【2026年最新】生成AI×個情法 完全対応ガイド｜改正対応チェックリスト50

「うちのスタッフ、ChatGPTに顧客名や住所を普通に入力してるんですが、これって大丈夫ですか……?」

先日、ある製造業クライアントの情報システム担当者から届いたチャットです。このひと言で、私は研修後のフォローアップで急きょZoom面談を設けることになりました。調べてみると、営業部門のスタッフ10名全員が毎日のように顧客の会社名・担当者名・案件内容をChatGPTに貼り付け、提案書の素案を作成していたのです。

「でも、こんなに便利なものを止めるわけにもいかないし……」という現場の本音もよく分かります。実際、私が支援している100社以上の企業で、同じ悩みを持つ担当者に毎月のように出会います。問題はAIを使うか使わないかではなく、どう使えば個人情報保護法（個情法）に抵触しないか、その線引きを知っているかどうかなんです。

この記事では、2024年施行規則改正・2026年1月の制度改正方針・PPCの生成AI注意喚起の最新動向を踏まえながら、現場で今日から使える50項目チェックリスト・主要LLMサービスの比較表・PIAの簡易版・30-60-90日ロードマップを、規程テンプレートつきでまとめます。法律の話は苦手という方でも、「これだけやれば最低限のリスクは防げる」という実務ラインが分かる構成にしましたので、ぜひ最後までお付き合いください。

1. 結論ファースト：AI×個人情報保護法 5分で分かる対応マップ

難しい話に入る前に、まず全体像を把握しましょう。AI×個情法の問題は、下記の4つのゾーンに集約されます。

AI導入戦略の全体像については、AI導入戦略 完全ガイドでも解説していますので、基礎から知りたい方はあわせてご参照ください。

事例区分: 想定シナリオ
以下は100社以上の研修・コンサル経験をもとに構成した典型的なシナリオです。実際の企業名・数値は仮のものです。

金融機関A社（顧客100万人規模）では、コールセンタースタッフが顧客対応の改善提案を求めてChatGPT無料版に顧客の苦情メールをそのまま貼り付けていました。顧客名・電話番号・口座情報が含まれたメールです。PPCのガイドラインでは「第三者提供の制限」に抵触するリスクがあり、社内調査の結果、対象スタッフ全員に業務改善指導と再研修が行われることになりました。「まさかそんなことが問題になるとは」という声が現場から上がったのは言うまでもありません。

2. なぜ今、AI×個情法対応が経営課題か（2024年改正＋2026年検討＋PPC指針）

2024年施行規則改正のポイント

2024年4月1日に施行された改正施行規則では、個人データの漏洩等に関する報告義務（法第26条）の運用が強化されました。報告の期限・範囲・手続きが明確化され、虚偽報告には刑事罰が科される可能性があります。生成AIサービスを通じた情報流出がこの「漏洩」に該当するかどうかについて、PPCは「個別事案に応じて判断する」というスタンスをとっています。

2026年1月の制度改正方針とAI開発への影響

個人情報保護委員会は2026年1月9日、いわゆる「3年ごと見直し」の制度改正方針を公表しました。AI開発に直接関連する変更として、「統計情報等の作成（AI開発等を含む）にのみ利用されることを担保された場合、本人同意を不要とする措置を検討」という方向性が示されています。

これは「AIベンダーに個人データを提供してモデル改善に使う」ケースで、一定条件下で同意不要になりうることを意味します。一方で、2026年4月7日には「個人情報の保護に関する法律等の一部を改正する法律案」が閣議決定され、以下の強化措置が盛り込まれました：

• 課徴金制度の導入：個人情報の違法取扱いで財産上の利益を得た場合、PPCが課徴金を命令できる
• 身体特徴情報の保護強化：生体情報（顔認証データ等）について本人の利用停止請求権を拡大
• 同意要件の部分緩和：統計等作成目的の第三者提供で本人同意を不要とする措置

