AI業務代行と個人情報、受ける前に確かめる3つのこと──委託として使える範囲、顧客ごとに混ぜない線、海外のAIサービスと外国にある第三者

この記事は、AI業務代行で顧客の個人情報を扱うときに、受ける前に確かめることを扱います。

問い合わせ、予約、請求、受注。AI業務代行で受ける業務には、ほぼ必ず個人情報が入ります。
委託を受ける側の安全管理措置と覚書の10項目は、別の記事で扱いました。この記事は、そこに「AIのサービスを使う」ことが加わったときの話です。

▶ 個人情報の委託と安全管理措置、制作会社は「受ける側」として何を問われるか──委託元の監督に応える体制と、覚書で決める10項目

「御社が使っているAIは、どこの国の会社ですか」

ある顧客の情報システムの担当者から、こう聞かれます。
「問い合わせの下書きに使っているAIは、どこの会社のサービスで、データはどこに保存されますか。うちの個人情報保護方針に書く必要があるかもしれないので」

ここで答えに詰まるのは、提供している会社の所在国、データの保存先、入力内容をサービス側が扱うかを、契約の条項で確かめていないからです。

AI業務代行で個人情報を扱うとは、顧客から委託された範囲の中だけで個人データを取り扱い、使うAIサービスがどこの誰で、データをどう扱うかを、顧客が説明できる形で渡すことである

黒字化の外科医です。AI業務代行と個人情報の関係を、受ける前に確かめる3つのことに分けて解剖します。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

以下は、個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（令和8年10月30日更新版）で、2026年11月3日に確認できた範囲で書いています。

先に確かめるべき理由は、三つあります。

第一に、委託先は、委託された業務の範囲でしか個人データを扱えないから。
AI業務代行は、複数の顧客の業務を同じ仕組みで回すほど利益が出ます。その「同じ仕組み」が、顧客ごとの線を越えやすいのです。

第二に、海外の事業者が関わると、別のルールが加わるから。
外国にある第三者に個人データを提供する場合のルール（法第28条）は、委託の場合にも当てはまる、とQ&Aは整理しています。

第三に、説明する義務を負うのは、多くの場合顧客の側だから。
顧客は、安全管理のために講じた措置を本人の知り得る状態に置く必要があります。その材料を持っているのは、AIを使っている当社です。

確かめること1：委託として使える範囲

Q&A（Q7-37〜Q7-42）は、委託先ができないことの例を挙げています。AI業務代行に引き寄せると、次のようになります。

委託先としてできないこと（Q&Aの整理をもとに要約）
・預かった個人データを、委託と関係のない自社の営業などに使う（Q7-37）
・複数の顧客から預かった個人データを、区別せずに混ぜて扱う（Q7-37）
・委託の範囲外で統計に加工し、自社のために使う（Q7-38）
・預かった個人データを、自社で独自に持つ情報と本人ごとに突き合わせる（Q7-41）

一方で、委託元の利用目的の達成に必要な範囲内なら、預かった個人データを自社の分析技術の改善に使えるとされています（Q7-39）。ただし、個別の事例ごとの判断です。

AI業務代行での実務の線は、こうなります。

・顧客ごとに、保存場所・AIへの指示・処理の記録を分ける
・ある顧客の問い合わせ文を、別の顧客の回答例として使わない
・改善のために記録を使う範囲を、契約に書いて顧客の了解を取る

確かめること2：AIサービスは「提供」に当たるか

クラウドサービスを使うことが、個人データの提供（委託を含む）に当たるかどうかは、データが含まれているかではなく、サービス提供事業者が個人データを取り扱うこととなっているかで判断する、とQ&Aは整理しています（Q7-53）。

取り扱わないこととなっている場合とは、契約条項で取り扱わない旨が定められていて、適切にアクセス制御を行っている場合等が考えられる、とされています。

入力内容の扱い（保存、学習への利用など）は、サービスやプランごとに違います。当社がすべきなのは断定ではなく、規約・契約条項を確認し、確認日と一緒に顧客に渡すことです。

