顧客情報・個人情報をAIで扱うときの注意点——入力前に決めておくことと社内ルールの作り方
結論
顧客情報や個人情報をAIで扱うときは、入力したデータがAIの学習に使われない法人向けのサービスや設定を選んだうえで、「何の目的で、どの情報を、どこに保存し、誰が確認するか」を社内ルールで決めておくことが大切です。個人情報の扱いには個人情報保護法のルールがあるため、自社の使い方が当てはまるかは、個人情報保護委員会の最新の情報で確認してください。
株式会社MEDISITE 執行役員・AI事業責任者の吉村聡一郎が、顧客情報・個人情報をAIで扱うときの注意点と社内ルールについて解説します。問い合わせへの返信や受注書の入力、顧客リストの整理など、AIが役立つ業務の多くには顧客の名前や連絡先が含まれます。便利だからと社員が個人で無料のAIサービスに入力してしまうと、情報の扱いが管理できなくなるおそれがあります。この記事では、顧客情報・個人情報をAIで扱う前に確認したいリスク、サービスの選び方、社内ルールの作り方を、AI社員を提供している当社の立場から説明します。
AIで個人情報を扱うときに起こりうる3つのリスク
AIそのものが危険というわけではありませんが、使い方によっては次のようなリスクが生まれます。
- 入力した情報が意図しない形で使われる：サービスや設定によっては、入力した内容がAIの性能向上（学習）に使われる場合があります
- 情報の保存場所や管理者がわからなくなる：社員がそれぞれ別のサービスを使うと、どの顧客の情報がどこに残っているのか、会社として把握できなくなります
- AIの出力に誤りがあり、そのまま外に出る：別の顧客の情報が混ざった文面や、事実と違う内容が、確認されないまま送られてしまうおそれがあります
これらのリスクの多くは、サービスの選び方と社内のルールで小さくできます。AIを使わないことで避けるのではなく、安全に使える条件を整えることが現実的な対策です。
個人情報保護法との関係：AIを使う場合もルールは変わらない
個人情報の扱いについては、個人情報保護法にルールが定められています。AIを使う場合も、基本的な考え方は人が扱う場合と変わりません。一般的には、次のような点が関係してきます。
- 個人情報を、あらかじめ示した利用目的の範囲で扱うこと
- 個人情報が漏れたりなくなったりしないよう、安全に管理すること
- 個人データを第三者に渡す場合のルールや、外部に作業を任せる場合の管理
たとえば、AIのサービスに顧客情報を入力することが、法律上どのように整理されるかは、サービスの仕組みや契約の内容によって変わる場合があります。個人情報保護委員会は、生成AIサービスの利用に関する注意喚起なども公表しています。
ポイント
法律の解釈や最新のルールについては、この記事だけで判断せず、個人情報保護委員会のWebサイトで最新の情報を確認してください。判断に迷う場合は、弁護士などの専門家に相談することをおすすめします。
個人情報を扱うAIサービス・設定を選ぶときの確認項目
顧客情報を扱う業務にAIを使う場合は、無料の個人向けサービスではなく、データの扱いが契約や設定で明確になっている法人向けのサービスを選ぶのが基本です。選ぶときは、次の点を確認してください。
| 確認すること | なぜ必要か |
|---|---|
| 入力したデータが学習に使われないか | 顧客の情報が、AIの性能向上のために使われないようにするため |
| データがどこに、どのくらいの期間保存されるか | 不要になった情報を残し続けないため、また保存場所を説明できるようにするため |
| 誰がデータを見られるか | 社内でも、業務に関係のない人が顧客情報を見られないようにするため |
| 利用規約やデータの取り扱いの説明が公開されているか | 社内や取引先に、どのように扱っているか説明できるようにするため |
| 外部に構築を任せる場合、その会社がデータをどう扱うか | 作業を任せた先での情報の管理も、自社の責任に関わるため |
当社がAI社員をつくるときも、入力したデータが学習に使われない法人向けのサービスや設定を使い、どのデータをどこに保存するかを導入前にお客様と決めています。
AIに入力してよい情報・控える情報を分ける
すべての個人情報を同じように扱う必要はありませんが、業務に必要のない情報までAIに渡さないことが大切です。次のように段階を分けて考えると、社内で判断しやすくなります。
業務に必要な範囲で入力してよい情報
問い合わせへの返信に必要な氏名や連絡先、受注処理に必要な取引先名や納品先など、業務の目的に必要な情報は、安全な設定のサービスであれば扱えます。