規制強化と利活用促進が「同時に」進んでいるのが2026年の特徴です。「緩和される部分もある」という理解だけでは危険で、課徴金制度の導入という強化面を見落とさないことが重要です。

PPCのOpenAI社への注意喚起（2023年6月）とその意味

個人情報保護委員会は2023年6月2日、ChatGPTを提供するOpenAI社に対して直接注意喚起を実施しました（参照：個人情報保護委員会公式ページ）。主なポイントは以下の3点です：

1. 利用者への注意：個人情報取扱事業者が生成AIサービスにプロンプトとして個人情報を入力する場合、「利用目的の達成に必要な範囲内か」を十分確認せよ
2. 事業者への注意：生成AIサービス提供事業者は、あらかじめ本人同意を得ずに要配慮個人情報を取得しないこと
3. DeepSeekへの対応（2025年2月）：中国発のDeepSeekに関して、個人情報の取扱いについて情報提供が行われた

つまり、PPCはすでに特定のAIサービスを名指しして注意喚起できる権限と意思を持っているということです。企業が「知らなかった」では済まない段階に来ています。

3. 経営者・管理者が必ず知るべき7つの論点

論点1：「入力＝提供」の罠

生成AIサービスに個人情報を含むプロンプトを入力することは、法律的に「第三者提供」に該当する可能性があります。特に無料版のサービスで、入力データがAIの学習やサービス改善に使われる場合、「本人の同意なく個人情報を第三者（AIベンダー）に提供した」と解釈されるリスクがあります。

日本の個情法第27条は、個人データの第三者提供に原則として本人の同意を要求しています。「AIに入れているだけ」という認識は通用しません。

論点2：利用目的の明示と目的外利用

個情法第17条では、個人情報の利用目的をあらかじめ公表または通知することが義務づけられています。もし自社のプライバシーポリシーに「AIサービスを用いた業務効率化」という記載がなければ、顧客情報をAIに入力すること自体が目的外利用（第18条違反）になりえます。

研修先で「プライバシーポリシーを最後に更新したのはいつですか？」と聞くと、「3年前です……」という回答が返ってくることは珍しくありません。AI時代に入ってプライバシーポリシーを更新していない企業は、今すぐ見直しが必要です。

論点3：要配慮個人情報の特別扱い

病歴・障害・犯罪歴・信条などの「要配慮個人情報」（個情法第2条3項）は、取得・提供に原則として本人の明示的同意が必要です。医療・介護・保険業種では、患者や顧客の情報をAIに入力する際に特段の注意が必要です。

論点4：委託先としてのAIベンダー管理

AIサービスプロバイダーを「委託先」として位置づける場合、個情法第24条に基づき、委託先が個人データを適切に取り扱うよう監督する義務が委託元に発生します。契約書にデータの取扱い方針・学習利用の禁止・漏洩時の報告義務などを明記することが必要です。

論点5：越境移転の同意取得

ChatGPT（米国）・Gemini（米国）・Qwen（中国）・DeepSeek（中国）など、データが日本国外のサーバーで処理されるサービスを使う場合、個情法第28条の「外国にある第三者への提供」規制が適用されます。相手国が十分な個人情報保護制度を有しているかの確認と、顧客への同意取得または「同等水準」の確保が必要です。

論点6：漏洩時の報告義務

2022年4月施行の改正個情法により、個人データの漏洩等が発生した場合（または発生したおそれがある場合）、PPCへの報告と本人への通知が義務化されました（法第26条）。生成AIを通じた情報流出もこの報告義務の対象となりえます。「72時間以内に速報、30日以内に確報」というタイムラインを担当者は必ず把握しておく必要があります。

論点7：生成AIの出力が含む個人情報

AIの出力が既存の個人に関する記述を含む場合、その出力物を外部に開示すること自体が個情法上の問題を引き起こす可能性があります。特に、大量のWeb情報を学習したモデルが「実在する特定個人の情報らしきもの」を出力するケースでは、その情報が正確かどうかとは別に、プライバシー侵害のリスクがあります。

