AIに顧客情報を入力する前に社長が確認すべきリスクと社内ルールの作り方

「ChatGPTで議事録を作ったら、顧客名や取引金額がそのまま入力されていた」「部下がAIツールを使って営業メールを自動化しているらしいが、何をどこまで入力しているのか把握できていない」——こんな話を聞いて、胸のあたりがざわっとした社長は少なくないはずです。

便利なのはわかる。使わせたほうがいいとも思う。でも、どこまで許していいのかが判断できない。そのもやもやを放置したまま、社員が思い思いにAIを使い続けている——これが今、多くの中小企業で起きていることです。

このページでは、AIと顧客情報の組み合わせがなぜリスクになるのか、問題が起きる前に何をすべきか、そして万が一問題が起きたときにどう動けばいいかを、現場で使える視点でお伝えします。

AIに顧客情報を入力すると、何が起きるのか

「AI」と一口に言っても、ChatGPT・Copilot・Geminiなど、使い方も設計も異なります。共通して理解しておくべきことは、クラウド型のAIツールに入力したデータは、サービス提供者のサーバーに送信されるという点です。

一部のサービスは「入力データをモデルの学習に使わない」とオプトアウト設定を用意していますが、デフォルトでは学習に利用される場合もあります。また設定にかかわらず、入力データは一定期間サービス側のサーバーに保持されます。

ここに顧客の氏名・連絡先・取引金額・購買履歴などが含まれていた場合、個人情報保護法上の問題が生じます。具体的には次のような論点が出てきます。

• 個人データを第三者（AIサービス提供者）に提供することへの同意は取れているか
• 利用目的の範囲内でAI活用をしていると言えるか
• 海外サーバーへの送信が「外国にある第三者への提供」に該当しないか
• 万が一AIサービス側でデータ漏えいが起きたとき、自社はどう責任を問われるか

「うちは大企業じゃないから関係ない」と思いがちですが、個人情報保護法は従業員数・売上規模に関係なく適用されます。顧客情報を一件でも扱っていれば、中小企業も同じルールの下にいます。

なぜ判断ミスが起きるのか——AIリスクに気づきにくい構造

社員が悪意を持ってAIに顧客情報を入れているケースは、ほとんどありません。ほぼすべてのケースで、「便利だから使った」「上司から効率化しろと言われた」「みんなやっているから問題ないと思った」という純粋な動機です。

問題が起きる構造には、ある共通したパターンがあります。

①「使っていい」と「何を入れていいか」が別の話だと気づかれていない

AIツールの導入を認めた時点で、多くの社員は「自由に使っていい」と解釈します。「顧客情報をそのまま入力してはいけない」というルールが明示されていなければ、社員はルール違反をしている自覚すらありません。

②AIの利用状況を社長が把握できていない

ツールの導入・運用は現場主導になりやすく、誰が何を入力しているかが可視化されていません。問題は、漏えいが起きた後に初めて発覚するケースがほとんどです。

③「漏えい」のイメージが昔のまま

情報漏えいと聞くと、USBメモリの紛失や不正アクセスをイメージしがちです。しかしAI時代の漏えいは、社員が普通にキーボードを叩いているだけで起きます。悪意がないだけに、発見も対処も遅れます。

問題が起きる前にできること——予防の三段階

AIと顧客情報のリスク対策は、大きく「ルール」「教育」「モニタリング」の三段階で考えると整理しやすくなります。

①AIツール利用ポリシーの策定

まず必要なのは、「何を入力してはいけないか」を明文化したルールです。「個人情報を含むデータをAIツールに入力しない」「顧客名・連絡先・取引金額は匿名化・数値のみに置き換えてから入力する」といった具体的な禁止事項を、就業規則または別途のAI利用ガイドラインとして整備します。

ポイントは「AIの使用を禁止するルール」ではなく、「安全に使うためのルール」として設計することです。禁止一辺倒では現場が萎縮し、隠れて使われるようになります。

②利用目的・プライバシーポリシーの見直し

顧客から取得した個人情報の利用目的として、AI活用が含まれるかどうかを確認してください。既存のプライバシーポリシーがAI利用を想定していない場合、改定が必要になることがあります。また、外部のAIサービスを「委託先」として位置づけるか、「第三者提供」として扱うかは、法的な整理が必要な論点です。

