顧客の個人情報をAIに入力するときの注意

顧客の個人情報は、会社のルールで明確に許可されていない限り、AIに入力しないのが基本です。個人情報を扱う場合は、氏名や連絡先を削除または置き換えて、個人が特定されない形にしてから使います。

個人情報の取り扱いは、個人情報保護法などの法令で定められています。ここでは一般的な考え方を紹介しますが、具体的な判断は、会社の個人情報の担当者や、専門家に確認してください。

個人情報の範囲

個人情報とは、生存する個人に関する情報で、特定の個人を識別できるものを指します。氏名のほか、他の情報と照らして個人を識別できるものも含まれます。

仕事で扱う代表的な例は、次のとおりです。

• 氏名、住所、電話番号、メールアドレス
• 顧客番号、会員ID、注文番号
• 顔写真、声の録音
• 生年月日、勤務先と役職の組み合わせ
• 購買履歴や問い合わせ内容と、個人を結びつける情報

特に慎重に扱うべきとされる情報、たとえば病歴、信条、犯罪歴などは、要配慮個人情報として、より厳しい取り扱いが求められます。

なぜ入力に注意が必要か

個人情報をAIサービスに入力することは、外部のサービス事業者に、その情報を渡すことになる場合があります。本人の同意や、法令に沿った扱いなしに第三者へ提供すると、問題になるおそれがあります。

サービスによっては、入力内容を保存したり、AIの改善に利用したりする設定があります。意図せず個人情報が学習に使われたり、他の場面で出力に現れたりする可能性もゼロではありません。

契約や設定によって、事業者が入力内容を学習に使わないこともあります。ただし、その場合でも、会社としての許可と、本人への説明の範囲を確認する必要があります。

入力を避けるべき場面

次のような場面では、個人情報の入力を避けます。

1. 顧客の問い合わせメールを、そのまま貼りつけて返信案を作らせる
2. 顧客リストの表を貼りつけて、集計や分類をさせる
3. 面談の録音や文字起こしを、個人名つきでまとめさせる
4. 履歴書や評価シートを貼りつけて、要約や評価をさせる
5. 顔写真や身分証の画像を、AIに読み取らせる

特に、人事情報や採用の情報は、本人の不利益につながりやすい分野です。AIの判断に頼りすぎず、人が責任をもって判断します。

個人情報を除いて使う方法

個人情報を含む業務でも、情報を取り除けば、AIを活用できる場面があります。

• 氏名、住所、連絡先などを削除する
• 「お客様A」のように、記号に置き換える
• 年齢を年代に、住所を都道府県にするなど、粒度を粗くする
• 特定の出来事や、珍しい特徴を、一般的な表現に変える

たとえば、問い合わせメールの返信案を作るとき、顧客の名前や注文番号を除いて、内容だけを入力します。できた返信案に、本物の名前を戻します。

ただし、情報を取り除いても、組み合わせで特定できる場合があります。「小さな町で、特定の年に特定の購入をした70代の方」のような記述は、個人を絞り込める可能性があります。匿名化したつもりでも、特定されるリスクを考えてください。

サービスと契約の確認

個人情報を扱う業務でAIを使う場合は、会社として、サービスの契約内容を確認します。

• 入力データの保管場所と期間
• 学習への利用の有無と、設定の方法
• 事業者による、データの安全管理の措置
• 契約上の、個人情報の取り扱いに関する条項

こうした確認は、個人ではなく、会社の情報管理の担当者や法務が行うのが適切です。個人が判断できる範囲を超えている場合は、相談します。

社内ルールと報告

個人情報を扱う会社には、通常、取り扱いの規程があります。AIの利用がその規程に含まれているか、確認します。含まれていなければ、AIの利用について、追加の取り決めが必要かもしれません。

誤って個人情報を入力してしまった場合は、速やかに上司と担当者へ報告します。報告が遅れると、本人への通知や、事業者への削除依頼などの対応が遅れる可能性があります。

本人への説明と同意

個人情報を取得するときには、利用目的を本人に伝えることが求められます。取得時に伝えた目的の範囲を超えて使う場合は、改めて本人の同意が必要になることがあります。顧客の情報をAIで処理することが、取得時に伝えた利用目的の範囲内かどうかは、会社のプライバシーポリシーや、個人情報の取り扱いの規程で確認します。

AIサービスへの入力が、外部への提供にあたるのか、委託にあたるのかといった整理は、法的な判断を要する部分です。個人で判断せず、会社の担当者や専門家に確認してください。

従業員や応募者の情報

顧客だけでなく、従業員や採用の応募者の情報も、個人情報です。履歴書、面接の評価、勤怠の記録、健康診断の結果などをAIに入力する場合は、特に慎重な判断が必要です。

AIを使った採用の選考や人事評価は、判断の過程が分かりにくく、不公平な結果につながるおそれがあります。人の人生に影響する判断を、AIの出力だけで行うのは避け、人が責任を持って判断します。

画像と音声の扱い

顔写真、防犯カメラの映像、通話の録音も、個人を識別できれば個人情報です。会議の録音や文字起こしにも、参加者の名前や声が含まれます。これらをAIで処理する際は、参加者への事前の告知と、会社の規程の確認を行います。画像の中に、背景に映り込んだ人や書類がないかも確認します。

判断に迷ったときの動き方

個人情報を含む作業にAIを使ってよいか迷ったら、入力する前に止まり、確認します。確認する相手は、個人情報の管理の責任者、情報システムの担当者、上司の順で考えます。

確認のときは、扱いたい情報の種類、AIサービスの名前、使う目的、置き換えの可否を伝えます。許可が出たら、その内容を文書やメールで残しておきます。口頭の許可だけだと、後で認識の違いが生じるおそれがあります。

業務の一部を切り出して使う

個人情報を含む業務でも、個人情報を含まない部分だけを切り出せば、AIを使えます。たとえば、顧客への案内文を作る場合、文面の型だけをAIで作り、宛名や注文内容の差し込みは自分で行います。業務を分解して、AIが関わる部分と、個人情報を扱う部分を分ける考え方です。この分け方なら、安全を保ちながら、作業の手間を減らせます。

次にやること

次の三つを、確認してください。

1. 自分の会社に、個人情報の取り扱いの規程があり、AIの利用について書かれているか
2. 普段の業務で、AIに入力しそうな情報のうち、個人情報が含まれるもの
3. 個人情報を除くための、置き換えのルール（記号の付け方など）

業務を分けて考えると、整理できます。個人情報を扱わない作業、たとえば一般的な文章作成や、公開情報の調査には、AIを積極的に使い、個人情報を扱う作業には慎重になる、という線引きから始めると、安全に活用できます。