4. 主要LLMサービスのデータ取扱比較表

各サービスの公式ドキュメント・利用規約・プライバシーポリシー（2026年5月時点）に基づいて比較します。プランによって大きく異なる点に注意してください。

重要な実務ポイント：企業の個人情報を扱う業務では、原則として「法人版」または「商用API（ZDR設定）」を使うこと。無料版・個人向け有料版で顧客情報を入力することは、利用規約上も個情法上も重大なリスクを伴います。また、中国系サービス（Qwen・DeepSeek・MiniMax）は、中国の「データ安全法」「個人情報保護法（PIPL）」に基づくデータ移転規制が適用され、日本の個情法の「外国にある第三者への提供」規制の対象となります。

5. 現場チェックリスト50項目

以下は100社以上の研修・コンサル経験をもとに構成した実務チェックリストです。自社の担当者が実際に確認できるレベルに砕いています。全項目を書き出してプリントアウトし、月次の内部監査に活用してください。

【入力データ管理】10項目

■ 入力データ管理チェックリスト

□ 1. 顧客・取引先の氏名、住所、電話番号、メールアドレスを
       AIサービスに入力していない（もしくは入力ルールを整備済み）
□ 2. 顧客の注文履歴・購買情報・契約内容を含むテキストを
       そのまま貼り付けていない
□ 3. 従業員の給与・評価・健康診断結果などの人事情報を
       AIに入力していない
□ 4. 要配慮個人情報（病歴・障害・信条・犯罪歴）を含む
       テキストをAIサービスで処理していない
□ 5. マイナンバー・社会保障番号・パスポート番号など
       番号関連情報を入力していない
□ 6. AIに入力する前に個人情報をマスク化・仮名化する
       ルールが存在する（「田中様」→「[顧客様]」等）
□ 7. プロンプトに個人情報を入れる場合の「承認フロー」が
       定められている（上長確認・情報セキュリティ担当承認等）
□ 8. どのAIサービスに何の情報を入力してよいか、
       「許可リスト」と「禁止リスト」が社内文書に明記されている
□ 9. 個人情報が含まれる可能性のある添付ファイル（PDF・Excel等）を
       AIにアップロードする際のルールが定められている
□ 10. 新しいAIサービスを業務利用する際に、
        情報セキュリティ担当者の事前審査を通過させている

※不足している情報があれば、最初に確認してから作業を開始してください。

【出力データ管理】10項目

■ 出力データ管理チェックリスト

□ 11. AIが出力した文書・メールに個人情報が含まれていないか
        人間が確認してから外部に送付している
□ 12. AIが出力した特定個人に関する記述（「田中さんは〇〇だ」等）の
        正確性を確認してから使用している
□ 13. AIが生成した文章をそのままコピーして顧客に送信しない
        ルールが設けられている（人間の目を通す）
□ 14. AI生成コンテンツにプライバシーリスクがある場合の
        エスカレーション先（担当者・部署）が明確になっている
□ 15. AIが生成した顧客向け資料を保存する際、
        個人情報を含まない形に加工してから保存している
□ 16. AI生成の採用・人事評価文書について、
        特定個人の開示請求に応じられる体制がある
□ 17. AIの出力履歴（ログ）を一定期間保管し、
        問題発生時に追跡できる体制がある
□ 18. AIが生成した個人の評価・プロファイリングを
        本人に不利な意思決定に単独で使用していない
□ 19. AI出力に含まれる第三者の著作物・個人情報の
        取り扱いについてガイドラインがある
□ 20. AI生成コンテンツを外部公開する前に、
        個人情報・プライバシー侵害のリスク確認プロセスがある

