個人情報保護委員会が求めているのは「入力するな」ではなく「確認しろ」
生成AIに業務の資料を貼る直前で手が止まる。その瞬間に必要なのは、入れてよい情報の一覧ではありません。いま使っているそのアカウントが、入力内容を学習に使う契約かどうかです。
個人情報保護委員会は令和5年6月2日に「生成AIサービスの利用に関する注意喚起等」を出しています。事業者に向けた部分は2項目だけで、原文はこう書かれています。
① 個人情報取扱事業者が生成AI サービスに個人情報を含むプロンプトを入力する場合には、特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること。
② 個人情報取扱事業者が、あらかじめ本人の同意を得ることなく生成AI サービスに個人データを含むプロンプトを入力し、当該個人データが当該プロンプトに対する応答結果の出力以外の目的で取り扱われる場合、当該個人情報取扱事業者は個人情報保護法の規定に違反することとなる可能性がある。そのため、このようなプロンプトの入力を行う場合には、当該生成AI サービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること。
個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（別添1）令和5年6月2日／（1）個人情報取扱事業者における注意点。2026年9月18日に原文を確認
この文書は3層に分かれています。（1）個人情報取扱事業者、（2）行政機関等、（3）一般の利用者。会社として読むべきは（1）です。
読むと分かるとおり、2項目とも動詞は「確認すること」です。禁止する言葉は出てきません。①は自社の側の確認で、利用目的の範囲内かを見ます。②は相手側の確認で、サービスを提供している事業者が、その個人データを機械学習に利用しないかどうかを見ます。
禁止リストを配る社内ルールは、①の半分だけを扱っています。②は、リストをいくら精密にしても満たせません。確認する先が自社の中ではなく、契約しているサービス側にあるからです。
そして②は「個人データを含むプロンプトを入力し」という条件から始まります。ここが実務では効きます。条件に入る使い方をするなら相手を確認する。条件に入らない使い方に寄せるなら、確認の重さは変わる。この記事の後半は、後者を選んだ場合に何をしているかの記録です。
まず前者、つまり相手を確認するほうから始めます。
ほかの公的文書は、使う側に何を求めているか
総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」（令和8年3月31日）は、開発者・提供者・利用者を分けて書いています。第5部の「AI利用者に関する事項」に挙がっている項目は7つで、そのうち入力の話に当たるのは2つです。U-4）i.「個人情報の不適切入力及びプライバシー侵害への対策」と、U-5）i.「セキュリティ対策の実施」。後者に書かれているのは「AIシステム・サービスに機密情報等を不適切に入力することがないよう注意を払う」の1行です。
全42ページの文書で、入力について書かれているのはこの分量です。何を入れてよいかの判断そのものは、ガイドラインから降ってきません。各社が自分で引く前提で書かれています。
もう1件、位置づけが変わったことを示す数字があります。IPA（情報処理推進機構）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」で、組織向けの3位に「AIの利用をめぐるサイバーリスク」が入りました。この項目は今回が初選出です。1位はランサム攻撃による被害、2位はサプライチェーンや委託先を狙った攻撃です。
ChatGPT・Claude・Geminiは、入力した内容を学習に使うと書いているか
3社の公式ページを1件ずつ開いて、記述をそのまま拾いました。確認日は2026年9月18日です。各社のポリシーは更新されます。とくにOpenAIのヘルプページは、確認した時点で「2日前に更新」と表示されていました。読む時点での最新は、記事末尾のURLからご自身で確かめてください。
先に全体を1枚にします。
| サービス | 個人向けプランについて、公式ページに書かれていること | 法人向け・APIについて、公式ページに書かれていること |
|---|---|---|
| ChatGPT（OpenAI） | ChatGPTやCodexなど個人向けのサービスでは、コンテンツをモデルの学習に使うことがある。学習から外すには、ChatGPTの Settings → Data Controls で「Improve the model for everyone」をオフにするか、プライバシーポータルで「Do not train on my content」を選ぶ。どちらか一方で足りる | ChatGPT Business、ChatGPT Enterprise、APIを含むビジネス向け製品からの入出力は、既定では学習に使わない。APIは、Playgroundでのフィードバック提供など明示的にオプトインした場合のみ共有される |
| Claude（Anthropic） | Free・Pro・Maxでは、①利用者が許可した場合 ②安全性レビューで会話にフラグが立った場合 ③Trusted Tester Programへの参加など明示的にオプトインした場合に、会話とコーディングセッションを学習に使う。切り替えは Settings → Privacy の「Help Improve our AI models」。Incognitoチャットは、モデル改善を有効にしていても学習に使われない | Claude for Work、Anthropic APIなどの商用製品からの入出力は、既定では学習に使わない。明示的にフィードバックや不具合を報告した場合などは例外 |
