生成AIを会社で利用するとき、見落としやすいのが、
「その生成AIを提供している会社はどこの国の会社なのか」
という問題です。
普段、生成AIの画面に文章を入力するとき、サービスを提供している会社の所在地まで意識することは少ないでしょう。
しかし、個人データを扱う場合には重要な意味を持ちます。
参考記事では、主要な生成AI事業者の多くが外国法人であることから、個人データを入力するときには、通常の第三者提供だけではなく、外国にある第三者への提供に関する個人情報保護法上のルールも検討する必要があると説明しています。
そこで重要になるのが、本人同意や基準適合体制という考え方です。
外国企業が提供する生成AIを使うこと自体が問題なのではありません。
重要なのは、
「誰に個人データを渡し、どのような体制のもとで取り扱われるのか」
を確認することです。
外国にある第三者とは何か
個人情報保護法では、個人データを第三者へ提供するときのルールが定められています。
原則として、個人データを第三者へ提供する場合には、あらかじめ本人の同意を得ることが問題になります。
さらに、提供先が外国にある第三者の場合には、外国にある第三者への提供についてのルールも考える必要があります。
参考記事では、生成AIとの関係でこの点を重要な問題として取り上げています。
なぜなら、主要な生成AIサービスを提供している事業者には外国法人があるからです。
会社が顧客や社員の個人データを生成AIへ入力する場合、
「生成AIに入力しただけ」
と考えるのではなく、その先に外国のAI事業者が存在する可能性を考える必要があります。
国内事業者への提供との違い
外国の事業者へ個人データを提供する場合に特別なルールが設けられている背景には、国によって個人情報保護の制度などが異なることがあります。
日本国内の事業者へ個人データを提供する場合と、外国にある事業者へ提供する場合では、データを取り巻く環境が同じとは限りません。
そのため、個人情報保護法では、外国にある第三者への個人データの提供について別途ルールを設けています。
生成AIの場合には、利用者からすると国内サービスと外国サービスの違いをあまり感じないかもしれません。
日本語で質問できます。
日本の会社のパソコンから利用できます。
回答もすぐに日本語で返ってきます。
しかし、個人データの取扱いを考える場合には、画面上の使いやすさだけでなく、サービスを提供している事業者について確認することが必要になります。
本人同意との関係
外国にある第三者へ個人データを提供する場合には、原則として本人の同意が問題になります。
たとえば、会社が保有している顧客の個人データを外国のAI事業者が提供する生成AIへ入力するとします。
単純に第三者への提供として整理するのであれば、本人同意について検討する必要があります。
しかし、実務では大きな問題があります。
会社には数千人、数万人、場合によってはそれ以上の顧客がいることがあります。
また、社員の情報を生成AIで処理するのであれば、多くの社員について考える必要があります。
生成AIを利用するたびに対象となる顧客や社員から同意を得るという運用は、現実には難しい場合があります。
そこで、生成AI事業者との関係をどのように整理するかが重要になります。
委託ならどうなるのか
個人データの第三者提供には例外があります。
参考記事では、個人データの取扱いを委託することに伴って提供する場合には、個人情報保護法上の第三者提供には当たらないという仕組みを説明しています。
生成AIを利用する場合にも、AI事業者を単純な第三者として考えるのではなく、
「会社の業務のために個人データを処理する委託先」
として整理できるかが重要になる場合があります。
ただし、
「会社が生成AIを仕事で使っているから自動的に委託になる」
というわけではありません。
AI事業者が入力データをどのように取り扱うのかを確認する必要があります。
そのため参考記事では、サービス内容や利用規約、DPAなどを確認することの重要性を指摘しています。
基準適合体制とは何か
外国にある第三者への個人データの提供を考えるうえで重要になるのが、基準適合体制です。
参考記事では、外国にある第三者への個人データ提供について、本人同意を得る方法だけでなく、提供先が個人情報保護委員会規則で定められた基準に適合する体制を整備している場合についても説明しています。
これが、いわゆる基準適合体制です。
簡単にいえば、外国の事業者だから直ちに個人データを提供できないという仕組みではなく、一定の個人情報保護の体制が整えられているかという観点から判断する方法が用意されています。
生成AIを企業で利用する場合にも、このような体制をどのように確認するかが重要になります。
DPAを確認する意味
