AIに顧客対応を任せる前の個人情報保護法チェックリスト12項目——「うちは小さいから関係ない」は2017年に終わった

AIに問い合わせ対応を任せる中小企業が増えています。ここで見落とされがちなのが、顧客の氏名・電話番号・相談内容をAIに渡す行為そのものが、個人情報保護法の規律を受けるという事実です。「うちは従業員数人の店だから関係ない」という認識は、法改正でとっくに通用しなくなっています。結論から言うと、AI導入前に確認すべきことは12項目に整理でき、その大半は「利用目的の書き方」「ベンダーとの契約」「漏えい時の段取り」の3つに集約されます。この記事では、政府広報と個人情報保護委員会（個情委）の一次情報だけを根拠に、導入前チェックリストを順番に解説します。

「うちは小さいから関係ない」は、なぜ通用しなくなったのか？

答えは、小規模事業者を適用除外にする基準が撤廃されたからです。かつての個人情報保護法には「取り扱う個人情報が5,000件以下の事業者は対象外」という規定がありました。しかし2017年5月30日に全面施行された改正法でこの5,000件基準が撤廃され、個人情報を取り扱うすべての事業者が「個人情報取扱事業者」として法の対象になりました（政府広報オンライン、2017年）。

つまり、顧客の氏名と電話番号を予約台帳に控えている個人店も、問い合わせフォームでメールアドレスを受け取っている小さな事務所も、法律上は大企業と同じ「個人情報取扱事業者」です。取扱件数による抜け道はもう存在しません。

AI顧客対応の文脈でこれが効いてくるのは、チャットの会話ログです。顧客が「田中と申します。折り返し090-XXXX-XXXXへお願いします」と書き込めば、その会話ログは個人情報を含むデータになります。AIに一次対応を任せるということは、この種のデータの取得・利用・第三者への受け渡しを日常的に行うということであり、以下で見る各義務がそのまま適用されます。

AIに顧客対応を任せるとき、利用目的はどう書けばよいのか？

直接の答えは「AIによる分析・回答生成のため」という一文を、利用目的に明記することです。

個人情報保護法は、①利用目的をできる限り特定すること（法17条1項）、②あらかじめ公表していなければ取得時に通知・公表すること（法21条1項）、③特定した目的の範囲を超えて取り扱わないこと（法18条1項）を義務付けています。既存のプライバシーポリシーに「お問い合わせ対応のため」と書いてあっても、そのデータをAIに読み込ませて回答を生成させる運用は、想定されていなかった処理です。AI導入時には利用目的の記載を見直し、「お問い合わせ内容への回答および AIによる分析・回答生成のため」といった形で、AIが介在することを利用目的のレベルで読み取れるようにしておくのが実務の出発点になります。

なお、「AIが応答しています」という表示自体は、日本では現時点で法的義務ではありません。AI事業者ガイドラインというソフトローが透明性の観点から開示を推奨している、という位置づけです。義務と推奨の線引きはAI開示義務の有無を一次情報で整理した記事で詳しく解説しています。

AIベンダーへのデータ提供は「委託」か「第三者提供」か？

この分岐が、AI顧客対応の個人情報保護法対応でいちばん重要な論点です。答えを先に言うと、通常のAI顧客対応サービスは「委託」に整理でき、本人の同意は不要——ただし委託先を監督する義務が自社に残ります。

委託とは、自社の業務（この場合は問い合わせ対応）の処理をベンダーに任せる形です。委託であれば本人の同意なくデータを渡せますが、代わりに委託先の選定・監督義務（法25条）を負います。実務上は契約で次の3点を担保することが求められます。

• 学習利用の禁止——入力・出力データをベンダー側のAIモデルの学習に使わないこと
• 安全管理措置——データの暗号化、アクセス制御、保存期間などの管理体制
• 再委託の管理——ベンダーがさらに外部へ処理を出す場合の承諾・監督の仕組み

第三者提供に当たる場合は、原則として本人の事前同意が必要です（法27条）。ベンダーが受け取ったデータを自社サービスの改善や学習に自由に使える建て付けになっていると、委託ではなく第三者提供と評価されるリスクが生じます。「学習に使わないことを契約・規約・設定で担保できるか」が、委託と第三者提供を分ける実務上の分岐点です。