※仮定した点は必ず"仮定"と明記してください。

【学習データ提供拒否】10項目

■ 学習データ提供拒否チェックリスト

□ 21. 業務で使用するAIサービスについて、
        学習利用の有無・オプトアウト方法を全サービス確認済み
□ 22. ChatGPT個人アカウントのモデルトレーニング設定を
        オフにしている（Settings > Data controls）
□ 23. Claude個人アカウントのデータ利用設定を確認し、
        必要に応じてオプトアウト済み（2025年9月以降：設定必須）
□ 24. Google Gemini / Workspace の管理者設定で
        AIトレーニング利用を無効化している
□ 25. 法人向けプラン（ChatGPT Enterprise / Claude for Work /
        Gemini for Workspace等）に切り替えている
□ 26. API経由でAIを利用する場合、
        Zero Data Retention（ZDR）設定を確認・適用している
□ 27. 新しいAIツールを導入する際に、
        利用規約の「データ利用条項」を必ず確認している
□ 28. AIベンダーとの契約書・利用規約に
        「個人データを学習に使用しない」条項があることを確認済み
□ 29. 無料版AIツールを業務で使用することを
        明示的に禁止または制限するルールが社内規程にある
□ 30. AIサービスのプライバシーポリシー変更について、
        定期的に（少なくとも年1回）確認する担当者がいる

※数字と固有名詞は、根拠（出典/確認元）を添えてください。

【越境移転】10項目

■ 越境移転チェックリスト

□ 31. 業務で使用する全AIサービスについて、
        データ処理サーバーの所在国を確認済み
□ 32. 中国系AIサービス（DeepSeek・Qwen・MiniMax等）を
        業務利用する場合、中国PIPL（個人情報保護法）の
        越境移転規制を確認している
□ 33. 自社のプライバシーポリシーに「外国にある第三者への
        提供」に関する記載があり、対象国・手続きが明示されている
□ 34. EU域内の顧客・従業員のデータをAIサービスで処理する場合、
        GDPRの「第三国移転」規制（SCCまたは十分性認定）を確認済み
□ 35. 外国にある第三者への提供に際して、
        個情法第28条に基づく本人同意の取得または同等水準の確保をしている
□ 36. AIベンダーとの契約にデータ処理に関する
        標準契約条項（SCC類似）または同等の条項が含まれている
□ 37. 利用するAIサービスが「十分性認定国」（日本→EUは認定済み）
        かどうかを確認している
□ 38. 越境移転に関するリスクを取締役会・経営幹部に
        報告する体制がある
□ 39. AIサービス利用国の個人情報保護規制の変更について、
        定期的に情報収集する担当者・プロセスがある
□ 40. 中国系クラウドサービスを経由するAIサービスを
        使用する場合、中国当局によるデータアクセス可能性を
        リスクとして評価・文書化している

※不足している情報があれば、最初に確認してから作業を開始してください。

【漏洩時対応】10項目

■ 漏洩時対応チェックリスト

□ 41. AIサービスを通じた個人情報漏洩が「漏洩等」に
        該当するか判断するフロー（意思決定ツリー）が存在する
□ 42. 漏洩等の報告義務（個情法第26条）の対象：
        「単数でも特定個人の識別可能な個人データ」が対象であることを
        全担当者が理解している
□ 43. 速報をPPCに「概ね72時間以内」に行うための
        報告様式・連絡先が準備されている
        ※PPC報告窓口：https://www.ppc.go.jp/personalinfo/infringement/
□ 44. 確報を「原則として30日以内（不正目的の場合は60日以内）」に
        行うための情報収集プロセスが定められている
□ 45. 本人への通知（速やかに行う義務）について、
        通知文のテンプレートが準備されている
□ 46. AIサービス提供ベンダーが漏洩した場合の
        「委託元としての調査・対応義務」を担当者が理解している
□ 47. 漏洩時の対応責任者（CISO・情報セキュリティ委員会）と
        役割分担が文書化されている
□ 48. 外部専門家（弁護士・サイバーセキュリティ会社）の
        緊急連絡先を整備し、すぐ相談できる体制がある
□ 49. 漏洩対応の演習（テーブルトップ演習等）を
        年1回以上実施している
□ 50. 漏洩対応後のPPCへの確報提出・再発防止策策定・
        社内共有のプロセスが文書化されている

