会社が生成AIを利用するとき、個人データを外部のAI事業者へ送信するのであれば、本人の同意が必要になるのではないかという疑問があります。
個人データを第三者へ提供する場合には、原則として本人の同意が必要だからです。
しかし、外部事業者に個人データを渡すすべてのケースで本人同意が必要になるわけではありません。
重要になるのが、個人情報保護法上の「委託」という考え方です。
生成AIについても、AI事業者を個人データの取扱いの委託先として整理できれば、本人同意を必要としない場合があります。
ただし、会社が生成AIを業務で使っているだけで自動的に委託になるわけではありません。
AI事業者が入力したデータを何に利用するのか、利用規約や契約がどのようになっているのかまで確認する必要があります。
個人情報保護法上の委託とは何か
企業はさまざまな業務を外部の会社へ任せています。
その業務を行うために、委託先へ個人データを渡さなければならない場合があります。
このように、自社が利用目的の達成に必要な範囲で個人データの取扱いを外部事業者へ任せるのが、個人情報保護法上の委託を考える代表的な場面です。
参考記事では、個人データを生成AIへ入力する行為は個人データの提供に該当する一方、個人データの取扱いに伴う委託と解することができる場合には、本人同意は必要ないと説明されています。 d4e4e20b-171d-4b23-b37e-82904a4…
たとえば、会社が生成AIを使って顧客から届いた問い合わせを要約するとします。
会社の目的は、顧客情報をAI事業者へ自由に利用させることではありません。
自社の業務を効率化するために、問い合わせ文章の要約という処理をAIに行わせることが目的です。
このような場面では、AI事業者への個人データの提供を委託として整理できるかどうかが重要になります。
第三者提供との違い
第三者提供と委託は、どちらも自社以外の事業者が個人データを取り扱うという点では似ています。
しかし、法律上の位置づけは異なります。
通常の第三者提供では、個人データを第三者へ提供するため、原則として本人の同意が必要になります。
一方、委託として整理できる場合には、参考記事が説明しているように、本人同意を要しない場合があります。 d4e4e20b-171d-4b23-b37e-82904a4…
生成AIを利用するときに、この違いは非常に重要です。
企業が保有する顧客や従業員全員から、
「あなたの情報を生成AIへ入力してよいでしょうか」
と個別に同意を取ることは、現実には難しいからです。
参考記事でも、アンケートに答えてもらうような場面とは異なり、企業実務では顧客や従業員全員から個別に同意を取得することは現実的に困難だと指摘されています。 d4e4e20b-171d-4b23-b37e-82904a4…
そこで、企業が生成AIを業務利用する場合には、AI事業者への提供を委託として整理できる環境を整えることが重要になるのです。
AI事業者を委託先と考える仕組み
それでは、生成AIを提供するAI事業者を委託先として考えるには何を確認すればよいのでしょうか。
重要なのは、AI事業者が入力された個人データをどのように取り扱うかです。
たとえば会社が、
「この顧客からの問い合わせを要約してください」
と生成AIへ入力したとします。
AI事業者が、その情報を回答生成のために処理するのであれば、会社が求めた処理との関係を考えることができます。
ところが、入力された個人データをAI事業者が別の目的にも利用する場合には、委託として整理できるかという問題が生じます。
参考記事では、入力情報がAI事業者側の目的で再学習された場合には、委託と整理することが困難になると指摘されています。 d4e4e20b-171d-4b23-b37e-82904a4…
つまり、
「仕事でAIを使ったから委託」
ではありません。
入力したデータをAI事業者が何のために利用するのかが重要なのです。
学習機能が重要になる理由
ここで生成AI特有の問題として出てくるのが、入力データの学習利用です。
生成AIサービスによっては、利用者が入力したデータがAIモデルの改善などに利用される可能性があります。
会社としては顧客情報を文章の要約に利用しただけでも、AI事業者がその情報を自社のAIモデルの学習に利用するのであれば、会社が依頼した処理だけに利用されているとは言い切れなくなります。