さらに、海外のクラウドやAI基盤を使う場合は「外国にある第三者への提供」（法28条）に該当し得ます。この場合、移転先の国の個人情報保護制度に関する情報を本人に提供したうえで、原則として本人の同意が必要になります。利用するAIサービスのデータ処理拠点がどこにあるかは、契約前に必ず確認すべき項目です。

個人情報保護委員会は、生成AIについて何を注意喚起しているのか？

個情委は2023年6月2日、生成AIサービスの利用に関する注意喚起を公表しています（個人情報保護委員会、2023年）。中小企業に直接関係する要点は4つです。

1. 利用目的の範囲内かを確認する。 個人情報を含むプロンプトを生成AIに入力する場合、特定された利用目的の達成に必要な範囲内であることを十分に確認すること。
2. 学習利用は「提供」に当たり得る。 提供者側が入力情報を機械学習に利用する場合、利用者が個人データを入力する行為は「利用者から提供者への個人データの提供」に当たり得ると整理されています（個情委リーフレット、2023年）。つまり第三者提供の規律が及ぶ可能性があるということです。
3. 規約で学習利用しないことを確認してから使う。 提供者が入力情報を機械学習に利用しないことを利用規約等で確認したうえで利用すること。
4. 要配慮個人情報は原則同意なく取得しない。 病歴・健康状態などの要配慮個人情報は、原則として本人の同意なく取得してはならないとされています（個情委リーフレット、2023年）。

ここから導かれる実務判断ははっきりしています。無料版のブラウザ型生成AIに、顧客の氏名や連絡先を直接入力する運用は避けるべきです。無料のブラウザ型サービスは入力内容が学習に使われる設定になっていることがあり、その場合は上記2の「個人データの提供」に該当するリスクを自社が負うことになります。API経由やエンタープライズ契約であれば、学習利用の停止やデータ処理の範囲を契約で固定できるため、委託として整理しやすくなります。「どのAIを使うか」より先に「どういう契約形態で使うか」を見るのが正しい順番です。

なお、病歴や健康相談を扱うクリニック・治療院は、要配慮個人情報の論点に加えて医療広告ガイドラインの規律も重なります。医療系の事業者はクリニックのAI活用と医療広告規制を整理した記事もあわせて確認してください。

漏えいが起きたら、何日以内に何をすべきか？

速報は概ね3〜5日以内、確報は30日以内——これが答えです。努力目標ではなく法的義務です。

2022年4月1日施行の改正法で、個人データの漏えい等が発生し個人の権利利益を害するおそれが大きい場合、個情委への報告と本人への通知が努力義務から法的義務に格上げされました（個人情報保護委員会、2022年）。報告が義務になるのは次の4類型です。

• 要配慮個人情報（病歴等）を含む漏えい
• 不正利用により財産的被害が生じるおそれがある漏えい
• 不正の目的によるおそれがある漏えい（不正アクセス等）
• 1,000人を超える漏えい

期限は、速報が事態を知ってから概ね3〜5日以内（土日祝を含む）、確報が30日以内、不正の目的による場合は60日以内（個人情報保護委員会、2022年）。加えて本人への通知も必要です。AIベンダーなど委託先で漏えいが発生した場合は、委託元に通知すれば受託者自身の個情委報告は不要という建て付け（法26条1項但書）になっており、逆に言えば、委託元である自社に報告義務が集まる構造です。ベンダーとの契約に「漏えい発生時は直ちに通知する」条項が入っているかを確認する理由がここにあります。

件数の動向も押さえておきましょう。令和6年度の漏えい等報告は19,056件と過去最多で、前年度の12,120件から57%増加しました（個情委 令和6年度年次報告、2026年）。しかも令和5年度の分析では、漏えい原因の約86%が誤交付・誤送付・誤廃棄・紛失といったヒューマンエラーでした（個情委 令和5年度年次報告）。サイバー攻撃よりも「メールの宛先間違い」「書類の誤廃棄」のほうが圧倒的に多い——つまり、専任のセキュリティ担当がいない中小企業でこそ最も起こりやすい類型だということです。「速報3〜5日」という期限は、漏えいが起きてから調べ始めたのでは間に合いません。報告先・判断基準・社内の連絡経路を、導入前に紙一枚でよいので決めておくべきです。

