生成AIに顧客リストを貼っていいか。規程を頼む前に見る現物が、個人情報保護委員会のサイトにあります。自己点検チェックリスト（PDF全2ページ・チェック欄17個）。今日は□を埋めるだけ、目安15分。※AIへの当てはめは筆者の解釈です。
生成AI（ChatGPTなどの、頼めば文章や表を作ってくれる道具のこと）を使い始めた会社が、一度は立ち止まる場所があります。「この顧客リスト、AIに貼っていいのか」——ここです。
調べ始めると、たいてい話が大きくなります。「社内のルール（規程）を先に作らないと危ない」という結論に行き着き、では、その作成をどこかへ頼もうか、という流れになる。手元に判断材料が1枚も無ければ、これはごく自然な流れです。私が同じ立場でも、同じことを考えると思います。
ただ、その前に1つだけ、お伝えしておきたい事実があります。
①結論：判断のもとになる「現物」を、個人情報保護委員会（個人情報のルールを所管する国の機関です）が、自分のサイトで公開しています。入手に費用はかかりません。しかも読み物ではなく、空欄を埋める形の書類そのものです。中身は2つ。
⚠️ここで、この記事でいちばん大事な限定を、先に置きます。私はこの2つを実際にダウンロードして全文を確認しました。どちらにも「AI」という語は、1文字も出てきません。AIについて国が何かを述べた資料ではありません。ですので、このあと書く「AIを使うときはこう読める」という部分は、すべて私自身の読み方であって、国の見解ではありません。この線は、記事の最後まで外しません。
②今日やる1手：規程づくりには手を付けないでください。今日やるのは、チェックリスト（PDF・2ページ）を開いて、17個の□を埋めるだけです。目安15分。この紙の冒頭には、作った側の言葉でこう書かれています。
※事前準備なしでもチェックを行うことは可能です。
つまり「準備ゼロで始めていい」と、配っている側が明記しています。Wordの規程ひな形は、今日は開かなくて結構です。順番を2つに割ること——これがこの記事のいちばんの提案です。
③この記事の対象：顧客名簿・見積書・応募者の履歴書・従業員名簿など「個人の名前が入ったデータ」を持っていて、生成AIを業務で使い始めた、あるいはこれから使おうとしている中小零細企業の経営者の方です。社員数は問いません。社長おひとりの会社でも当てはまります。とくに「名簿は紙とExcelで持っている」会社ほど、AIに貼りたい場面が多くなるので、当てはまりやすいと思います。
逆に、この記事が向かない方：すでに個人データの取扱規程を整えて、外部に任せるときの選定・契約・確認の記録まで残している会社の方です。復習にしかなりません。もうひとつ、「AIに顧客情報を貼ってよいか」の法的な結論だけをお求めの方も、この記事の対象ではありません。私は弁護士でも行政書士でもないので、その結論は書けないからです。そのかわり、国が電話で受け付けている相談窓口を記事の後半に載せました。そちらのほうが速いです。
ここに書いた15分の点検は、社長ご自身の手でできます。資料の入手にも費用はかかりません。読んだうえで、私から何かを買っていただく必要はありません。
先に線を引いておきます。ここを混ぜると、読んだ方が誤った安心をしてしまうからです。
| 区分 | 中身 |
|---|---|
| 国の資料に書いてあること | 資料の名前・形式・ページ数・項番の中身・引用した文章。本記事では、引用は必ず枠付きで示します。 |
| 私の読み方（＝当社の解釈） | 「AIを使うときは、この項番がこう効く」という当てはめ、名簿の仕分け方、進める順番。見出しに【私の読み方】と書いた箇所は、すべてこちらです。 |
| 私が書けないこと | 「これで法的に問題ありません」という結論。法律の解釈は、弁護士や個人情報保護委員会の領域です。 |
置き場所は、個人情報保護委員会のサイトの「研修資料一覧」というページです。ページを開くと最初に「事業者向け資料」が表示されます。そのまま下へスクロールしていくと、「お役立ちツール（※中小企業向け）」という見出しが出てきます。「※中小企業向け」と、公式のページにそのまま書いてあります。そこから下が、今日のお目当てです。
研修資料一覧：https://www.ppc.go.jp/kensyu_material/
| 資料名（公式の呼び方） | 形式 | 中身 | いつやるか |
|---|---|---|---|
| 自己点検チェックリスト | PDF 全2ページ |
項番1〜8まで。チェック欄は17個。各項番に「ガイドライン参照先」（10-1、10-3(1) などの番号）が付いている | 今日、これだけ 目安15分 |
| 個人データ取扱要領（例） | Word （.docx＝パソコンのWordで開いて、そのまま書き換えられる形式） |