参考記事では、学習機能をオンにした個人向けプランについて、入力した情報がAI事業者側の目的で再学習された場合には委託として整理することが困難であるとして、個人情報保護法の観点から慎重な評価を示しています。 d4e4e20b-171d-4b23-b37e-82904a4…
一方、参考記事の図表では、代表的な生成AIについて、一定の法人向けプランや開発者向けプランでは入力データが学習対象外となり、DPAが用意されているという整理が示されています。 d4e4e20b-171d-4b23-b37e-82904a4…
この違いが、企業が個人向け無料版ではなく法人向けの利用環境を選ぶ理由の一つになります。
利用規約や契約内容を確認する理由
AI事業者を委託先として整理するうえでは、サービス名だけで判断することはできません。
同じ生成AIでも、
個人向けプラン
法人向けプラン
開発者向けプラン
などによって、入力データの取扱条件が異なる場合があるからです。
そこで確認する必要があるのが、利用規約やDPAなどです。
DPAとは、データ処理契約を意味します。
参考記事では、実務上はAI事業者を委託先として整理し、相手方が個人情報を適切に取り扱う体制を整備していることを、利用するAIサービスの内容や利用規約、DPAなどによって確認する方法が紹介されています。 d4e4e20b-171d-4b23-b37e-82904a4…
つまり、会社が生成AIを導入するときには、
「有名なAIだから大丈夫だろう」
では不十分です。
どのプランを契約するのか。
入力データは学習に使われるのか。
どのような契約条件でデータが処理されるのか。
こうした点まで確認する必要があります。
個人向けプランを会社が避ける理由
参考記事では、会社が生成AIを利用する際の最低限のルールとして、会社が選定した法人向けプランを利用することが示されています。
無料版や従業員個人のアカウントの利用を避け、会社が契約した法人向けプランを利用するという考え方です。 d4e4e20b-171d-4b23-b37e-82904a4…
会社が利用環境を統一すれば、
どのAIサービスが使われているのか
どの契約条件が適用されるのか
学習設定がどうなっているのか
などを会社側で管理しやすくなります。
反対に、社員がそれぞれ個人アカウントで生成AIを利用すると、会社は入力データがどのような条件で処理されているのか把握しにくくなります。
生成AIの個人情報対策では、社員一人ひとりに法律判断を任せるのではなく、会社が利用するサービスとプランを決めることが重要になるのです。
委託なら何を入力してもよいわけではない
もう一つ注意したいのは、AI事業者を委託先として整理できれば、どのような個人データでも自由に入力できるという意味ではないことです。
参考記事では、法律上適法であることと実務上のリスクがないことは同じではないと指摘されています。
たとえば、大量の顧客情報や従業員の人事評価を、そのまま生成AIへ入力して要約させるような運用にはリスクがあります。
誤操作によって社員が個人用アカウントへ情報を入力してしまう可能性もあります。
そのため、AIへ処理させる内容に必要のない氏名や具体的な識別番号などについては、あらかじめ削除したりマスキングしたりして入力することが重要になります。 d4e4e20b-171d-4b23-b37e-82904a4…
委託という法律上の整理と、実際の情報セキュリティ対策は別々に考える必要があるのです。
結論
会社がクラウド型生成AIへ個人データを入力すると、自社以外のAI事業者がそのデータを取り扱うことになります。
個人データを第三者へ提供する場合には、原則として本人同意が必要です。
しかし、AI事業者への個人データの提供を個人情報保護法上の委託として適切に整理できる場合には、本人同意を必要としない場合があります。
そこで重要になるのが、AI事業者によるデータの取扱方法です。
入力したデータが回答生成のために処理されるのか、それともAI事業者自身の目的による学習などにも使われるのかによって、考え方が変わります。
会社が生成AIを業務利用するときには、
「AI会社だから安全」
と考えるのではなく、利用規約や契約、学習設定、DPAなどを確認する必要があります。
生成AI時代の個人情報管理では、何を入力するかだけでなく、
「誰に、どのような条件で処理を任せているのか」
まで理解することが重要なのです。
参考
企業実務 2026年9月号 生成AI時代の個人情報の取扱い