AIサービスと個人情報保護で、企業が最初に確認すべきこと

こんにちは。LegalAgent 代表弁護士の朝戸です。

AIサービスを提供する企業にとっても、社内で利用する企業にとっても、個人情報保護は避けて通れないテーマです。生成AIは、文章や音声、画像など、さまざまなデータを扱います。その中に個人情報が含まれる場合、個人情報保護法との関係を確認します。

AIサービスの法務では、技術的に何ができるかだけでなく、どのデータを、どの目的で、誰の責任で扱っているのかを説明できるかが問われます。BtoBサービスやエンタープライズ向けサービスでは、顧客企業の法務部門から細かく確認される場面もあります。この記事では、データの流れの確認、利用目的の書き方、委託・第三者提供・国外移転の切り分け、AI出力が本人に与える影響という順で、プライバシーポリシーを書く前に固めておくべき前提を追っていきます。

なお、個人情報保護法は3年ごとの見直しが予定されており、課徴金制度の創設、統計作成等（AI開発等を含む）にのみ利用する場合の同意特例、16歳未満の者の個人情報の取扱いに関する規律等を内容とする改正法が2026年7月10日に成立しています（2026年個人情報保護法改正の解説）。施行日は公布の日から2年を超えない範囲内で政令により定められるため、本記事更新時点では確定しておらず、施行までの動向によって実務対応が変わり得る点にも留意が必要と考えられます。

出発点になるデータフローの確認

AIサービスと個人情報保護を考えるとき、最初に行うべきなのはデータの流れの確認です。ユーザーがどの画面でどの情報を入力するのか、その情報が自社サーバーに保存されるのか、外部AIサービスに送信されるのか、ログとして残るのか、学習に使われるのかを確認します。

ここが曖昧なままプライバシーポリシーを書くと、実態と説明がずれる可能性があります。特に、外部の生成AI APIを利用している場合には、入力データが外部事業者に送信されることになります。その場合、自社と外部事業者の関係やデータ処理条件、ログ保存の状況を確認します。

法務としては、開発チームやプロダクトチームから、データフローを図や表で共有してもらうのが確実です。口頭の説明だけで進めると、後述する委託・第三者提供の切り分けを誤る原因になります。

利用目的の書き方

個人情報を扱う場合には、利用目的を特定します。AIサービスでは、利用目的が抽象的になりやすいです。「サービス提供のため」「品質向上のため」といった表現だけでは、実際に何をしているのかが分かりにくい場合があります。

たとえば、ユーザーが入力した文章をAIで要約する、問い合わせ内容を分析して回答候補を作る、採用候補者の情報を管理する、顧客の利用ログをもとに機能改善を行う、といった形で、実際の処理に即して説明する必要があります。

学習利用を行う場合には、通常のサービス提供とはリスクが異なります。個人情報をモデルの学習に使うのか、統計情報や匿名加工情報のような形で扱うのか、本人や顧客企業にどのように説明するのかを慎重に見極めます。

委託・第三者提供・国外移転の切り分け

AIサービスでは、外部クラウドや生成AI APIなど、多くの外部サービスを使うことがあります。個人情報保護法上、これらが委託にあたるのか、第三者提供にあたるのかを切り分けます。

特に、外部AIサービスが海外事業者である場合、国外移転の説明や契約上の措置が問題になることがあります。プライバシーポリシーや個別契約で、どこまで説明すべきかを検討する必要があります。

BtoBサービスの場合、顧客企業が自社の個人情報をサービスに入力することもあります。その場合、自社は顧客から個人データの取扱いを委託される立場になる可能性があります。委託契約や再委託の管理など、受託者としての義務も併せて確認しておくべき事項です。

AIの出力と個人情報

AIサービスでは、入力データだけでなく、出力結果にも注意が必要です。AIが個人に関する評価、分類、推薦、要約を行う場合、その出力が本人に不利益を与える可能性があります。

採用、人事評価、与信などの領域では、AIの判断をそのまま使わず、人間による確認や説明可能性の確保をどう組み込むかを検討する必要があります。

また、AIが入力情報から推測した内容が正確とは限りません。個人に関する不正確な情報が保存されたり、顧客対応に使われたりすると、個人情報保護だけでなく、信用や契約上の問題にもつながる可能性があります。

プライバシーポリシーだけで終わらせない

AIサービスと個人情報保護では、プライバシーポリシーを作るだけでは足りません。社内のデータ管理や外部サービスの契約確認、インシデント対応まで含めて整えます。

エンタープライズ顧客に提供する場合、顧客からセキュリティチェックシートや個人情報取扱いに関する質問が来ることがあります。そのときに、データフローや利用目的、削除方法を説明できる状態になっているかどうかで、商談の進み方が変わります。

LegalAgentでは、AIサービスの個人情報保護を、プライバシーポリシーの作成だけでなく、サービス設計と契約実務の問題として捉えています。生成AI時代には、法務がプロダクトのデータ利用を理解し、事業に合わせた説明と管理体制を作ることが必要だと考えています。