③社内周知と教育

ルールを作るだけでは不十分です。「なぜ顧客情報をAIに入力してはいけないのか」という理由まで伝えることで、社員の自発的な判断につながります。年に一度でいいので、情報セキュリティの社内勉強会を実施する体制を作っておくと効果的です。

問題が発生したときの対応フロー

「社員がAIに顧客情報を大量に入力していた」と発覚したとき、最初の48時間の動きが重要です。

1. 事実確認の範囲を特定する：誰が、いつ、どのAIツールに、何を入力したかを記録します。ツールの利用履歴、入力内容、アカウント情報を保全してください。
2. 漏えいの可能性を評価する：対象のAIサービスの利用規約・データポリシーを確認し、入力データがどこまで保持・利用されているかを把握します。
3. 個人情報保護委員会への報告義務を確認する：個人情報保護法では、一定規模の漏えいが発生した場合、個人情報保護委員会への報告と本人への通知が義務づけられています（2022年4月施行の改正法）。
4. 顧客への対応方針を決める：漏えいした可能性のある顧客への連絡タイミング・内容・謝罪の範囲を、法的リスクを踏まえて検討します。
5. 再発防止策を文書化する：報告書・再発防止策の整備は、行政対応・顧客対応の両面で信頼回復に直結します。

証拠の残し方について：社内調査の段階から、やり取りはすべてメールやチャットで記録に残してください。口頭での指示・確認は後から再現できません。「誰が何を知っていて、どう対応したか」の記録が、後の法的対応や行政報告の根拠になります。

失敗事例の構造——なぜ相談が遅れ、証拠がなかったのか

顧問先からの相談を振り返ると、AIや情報管理に関するトラブルが深刻化するケースには共通したパターンがあります。

「問題が起きていること」に気づくのが遅い

退職した社員がAI生成ツールを使って顧客リストを整理・持ち出していた、という事案では、在職中の行動が問題になるのに、退職後しばらくしてから発覚するケースがあります。この時点では、社員が何のツールを使い、何を入力していたかの記録がほとんど残っていません。

「誰が何を持ち出したか」を証明できない

AIツールへの入力記録はサービス提供者側にありますが、会社側からアクセスすることは基本的にできません。業務用PCのログや、社内のファイルアクセス記録を定期的に保全していなければ、「持ち出しの事実」を証明する手段が極めて限られます。

「相談しにくい雰囲気」が対応を遅らせる

「自分がAI利用を推進したから言い出しにくい」「大げさにしたくない」——こうした心理が、初動を遅らせます。問題が表面化してから弁護士に相談しても、できることが限られているケースは少なくありません。

証拠は、紛争になってから急に作れるものではありません。日頃からログを保全し、社内のアクセス管理を記録しておくことが、いざというときの唯一の武器になります。

うちの会社ではどう考えればいいのか——規模別の判断基準

AIと顧客情報のリスク対策は、会社の規模や顧客情報の性質によって優先順位が異なります。以下を目安に、自社の現状と照らし合わせてみてください。

従業員20名以下・顧客情報の取り扱いが限定的な場合

最低限やるべきことは「AIツール利用の社内ルール（簡易版）」の作成と周知です。A4一枚の禁止事項リストでも、「ルールがなかった」状態との差は大きい。

従業員20〜100名・顧客情報を日常的に扱っている場合

就業規則への情報管理条項の追加、AIツール利用ポリシーの整備、プライバシーポリシーの見直しを合わせて進めてください。情報セキュリティ担当者（兼任でも可）を明確にしておくことも重要です。

上場準備中・M&A検討中・医療・金融・不動産など特定業種の場合

情報管理体制の整備は、デューデリジェンスの対象になります。AIツールの利用実態・ポリシーの有無・個人情報保護法への対応状況は、投資家・買収側から必ず確認されます。早期の整備が、企業価値の保全に直結します。

