生成AIに顧客情報を入力していいのか？社長が今すぐ確認すべきリスクと対策

「ChatGPTに顧客のメールをそのまま貼り付けて、返信文を作らせているんだけど、問題ないよね？」——そんな問いを、顧問先の社長や担当者から受けることが増えました。現場が便利なツールを使うのは自然なことです。でも、社長が「うちは大丈夫だろう」と感覚で判断しているうちに、実は取り返しのつかないリスクが静かに積み上がっているケースがあります。

生成AIは確かに便利です。ただ、「顧客情報を入力する行為」には、個人情報保護法上のルールと、情報が外部に渡るリスクという二つの落とし穴があります。この記事では、社長が「なぜ判断を誤るのか」という構造から説明し、具体的に何をすべきかをお伝えします。

なぜ社長は「大丈夫だろう」と判断してしまうのか

生成AIに顧客情報を入力することへの危機感が薄い理由は、主に三つあります。

• 「入力した情報はAIが学習しない」と思い込んでいる
  多くの生成AIサービスは、無料プランや初期設定のままでは、入力したデータを学習・改善目的で利用する可能性があります。エンタープライズプランや設定変更で制限できますが、初期設定のままで使っている場合、顧客情報がサービス提供会社のサーバーに渡る可能性があります。
• 「社内で使っているだけ」と線引きしている
  クラウド型の生成AIサービスは、入力データが事業者のサーバーで処理されます。この段階で、情報は「社内」を超えて外部に送信されていると考えるべきです。
• 「一件一件の情報量は大したことない」と軽く見ている
  一人の顧客の氏名・住所・購入履歴・相談内容——これらを組み合わせれば、個人を特定できる情報のかたまりです。個人情報保護法における「個人情報」に該当します。量の問題ではありません。

この三つの思い込みが重なると、「大丈夫だろう」という判断が繰り返されます。問題が見えないだけで、リスクは確実に蓄積しています。

問題が起きる前にできること——予防の視点

まず確認すべきは、自社が顧客情報を生成AIに入力することが、個人情報保護法上の「第三者提供」や「利用目的の範囲外利用」に当たらないかという点です。

顧客に示したプライバシーポリシーや利用規約に、「生成AIサービスへのデータ送信」が含まれていなければ、その行為は本来の利用目的を超えている可能性があります。個人情報保護委員会は、AIサービスへの個人データ提供についても個人情報保護法の原則が適用されるという立場をとっています。

予防のために最低限、以下を確認してください：

• 使用している生成AIサービスのプライバシーポリシーに、入力データの学習利用に関する記載があるか
• 自社のプライバシーポリシーに「AIツールを業務に使用する」旨が記載されているか
• 従業員が無断で生成AIに顧客情報を入力できる状態になっていないか
• 生成AIサービスとの間に「委託契約」や「データ処理に関する合意」が存在するか

特に重要なのは最後の点です。個人情報保護法では、個人データの取り扱いを外部委託する場合、委託先が適切に管理していることを監督する義務があります（同法第25条）。生成AIサービス事業者との関係が「委託」に当たるなら、適切な契約と監督体制が必要です。何も契約せずに使い続けることは、法令上の義務違反になりえます。

問題が発生したとき——対応フローと証拠の残し方

万が一、生成AIへの顧客情報入力が原因でトラブルが生じた場合、何が起きるかを整理しておきます。

想定される問題のパターン：

1. 個人情報保護委員会からの行政指導・課徴金——利用目的外の利用や、委託先の監督義務違反が認定された場合
2. 顧客からの損害賠償請求——情報漏洩や目的外利用により、顧客が精神的・経済的損害を受けたと主張する場合
3. 取引先・ビジネスパートナーとの信頼毀損——BtoBの文脈で、相手方の機密情報を無断でAIに入力していたことが判明した場合

問題が発生したとき、最初にやるべきことは事実関係の迅速な把握と記録です。

• 誰が、いつ、どのサービスに、どのような情報を入力したかを記録・保全する
• 使用した生成AIサービスの利用規約・プライバシーポリシーの該当箇所をスクリーンショットで保存する
• 社内のSlack・メール等で、生成AIの使用状況に言及したやり取りがあれば保全する
• 個人情報保護委員会への報告義務（漏洩等が発生した場合の「報告・通知義務」）が発生しうるか弁護士に確認する

証拠は、問題が起きてから急に作れるものではありません。日頃から利用ログやポリシー文書を整備しておくことが、いざというときの会社の守りになります。

失敗事例の構造——なぜ相談が遅れ、なぜ証拠がなかったのか

顧問先の相談から見えてきた、典型的な失敗のパターンがあります。

「現場に任せていた」という盲点

ある企業では、営業担当者が顧客との面談内容を生成AIに入力して議事録を自動作成していました。社長はその事実を知らず、問題が表面化したのは顧客から「私の情報がどこかに渡っているのではないか」と問い合わせが来てからでした。

なぜ相談が遅れたのか。「現場が使いやすい道具を探して使う」のは自然なことで、社長が一から一まで管理することはできません。しかし、ルールが整備されていなければ、現場の「善意の便利使い」が法令違反になりうる——この構造を社長が理解していなかったことが根本です。

「証拠が残っていなかった」という問題

問題発生後に「どのサービスを使っていたか」「設定はどうなっていたか」が確認できないケースがあります。無料プランで使っていたため利用履歴が残っておらず、学習利用されたかどうかも確認できない——という状況です。この場合、顧客への説明責任を果たすことが極めて難しくなります。

