AIの情報漏えい対策、制作会社は「預かり物」から線を引く──原稿・顧客名簿・アクセス解析・ログイン情報の4分類と、取引先に説明できる管理の型

この記事は、制作会社のAIの情報漏えい対策として、お客様から預かったデータを生成AIに入れるときの線引きと、取引先に説明できる管理の型を扱います。

その対策を、どこから始めればよいか。
答えは、ツールの設定より先に、「自社が何を預かっているか」を並べることです。

「うちの顧客名簿、AIに入れていませんよね」と聞かれた

ある制作会社が、会員サイトの改修を受けていました。
お客様の情報システム担当から、一通のメールが届きます。
「御社では生成AIを使っていると聞きました。当社がお渡しした会員データの扱いを、書面で教えてください」

社長は、社員に確認しました。
名簿そのものは入れていない。けれど、問い合わせの文面を要約させたことはある、という答えでした。

入れたかどうかより、説明できる記録がないことが、問題だったのです。

預かりデータの線引きとは、お客様から受け取ったものを種類ごとに分け、AIに「入れない・加工して入れる・入れてよい」を先に決めておくことである

黒字化の外科医です。預かりデータとAIの線引きを、取引先への説明まで含めて解剖します。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

社内ルールとは別に、預かり物の線が必要な理由は、三つあります。

第一に、預かったデータの持ち主は、お客様だから。
自社の情報なら自社で判断できます。お客様の情報は、契約と、お客様の意向の範囲でしか扱えません。

第二に、個人情報の扱いには、公的な注意喚起が出ているから。
個人情報保護委員会は、2023年6月2日の「生成AIサービスの利用に関する注意喚起等」で、事業者が本人の同意なく個人データを含むプロンプトを入力し、それが応答の出力以外の目的で扱われる場合、個人情報保護法に違反する可能性があると示しています。そのうえで、入力するなら、提供事業者が機械学習に使わないこと等を十分に確認するよう求めています。

第三に、お客様には、委託先を監督する立場があるから。
個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」（2026年10月に確認した、令和8年6月一部改正の版）は、個人データの取扱いを委託する側に、委託先の選定、契約、取扱状況の把握を通じた監督を求めています。冒頭のメールは、お客様がこの務めを果たそうとしている、とも読めます。

制作会社が名簿や会員データを預かる案件では、自社が「監督される側」に立つことがある。この前提で、説明の準備をしておきます。

今すぐ試せる：預かりデータを棚卸しするプロンプト

私はWeb制作会社の経営者です。進行中の案件で、お客様から預かっているデータを棚卸しし、生成AIへの入力の線引き案を作ってください。

【前提】
・案件名と、お客様の業種：〔記載〕
・預かっているもの：〔例：公開前の原稿、会員名簿のCSV、アクセス解析の閲覧権限、サーバーとCMSのログイン情報〕
・お客様との契約の、秘密保持と個人情報の条項：〔貼り付け、または要旨〕
・社内で許可している生成AIのツールと、入力の扱いを確認した日：〔記載〕

1. 預かっているものを「原稿」「個人情報」「アクセス解析」「ログイン情報」に分類する。
2. それぞれを「入れない」「加工して入れる」「入れてよい」に分け、理由を書く。
3. 「加工して入れる」ものは、具体的な加工の方法を書く。
4. お客様に確認や同意が必要な点を挙げる。
法律の判断は断定せず、「専門家に確認する点」として分けること。

預かり物の管理工場：4分類と説明の型

1. 預かりデータの4分類と線引き

【原稿・資料】（公開前の文章、商品情報、社内資料）
線：加工して入れる
・社名、商品名、未発表の数字を伏せ字にする
・秘密保持の条項で、外部サービスへの入力が制限されていないか確かめる

【個人情報】（顧客名簿、会員データ、問い合わせの内容）
線：原則として入れない
・どうしても使うなら、氏名・連絡先などを削り、個人を特定できない形に加工する
・加工しても扱いに迷うものは、お客様の書面の同意を得てから