※仮定した点は必ず"仮定"と明記してください。

6. 規程テンプレート例：AI個情法対応運用ルール（コピペ用）

以下は100社以上の研修・コンサル経験をもとに構成した汎用テンプレートです。自社の実態に合わせて[プレースホルダー]を書き換えてください。これを整備しないまま生成AIを業務利用すると、万が一の際に「社内ルールが存在しなかった」として対応が困難になります。

■ 生成AIサービス利用に関する個人情報保護規程

第1条（目的）
本規程は、[会社名]における生成AIサービス（以下「AIサービス」という）の業務利用に際して、
個人情報の保護に関する法律（個情法）及び関連法令を遵守するための社内ルールを定めることを目的とする。

第2条（適用範囲）
本規程は、[会社名]の全役員・従業員（派遣・パート・業務委託を含む）に適用する。

第3条（使用許可サービス）
業務で使用を許可するAIサービスは以下のとおりとする。
なお、新たなAIサービスを業務利用する場合は、情報システム部門の事前承認を要する。
  ① [許可サービス名1]（法人版／エンタープライズ版）
  ② [許可サービス名2]（法人版）
  ③ （以下、同様に列挙）

第4条（入力禁止情報）
AIサービスに以下の情報を入力することを禁止する。
  ① 顧客・取引先の氏名、住所、電話番号、メールアドレス等の個人を特定する情報
  ② 顧客・取引先の契約内容、購買情報、口座情報等の機密情報
  ③ 従業員の給与、評価、健康情報等の人事情報
  ④ 要配慮個人情報（病歴、障害、信条、犯罪歴等）
  ⑤ マイナンバー及びこれに準ずる番号情報
  ⑥ その他、情報システム部門が別途指定する情報

第5条（入力可能情報と手続き）
業務上必要な場合で、個人情報を仮名化・マスク化した上で入力する場合は、
以下の手続きを経ること。
  ① 上長への事前報告（メール可）
  ② 仮名化・マスク化処理の実施
  ③ 入力記録の[所定のフォーマット]への記録

第6条（学習データ提供の禁止）
法人版以外のAIサービス（個人向け無料版・個人向け有料版）を業務に使用する場合であっても、
当該サービスが入力データを学習に利用する設定になっている場合は、個人情報を含む
プロンプトを入力しないこと。

第7条（越境移転の確認）
データ処理が日本国外（特に中国）で行われるAIサービスを業務利用する場合は、
以下を情報システム部門が確認・承認する。
  ① 相手国の個人情報保護規制の水準
  ② 本人同意の取得の要否
  ③ 自社プライバシーポリシーの記載内容との整合性

第8条（漏洩時の対応）
AIサービスを通じた個人情報の漏洩等が発生した（または発生したおそれがある）場合、
発見者は直ちに情報システム部門（[担当者名]）に報告する。
対応手順は「情報漏洩対応フロー（別紙1）」に従う。

第9条（違反時の対応）
本規程に違反した場合、就業規則第[　]条に基づき懲戒処分の対象となる場合がある。

附則：本規程は[施行年月日]から施行する。

※本テンプレートは汎用的な例示であり、法的アドバイスを構成するものではありません。
　自社の状況に応じて法律の専門家（弁護士等）に確認することを推奨します。

7. 【要注意】AI×個情法対応の失敗パターン4つ

研修・コンサル経験で最もよく見る失敗パターンをまとめます。自社に当てはまるものがないか確認してください。

失敗パターン1：要配慮個人情報を見落とす

❌ よくある間違い：「顧客の名前や住所は入れていないから大丈夫」と思い込み、カルテの症状記述や採用面接のメモをAIに入力する

⭕ 正しいアプローチ：要配慮個人情報の定義（病歴、障害、信条、犯罪歴、人種、社会的身分など）を全スタッフに周知し、これらを含む文書は必ず仮名化処理してからAIに入力する