再発防止策——一度整備すれば会社の財産になる

再発防止のために整備すべき事項を、優先順位の高い順に挙げます。

• AIツール利用ポリシーの策定・就業規則への組み込み：禁止事項・許可事項・違反時の処分を明記する
• 個人情報の取り扱い台帳の整備：どのデータを、誰が、どのツールで扱っているかを可視化する
• PCログ・アクセス記録の定期保全：万が一の調査に備え、一定期間の記録を保持する
• 退職者への秘密保持義務の確認手続き：退職時に署名を取得する書面（秘密保持誓約書）を整備する
• プライバシーポリシーの定期見直し：AI活用の広がりに応じて、年に一度は内容を更新する

これらは一度整えれば終わりではなく、技術の変化に応じて定期的に見直す必要があります。特にAI関連のサービスは変化が速いため、「今使っているツールのデータポリシーが変更されていないか」を年に一度確認する習慣を持つことをお勧めします。

AIと顧客情報の問題は、一度トラブルが起きたら対処すればいい、という性格のものではありません。顧客情報の漏えいは取引先・顧客との信頼関係に直接ダメージを与え、一度失った信頼は簡単には戻りません。就業規則・AIポリシー・プライバシーポリシーを三点セットで整備し、困ったときにすぐ相談できる体制を社内に持っておくことが、もっとも現実的なリスク管理です。顧問先142社の実名を公開し、企業法務部の弁護士歴平均14年以上のチームが継続的に支援する弁護士法人ブライトの「みんなの法務部」では、AIポリシーの策定から個人情報保護法対応まで、日常的に相談できる体制を整えています。

よくある質問

Q. 社員がChatGPTを業務で使っているのを知ったのですが、今すぐ禁止すべきですか？

A. 禁止よりも、「何を入力してはいけないか」のルールを先に作ることをお勧めします。禁止だけでは隠れて使われるリスクが高まります。まず社内でどのように使われているかを把握し、禁止事項を明示したうえで、安全な利用の範囲を示すほうが実効的です。

Q. 顧客情報をAIに入力した場合、個人情報保護法違反になりますか？

A. 一律に違反とは言えませんが、利用目的の範囲を超えている場合や、第三者提供の同意なしに外部サービスに送信している場合は、個人情報保護法上の問題が生じます。使用しているAIサービスのデータポリシーの確認と、自社のプライバシーポリシーとの整合性の確認が必要です。

Q. 退職した社員がAIを使って顧客データを持ち出した疑いがあります。どう対応すればいいですか？

A. まず社内のPCログ・アクセス記録・退職前後のファイル操作記録を保全してください。フォレンジック調査が必要になる場合もあります。競業避止義務や秘密保持義務の有無を確認し、不正競争防止法上の営業秘密侵害として対応できるかどうかを早期に弁護士と確認することが重要です。時間が経つほど証拠の保全が難しくなります。

Q. AIポリシーは就業規則とは別に作るべきですか？

A. どちらの形式でも構いませんが、就業規則の付属規程として「情報セキュリティ規程」または「AIツール利用規程」を整備するのが実務的には一般的です。別規程として作成する場合も、就業規則に「別規程による」旨を明記し、違反時の懲戒処分の根拠を就業規則本体に持たせておくことが重要です。

この記事の監修者

和氣 良浩（わけ よしひろ）

弁護士法人ブライト｜代表弁護士／パートナー弁護士

弁護士歴20年（2006年登録）／大阪弁護士会／大阪大学法学部卒

専門：顧問弁護士・企業法務・M&A・経営権紛争・事業再生

AIと顧客情報の管理・個人情報保護法対応・社内規程の整備など、経営上の法務課題を継続的に相談できる顧問弁護士をお探しの方は、弁護士法人ブライト「みんなの法務部」にお問い合わせください。顧問先142社の実名を公開しており、企業法務部の弁護士歴平均14年以上の経験豊かな弁護士が対応します。企業法務窓口：06-4965-9590（平日9:00〜18:00）