導入前に確認する12項目チェックリスト

ここまでの論点を、導入前にそのまま使えるチェックリストに落とします。1〜11は法令上の必須事項、12のみソフトロー上の推奨です。

12項目と聞くと重く見えますが、実態は「利用目的の一文を直す」「ベンダー契約の3条項を確認する」「漏えい時の連絡先を決めておく」という事務作業の積み重ねです。逆に、この整理を提示できないベンダーと契約すること自体がリスクだと考えてください。Omago（オマゴ）は、中小企業の顧客対応を自動化するAIエージェントプラットフォームです。事業者が用意したコンテンツに基づいて問い合わせへ24時間自動で回答する仕組みのため、上記のような「利用目的の特定」「委託としての整理」を前提にした運用設計と相性がよい構造になっています。

なお、AI導入の費用面では補助金の選択肢もあります。制度の使い方はIT導入補助金2026とAI活用の記事で解説しています。

プライバシーポリシーには何を追記すべきか？

チェックリスト10番の「追記」を具体化すると、AI顧客対応の導入時にプライバシーポリシーへ盛り込むべき項目は次のとおりです。

• 取得する情報の種類——会話履歴、問い合わせ内容、IPアドレス・端末情報、Cookie等
• 利用目的——「AIによる分析・回答生成のため」を明記。プロファイリングを行う場合は分析処理を行う旨も特定する
• 委託の有無——「クラウド・AIプロバイダー等の業務委託先に個人データの取扱いを委託することがあります」といった記載
• 委託先の監督・安全管理措置——学習目的で利用されないよう契約・設定等の措置を講じている旨
• 第三者提供の有無と法定の例外事由
• 外国にある第三者への提供——海外クラウドを利用する場合
• 開示・訂正・利用停止請求への対応窓口
• 安全管理措置の内容

注意すべきは、既存ポリシーの流用です。テンプレートを貼っただけのポリシーは実態と乖離しやすく、「ポリシーには書いていない処理を実際にはしている」状態は、それ自体が法21条の通知・公表義務との齟齬になります。AI導入のタイミングで必ず改定し、既存顧客にはメール等で変更を通知することを検討してください。

よくある質問（FAQ）

チャットボットやAI対応を導入するのに、顧客の同意は必要ですか？

多くの場合、同意そのものは不要です。AIベンダーへのデータの受け渡しが「委託」に整理できれば、本人同意なしにデータを取り扱えます。ただし代わりに、利用目的の通知・公表（法21条）と委託先の監督義務（法25条）を自社が負います。ベンダーがデータを自社モデルの学習等に使える建て付けだと「第三者提供」（法27条）と評価され原則同意が必要になるため、契約内容の確認が先です。

ChatGPTなどの生成AIに、顧客の名前や連絡先を入力してもよいですか？

無料版のブラウザ型サービスへの直接入力は避けてください。個情委の2023年6月2日の注意喚起（2023年）は、提供者が入力情報を機械学習に利用する場合、個人データの入力が「提供者への個人データの提供」に当たり得るとし、学習に利用しないことを規約等で確認したうえで使うよう求めています。顧客情報を扱うなら、学習利用を契約で止められるAPI型・エンタープライズ型か、委託として整理できる業務用サービスを選ぶべきです。

漏えいが起きたら、何日以内に報告しなければなりませんか？

速報は事態を知ってから概ね3〜5日以内（土日祝含む）、確報は30日以内、不正の目的による漏えいは60日以内です（個人情報保護委員会、2022年施行）。あわせて本人への通知も必要です。対象は要配慮個人情報を含む場合、財産的被害のおそれ、不正目的のおそれ、1,000人超の4類型。3〜5日は想像以上に短いため、報告先と社内フローは導入前に決めておいてください。

従業員数人の小さな店でも、本当に個人情報保護法の対象ですか？

対象です。2017年5月30日施行の改正法で「5,000件以下は適用除外」という基準が撤廃され、個人情報を取り扱うすべての事業者が対象になりました（政府広報オンライン、2017年）。顧客の氏名と電話番号を予約管理に使っている時点で「個人情報取扱事業者」に該当し、規模による例外はありません。

免責事項： 本記事は一般的な情報の提供を目的としたものであり、法的助言ではありません。個別の案件については、弁護士または個人情報保護委員会の相談ダイヤルにご確認ください。

出典：政府広報オンライン「個人情報保護法の改正」（2017年）、個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年）、個人情報保護委員会「漏えい等報告・本人への通知の義務化について」（2022年）、個人情報保護委員会 令和5年度・令和6年度年次報告