なぜ重要か：要配慮個人情報の取得・提供には、通常の個人情報より厳格な「明示的同意」が必要です。「うっかり入力した」では済まされません。医療・介護・人材業界で特に多い失敗パターンです。

事例区分: 想定シナリオ
人材紹介会社B社（従業員50名）では、採用支援AIツールを導入した際、担当者が求職者のカウンセリング記録（健康上の配慮事項を含む）をAIの「候補者マッチング機能」にそのまま入力していました。これは要配慮個人情報の無断提供に該当するリスクがあり、個情法違反の可能性がある事態です。AIツールの導入時に適切な研修と入力ルールを整備することで、このリスクは回避できます。

失敗パターン2：越境移転を「海外サービス使ってるだけ」と認識する

❌ よくある間違い：「ChatGPTは米国のサービスだけど、うちは顧客情報を入れていないから関係ない」と思い込む。または、中国系の翻訳AIサービスやチャットAIに社内文書を気軽に入力する

⭕ 正しいアプローチ：海外AIサービスを使う場合、たとえ顧客情報でなくても社内の人事情報・財務情報が間接的に個人情報を含む場合があることを認識する。中国系サービスの場合、中国当局によるデータアクセス可能性も考慮したリスク評価を行う

なぜ重要か：個情法の越境移転規制は「意図的に提供した個人情報」だけでなく、結果として外国にある第三者に個人データが渡る状況を広く対象としています。PPCは2023年にDeepSeekについても情報提供を行っており、中国系サービスへのデータ流入は特に慎重な判断が必要です。

失敗パターン3：委託先管理を「契約書があるからOK」で終わらせる

❌ よくある間違い：AIベンダーと利用契約を結んでいるから委託先管理は完了していると思い込み、実際のデータ取扱い状況を確認しない

⭕ 正しいアプローチ：契約書の内容（特にデータの学習利用禁止・漏洩時の報告義務・監査権限）を確認し、年1回以上はベンダーの個人情報取扱方針の変更をチェックする

なぜ重要か：AIサービスの利用規約・プライバシーポリシーは頻繁に変更されます。Anthropicが2025年9月に消費者向けの学習利用方針を変更したように、契約後も定期的なモニタリングが必要です。「契約時はOKだったが知らないうちに学習利用が追加されていた」というケースは実際に発生しています。

失敗パターン4：漏洩報告のタイムラインを知らない

❌ よくある間違い：「AIサービスで情報が漏れたかもしれない」という状況になっても、PPCへの報告義務があることを知らずに、社内での調査が終わるまで待ってしまう

⭕ 正しいアプローチ：「漏洩等のおそれがある」時点で概ね72時間以内に速報（個情法第26条）。社内調査が完了していなくても速報は必要です。速報様式はPPCウェブサイトからダウンロード可能

なぜ重要か：報告義務を怠ると、漏洩被害よりも「隠蔽」として社会的信頼を失うリスクがあります。「速報では分かっていることだけ報告し、確報で詳細を補完する」というプロセスを担当者は事前に理解しておく必要があります。

AIセキュリティの全体像については、AIエージェント セキュリティ完全ガイドもあわせてご参照ください。

8. PIA（個人情報影響評価）の30分でできる簡易版

PIA（Privacy Impact Assessment：プライバシー影響評価）は、新たなAIシステムを導入する前に個人情報保護上のリスクを評価する手法です。個人情報保護委員会もPIAの取組促進に関する資料を2021年に公表しており（参照：PPC「PIAの取組の促進について」）、日本では法的義務はないものの、ベストプラクティスとして推奨されています。

