個人情報を扱う業務でAIをどこまで使えるか

前提の整理：何が問題になるのか

個人情報とAIの問題を考える出発点は、「AIに入力する」という行為の法的な性質です。外部のAIサービスに個人データを入力することは、多くの場合、第三者であるサービス事業者にデータを渡すこと、あるいは取り扱いの委託にあたり得ます。ここから、次のような論点が生まれます。

• 利用目的の範囲 — 取得時に本人に示した利用目的の範囲内での利用か。目的の範囲を超える利用には原則として本人の同意が必要
• 第三者提供・委託の整理 — 入力先のサービスへのデータの移転が、第三者提供にあたるのか、委託として整理できるのか。委託なら委託先の監督義務が生じる
• 外国にある事業者への提供 — サービスの運営者やサーバーが外国にある場合、越境移転に関する規律への対応が必要になり得る
• 安全管理措置 — 入力データが適切に保護されるか。学習利用の有無、保存場所、アクセス管理はここに関わる

難しく見えますが、実務の要点はシンプルです。「学習利用されない設定の、契約関係のある法人向けサービス」であれば委託として整理しやすく、「設定の不明な無料サービス」への入力は説明のつかない提供になりやすい。つまり、どのサービスを・どの設定で使うかが、法的整理の大部分を決めます。

この整理は利用ガイドラインの入力区分の土台でもあります。区分の「条件付き可」の条件が法人プラン・学習停止設定と紐づいているのは、この法的整理を反映したものです。

問題になりやすい場面：具体例で見る

抽象論より、問題になりやすい具体的な場面を知る方が、現場の判断には役立ちます。

共通するパターンが見えるはずです。問題の核心は「AIを使うこと」ではなく、個人を識別できる情報を、管理の不明な場所に出すこと。逆に言えば、(1)管理の明確なサービスを使い、(2)識別情報を外す、という2つの手当てで、多くの業務は安全側に持ち込めます。

もうひとつ重要な軸が、本人への影響の大きさです。採用・評価・与信のような、個人に対する重要な判断に関わる利用は、情報管理が適切でも、判断の妥当性・説明可能性という別の問題を伴います。この種の業務では「AIは下処理と資料整理まで、判断は人が行う」という役割の線引きを、情報管理とは別に設けてください。

匿名化・仮名化の実務：外せば使える範囲が広がる

個人情報を扱う業務でAIの活用範囲を広げる最も実務的な技法が、識別情報の除去・置き換えです。

基本の操作は3つです。削除(氏名・住所・電話番号・メールアドレスなどを取り除く)、置き換え(氏名を「Aさん」「顧客X」のような記号に変える)、丸め(生年月日を年代に、住所を地域にするなど、粒度を粗くする)。問い合わせ対応の返信案作成であれば、「50代の既存顧客から、契約更新時の料金について次の趣旨の質問」という形まで加工すれば、個人を特定できる要素はほぼ消えます。

実務で注意すべきは、組み合わせによる特定です。氏名を消しても、「◯◯市の従業員30名の製造業で、先月工場を増設した会社の社長」のような記述は、周辺情報と組み合わせれば特定できてしまいます。役職・会社の特徴・出来事の日付など、まれな属性の組み合わせが残っていないかを見る癖をつけてください。

1. 対象の文書から、直接の識別子(氏名・連絡先・ID)を削除または置き換える
2. まれな属性の組み合わせ(特徴的な役職・地名・出来事)を丸めるか削る
3. 加工後の文章だけを読んで、個人や取引先を推定できないかを確認する
4. 置き換えの対応表(Aさん=誰)が必要な場合は、AIに入力せず手元だけで保管する

この手順は、慣れれば1件あたり1〜2分の作業です。テンプレート化してプロンプトの雛形に「識別情報を除いた形で貼り付ける」という手順として組み込めば、現場の標準動作にできます。

法令上の「匿名加工情報」「仮名加工情報」には、それぞれ定められた加工基準と義務があります。本節の実務的な識別情報の除去は、日常業務でリスクを下げるための運用であり、法令上の匿名加工情報の作成とは区別してください。制度としての匿名加工を活用する場合は、専門家の関与のもとで基準に沿った加工が必要です。

業務別の実務判断：顧客対応・人事・経理

主要な業務ごとに、実務の線引きの目安を示します。いずれも「承認済みツール(学習停止・法人契約)の利用」を前提とした上での整理です。

顧客対応。活用の効果が大きく、識別情報の除去で多くが安全にできる領域です。返信案の作成・問い合わせの分類・応対履歴の要約は、氏名や連絡先を外せば実施しやすい。一方、会話履歴の全件をAI連携の仕組みに流すような構成では、都度の手動加工ができないため、サービス側の管理(委託としての整理・安全管理)を契約レベルで固める必要があります。手動運用と仕組み化では、必要な手当てが変わる点に注意してください。

人事・採用。情報の機微性と本人への影響が大きく、最も慎重な領域です。求人票の作成・面接の質問設計・制度文書の下書きなど、個人データを使わない業務から広げるのが定石です。応募者・従業員の個人データを使う場合は、識別情報の除去に加え、「AIの出力を判断の根拠にしない(資料整理まで)」という役割の線引きを明文化してください。評価や健康情報などの要配慮情報は、外部AIの対象から原則外すのが現実的です。

経理・総務。取引データには取引先の情報(個人事業主なら個人情報)が含まれます。仕訳の相談や資料作成は、社名・氏名を伏せた形での利用が基本です。請求書処理のような仕組み化された自動処理では、処理するデータの範囲を必要最小限にし、サービスの管理体制を確認した上で委託として整理します。

共通する判断の順序は、(1)個人データを使わずにできる部分から始める、(2)識別情報を除いて使える範囲を広げる、(3)個人データそのものを扱う仕組みは、契約と管理体制を固めてから——という3段階です。この順序を守れば、活用と保護は対立しません。

組織としての備え：ルール・記録・相談先

個人情報×AIの判断を、毎回現場の勘に委ねるのは危険です。組織として次の備えを整えてください。

• プライバシーポリシーの点検 — 自社の利用目的の記載が、AIを使った処理をカバーできているかを確認する。必要なら利用目的の見直しと周知を行う
• 委託先としての確認 — 業務で使うAIサービスについて、データの取り扱い(学習利用・保存場所・第三者提供の有無)を文書で確認し、記録を残す。これが委託先の監督の実務になる
• 判断の記録 — 「この業務でこの範囲の利用を可とした」という判断とその理由を残す。後から見直せる記録が、組織の一貫性と説明力を作る
• 相談ルートの確保 — 顧問弁護士や専門家に、AIと個人情報の論点を相談できる関係を作っておく。判断に迷う案件を保留にせず前に進めるための投資
• 事故時の手順 — 誤入力が起きた場合の報告・記録・影響判断の初動を決めておく。漏えいに該当し得る場合の報告義務の判断は専門家と行う

これらの備えは、情報セキュリティの実務で述べた体制と重なります。個人情報対応を特別扱いせず、AI運用の点検サイクルの中に「個人データを扱う用途の確認」という項目を一つ足す形が、続けやすい運用です。

最後に、この領域の原則をひとつ挙げるなら、「迷う案件は、加工して使うか、聞いてから使う」です。個人情報だからと全面停止するのは過剰であり、確認なしで全面活用するのは無防備です。識別情報を外す一手間と、専門家に聞ける関係。この2つを持つ組織は、守りを固めたまま、個人情報を扱う業務でもAIの恩恵を受けられます。