個人情報保護法とAIの入力——どこから「第三者提供」になるか

こんにちは、コマルです。「ChatGPTに会社の情報を入れていいの？」という相談を掘り下げていくと、最後に必ずぶつかる一段深い質問があります。「これって、個人情報保護法でいう第三者提供にあたるんですか？」というものです。結論から先に見せます。次のチャートで、あなたが今入れようとしている内容が、どの段階で法律上の線を越えるかをたどれます。

ちなみに、「うちは小さな会社だから対象外では」と思っていませんか。2017年5月30日に全面施行された改正個人情報保護法で、かつてあった「取り扱う個人情報が5,000件以下の事業者は適用除外」という規定は撤廃されました。今は、個人情報をデータベース化して事業に使っている事業者であれば、規模を問わずすべて「個人情報取扱事業者」として法の対象になります。

まずは3つの問いを、順番に見ていきます。

Q1：そもそも「個人データ」って何を指すか

マル

最初の分かれ道、「個人を特定できる情報が含まれるか」だよね。これって、名簿みたいにまとまってないとダメなの？

タイガー

まとまっていなくても対象になるよ。氏名・連絡先・取引先の担当者名など、誰か個人を特定できる情報が「個人データ」の目安。量が多い少ないは関係なくて、たった1人分でも対象になるんだ。

マル

じゃあ「取引先のXさんの件で相談したいんだけど」って、名前ひとつ書いただけでもアウトなの……？

タイガー

その一言だけなら、まだ次の問いに進む段階だね。ここではまず「対象になりうるかどうか」を見極めるのが役目。次のQ2・Q3を通ってはじめて、実際に問題になるかが決まるよ。

マル

名刺交換しただけの相手の名前を、メモ代わりにAIへ入れるのはどう？

タイガー

名刺の情報も、名前と会社名で本人が特定できれば個人データになりうるよ。「名刺だから軽い」という区別は法律上はないんだ。

Q2：AIの設定が「学習に使う」側になっていないか

無料版と法人向けプランでは、入力内容の扱いが初期設定から違います。漏洩の仕組みと対策で詳しく整理した内容の要点だけ振り返ると、ChatGPTの無料版・Plus（個人向け）は初期設定で入力内容が学習に使われうる一方、Business・Enterprise・API（法人向け）は初期設定で学習に使いません。GeminiやClaudeも、個人向けと法人向けで初期設定が分かれています。

マル

うちは今、無料版をみんなで使ってる……。初期設定のままだと、学習に使う側なんだよね。

タイガー

そうだね。だからこそ、まず「学習させない」設定の手順で今の設定を確認するのが先決。オフにできれば、次の問いには進まずに済むケースが増えるよ。

Q3：ここが本題——なぜ「第三者提供」にあたるのか

先に言葉の意味をそろえておきます。「第三者提供」とは、契約や委託でつながっていない外部の相手に、個人データを渡すことです。自社の社員に見せるのは提供ではありません。契約を結んで作業を任せている外注先に渡すのも、原則として提供ではなく「委託」として扱われます。問題になるのは、その輪の外にいる相手に渡したときです。AIに文章を入力する行為が、なぜその「渡す」に当たりうるのか——ここがこの記事の核心です。

個人情報保護委員会は2023年6月、生成AIサービスの利用に関する注意喚起を公表しました。その中核はこの一文です。

生成AIサービスの利用者が入力した情報について、生成AIサービスの提供者が自らのAIの精度向上等のために学習データとして利用することとしている場合に、利用者が個人データもしくは保有個人情報を入力すると、利用者から提供者に対し、個人データもしくは保有個人情報を提供したことになります。

つまり、入力した個人データが「AI提供者自身の学習」に使われる設定になっている場合、入力する行為そのものが提供者への「提供」にあたる、という整理です。多くの中小企業が該当する「個人情報取扱事業者」には、個人データを第三者に提供する場合、原則としてあらかじめ本人の同意を得る義務があります（個人情報保護法第27条・第28条）。行政機関等が保有個人情報を扱う場合も、特定された利用目的の範囲内での利用・提供が原則です（同法第69条）。

