議事録の作成、メールの返信文の下書き、営業提案資料のひな形づくりなど、その目的やシーンを問わず、生成AIを業務に取り入れる中小企業はここ数年でかなり増えていると感じます。一方で、その導入に合わせてプライバシーポリシーの内容を見直し、必要に応じて更新した事業者は、まだ多くないのではないでしょうか。
たとえば、ChatGPTやCopilotなどのサービスに、顧客の氏名や連絡先、取引内容を含む文章を入力したことがある人も少なくないと思います。
実はその行為は、個人情報保護法（以下「法」）が定める個人データの第三者提供に該当する可能性があるのですが、現在のプライバシーポリシーはこのような実態を想定した内容になっているでしょうか。
この記事では、生成AIをすでに業務利用している事業者が確認しておきたいプライバシーポリシー上の4つのポイントを挙げてみます。
※ 本記事は2026年8月時点の個人情報保護法を前提としています
生成AIの業務利用がプライバシーポリシーに与える影響
ツールへの入力は外部サーバーへの送信
議事録作成や文書要約のための入力は、手元の端末だけで完結しているように見えるかもしれませんが、多くの場合、ブラウザやアプリなどを経由して、生成AIサービスを提供する事業者が用意した外部のサーバーに送信されて初めて処理されます。
つまり、たとえば顧客管理システム等で管理している氏名、連絡先、取引金額、やり取りの経緯といった「個人データ」を含む文章を生成AIに入力・送信した場合、個人データが外部に出た状態になります。
単に「生成AIサービスを操作しているだけ」と考えがちですが、外部サーバーにデータを送信しているという実態の間にあるズレを認識することが、プライバシーポリシーを見直す出発点になります。
なお、プライバシーポリシーそのものの作成を生成AIに任せることについては別の観点のリスクがあり、プライバシーポリシーの作成を生成AIに任せることの落とし穴で取り上げています。
また、対象となるのはテキストを入力する場面に限らず、会議を録画・録音して要約するAIツール（いわゆるAI議事録サービス）も、参加者の発言内容を外部のサービスに送信するという点では同じ構造を持ちます。
ただし、録画・録音データが法で規定する個人データに該当するかどうかは、単に保存されているかではなく、特定の参加者に関する記録を検索できるなど、個人情報データベース等として体系的に管理されているかによって判断が分かれます。
過去の会議を横断して話者ごとに検索できるような機能を持つツールは、この体系的な管理に当たりやすい典型例だといえます。テキスト入力よりも確認すべき点が増えるため、利用しているツールがどのような機能を持つかを踏まえて、個別に確認しておく必要があります。
記載内容と実際の運用のずれが最大のリスク
数年前に作成したプライバシーポリシーが、現在使っている外部サービスをすべて想定できているとは限りません。
これは生成AIに限った話ではなく、新しいクラウドサービスやSaaSを使い始めるたびに起こりうる一般的な問題です。
ただし、生成AIは導入のスピードが速く、部署ごとに異なるツールを試したり無料版から使い始めたりするケースも少なくないため、プライバシーポリシーの更新が後回しになりやすいです。
この更新の遅れにより、プライバシーポリシーで明示している「利用目的」には記載していない用途で個人データを扱うことにもなりかねず、それは法的な問題につながるおそれがあります。
また、見直すべき理由は、法令への対応だけではありません。
取引先や発注元が情報管理体制を確認する際、プライバシーポリシーの内容が実態と合っているかを問われるケースも少なくありません。
セキュリティチェックシートの中で問われることもあります。セキュリティチェックシートに関してはこちらをご覧ください。
実態を反映していない文書は、説明の矛盾を生む原因になりかねません。事業の実態が変われば、文書の内容もあわせて変える必要があるという前提が、以下に挙げる4点確認の基礎になります。
利用目的と委託関係の整理
以下で扱うポイント①〜③は、いずれも法による規律ですが、対象となる情報の範囲が異なります。
①の利用目的の特定は個人情報全般に関わる規律であるのに対し、②③で扱う委託・第三者提供・外国第三者提供は「個人データ」を対象とした規律です。この違いが、後述するチェックの要否にも関わってきます。