| Gemini（Google） | 「Keep Activity」がオンのとき、活動は生成AIモデルの学習を含むサービスの改善に使われ、一部の会話は人によるレビューを受ける。オフにすると、以後の会話は学習に使われない（フィードバックを送った場合を除く）。オフのときと一時チャットは、72時間保持されたうえで削除される | Google Workspaceでは、利用者のプロンプトはCloud Data Processing Addendum上の顧客データとして扱われ、顧客の事前の許可または指示なく学習に使わない。許可なくドメイン外での人によるレビューも行われない |
出典：OpenAIヘルプセンター／Anthropicプライバシーセンター（個人向け・設定・商用向けの3ページ）／Googleヘルプ「Gemini Apps Privacy Notice」／Google Workspace管理者向けプライバシーハブ。いずれも2026年9月18日に閲覧
3社を並べると、判断軸が変わる
表を横に読むと、3社の設計は揃っています。個人向けは学習に使われうる。法人向けとAPIは既定で使わない。言い回しは各社で違いますが、線の引かれている場所は同じです。
これは、判断の軸をひとつ動かします。安全なAIと危険なAIがあるのではなく、同じサービスの中に、契約によって扱いの違う入り口が並んでいます。どのAIを選ぶかを議論しても、この違いは解けません。決まるのは、どのアカウントで開くかです。
もうひとつ、3社に共通していて見落とされやすい点があります。AIの回答に対しての評価ボタンです。回答のすぐ下に、良かったか良くなかったかを押して伝えるボタンが並んでいます。ここを押したときだけ、扱いが変わります。OpenAIのページには、学習をオプトアウトしていても、AIの回答に対しての評価ボタンを押すと、その評価に紐づく会話全体が学習に使われることがあると書かれています。Anthropicのページには、同じボタンを押すと関連する会話全体が最長5年間保存されるとあります。利用者IDとは切り離したうえで使う、という注記も添えられています。Googleのページにも、Keep Activityをオフにしていても、評価ボタンを押すなどしてフィードバックを送った場合は収集と利用の対象になる、という記載があります。
設定を1回オフにすれば閉じる、という形にはなっていません。AIの回答に対しての評価ボタンは、回答のすぐ下にあって、使う人全員の画面に出ています。学習に使わせない設定にしていても、この評価ボタンを押した会話は、学習や保存の対象になります。
法人契約をしていない会社は、どこで守るのか
ここまでの整理は、法人契約に切り替えられる会社にとっては答えになります。管理者が設定の状態を確認でき、個人情報保護委員会の②にそのまま応えられるからです。
では、切り替えていない会社はどうするのか。当社がそちら側です。当社が日常業務で使っているのは、Claudeの個人向け有料プラン（Max）です。ここから先は、その状態のまま何を決めたかの記録になります。
渡す情報を減らし、数字を中心にする
最初に決めたのは、設定でも規程でもなく、渡す情報を最小限にすることでした。そして、渡すものは数字を中心にしています。氏名や固有名詞ではなく、件数・金額・比率といった数値を主に渡します。
この決め方には、副次的な効果があります。AIに集計や分析をさせるとき、実は氏名をほとんど必要としません。患者名を伏せた診療実績でも、担当者名を伏せた案件一覧でも、集計の結果は変わりません。名前が入っていないと成立しない作業は、思っているより少ないということです。
前の章で引いた委員会の②は、「個人データを含むプロンプトを入力し」という条件から始まっていました。渡すものから個人データを外すと、この条件の手前で止まります。確認できない立場にいることと、確認が必要な使い方をしないことは、別々に選べます。
学習に協力しない設定にする
そのうえで、学習に協力しない設定にしています。前章の表にあるとおり、3社とも個人向けプランに切り替えの手段があります。
この設定は、アカウントごとにあります。会社の側から「全員が実際にその状態か」を確かめる手立ては持っていません。法人契約に切り替えれば、管理者が確認できる範囲は広がります。切り替えないのであれば、渡す情報の側と、作業をする環境の側で埋めることになります。ここから先は、環境の側の話です。
お客様のデータは、お客様のパソコンの上でしか触らない
3つ目は、データの置き場所の話です。お客様からお預かりしたデータは、お客様のパソコンの上でしか触りません。こちらに写して持ち帰らない、という線です。
あわせて、流出しやすいクラウドは使わないようにしています。どのサービスに置くかは、AIの設定より前に決まる問題です。入力欄で気をつける話ではなく、そもそもどこに置いてあるかの話だからです。
サーバー側の設定を自分たちで点検したときの記録は、サイトの安全設定を自社で点検した記事に別に書いています。
AIに「できないこと」を先に作る
4つ目は、ルールの外側にある話です。してはいけないことを覚えさせる代わりに、できない状態にしておきます。当社で実際に止めているのは4つです。
- パスワードとAPIキーは、AIに渡さない。必要な場面では人が直接入力します。AIには保存もさせず、使わせもしません。