社内ルールのひな形。全5章15条＋附則。日付・部署名が●の伏せ字。各条に「※ガイドライン安全管理措置10-3(1)に対応」といった注記が付いている | 来週以降 |
| 別紙1／別紙2／別紙3-1／別紙3-2 | Word （4本） |
誰がどこまで扱うかの表、事故が起きたときの連絡体制、事務・業務それぞれの手順書の様式 | ずっと後で結構 |
| はじめに／説明資料／資料一覧及び補足説明 | どこから手を付けるかの案内と、各資料の使い方の説明 | 迷ったときに | |
| 委託先管理に関する着眼点 | PDF 1ページ |
外部に任せるときの3つの着眼点をまとめた1枚もの | 項番8で詰まったら |
「はじめに」の1枚には、迷った人向けの入口が3つ示されていて、その1つ目がこう書かれています。
取扱いに注意はしているが、漏れがないか確認したい。
まずはチェックリストを利用しましょう！
今日の1手は、この1つ目そのものです。私が勝手に難易度を下げているのではなく、資料を配っている側がその1として最初に置いている入口に乗るだけです。
手順にします。印刷は要りません。パソコンの画面で開いて、紙にメモを取るだけで足ります。
ここで言葉を2つだけ噛み砕きます。チェックリストにも、Wordのひな形にも、この2語が繰り返し出てくるからです。
※資料では「個人情報」と「個人データ」という語が使い分けられています。法律上は意味が異なりますが、今日の15分では区別せず、「個人の名前が入ったデータ」とお考えいただいて構いません。厳密な区別が必要になる場面では、専門家か、後述の相談ダイヤルへ。
項番の並びは、次のとおりです。1つだけ、性質が違うものがあります。
| 項番 | 見出し（公式の表記） | チェック欄 | ざっくり言うと |
|---|---|---|---|
| 1 | 基本方針の策定 | 1個 | 会社としての考え方を決めているか。この項番だけ「※この項目は義務規定ではありませんが、策定することは重要です。」と注記されています |
| 2 | 個人データの取扱いに係る規律の整備 | 1個 | 取得・利用・保存のやり方を決めているか |
| 3 | 組織的安全管理措置 | 4個 | 責任者はいるか、決めたとおり運用できているか、漏れたときの連絡体制はあるか、点検しているか |
| 4 | 人的安全管理措置 | 1個 | 従業員に教えているか |
| 5 | 物理的安全管理措置 | 4個 | 紙やパソコンの置き場所、持ち出し、捨て方 |
| 6 | 技術的安全管理措置 | 4個 | 誰がどの端末で触れるか、更新やセキュリティ対策ソフト、メール送信時の対策 |
| 7 | 外的環境の把握 | 1個 | 外国で個人データを取り扱う場合の話 |
| 8 | 委託先の監督 | 1個 | 個人データの取扱いを外部に任せるときの、選定・契約・把握 |
色を付けた7と8が、次の章の主役です。ただし——色を付けたのは私です。国の資料で、この2つが特別に強調されているわけではありません。
ここから先は、この資料を生成AIの利用に当てはめた、私自身の読み方です。繰り返しますが、この資料に「AI」の語は一度も出てきません。国がAIについてこう言っている、という話ではありません。
確認事項は、こう書かれています。
外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度を理解した上で、個人データの安全管理のために必要かつ適切な措置を講じていますか？
【私の読み方】生成AIのサービスは、入力したデータをどこで扱うのかが、サービスごと・契約プランごとに違います。「うちが使っているAIは、入れたデータをどの国で扱うのか」を、提供元の公表内容で一度確認したことがあるか。——私はこの項番を、その問いを立てる欄として使えると読んでいます。
今日は、確認までしなくて結構です。「確認したことがあるか／ないか」で□を判定するだけで足ります。「ない」なら、それは×です。それでいいのです。×が付いた事実こそが、来週の出発点になります。
こちらは、確認事項の中に3つの段が並んでいます。
個人データの取扱いの全部又は一部を委託する場合、個人データの安全管理が図られるよう、以下の（１）～（３）の観点で、委託先に対する必要かつ適切な監督を行っていますか？
（１）適切な委託先の選定（説明文略）
（２）委託契約の締結
（３）委託先における個人データの取扱状況の把握
そして「委託」が何を指すのかも、同じ紙の左側に説明があります。ここは大事なので、そのまま引きます。
※個人情報の取扱いの委託とは、個人情報の取扱い業務を自社以外の事業者へ依頼することです。
例えば、次のような業務で委託に該当する場合があります。
・各種申込書類等の手続き
・個人情報を含む書類の廃棄
・コールセンター
・通販サイトの構築・運用
・HPの一部での予約受付サイトの運営
※通販サイトや予約受付等個人情報の取扱いを含むシステムの運営を依頼する場合も委託となります。