必要がなければ入力しない情報
業務に関係のない個人の詳しい情報や、目的に必要のない項目は、AIに渡さないようにします。たとえば、問い合わせ内容の要約に生年月日は必要ありません。
特に慎重に扱う情報
病歴などの健康に関する情報をはじめ、本人に対する不当な差別や偏見が生じないよう特に配慮が必要な情報は、法律上も扱いに注意が必要とされています。医療・介護など、こうした情報を扱う業種では、AIで扱うかどうか、扱う場合の条件を、導入前に特に慎重に検討してください。
また、マイナンバーや、クレジットカード番号、口座番号などは、AIで扱わない前提で業務を設計するのが安全です。
情報を減らす工夫も有効
業務によっては、AIに渡す前に個人を特定できる部分を伏せたり、記号に置き換えたりすることで、扱う個人情報を減らせます。たとえば、問い合わせの傾向を分析するだけなら、氏名や連絡先は必要ありません。「その作業に、本当にこの情報が必要か」を業務ごとに考えることが、最もシンプルで効果的な対策です。
顧客情報をAIで扱うための社内ルールの作り方
社内ルールは、長い規程を作るよりも、社員が迷わず判断できる短いルールにするほうが守られやすくなります。次の手順で作ると進めやすいです。
- 使ってよいAIサービスを決める：会社として認めたサービスと設定だけを使うことにし、個人のアカウントでの業務利用は控えるよう決めます
- AIを使う業務と目的を書き出す：「問い合わせへの回答案の作成」「受注書の入力」など、使う場面を具体的にします
- 入力してよい情報と、入力しない情報を決める：前の章の分け方を参考に、自社の業務に合わせて決めます
- 外に出る前の確認の手順を決める：お客様へのメールや書類は、人が確認してから送ることを決めます
- 困ったときの相談先を決める：誤って入力した、おかしな出力が出た、というときに誰に報告するかを決めます
- 定期的に見直す：使うサービスや業務が変わったら、ルールも見直します
社内ルールに入れておきたい項目
- 会社として認めたAIサービスと、その設定
- AIを使ってよい業務と、その目的
- 入力してよい情報・入力しない情報の例
- お客様に送る前に人が確認すること
- データの保存場所と、不要になったときの削除の方法
- 誤って入力した場合や、問題が起きた場合の報告先
運用を始めたあとに気をつけること
ルールを作っても、使っているうちに守られなくなることがあります。運用を始めたあとは、次の点に気をつけてください。
- 新しく入った社員にもルールを伝える：入社時の説明にAIの使い方を含めておくと、知らずに個人のサービスを使ってしまうことを防げます
- 出力に別の人の情報が混ざっていないか確認する：回答案や書類に、別の顧客の名前や情報が入っていないかを、送る前の確認で見るようにします
- 使っているサービスの規約の変更に注意する：サービスの利用規約やデータの扱いが変わることがあります。外部に運用を任せている場合は、変更への対応も相談しておきます
- お客様から問い合わせがあったときに説明できるようにする：自社の個人情報の扱いについて、AIの利用も含めて説明できるようにしておきます。プライバシーポリシーの見直しが必要かどうかも確認しておくと安心です
顧客情報をAIで扱うこと自体は、条件を整えれば十分に可能です。安全な仕組みとルールの両方をそろえて、安心してAIを業務に生かしてください。
よくある質問
無料のAIチャットサービスに顧客の名前を入力しても大丈夫ですか？
おすすめしません。サービスや設定によっては入力した内容が学習に使われる場合があり、会社として情報の管理ができなくなるためです。顧客情報を扱う業務には、データの扱いが明確な法人向けのサービスを使ってください。
AIに個人情報を入力すると、個人情報保護法の違反になりますか？
AIを使うこと自体がただちに違反になるわけではありませんが、利用目的や安全管理、サービスの仕組みによって考えるべき点があります。自社の使い方については、個人情報保護委員会の最新の情報を確認し、必要に応じて専門家に相談してください。
社内ルールはどのくらい細かく作ればよいですか？
最初は、使ってよいサービス、入力してよい情報、送る前の確認、困ったときの報告先の4点が決まっていれば十分です。運用しながら必要な項目を足していくほうが、社員に定着しやすくなります。
外部の会社にAIの構築を任せる場合、顧客情報の扱いはどう確認すればよいですか？
データをどのサービスで扱い、どこに保存し、誰が見られるのかを、契約前に説明してもらってください。学習に使われない設定かどうかも確認しておくと安心です。