【アクセス解析】（解析ツールの数値、レポート）
線：集計値は入れてよい／個別の行動データは入れない
・ページ別の閲覧数のような集計は、社名を伏せれば扱いやすい
・ユーザー単位の記録や、フォームの入力内容を含む出力は、個人情報と同じ扱い

【ログイン情報】（サーバー、CMS、解析ツール、広告管理画面）
線：入れない（例外なし）
・エラー画面やログを貼るときも、ID・パスワード・鍵の文字列を消してから

2. 預かりデータ管理表

案件ごとに1枚。お客様から問われたら、そのまま出せる形にします。

【預かりデータ管理表】案件名：〇〇
・預かったもの：〔会員名簿CSV〕
・受け取った日と方法：〔〇月〇日、お客様指定の共有ストレージ〕
・保管場所と、触れる人：〔社内の共有フォルダ、担当2名〕
・生成AIへの入力：なし／加工して入力（方法：〔　〕）
・使ったツールと、入力の扱いの確認日：〔　〕
・返却・削除の予定：〔納品後30日以内に削除し、お客様へ報告〕

3. 取引先への説明文

〇〇様

お問い合わせの、お預かりしたデータの扱いについてご報告します。

・会員データ：生成AIには入力しておりません。
・公開前の原稿：社名と数字を伏せた形で、文章の構成の確認に
　生成AIを使用しました。使用したツールは、入力内容を学習に
　使わない設定であることを、〇月〇日に確認しています。
・ログイン情報：生成AIには入力しておりません。

案件ごとの管理表を添付します。
扱いを変える場合は、事前にご相談いたします。

AIの利用そのものを、提案や見積もりの段階でどう伝えるかは、こちらで扱っています。

▶ AI利用を顧客にどう説明し、同意を得るか──「隠して使う」と単価が下がる理由、提案・見積書・契約の開示文例、断られたときの返し方

構造的なリスク

逆説を指摘しておきます。

「個人情報は入れない」と決めても、問い合わせの文面やエラーのログには、名前やメールアドレスが紛れ込みます。
事故の多くは、名簿ではなく、こうした「名簿に見えないもの」から起きます。

だから、線引きは「何を入れないか」だけでなく、「貼る前に何を消すか」まで書いてください。
社内のルール全体の考え方は、こちらにあります。

▶ 生成AIの社内ルールがない制作会社は、納品物を説明できない──入力禁止の情報、お客様への説明と同意、成果物の確認責任、著作権の基本

よくあるQ&A

Q. 学習に使わない設定のツールなら、名簿を入れてもよいか？

設定は、確認すべき条件の一つにすぎません。契約の範囲、お客様の意向、利用目的との関係もあります。預かった個人情報は、まず「入れずに済む方法」を考え、必要なら専門家とお客様に確認してください。

Q. 外注先のデザイナーやコーダーにも、この線を守ってもらうべきか？

守ってもらう必要があります。預かりデータを渡す外注先には、発注書に線引きを書き、管理表の該当欄を埋めてもらいます。

Q. 管理表は、どの案件から作ればよいか？

個人情報やログイン情報を預かっている案件からです。保守契約の顧客は、ログイン情報を長く預かっているため、優先して整えてください。

最後に

AIの情報漏えい対策は、ツールの設定より先に、預かり物を並べることから始まります。

原稿・名簿・解析・ログイン情報を分けて線を引き、管理表で説明できるようにした会社だけが、お客様のデータを預かりながら、AIで速く働けるのです。

社内のガイドラインのひな形は、こちらにまとめました。

▶ 生成AIガイドラインのテンプレート、制作会社向けひな形一式──入力禁止情報、お客様への開示文例、確認手順、事故時の報告、研修チェックリスト

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #生成AI #情報漏えい対策 #個人情報 #情報管理 #AI活用 #制作会社経営 #中小企業 #リスク管理 #顧客対応