例として挙がっているのはこの5つで、AIサービスはここに入っていません。ただし最後の一文が示すとおり、原典は「例示に限る」とは書いていません。この資料が作られた時点の想定に生成AIは含まれていない、と読める——そこまでが私に言えることです。この資料が作られた時点の想定に、生成AIは含まれていない、と読むのが素直だと思います。
【私の読み方】それでも私がこの項番に注目するのは、（1）選ぶ →（2）契約に書く →（3）あとで確かめるという3段が、「社外のサービスに、自社の大事なデータを預けるときの骨組み」としてよくできているからです。AIサービスを選ぶときにこの3段を当てると、検討がぐっと具体的になります。
ちなみに（2）については、同じ委員会が配っている1枚もの「委託先管理に関する着眼点」に、こんな一文があります。AIの話ではありませんが、契約というものの実情をよく言い当てていると思います。
一般的な業務委託契約にはセキュリティに関する項目が含まれていないことが多いので、確認の上、セキュリティ対策を盛り込む必要があります。
生成AIのサービスに個人データを入力する行為が、個人情報保護法上の「委託」に当たるのかどうか。これを私は断定できません。サービスの契約内容によっても変わりますし、法律の解釈は弁護士や個人情報保護委員会の領域だからです。
私が申し上げているのは「当たる」でも「当たらない」でもなく、「この3段の考え方が、AIサービスを選ぶときの整理に使える」というところまでです。私はここを踏み越えて「だから大丈夫です」とは書きません。書けないからです。
白黒の結論が必要な場面では、国の窓口が電話で受け付けています。
| 個人情報保護法相談ダイヤル | 内容 |
|---|---|
| 電話番号 | 03-6457-9849 |
| 受付時間 | 9:30〜17:30（土日祝日及び年末年始を除く） |
| 音声案内 | 事業者からの相談は［1］ |
| 補足 | 公式ページには「匿名でのご相談も可能です」と書かれています。また、相談は電話でのみ受け付けている旨も記載されています |
先に×が付いた行の「ガイドライン参照先」の番号をメモしてから電話したほうが、話は早く進みやすくなります。これが、チェックリストを先にやる実利のひとつです。
15分の点検を終えたあと、社内で決めていくときの並べ方です。これも国の資料に書いてあることではなく、私の整理の仕方です。
| 区分 | 中身の例 | 扱い |
|---|---|---|
| 個人が特定できないもの | 商品名と数量だけの売上表、氏名や連絡先を外した問い合わせの文面、社外に出しても差し支えのない一般的な文章 | AIに貼るかどうかの判断が、いちばんしやすい |
| 個人が特定できるもの | 顧客名簿、応募者の履歴書、従業員名簿、名刺データ、施主の氏名と住所が入った見積書 | 社内の扱いが決まるまでは貼らない |
| 判断がついていないもの | 上のどちらとも言い切れないもの全部 | 決まるまで貼らない。グレーは白ではありません |
実務でいちばん効くのは、貼る前に氏名・住所・電話の列を別のシートへ移してしまう、という一手です。「相見積もりの文面を整えてほしい」「アンケートの自由記述をまとめてほしい」——こうした用途の大半は、氏名が付いていなくても成立します。法律の話をする前に、まず手間の話として解けることが、意外と多いのです。
※ただし、氏名を消せば必ず個人情報でなくなる、というわけではありません。他の情報と照らし合わせれば誰か分かる場合があります。ここも私が断定できる領域ではないので、迷うものは3つ目の区分に入れて、貼らない——それで構いません。
私が名古屋を拠点に、愛知・岐阜・三重の中小零細企業を対象に仕事をしていて感じるのは、「名簿は紙とExcelで持っている」会社ほど、AIに貼りたい場面が多くなるということです。手作業でやってきた集計が、貼るだけで終わるからです。想定される場面を3つ挙げます。
なぜ今日開かないほうがいいのか。開くと、たいてい第3条で止まるからです。
ひな形の第3条には、責任者を「●●部の長をもって充てる」と書く欄があります。部署という単位が無い会社では、ここで手が止まります。止まった瞬間、その日はもう進みません。だから今日は開かない。順番の問題です。
そして——ここがこの2つを続けて使う最大の利点だと私は見ているのですが、チェックリストとWordのひな形は、同じ番号でつながっています。
つまり、今日×が付いた行の「ガイドライン参照先」の番号を控えておけば、来週その番号でひな形の該当条文へ一直線に飛べます。ただし、左端の項番と右端のガイドライン番号は一致しません。たとえば項番3の(4)に対応するのは 10-3(5) です。また項番8「委託先の監督」だけは、参照先が 3-4-4 と別系統の番号になっています。15条を頭から読む必要はありません。×が付いた行の「ガイドライン参照先」の番号が、来週あなたが手を入れる条文の場所です。——15分の点検が、そのまま来週の作業指示書になる。これが、私がこの順番をおすすめする理由です。