- ファイルの削除は、AI側が実行できない。消したいものが出たら、一覧に書き出して人がまとめて実行します。
- 編集してよい範囲を担当ごとに分ける。範囲の外にあるファイルは、書き換えようとしても止まります。
- 外部サービスへの変更操作も止まる。読み取りは通り、相手側の状態を変える操作で止まります。
この4つ目は、2026年9月17日に実際に作動しました。検索順位の管理画面で削除にあたる操作をしようとして、安全装置がそれを止めました。止まった時点で人に判断が回ってきます。
ここで効いているのは、うっかりを防いだことではありません。止まった記録が残ることです。何をさせないと決めたかは、記録が出てはじめて確かめられます。ルールの文面をいくら整えても、この記録は出てきません。
本番サーバーに上げられるものを、種類の段階で絞る
5つ目は、外へ出ていく側の話です。当社が本番のサーバーにファイルを上げる経路は、1本にしてあります。その1本に、次の制限を掛けています。
- 上げるファイルは、1つずつ名前で指定します。フォルダをまとめて同期する機能が、そもそもありません。
- 上げられる種類は7つだけです。.html・.htm・.xml・.txt・.css・.js・.json。画像・PDF・CSV・エクセル・zip・データベースは、1件も通りません。
- 1ファイルの上限は5MBです。上げ先のフォルダも、指定した範囲に限られます。
- 決済や認証が関わる場所は、その下にあるものも含めて拒否します。書き戻しも同じ扱いです。
- 既定は試し実行です。2つの承認が揃わないと書き込みません。上書きの前に自動で退避を取り、あとから書き戻せます。
ここで一番効いているのは、手数が増えることではありません。お客様の一覧表やデータベースを、操作ミスで公開サーバーに載せることが、構造としてできないことです。注意して防いでいるのではなく、通る種類に入っていません。
AIが、自分の安全ルールを書き換えられない
6つ目は、ここまでの安全装置そのものを守る話です。設定ファイルの一群を凍結してあります。AIが編集しようとしても、コマンド経由で書き込もうとしても、どちらも拒否されます。
この2つ目の経路は、後から塞いだものです。2026年8月2日に、コマンドを使えば凍結を回り込めることが分かり、同じ扱いにしました。仕組みの穴は、動かしていれば出てきます。出たときに閉じた記録が残っているかどうかが、中身の差になります。
蓄積した記憶を、外部へ送り出せない
7つ目は、溜まっていく側の話です。業務の蓄積が入っている作業場所から、外部のリモート先へ送り出す操作を、恒久的に止めています。
当社の禁止には、たいてい緊急時の解除手段を用意してあります。判断する人がいれば、その場で外せます。この1つだけは、解除手段を作っていません。
ここまでの仕組みが届かない範囲
ここまでの7つには、届いていない範囲があります。4つあります。
- 種類と場所の許可制であって、中身の検査ではありません。許可された種類のファイルに業務データを入れ、名前で指定すれば通ります。
- この制限が掛かるのは、その1本の経路だけです。クラウドストレージへの書き込み、スクリプトの配信、ブラウザからの添付、人の手による手動アップロード。ほかの送り出し口には同じ強さの制限が無く、都度の確認に頼っています。
- 設定の状態です。個人プランなので、会社の側から全員の設定状態を確かめる手立ては持っていません。
- AIの回答に対しての評価ボタンです。当社には、現時点でこれについてのルールがありません。設定では閉じない場所なので、使う人が押さないと決めるしかありません。まだ決めていません。
4つに共通しているのは、機械の側で閉じきれていないことです。ここは人の判断が入る場所として残っています。
ルールを決めた後に、実際に起きること
今回この記事を書くにあたり、同じテーマの解説記事を6本、実際に開いて読みました。6本とも、社内ルールを決めましょうという結論で終わっていました。決めた後に何が起きるかを書いた記事は、その中にありませんでした。
実際には、決めた後に2つのことが起きます。
ルールを厳しくすると、AIの出力が偏る
当社では、ルールを厳しくしすぎた結果、AIの思考が偏ったことがあります。渡してよい情報の範囲を絞りすぎると、判断材料が足りない状態で答えが出てきます。人間なら「情報が足りません」と言って止まる場面でも、AIは手元にあるものだけで結論まで進みます。
安全と使いやすさは、同じ方向には動きません。安全にするほど、出力は使いにくくなります。これは運用の失敗ではなく、構造としてそうなります。
だから、規程を作って終わりにはできません。締めた後、出力の質がどう変わったかを見て、締めすぎた場所を戻す作業が必ず要ります。この往復を織り込んでいないルールは、実務のほうが先に壊れます。
抽象的な指示は、AIには伝わらない
もうひとつは、書き方の問題です。AIに伝える表現が抽象的だと、伝わりません。
「機密情報は入力しないこと」は、人間どうしなら通じます。読んだ人が、自分の手元の資料を見て当てはめられるからです。AIに同じ文を渡しても、当てはめる対象がありません。どの列を渡してどの列を渡さないか、どのフォルダの中身なら触ってよいか、というところまで具体にしないと、指示として働きません。
ここは、社内ルールの作り方そのものに跳ね返ります。人向けの規程は抽象的でも運用できますが、AIに守らせる部分は、そのまま実行できる粒度まで落とす必要があります。同じ文書で両方をまかなおうとすると、どちらかが機能しません。
どの業務から任せるか、手順と判断基準をどう言語化するかは、AIエージェント導入の進め方に分けて書いています。