生成AIを社内で使うときの情報の扱い|お客さまや応募者の個人情報を守る

生成AIを使い始めた会社や店舗で、いちばん多く起きているのは、ルールがないまま便利さが先に広がることです。スタッフが自分のスマホのAIに、お客さまからのメッセージを貼って返信の文面を考える。応募者の履歴書を読み込ませて要約させる。どれも悪気はなく、仕事を早く終わらせようとしての行動です。

私たちも、採用の支援でお客さまの会社の情報や応募者の情報をお預かりし、自社の店舗ではお客さまの情報を扱っています。AIを使い込むほど、便利さと同じだけ、情報の扱いの怖さも感じるようになりました。

代表・中野谷のひとこと

いま結構怖いのが、セキュリティです。適当にどんどん使いすぎちゃうと危ない。僕の場合、お客さんとオンライン上でつながっていて密接なので、変な情報漏洩はできないんです。その辺は学ばないといけないと思っています。

この記事では、生成AIを社内で使うときに、お客さまや応募者の個人情報をどう扱うかを、国の注意喚起と私たちの運用をもとに整理します。

個人情報保護委員会の注意喚起で押さえること

生成AIと個人情報について、事業者がまず読んでおきたいのが、個人情報保護委員会が令和5年6月2日に出した「生成AIサービスの利用に関する注意喚起等」です。事業者向けの注意点は2つあります。

1. 個人情報を含む指示をAIに入力するときは、その個人情報をあらかじめ決めた利用目的のために必要な範囲で使っているかを、十分に確かめる
2. 本人の同意を得ずに個人データを含む指示を入力し、そのデータが応答を返す以外の目的で扱われると、個人情報保護法の規定に違反する可能性がある。だから、入力したデータをAIの提供事業者が機械学習に使わないことなどを十分に確かめる

あわせて、一般の利用者向けの留意点として、入力した個人情報が学習に使われ、ほかの情報と結びついて正確・不正確な内容で出力されるおそれがあること、AIの答えには不正確な個人情報が混ざることがあること、提供事業者の利用規約やプライバシーポリシーをよく確かめてから使うことが挙げられています(出典: 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」令和5年6月2日・2026年10月確認)。

店舗や中小企業の言葉に直すと、確かめることは3つです。その情報は、お客さまや応募者から預かった目的のために使っているか。入れた情報が、AIの会社の学習に使われない契約や設定になっているか。AIが出してきた内容を、人が確かめてから使っているか。

とくに慎重に扱う情報: 体調・病歴と、採用で聞かない情報

個人情報の中でも、扱いをとくに慎重にしたいものがあります。

個人情報保護法は、人種、信条、社会的身分、病歴、犯罪の経歴などを含む個人情報を「要配慮個人情報」と定め、原則として、あらかじめ本人の同意を得ないで取得してはならないとしています(出典: 個人情報の保護に関する法律 第2条第3項・第20条第2項・2026年10月確認)。サロンや整体の施術の記録に書かれた体調や持病のメモ、面接で応募者が話した健康のことは、病歴に当たり得る情報です。こうした記録を、要約や下書きのためにAIへ渡すかどうかは、ほかの情報よりも一段厳しく判断してください。

採用の場面では、そもそも聞かない・残さない情報もあります。厚生労働省は、本籍・出生地、家族、住宅状況、生活環境・家庭環境、宗教、支持政党、思想などは、応募者の適性・能力と関係のない事項であり、応募用紙に書かせたり面接で尋ねたりして把握しないことが重要だとしています(出典: 厚生労働省「公正な採用選考の基本」2026年10月確認)。聞いていない情報は、AIに入ることもありません。面接の記録をAIで要約する前に、記録の段階でこうした内容が残っていないかを見直してください。

学習に使われるかは、プランと設定で違う

「AIに入れた情報が学習に使われるか」は、AIの種類ではなく、契約しているプランと設定で変わります。

例として、AnthropicのClaudeでは、法人向けの製品(Claude for Workや開発者向けのAPI)について、標準では入力や出力をモデルの学習に使わないと案内しています。一方、個人向けのプラン(Free・Pro・Maxと、それらのプランで使うClaude Code)では、利用者が許可した場合や、評価のボタンで意見を送った場合などに、会話が学習に使われることがあると説明しています(出典: Anthropic「Is my data used for model training?」2026年8月18日更新、「How do you use personal data in model training?」2026年3月16日更新・2026年10月確認)。

ほかのAIサービスでも、個人向けと法人向けで扱いが違うことは珍しくありません。確認するときは、次の3つを見てください。

• 会社として契約しているプランか、スタッフ個人のアカウントか
• 利用規約とプライバシーポリシーで、入力した内容がどう扱われると書かれているか
• アカウントの設定画面で、学習への利用がどうなっているか

社内ルールは「3つに分ける」から始める

ルールを細かく作り込むより、まずは情報を3つに分けて、全員が同じ言葉で判断できるようにするのが近道です。

この表で大事なのは、強弱をつけることです。漏れたときの影響が大きい情報ほど扱いを厳しくし、影響の小さい情報には過剰な手間をかけない。全部を同じ厳しさで縛ると、便利な使い方まで止まってしまい、かえってルールが守られにくくなります。

IDとパスワードを「入れない」側に置いているのは、私たち自身の線引きでもあります。AIに作業を任せていても、ログインが必要な場面では人が入力し、AIには鍵を預けません。

AIに点検させ、人が決める

ルールを作ったら、守れているかの点検も必要です。ここでもAIは役に立ちます。

代表・中野谷のひとこと

Claude Codeを使っていて、うちのセキュリティ、やばくないかなと思ったんです。そこでセキュリティ責任者みたいなAIを一つ作って見てもらったら、「これ直して、あれ直して」と言われて。こんなに脆弱だったんだって、ちょっと恐怖に感じました。

自分たちで作った仕組みや、使っているツールの設定を、AIに点検役として見てもらうと、人が気づいていなかった穴が見つかることがあります。ただし、何を直すか、どこまで直すかを決めるのは人です。社外の人が使う仕組みを作る段階では、専門家の確認も入れてください。

スタッフに伝える5つのルール

最後に、店舗や小さな会社で、スタッフ全員に伝えておきたいルールを5つにまとめます。

1. お客さまや応募者の情報は、会社が用意したAIの中でだけ扱う。個人のスマホのAIには貼らない
2. IDやパスワード、カードの番号は、どのAIにも入れない
3. 体調や持病など、とくに慎重に扱う情報は、AIに渡す前に責任者に確認する
4. AIが出した文章や要約は、人が読んで確かめてから使う。そのままお客さまに送らない
5. 「入れてはいけないものを入れたかもしれない」と思ったら、すぐ責任者に伝える。隠さないで済む雰囲気をつくる

AIで何から始めるか、どんな道具を使うかはClaude Code・Codexとは?で、お客さまへの返信の下書きの使い方はお客さまへの返信・LINEをAIで下書きする方法で、採用の仕事でAIに任せる範囲は採用業務のAI活用マップで書いています。

まとめ

• 個人情報保護委員会の注意喚起の要点は、利用目的の範囲か・学習に使われないか・AIの答えを人が確かめているか、の3つ
• 体調や病歴などの要配慮個人情報は一段厳しく扱う。採用で聞く必要のない情報は、そもそも聞かない・残さない
• 社内ルールは、入れない・会社のツールの中だけ・入れてよい、の3つに分けて強弱をつける。IDとパスワードはAIに渡さない

まずは、いまスタッフが仕事でどのAIを、どのアカウントで使っているかを聞き取るところから始めてください。使っている実態が分かれば、どこにルールが必要かが見えてきます。