例外——あたらない、と言えそうなケース

3つの問いすべてに違う答えが返ってくる組み合わせを、表にしておきます。

マル

結局、無料版で仕事に使うのは全部ダメってこと？

タイガー

そこまでは言い切れないよ。学習に使わない設定にする、または法人向けプランに切り替えれば、「提供」自体が起きにくくなる。無料版だから即アウトではなく、設定と入力内容の組み合わせで決まるんだ。

マル

設定さえ直せば、もう安心？

タイガー

設定を過信しないでね。うっかり別の端末や個人アカウントで初期設定のまま使ってしまう、というヒューマンエラーは残る。だから「入れない情報を決めておく」のと合わせて考えるのが安全だよ。

Comaruの実務ではこう判断している

一次情報がここまではっきりしている論点でも、実際の線引きは会社ごとの運用に落ちます。Comaruでは、相談やドラフト作成でAIを使うとき、お客様の氏名・連絡先・契約条件をそのまま入力する前提を持たず、「A社」「担当者Xさん」のように固有名詞を記号に置き換えてから相談するようにしています。どうしても固有名詞が必要な作業（契約書の下書きなど）は、学習に使わない設定にした法人向けプランを使い、出力された文面は必ず自分の目で確認してから使う、という順番を守っています。判断に迷う個別のケースは、専門家に確認する前提で「まず入力しない」を先に選びます。

マル

それって、実際の案件でもいつも徹底してるの？

タイガー

そう。提案書の下書きに使うときも、まず記号化してから相談して、固有名詞は自分の手で最後に戻す。ひと手間だけど、これだけで入力のリスクはかなり減らせるよ。

迷ったときは「なぜ入力しないと判断したか」を一言メモしておくと、あとで社内に説明が要るときにも役立ちます。難しい仕組みは要りません。日付・入力しようとした内容・判断の3行で十分です。

まとめ：線引きは「個人データ」「設定」「同意」の3点で決まる

生成AIへの入力が個人情報保護法の「第三者提供」にあたるかどうかは、印象や思い込みで決まる話ではありません。①誰かを特定できる個人データが含まれるか、②入力先のAIサービスが学習に使う設定になっているか、③本人の同意があるか——この3つの組み合わせで、機械的に判断できます。

多くの中小企業が実際に直面するのは、①はい・②はい・③いいえ、という組み合わせです。ここに当たったら、個人情報保護委員会の注意喚起どおり、原則として本人の同意なしに入力すべきではありません。逆に、設定を学習オフ・法人プランに変えるだけで、②の分岐が変わり、リスクの位置づけも変わります。まず自分たちの設定がどちらなのかを確認するところから始めてください。

固有名詞を記号に置き換える工夫や、社内で「入れない情報」を先に決めておく考え方は、AIに入れていい情報はどこまで？にまとめています。ルールとして1枚にまとめる手順は小さな会社の生成AI利用ルール、無料版のまま使うなら最初にやるべき設定変更は「学習させない」設定の手順を参考にしてください。全体像を先に押さえたい方はChatGPTに会社の情報を入れて大丈夫？からどうぞ。

30分無料相談では、「うちが今使っている設定でこの情報を入れて大丈夫か」「個人データを扱う業務でAIをどこまで使ってよいか」を、実際の入力内容に合わせて一緒に整理できます。判断に迷ったまま使い続けるのが不安な方は、お気軽にどうぞ。

参考（一次情報）：個人情報保護委員会 生成AIサービスの利用に関する注意喚起等について／同・生成AIサービスの利用に関する注意喚起（リーフレットPDF）

※本記事は一般的な情報提供であり、法的助言ではありません。個別の判断が必要な場合は、専門家にご確認のうえで対応してください。制度・ガイドラインは改定されることがあるため、実際の運用にあたっては最新の公表情報をご確認ください。

この記事は、みなさんの“困る”を解決する猫の手「コマル」がお届けしました。 「うちの場合はどうなる？」は 30分無料相談 でどうぞ。