ポイント① ：プロファイリング的な使い方をしている場合、その処理を利用目的に含めているか
法では、個人情報の利用目的をできる限り具体的に特定し（法17条）、通知・公表等すること（法21条）が求められています。
ここで大切になるのが、どのツールを使っているかではなく、本人が予測できない取扱いをしていないかという点です。
議事録作成やメールの下書き、資料のひな形づくりのように、生成AIを既存の業務目的の範囲内で処理方法として使っているだけであれば、通常はその利用目的の範囲内の話にとどまり、記載を独立して追加しなくても大きな問題にはなりにくいと考えられます。
一方で、顧客の行動履歴や嗜好を分析するような、いわゆるプロファイリングに当たる用途で使っている場合は注意が必要です。
このような分析処理を行うこと自体を利用目的に含める必要があるとされており（ガイドラインQ&A Q2-1）、抽象的な記載にとどまると具体的な特定として不十分と判断されるおそれがあります。
これは生成AIに限った論点ではなく、行動履歴・関心情報を分析する処理全般に共通する考え方ですが、生成AIの活用が広がる中で、意図せずこうした分析的な使い方に踏み込んでいるケースも出てきていると思います。
自社の生成AI活用が単純な文書処理にとどまっているのか、それとも顧客データの分析やスコアリングのような使い方に及んでいるのかを、まず切り分けて確認することが大切です。
ポイント②： AIサービス事業者への提供を適切な法的根拠で整理しているか
生成AIサービスへの個人データ送信は、AIサービス事業者に業務処理を「委託」するものとして整理できるケースがあります。委託として整理できれば本人の個別同意は原則不要（法27条5項）ですが、委託先に対する監督義務（法25条）が生じます。
ただし、委託として整理できるのは、AIサービス事業者が受け取った個人データを自らの目的に利用しないことが条件となります。
生成AIサービスによっては、プランや契約内容によって入力データをモデルの学習等に利用する場合があります。その場合は、単純な委託として整理することが難しくなり、法で定められている「第三者提供」に関する規制への対応を検討する必要があると考えられます。
そのため、まずは利用しているサービスの利用規約を確認し、学習利用の可否とオプトアウトの設定が可能かどうかを把握することが重要です。
サービスによっては、有料プランや専用の設定変更によって学習利用を無効化できる場合があり、その設定が有効になっているかどうかも確認しておきたいところです。個人情報保護委員会も、生成AIサービスへの個人情報の入力について、利用目的の範囲内であることの確認や、入力内容が機械学習に利用されないことの確認を呼びかけています。
その整理に応じて、必要な同意取得や委託先の監督といった対応を行い、実態に応じてプライバシーポリシーにも反映します。委託と第三者提供の区別については個人情報の取扱いの委託とは？第三者提供・クラウド例外との違いと監督義務でも取り上げていますので、あわせてご参照ください。
外国にある事業者が提供するAIサービスへの対応
ポイント③： 外国にある第三者への提供に当たる場合の対応が整っているか
外国にある第三者への個人データ提供に関する規律は、生成AIに限った論点ではありません。Google WorkspaceやSalesforce、Zoomのような外国法人が運営するクラウドサービス全般に共通する問題です。
主要な生成AIサービスには外国法人が運営するものが多いため、業務利用を始める際には、提供先が「外国にある第三者」に当たるかを確認しておく必要があります。
外国法人が運営していることは確認のきっかけにはなりますが、それ自体で結論が決まるわけではなく、提供先が国内で個人データを取り扱っている場合など、外国にある第三者に該当しないケースもありますし、逆に国内の法人が運営していても保存先のサーバーは外国という場合もあります。
法は、外国にある第三者への個人データ提供について特別な規律（法28条）を設けており、委託先を含め、移転先となる国の個人情報保護制度に関する情報を本人に提供したうえで同意を得るか、相当の保護水準を備えた体制の整備が求められる場合があります。