「PIAと聞くと大がかりな作業が必要に思えますが」と研修先でよく言われます。正直、本格的なPIAは専門家の支援が必要なケースもあります。ただ、新しいAIツールを1つ導入する際の「簡易PIA」なら30分でできます。

簡易PIA：5ステップ（1ツール30分目安）

■ 生成AI導入時の簡易PIA チェックシート

【Step 1：情報収集（5分）】
導入するAIツール名：[              ]
提供会社・所在国：[              ]
業務での使用目的：[              ]
入力するデータの種類：[              ]
学習利用の有無（利用規約確認）：□あり  □なし  □不明

【Step 2：リスク特定（10分）】
以下のリスクが存在するか確認（○/×/要調査 で回答）
□ 個人情報の無断第三者提供リスク
□ 目的外利用リスク（利用目的への記載不備）
□ 要配慮個人情報の取扱いリスク
□ 越境移転リスク（外国サーバーへのデータ送信）
□ 学習データとして利用されるリスク
□ データ漏洩・不正アクセスリスク
□ AI生成出力による誤った個人情報伝達リスク

【Step 3：影響評価（5分）】
高リスク項目数：[   ] 個
中リスク項目数：[   ] 個
影響を受ける個人の数（概算）：[        ]
導入中止・変更が必要か：□はい  □いいえ  □要検討

【Step 4：対策立案（5分）】
高リスクに対する対策：
①[                              ]
②[                              ]
③[                              ]

【Step 5：記録・承認（5分）】
実施日：[   ]年[  ]月[  ]日
実施者：[              ]
承認者（情報セキュリティ責任者）：[              ]
次回見直し予定：[   ]年[  ]月

※本チェックシートは100社以上の研修経験をもとに構成した汎用例示です。
　重要なシステム・大量個人情報を扱う場合は専門家（弁護士・コンサルタント）への
　相談を推奨します。

フルPIAが必要なケース（簡易PIAでは不十分）

• 要配慮個人情報を大量に扱うシステム（医療・介護・人材業界）
• 1万人以上の個人情報を処理するAIシステム
• AIによる自動意思決定（採用・融資・保険等）を行うシステム
• 中国・ロシア等、十分性認定のない国のサービスを使う場合
• 新規の個人情報収集を伴うAIシステム（顔認証・音声認識等）

これらに該当する場合は、弁護士や情報セキュリティの専門家が関与するフルPIAの実施を検討してください。社内ルール・ガバナンス全般については、生成AI社内ルールテンプレート完全ガイドもあわせてご参照ください。

9. 30-60-90日でAI×個情法対応を完成させるロードマップ

「全部対応しなければ」と思うと動けなくなります。まず30日で最低限のリスクヘッジを、60日で基盤整備を、90日で継続運用の仕組みを作るというステップで取り組みましょう。

事例区分: 想定シナリオ
小売業C社（従業員200名）で、3ヶ月かけてAI×個情法対応を実施した際の典型的なスケジュールをもとに構成したシナリオです。実際の対応規模・工数は企業によって異なります。

最初の30日：最低限のリスクヘッジ

■ 30日アクションプラン

Week 1（調査）：
□ 社内で業務利用中のAIサービスを全部洗い出す（シャドーIT調査）
□ 各サービスのデータ利用規約・学習利用有無を確認
□ 無料版を業務利用しているケースを特定

Week 2（即時対応）：
□ 無料版での個人情報入力を即日禁止（口頭・メール通知）
□ ChatGPT・Claudeの個人アカウントで学習設定をオフ
□ 「入力禁止情報リスト」を1枚紙で作成・全社配布

Week 3（体制整備の土台）：
□ AI利用の社内窓口（情報システム部門担当者）を指名
□ 漏洩報告の一次窓口・エスカレーション先を明確化
□ プライバシーポリシーにAI利用の記載があるか確認