×が10個も付いて、「これは自社では抱えきれない」と感じられたなら、その感覚は正しいと思います。専門家に頼むのは、まっとうな判断です。私はここで「頼まなくていい」とは申しません。
ただ、順番だけは変わります。現物を先に見ておくと、「うちは項番3の(4)と、6の(3)と、8が空いています」と、こちらから具体的に言える。依頼の中身が具体的になれば、見積もりの中身も比べやすくなります。これは、頼む・頼まないのどちらを選んでも効きます。
なお、資料を配っている側自身が、こう明記しています。
（前略）必ずしも当該資料に基づき個人情報等を取り扱わなければならないということではありません。適切な手法は当該資料の内容に限りませんので、自社の状況に応じ適宜規定を追加するなどして活用してください。
「このとおりにしなければならない」という性質の資料ではない——これも、配っている側の言葉です。安心して、自社に合う形に手を入れてください。
個人情報保護法そのものは、改正法が令和8年（2026年）7月17日に公布されています。個人情報保護委員会の公式ページには、こう書かれています。
円滑な施行に向け、引き続き、政令、規則、ガイドライン等の検討を行ってまいります。
私が2026年8月20日に同ページを確認した時点で、施行の具体的な日付は、このページに記載されていません。
ですので私の判断は、こうです。「改正への対応は、まだ手を動かす段階ではない」。今やる価値があるのは、現行の枠組みでの棚卸しのほうです。棚卸しが済んでいれば、ルールが更新されたときに変わった部分だけを見ればよくなります。棚卸しが無いままだと、更新のたびにゼロから調べ直すことになります。
なお、生成AIそのものの使い方で気をつける点は 生成AIの落とし穴｜IPAが警告したリスクと中小企業3つの守り にまとめました。今日の話が「何を入れるか」の整理だとすれば、あちらは「どう使うか」の話です。
そもそも「何から手を付けるか」の順番の決め方——つまり経営のボトルネック（詰まっている一番の課題）の見つけ方そのものは、中小企業のお金の使い方｜投資の前に「ボトルネック」を見つける現場術 に書いています。お金を使う前に読む順番としては、こちらが先です。
私は弁護士でも行政書士でもありません。ですので、「これで法的に問題ありません」とお答えすることはできません。個人情報の規程づくりそのものや、申請の手続きもお引き受けしません。その分野の専門家の領域だからです。
また、チェックリストを埋める作業も代行しません。社内の実態をいちばんよくご存じなのは社長ご自身であり、そこはご自身の手で見ていただくのが、いちばん速くて確かだと思っているからです。
私がお引き受けできるのは、AIを含めて「何に・どう投資すれば、詰まっている一番の課題が動くのか」を数字で見極め、着手の順番を整理し、実行まで伴走する、その部分です。ここは有償のご支援になります。無料でお受けしているのは、次にご案内する初回面談（90分程度）までです。
そのうえで、まずは状況をお聞かせいただきたいという方は、無料相談はこちらのお問い合わせフォームからお気軽にどうぞ。初回面談はオンラインで90分程度。こちらから契約を急かしたり、その場で契約をお願いしたりすることはしません。新たな投資が不要と判断すれば、その旨を誠実にお伝えします。
※本記事に記載した制度情報、および各資料の名称・形式・ページ数・掲載場所は、2026年8月20日に私が個人情報保護委員会の公式サイトで確認した時点のものです。制度も資料も変わります。最新の内容は、上記の公式サイトでご確認ください。
※本記事における「AIに当てはめるとこう読める」という記述は、すべて私自身の解釈であり、個人情報保護委員会の見解ではありません。引用した資料に「AI」「生成AI」の語は含まれていません。
※引用中の引用は原典の文言どおりです。紙面の都合で一部を省略した箇所には、その旨を示しています。改行位置は読みやすさのために調整しています。引用文への太字などの強調は加えていません（原典で一部が赤字の箇所も、本記事では書体をそろえて引用しています。本文側の太字は筆者によるもの）です。引用文への太字などの強調は加えていません（本文側の太字は筆者によるものです）。
※「チェック欄17個」「全5章15条＋附則」等の数は、筆者が現物を取得して数えたものです。
※当社は”何に・どう投資するか”の交通整理（マーケティング支援）を担います。税務・申請手続きの個別判断は、税理士・該当分野の専門家や公募要領でご確認ください。個人情報の取扱いに関する法的な判断は、弁護士等の専門家、または個人情報保護委員会にご確認ください。
マークレスト