なお、ポイント②での整理が「委託」であっても「第三者提供」であっても、提供先が外国にある第三者に当たるのであれば、このポイントの確認は必要です。
本人同意を根拠として外国にある第三者へ提供する場合は、同意取得前に移転先の国名、当該国の保護制度の概要、提供先が講ずる保護措置という3点の情報提供が行われているかを確認してください（法28条2項）。
プライバシーポリシーに「海外への提供は行いません」と記載していても、生成AIサービスの利用が実態として外国への提供に該当するケースがあるため、現在の記載と実際の利用状況を照らし合わせておく必要があります。
なお、提供先の事業者がデータを一切取り扱わない建付け（暗号化・アクセス制御等）になっている、いわゆる「クラウド例外」に当たる場合は、そもそも第三者への提供に該当しないため、ここまで述べた外国第三者提供の規律は適用されません。しかし、提供先が外国にある事業者であれば、外的環境の把握を含む安全管理措置は別途必要です（法23条）。
これに対し、生成AIサービスのように提供先が実際に個人データを処理する場合は、委託であっても提供に当たるため、EU・英国にある場合や相当措置を継続的に講ずる体制が整っている場合などの例外に該当しない限り、本人同意と事前の情報提供が必要です。
プライバシーポリシーの運用体制
ポイント④ ：新しいAIツールを使い始めるたびに見直す仕組みがあるか
ここまでの3点は、プライバシーポリシーの記載内容に関わるものでしたが、ポイント④は、その内容を継続的に適切に保つための仕組みの話になります。
生成AIサービスの種類は急速に増えており、使用するツールも入れ替わりやすい状況にあります。そのため、新しいサービスを使い始めるたびに、個人データを送信するかどうかを確認し、必要であればプライバシーポリシーを改訂するという内部フローが重要になってきます。
更新の担当者と確認の記録が残る体制を整えておくと、取引先の審査や問い合わせへの対応もしやすくなります。クラウドサービスの利用が第三者提供に当たるかどうかの判断も契約内容によって分かれる論点であり、クラウドサービスを使うと「第三者提供」になるのか？であわせて確認しておくと、AIサービス以外のツールを見直す際にも役立ちます。
改訂時の社内周知と更新記録の残し方
プライバシーポリシーを改訂した際は、実務上、Webサイト上での公表と更新日の明記が基本的な対応になります。加えて、従業員に対してAIに入力してよい情報とそうでない情報のルールを周知することも、安全管理措置の一環として重要です。特定の担当者が更新を担い、確認の記録が残る体制を整えておくことが望ましいといえます。
現状確認に使えるセルフチェックリスト
- 生成AIを顧客の行動履歴・嗜好分析等のプロファイリング的な用途で使っている場合、その処理が利用目的として記載されているか確認する（単純な文書処理にとどまる場合は対象外。）
- 使用しているAIサービスの利用規約等を確認し、入力データの利用目的や学習利用の有無を把握したうえで、委託・第三者提供等の法的整理に応じた対応ができているか確認する
- AIサービス事業者が外国にある第三者に当たる場合、本人同意・基準適合体制等のいずれの根拠で提供しているかを確認し、必要な情報提供等が行われているか確認する
- 生成AI導入後にプライバシーポリシーの見直しが行われているか、新しいAIツール導入時に確認を行う担当者とフローが定められているか確認する
まとめ
生成AIはとても有益であり、その活用を制限する必要はありません。しかし、第三者が提供する外部サービスに個人データを送信するという性質上、利用目的やプライバシーポリシーが実態と整合しているかどうかの確認は避けて通れません。
この記事で挙げた4つのポイントを一度にすべて整備することが難しくても、まずどこに問題があるかを把握することが最初の一歩になります。
実態を反映していないプライバシーポリシーは、コンプライアンス上のリスクの温床になりかねません。生成AIの活用が珍しくなくなった今、改めて全体を見直すことがリスク低減につながる近道です。
どこをどう直せばいいか、社内でどう説明すればいいかといった段階からご相談いただけます。プライバシーポリシーの現状確認から具体的な記載内容のご提案まで対応していますので、まずはお気軽にご相談ください。
