AIに入れてよい情報を、どう決めるか

「顧客情報をAIに入れても大丈夫ですか」。導入のご相談で、いちばん多くいただく質問です。

この質問に、「大丈夫です」とも「やめたほうがいいです」とも、一律にはお答えできません。答えが会社ごとに変わるためです。

ここでは、なぜ変わるのかと、自社で線を引くにはどう進めればよいかを整理します。なお、**この記事は法令の解釈を示すものではありません。**最終的な判断は、顧問弁護士や所属されている会にご確認ください。

一律の答えがない理由

判断は、次の4つの層が重なって決まります。どれか1つでも引っかかれば、入れられません。

層	何で決まるか
法律	個人情報保護法など
契約	取引先とのNDA、業務委託契約
サービスの規約	使っているAIの契約プラン
社内ルール	自社で決めた運用

「AIは危ないらしい」という漠然とした不安の正体は、たいていこの4つが混ざったまま整理されていないことです。層ごとに分けて確認すれば、自社で判断できる部分と、専門家に聞くべき部分がはっきりします。

法律の面

個人情報保護委員会は、2023年6月2日に「生成AIサービスの利用に関する注意喚起等について」を公表しています。生成AIに個人情報を含む入力をする際の留意点が示されたものです。

内容は原文をご確認ください。ここで解釈を書くことはしません。ただ、**そうした文書が出ていること自体を知らないまま運用している会社は、少なくありません。**まず存在を知り、自社に当てはまるかを専門家に確認する。そこが出発点です。

士業の方は、これに加えて法律上の守秘義務があります。所属される会が指針を出している場合もありますので、あわせて確認が必要です。

契約の面

見落とされやすいのが、取引先との契約です。

業務委託契約やNDAに「取得した情報を第三者に提供しない」という条項があることは珍しくありません。この場合、法律上どうかという以前に、契約でできないことが決まっています。

確認する順番はこうなります。

その情報は、どの取引先から預かったものか
その取引先との契約に、第三者提供を制限する条項があるか
AIサービスに入力することが、その条項に当たるか

3つ目は解釈が分かれうるところです。ここも自社だけで決めず、確認してください。

サービスの面：契約プランによって答えが変わる

あまり知られていない割に、実務上いちばん影響が大きいのがここです。

同じサービスでも、契約しているプランによって、入力したデータの扱いが変わります。

ClaudeCodeの場合、公式ドキュメントには次のように記載されています。

契約	入力したデータを学習に使うか	保存期間
無料・Pro・Max	設定によって変わる（許可すると使われる）	許可した場合は5年、しない場合は30日
Team・Enterprise・API	使わない	30日

つまり、個人向けのプランを業務で使っていて設定を確認していない場合、入力した内容が学習に使われている可能性があります。

「AIに入れると学習されて漏れる」という説明をよく見かけますが、正確ではありません。契約と設定によって変わります。そして、そこは自社で選べます。

まず確認していただきたいのは、次の2つです。

業務で使っているのは、どのプランか
そのプランの設定は、いま何になっているか

なお、法人向けのプランは1人あたり月額数千円程度です（プランと契約形態によって変わります）。金額は改定されることがありますので、公式の料金ページでご確認ください。

見落とされがちな点：手元のパソコンにも残ります

もう1つ、社外に送るかどうかとは別の論点があります。

ClaudeCodeは、やり取りの記録を自分のパソコンの中に、暗号化しない形で一定期間保存します（公式ドキュメントでは既定30日、設定で変更できるとされています）。作業を途中から再開できるようにするための仕組みです。

ここまで意識している会社は多くありません。実務では、次のような場面で効いてきます。

共用のパソコンで作業している
退職者のパソコンを、そのまま次の人に渡している
社外に持ち出すノートパソコンを使っている

「AIに送るかどうか」だけを議論していると、この部分が抜け落ちます。パソコンそのものの管理と、セットで考える必要があります。

「入れない」ではなく「入れられる形にする」

ここまでを踏まえて、実務の話をします。

多くの会社が最初に作るのは、禁止リストです。「顧客名は入れない」「金額は入れない」。出発点としては正しいのですが、禁止だけを増やしていくと、使える場面がなくなります。社員にAIを配っても、使われない理由で書いたとおり、使われなくなれば導入した意味がありません。

現実的なのは、入れられる形に変えることです。

扱い	例
そのまま入れてよい	自社で作成した資料、公開されている情報、社内の手順書
置き換えて入れる	取引先名を「A社」、担当者名を「担当者X」、金額を仮の数字に置き換える
入れない	契約で第三者提供が制限されている情報、置き換えても特定できてしまう情報

真ん中の「置き換えて入れる」で足りる業務は、思っているより多くあります。文章の体裁を整える、抜けを探す、表記を統一する。こうした作業に、実名は要りません。

先に決めておく3つ

線を引くときに、あわせて決めておくものがあります。

**誰が判断するか。**現場に都度考えさせない。判断する人を決めておきます
**迷ったときの相談先。**社内の誰か、あるいは顧問の専門家。「迷ったら止める」だけでは、止まったまま進みません
**例外を認める手続き。**どうしても必要な場面は出てきます。誰の承認で例外を認めるかを決めておきます

3つ目が抜けている会社は多いのですが、ここが無いと、ルールを守れない人が黙って使う状態になります。禁止するよりも、手続きを用意するほうが安全です。

まとめ

判断は法律・契約・サービスの規約・社内ルールの4層で決まる。混ぜて考えると答えが出ない
サービスの規約は契約プランで変わる。まず自社のプランと設定を確認する
禁止リストだけでなく、「置き換えて入れる」を用意する

自社の線を引くには、業務ごとに「何を扱っているか」を洗い出す必要があります。この作業は、見積書づくりをClaudeCodeに任せるまでの手順で書いた業務の整理と、実は同じ作業です。

Black Bullの導入支援では、扱ってよい情報の範囲を「ClaudeCode構築仕様書」に明記し、担当者がその都度迷わずに判断できる状態にします。ただし**法令の解釈については、顧問弁護士や所属される会へのご確認をお願いしています。**線引きの設計はお手伝いできますが、法律判断は専門家の領域です。