証拠がないことは、会社を守れないことと同義です。ツールを使う前に、記録を残せる体制を作ることが大切です。

うちの会社ではどう考えればいいのか

「法律的にどこまでが許されるのか」という正解を一律に出すことはできません。なぜなら、使うサービスの種類・設定・自社の利用目的・顧客との契約内容によって、適法かどうかの判断は変わるからです。

そのうえで、社長が持つべき判断軸はシンプルです：

• 顧客が「そのように使われる」と知っていたら、同意しただろうか
• その情報が外部に出ても、自社として責任を取れる体制があるか

この二つに「yes」と言えない使い方は、リスクがあると考えてください。

具体的な判断の手順としては：

1. 現在使っている生成AIサービスを棚卸しする（無料・有料・種類）
2. 各サービスの「データ利用ポリシー」を確認し、学習利用されないか確認する
3. 自社のプライバシーポリシーと照らし合わせ、乖離がないか確認する
4. 従業員向けの「生成AI利用ガイドライン」を作成し、顧客情報の入力可否を明文化する
5. 委託関係に当たる場合は、サービス事業者との間で適切な契約（DPA等）を締結する

これらを一人でやろうとすると、どこから手をつければいいかわからなくなります。まずは「今何を使っているか」を把握するところから始めてください。

再発防止策——社内ルールとして定着させるために

生成AIツールは今後も増え、現場での利用はさらに広がります。一度ルールを作っても、新しいサービスが出るたびに「これは大丈夫？」と判断を迫られます。そのために必要なのは、ルールを「その都度判断」ではなく、仕組みとして定着させることです。

再発防止のポイントは三つです：

• 「使ってよいサービスのリスト」を作る——ホワイトリスト方式で、承認済みのAIツールのみ業務利用可能とする。新しいサービスは事前申請制にする。
• 「入力禁止情報のカテゴリ」を明示する——顧客の氏名・連絡先・購入履歴・相談内容などは原則入力禁止とし、どうしても使いたい場合は匿名化・仮名化してから入力するルールを設ける。
• 定期的な棚卸しと研修を行う——生成AIの利用状況は半期に一度確認し、新しいツールが使われていないかチェックする。従業員への研修も継続して実施する。

このルール整備を「総務の仕事」として後回しにしていると、現場の運用が先行してリスクが蓄積します。社長が主導して体制を作ることが、会社を守る最短ルートです。

生成AIの利用ルール整備は、一度対応して終わりではありません。新しいツールが出るたびに「これは使っていいのか」という判断が発生します。就業規則や社内ガイドラインに生成AI利用に関する条項を組み込み、現場が迷わず動ける体制を整えることが重要です。そのとき、気軽に「これってどう判断すればいい？」と相談できる顧問弁護士がいれば、その都度の判断ミスを防ぐことができます。企業法務部の弁護士歴平均14年以上のチームが顧問先142社社の実名を公開して日々向き合っている「みんなの法務部」なら、生成AI利用規程の整備から日常の法的判断まで、継続してサポートできます。

よくある質問

Q. ChatGPTの有料プラン（Teams・Enterprise）なら顧客情報を入力しても問題ないですか？

A. 有料プランやエンタープライズ設定では、入力データをAIの学習に使用しないと設定できるサービスが多いですが、それだけで「問題ない」とは言い切れません。個人情報保護法上の「利用目的」の問題や、委託先の監督義務の問題は残ります。また、顧客のプライバシーポリシーへの記載も必要です。使用するサービスごとに確認し、自社のルールに落とし込むことが必要です。

Q. 顧客情報を匿名化・仮名化すれば生成AIに入力してよいですか？

A. 完全な匿名化ができていれば、個人情報保護法上のリスクは大幅に下がります。ただし、「本当に匿名化できているか」の判断は慎重に行う必要があります。複数の情報を組み合わせることで個人が特定できる「準個人情報」の問題もあります。匿名化の方法と基準を社内で明文化し、弁護士に確認することを推奨します。

Q. 従業員が勝手に顧客情報を生成AIに入力していた場合、会社に責任はありますか？

A. はい、会社に責任が生じる可能性があります。個人情報保護法上、個人情報取扱事業者（会社）は従業員による情報取扱いについても監督責任を負います。「知らなかった」は原則として免責事由になりません。むしろ、ルールを整備していなかったことが「管理体制の不備」と評価されます。発覚した場合は、速やかに弁護士に相談し、個人情報保護委員会への対応を含めた初動を固めてください。

Q. 生成AIに入力した顧客情報が漏洩した場合、何をしなければなりませんか？

A. 個人情報保護法第26条に基づき、一定規模以上の漏洩等が発生した場合は、個人情報保護委員会への報告と、本人（顧客）への通知が義務付けられています。報告期限（原則として速報は3〜5日以内）も定められているため、事実確認と並行して早急に弁護士に相談することが必要です。対応が遅れると、行政処分のリスクが高まります。

生成AIへの顧客情報入力に関するリスク管理や社内ガイドライン整備、個人情報保護法対応など、継続的に相談できる顧問弁護士をお探しの方は、弁護士法人ブライト「みんなの法務部」にお問い合わせください。顧問先142社の実名を公開しており、企業法務部の弁護士歴平均14年以上の経験豊かな弁護士が対応します。企業法務窓口：06-4965-9590（平日9:00〜18:00）

この記事の監修者

和氣 良浩（わけ よしひろ）

弁護士法人ブライト｜代表弁護士／パートナー弁護士

弁護士歴20年（2006年登録）／大阪弁護士会／大阪大学法学部卒

専門：顧問弁護士・企業法務・M&A・経営権紛争・事業再生