Week 4（法人版切り替え準備）：
□ 法人プランへの切り替えコスト・手続きを確認
□ 経営会議への報告資料を作成
□ 30日アクションの達成状況を文書化

期待成果：個人情報の無断学習利用リスクを大幅に低減

31-60日：基盤整備

■ 60日アクションプラン

□ 法人版AIサービスへの切り替え実施
□ 本記事の規程テンプレートを自社向けにカスタマイズ
□ 社内研修の実施（全スタッフ向け。eラーニング可）
□ 越境移転の対象サービスを洗い出し、リスク評価実施
□ 新しいAIサービス導入時の審査フロー（簡易PIA）を確立
□ プライバシーポリシーの改訂（AI利用・越境移転の記載追加）
□ 漏洩時対応マニュアルの作成（通知先・様式・タイムライン）
□ 外部専門家（弁護士）へのレビュー依頼

期待成果：社内規程の整備・プライバシーポリシー更新完了

61-90日：継続運用の仕組み化

■ 90日アクションプラン

□ AIサービスの利用状況モニタリング体制を構築
  （定期的なログ確認・アラート設定）
□ 年次の内部監査（本記事の50項目チェックリスト活用）の
  スケジュールを確定
□ AIサービスのプライバシーポリシー変更を監視する
  担当者を指定（メール通知登録等）
□ 新入社員・派遣スタッフへの定期研修プログラムを作成
□ 漏洩対応演習（テーブルトップ演習）を実施
□ 2026年改正法案の動向を踏まえた追加対応を検討
  （課徴金制度・身体特徴情報規制等）
□ 90日間の対応成果を経営会議に報告・次年度計画を立案

期待成果：AI×個情法対応の継続的な運用体制が完成

10. まとめ：今日から始める3つのアクション

AIと個人情報保護法の問題は、「完璧な対応が整うまで動けない」話ではありません。今日、たった3つのことから始めてください。

1. 今日やること：社内で使っているAIサービスを書き出し、それぞれが「無料版」「個人有料版」「法人版」のどれかを確認する。無料版で顧客情報を入力しているケースがあれば今日中に口頭で止める
2. 今週中にやること：本記事の「入力禁止情報リスト」（チェックリスト第1〜5項目）を1枚紙にまとめて全部門に配布する。担当者への周知だけでも大きなリスク低減になる
3. 今月中にやること：法人版AIサービスへの切り替えコストを確認し、経営会議で承認を得る。本記事の「30日アクションプラン」をベースに実行計画を作成する

次の記事では「AI×データガバナンス30日実践ガイド」をテーマに、社内規程の整備から外部監査対応まで、さらに踏み込んだ実務手順を紹介します。

参考・出典

• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」 — 個人情報保護委員会（参照日: 2026-05-09）
• 個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律案」閣議決定について（2026年4月7日） — 個人情報保護委員会（参照日: 2026-05-09）
• 個人情報保護委員会「PIAの取組の促進について」（2021年6月） — 個人情報保護委員会（参照日: 2026-05-09）
• OpenAI「Enterprise privacy at OpenAI」 — OpenAI（参照日: 2026-05-09）
• Anthropic「Updates to Consumer Terms and Privacy Policy」（2025年9月） — Anthropic（参照日: 2026-05-09）
• 牛島総合法律事務所「個人情報保護法 制度改正方針の公表」 — 牛島総合法律事務所（参照日: 2026-05-09）
• BUSINESS LAWYERS「AIに個人情報を入れてはいけない？ 個人情報保護法改正を見据えて弁護士が解説」 — BUSINESS LAWYERS（参照日: 2026-05-09）

著者：佐藤傑（さとう・すぐる）
株式会社Uravation代表取締役。X（@SuguruKun_ai）フォロワー約10万人。100社以上の企業向けAI研修・導入支援。著書『AIエージェント仕事術』（SBクリエイティブ）。SoftBank IT連載7回執筆（NewsPicks最大1,125ピックス）。

ご質問・ご相談は お問い合わせフォーム からお気軽にどうぞ。