そこで実務上重要になるものの一つがDPAです。
DPAは、個人データなどの処理について定める契約です。
参考記事では、主要な生成AIについて、法人向けや開発者向けの一定のプランではDPAが用意されている一方、個人向けプランではDPAがないという整理をしています。
DPAがあることだけで、あらゆる個人情報保護法上の問題が自動的に解決するわけではありません。
しかし、
AI事業者がどのような立場でデータを処理するのか
入力データがどのように扱われるのか
どのようなデータ保護上の義務を負うのか
を確認するための重要な材料になります。
企業が個人データを扱うのであれば、単に生成AIの機能や料金だけを見るのではなく、こうした契約面まで確認する必要があります。
個人向けプランでは整理が難しくなる場合がある
参考記事では、個人向けプランと法人向けや開発者向けの一定のプランを比較しています。
個人向けプランでも、入力データをモデルの学習に利用しない設定が可能な場合があります。
しかし、学習をオフにしただけで十分とは限りません。
参考記事では、個人向けプランではDPAがないことなどから、個人データを扱う場合の法的な整理が難しくなる可能性を指摘しています。
一方、法人向けや開発者向けの一定のプランでは、入力データをモデルの再学習に利用しない条件とDPAが用意されているため、リスクを低く整理しやすくなります。
これが、会社が社員の個人アカウントではなく、会社が選定した法人向け環境を利用する意味の一つです。
外国企業だから危険という話ではない
ここで誤解してはいけないのは、
「外国の生成AI会社だから危険である」
という話ではないことです。
問題は外国企業であることそのものではありません。
個人情報保護法上、外国にある第三者への個人データ提供について特別なルールがあるため、その条件を確認する必要があるということです。
また、国内企業が提供しているサービスだから何も確認しなくてよいということでもありません。
重要なのは、
誰がデータを処理するのか
どのような目的で処理するのか
どのような契約になっているのか
入力情報が再学習などに利用されるのか
といった実際のデータの取扱いを確認することです。
サービス名だけで判断しない
同じ生成AIサービスでも、利用するプランによってデータの取扱条件が異なる場合があります。
したがって、
「この生成AIなら安全」
「この生成AIなら危険」
とサービス名だけで判断することは適切ではありません。
参考記事でも、主要サービスについて個人向けプランと法人向けや開発者向けのプランを分けて整理しています。
さらに、生成AIサービスの利用規約やDPA、プランの内容などは変更されることがあります。
そのため、実際に会社で導入するときには、その時点の最新の条件を確認する必要があります。
個人データを入力する前に考える
生成AIを利用するときには、便利さが先に立ちます。
顧客からの問い合わせを要約する。
社員の面談記録を整理する。
顧客データを分析する。
どれも生成AIが得意とする仕事です。
しかし、その作業に個人データが必要なのであれば、入力する前に、
「どのAI事業者へデータが送られるのか」
「外国にある事業者への提供として何を確認する必要があるのか」
「委託として整理できるのか」
「DPAなどの契約条件はどうなっているのか」
を確認する必要があります。
さらに、そもそも氏名などを削除しても目的を達成できるのであれば、必要のない個人情報をAIへ渡さないという方法もあります。
法的な条件を整えることと、入力する情報を最小限にすることの両方が重要です。
結論
外国の生成AI会社へ個人データを送ることが、一律に禁止されているわけではありません。
しかし、主要な生成AI事業者には外国法人もあるため、会社が個人データを生成AIへ入力するときには、外国にある第三者への提供に関する個人情報保護法上のルールも考える必要があります。
原則として本人同意が問題になりますが、実務では多数の顧客や社員からその都度同意を得ることが難しい場合があります。
そこで、AI事業者との関係を個人データの取扱いの委託として整理できるか、外国の提供先が基準に適合する体制を整備しているかなどを検討することになります。
その確認で重要になるものの一つが、利用規約やDPAです。
つまり、
「外国の生成AIだから使わない」
という単純な問題ではありません。
「外国の生成AIへ個人データを渡すのであれば、どのような法的関係とデータ保護体制のもとで処理されるのかを確認する」
ことが重要なのです。
生成AIの画面だけを見ていると、国境はほとんど感じません。
しかし、個人データを扱う企業には、その画面の向こう側に誰がいるのかまで確認することが求められるのです。
参考
企業実務 2026年9月号 生成AI時代の個人情報の取扱い