個人情報を扱う会社の生成AI利用——士業・医療・製造の現場で押さえる論点

税理士事務所が顧客の決算資料を要約したい。クリニックが紹介状の下書きを効率化したい。製造業が取引先との技術文書を翻訳したい。いずれも生成AIが役立つ場面ですが、扱う情報が個人情報や守秘義務の対象であるだけに、「便利そうだが、入れていいのか」で止まっている現場が少なくありません。

本記事では、個人情報や機密を日常的に扱う業種が生成AI利用を検討するときの論点を、3つの層に分けて整理します。なお本記事は一般的な論点整理であり、個別の適法性の判断は、最新の公式ガイドラインや専門家への確認とあわせて行ってください。

論点を3層に分ける

「AIに入れていいのか」という漠然とした問いは、次の3層に分けると判断できるようになります。

第1層: 入力の適法性——個人情報保護の観点

個人データを外部のサービスに入力する行為が、個人情報保護法上どう整理されるか、という層です。利用目的の範囲内か、第三者提供や委託にあたる形か、入力先サービスの契約条件（入力データの学習利用の有無など）はどうなっているか、といった点が関わります。医療情報のように、より慎重な取り扱いが求められる類型もあります。

実務上の要点は一つです。個人を特定できる形のまま入力しない、が最も確実な出発点になるということ。適法性の細かい整理に踏み込む前に、「そもそも特定できる形で入れる必要があるのか」を問い直すと、多くの業務では不要だと分かります。

第2層: 契約上の守秘——顧客・取引先との約束

法律とは別に、顧客との契約書やNDA（秘密保持契約）には「秘密情報を第三者に開示しない」という条項が入っているのが普通です。外部AIサービスへの入力がこの「開示」にあたるかは契約の書きぶりによりますが、少なくとも顧客から「うちの情報をAIに入れたのか」と問われたときに、経緯と範囲を説明できない状態は避けなければなりません。

士業であれば、法律上の守秘義務がこの層に重なります。この層の対策は、入力してよい情報の線引きを文書化し、判断に迷う案件は顧客に確認する、という運用に尽きます。

第3層: データの所在——どこで処理され、どこに残るか

入力した情報がどの国のどのサーバーで処理され、履歴としてどこに残るか、という層です。取引先の監査やプライバシーマーク・ISMSの審査では、「データの流れを説明できるか」が問われます。クラウドAIサービスを使う以上、処理は社外で行われます。だからこそ、「何を社外に出し、何を社内に留めるか」の設計を自社で握っていることが重要になります。

中間の道——加工してから使う

3層を眺めると、共通の解決の方向が見えてきます。個人や案件を特定できる部分を除いた形でAIを使う、という中間の道です。

• 氏名・住所・生年月日を除いた文章で要約や下書きを作る
• 顧客名を「A社」などの記号に置き換えて翻訳する
• 数値の桁や固有名詞を伏せた形で構成の相談をする

多くの業務では、AIに求めているのは文章力や構成力であって、固有名詞そのものではありません。「特定できる形では入れない。加工すれば使ってよい」という線を引けると、禁止一択に比べて活用の幅が大きく広がります。

課題は、この置き換えを人手に頼ると、手間がかかるうえに置き換え漏れが起きることです。だからこそ、この業種でのAI管理では、入力から個人情報らしき記述を検知する・置き換えるという仕組みの支援が論点になります。仕組みで支援する場合も、検知には対象範囲と限界があるため、「対応している範囲」を確認したうえでルールと併用するのが健全です。

業種別のポイント

士業（税理士・社労士・弁護士等）: 扱う情報のほぼ全てが守秘対象という前提で、「顧客情報は加工なしでは入力しない」を原則にするのが明快です。ひな形作成・法令調査・文書構成など、顧客情報を含まない用途だけでも導入効果は十分あります。

医療・介護: 患者情報は最も慎重な類型です。院内の事務文書・研修資料・患者に渡す説明文書の下書きなど、患者を特定しない用途から始め、患者情報を含む用途は業界のガイドラインの整理を待つ・確認する姿勢が安全です。

製造業: 個人情報に加えて、図面・仕様・原価という技術機密が中心になります。取引先とのNDAで縛られた情報が多いため、第2層（契約上の守秘）の線引きが実務の中心になります。

まとめ

• 「入れていいのか」は、適法性・守秘契約・データの所在の3層に分けて判断する
• 特定できる形では入れない、加工すれば使う、という中間の道が活用と保護を両立させる
• 手作業の置き換えは漏れる。検知・置き換えの仕組みとルールの併用が現実解

個人情報を扱う業種こそ、「説明できる形でAIを使う」体制を作れたときの信頼上の利益は大きくなります。顧客に「AIをどう使っているのですか」と聞かれたとき、根拠を示して説明できる状態を目指します。