージェントに任せる
現実的な進め方は、扱う情報の機微さが低く、手順が定型化されている業務を1つ選び、そこだけを自動化することです。個人情報を含まない業務から始めれば、設定とルールの検証を先に済ませられます。1業務で運用が回ってから、扱う情報の範囲を広げていくほうが確実です。GiftX では、こうしたスモールスタート前提のAIエージェント構築を1業務単位から伴走支援しています。詳細は AIエージェント構築支援サービス をご覧ください。
生成AIと個人情報に関するよくある質問
AIに個人情報を入力してもいいですか
一律に「よい」とも「だめ」とも判断できません。特定済みの利用目的の範囲内か、サービス側が応答以外の目的や学習に利用しないか、個人データの提供が委託か第三者提供か、外国にある第三者への提供条件を満たすかを確認してください。確認する観点は、ChatGPT・Gemini・Copilot・Claude のどのツールでも同じです。要配慮個人情報を含む場合は、取得時の同意なども別途確認が必要です。
無料版と法人プランで何が違いますか
入力データが学習に使われるかどうかの既定値と、契約の有無が違います。法人プランはデータ処理契約の対象となり、保持期間や管理者の権限も設定できます。無料版や個人向けプランは、設定を変更しない限り学習に利用されるものがあります。
オプトアウト設定をすればデータは残りませんか
残ります。学習に使われないことと、保存されないことは別です。Gemini アプリでは設定をオフにしても最長72時間、ChatGPT の API では最大30日間データが保持されます。保持期間は学習利用とは別に確認してください。
個人情報を入力してしまったらどうすればいいですか
入力したサービスとアカウント、プラン、学習設定の状態を確認し、会話の削除と設定の見直しを行います。そのうえで、要配慮個人情報を含む、本人の数が1,000人を超えるなど、漏えい等報告の対象になる類型に当たらないかを、法務や個人情報保護の担当者と確認してください。
社内ガイドラインは何から書けばよいですか
使ってよいツールとプランの一覧から書き始めると、その後の項目が決めやすくなります。会社が契約しているアカウントを明示すれば、個人アカウントでの業務利用を対象外にできます。そのうえで入力してはいけない情報の定義、設定の確認、出力の確認手順、報告先を足していく順序が続きます。
AIが誤った個人情報を出力した場合はどうすべきですか
出力した内容をそのまま社外に出さない運用が前提になります。生成AIは確率的に文章を作るため、実在する人物について誤った情報を出力することがあります。人物や企業に関する記述を含む文書は、公開前に事実関係を人が確認する手順を挟んでください。
まとめ｜生成AIと個人情報は「確認」と「線引き」で扱える
個人情報保護委員会の注意喚起は、企業に利用目的の範囲と、個人データが応答以外の目的・機械学習に使われないことの確認を促しています。これとは別に、個人データの委託・第三者提供や外国にある第三者への提供について、法の条件を確認する必要があります。2026年7月に公布された改正法のAI開発向け特例は、日常業務で顧客情報を入力する場面にそのまま適用できません。
やることは2つに整理できます。1つは、使っているツールのプランと設定を確認し、学習利用と保持期間を把握することです。もう1つは、入れてよい情報とだめな情報を自社の書類名で例示し、社内ルールに書き出すことです。誤って入力してしまった場合は、削除と設定の見直しのうえで、漏えい等報告の対象に当たるかを確認します。そのうえで、個人情報を含まない業務を1つ選んでAIエージェントに任せるところから始めれば、設定とルールを実地で検証しながら適用範囲を広げていけます。
AI活用の社内展開をご検討の方へ
本記事で紹介したルール整備やAIエージェントの活用に向けて、自社の業務でも具体的に進めたい・相談したいとお考えの方は、ぜひ GiftX AIエージェント構築支援までお問い合わせください。
GiftX AIエージェント構築支援では、貴社の業務に合わせて1業務単位のスモールスタートから本番運用まで、AIエージェント構築をワンストップで支援します。ユースケースの洗い出しから、PoC、本番運用、社内ナレッジ化まで伴走します。
AI活用にご関心のある方は、ぜひ一度ご相談ください。
▶ GiftX AIエージェント構築支援の詳細・お問い合わせはこちら