確かめること3：「外国にある第三者」への対応

Q&Aでは、外国にある第三者に個人データの取扱いを委託する場合も、例外に当たらない限り、法第28条第1項に基づき本人の同意が必要とされています（Q12-1）。例外は、同等の水準にあると認められる国（令和3年9月時点でEUと英国）にある場合や、基準に適合する体制を整備している場合などです。

また、外国の事業者のサーバでも、その事業者が個人データを取り扱わないこととなっていれば、外国にある第三者への提供には当たらないとされています（Q12-3）。逆に、事業者が取り扱っているなら、サーバが国内にあっても提供に当たる場合があります（Q12-4）。

提供に当たらない場合でも、外国でデータを扱う以上、その国の制度を把握したうえで安全管理措置を講じ、事業者の所在国とサーバの所在国の名称などを本人の知り得る状態に置く必要がある、とされています（Q10-25、Q12-3）。

なお、2026年7月17日に改正個人情報保護法が公布され、委員会は施行に向けて政令・規則・ガイドライン等の検討を進めています（個人情報保護委員会のWebサイト、2026年11月3日確認）。施行後は、条番号や運用が変わる可能性があります。

今すぐ試せる：使っているAIサービスの台帳を作るプロンプト

私はWeb制作会社の担当者です。AI業務代行で使っているAIサービスについて、顧客に渡す説明資料の下書きを作ってください。
（顧客名や個人情報は入力しません）

【使っているサービス】
・サービス名と契約のプラン：〔　　〕
・規約・データの扱いについて確認した文書の名前と、確認日：〔　　〕
・その文書に書かれていること（入力内容の保存、学習への利用、提供事業者の所在国、保存先の国）：〔そのまま貼る〕

1. 「提供事業者の所在国」「保存先の国」「入力内容を事業者が扱うか」「学習への利用」を表にする。
2. 文書に書かれていない項目は「記載なし・要確認」とし、推測で埋めないこと。
3. 顧客が専門家に確認すべき点を最後に列挙する。

構造的なリスク

逆説を指摘しておきます。

個人情報の確認を丁寧にするほど、「AIに個人情報は一切入れない」という結論に流れがちです。
けれど、それでは問い合わせや予約の代行は成り立ちません。

大切なのは、入れないことではなく、どこに入れ、誰が扱い、顧客がそれを説明できるかです。
伏せられる処理は伏せ、伏せられない処理は条件を確認して、顧客の判断を記録に残します。

よくあるQ&A

Q. 本人の同意を取るのは、誰か？

本人と接しているのは顧客なので、通常は顧客の側の対応になります。当社は、判断に必要なサービスの情報を渡す役割です。

Q. 外注のスタッフに点検を任せてよいか？

再委託に当たる場合は、契約で決めた手続きに従い、外注先とも同じ水準の約束を結びます。

Q. 漏えいが起きたら、どう動くか？

報告の流れは、こちらにまとめています。

▶ 個人情報の漏えい、報告は誰がいつまでに──報告対象の4類型、速報と確報の期限、制作会社が委託元へ「速やかに」知らせる流れ

最後に

AI業務代行の個人情報は、「AIに入れるか、入れないか」ではなく、委託の範囲と、使うサービスの条件の話です。

顧客ごとにデータを分け、使うAIサービスの所在国と扱いを確かめて渡した会社だけが、個人情報の入る業務を、顧客に説明できる形で預かれるのです。

契約に書く文例と、委託先管理の台帳は、テンプレート集にまとめました。

▶ AI業務代行の契約書・SLA・委託先管理テンプレート──業務委託契約の条項文例11本、範囲とSLAの別紙、AIサービス台帳、年1回の点検票

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #個人情報保護法 #AI業務代行 #委託 #外国にある第三者 #安全管理措置 #生成AI #制作会社経営 #中小企業 #AIBPaaS