コラム法律・制度

受注データをAIのサービスに渡すとき、個人情報保護法で何を確かめるか同意・委託・海外のサービスの整理

• 公開 2026年10月15日
• 更新 2026年10月15日
• 事実の確認 2026年10月15日
• 書いた人 打ち込みゼロ 主宰(FAX自動化エンジニア)

注文書をAIのサービスに読ませるときの判断の分かれ目は、そのサービスの事業者が、渡したデータを「取り扱わない」ことになっているかどうかです。取り扱わない形なら本人の同意も委託先の監督も要りませんが、自社の安全管理は必要です。学習などに使われる形なら、同意なしでは違反のおそれがあります。個人情報保護委員会のQ&Aと注意喚起の原文に沿って、確かめる順番を整理します。(2026年10月時点)

全体の流れと費用はFAX受注の自動化のページにまとめています。

この記事の要点

• 注文書には取引先の担当者名や電話番号が載るため、AIに読ませるときは個人情報保護法の確認が要ります。
• AIの事業者が渡したデータを取り扱わないことになっていれば「提供」に当たらず、本人の同意も委託先の監督も要りません。
• その場合も、自社の安全管理措置は必要で、海外のサーバならその国の制度の把握と情報の公表が要ります。
• 入力が学習など応答以外の目的に使われる形で、同意なく個人データを入れると、違反のおそれがあります。

注文書をAIに読ませると、なぜ個人情報保護法が関係するのですか?

注文書には、取引先の担当者の氏名、直通の電話番号、携帯電話の番号などが書かれていることが多いからです。会社名だけなら個人情報ではありませんが、担当者の名前は個人情報です。受注のデータベースに入れて管理していれば「個人データ」になり、ほかの会社に渡すときのルールがかかります。

AIのサービスに注文書の画像を送ることは、形の上では、そのサービスの事業者にデータを渡すことです。これが法律の言う「提供」に当たるのかどうかで、必要な手続きが変わります。判断の順番を図にまとめました。

最初に確かめたいのは、そもそも個人データを渡す必要があるかどうかです。品名・数量・納期を読むだけなら、担当者名の欄を黒塗りしたり、画像から切り取ったりしてから渡せます。渡さなければ、この先の判断は要りません。いちばん手堅い方法です。

AIのサービスに渡すことは、「提供」に当たるのですか?

当たるかどうかは、AIの事業者が、渡されたデータを「取り扱わない」ことになっているかで決まります。ここがいちばんの分かれ目です。個人情報保護委員会のQ&A(Q7-53)は、クラウドサービスについて、判断の基準を「保存している電子データに個人データが含まれているかどうか」ではなく、「事業者において個人データを取り扱うこととなっているのかどうか」だとしています。

取り扱わないことになっていれば、個人データを提供したことにはならず、本人の同意は要りません。委託にも当たらないので、委託先を監督する義務もありません。Q&Aは、「取り扱わないこととなっている場合」の例として、契約の条項で取り扱わない旨が定められ、適切にアクセス制御が行われている場合を挙げています。

ただし、取り扱わない形でも、何もしなくてよいわけではありません。Q7-54は、提供に当たらない場合も、利用する事業者は自ら果たすべき安全管理措置として、適切な措置を講じる必要があるとしています。誰がそのAIを使えるか、どの注文書を送るか、送った画像がどこに残るかを決めておくのは、使う側の仕事です。

生成AIについて、個人情報保護委員会は何と言っていますか?

2023年6月2日の注意喚起で、事業者に2つの点を求めています。1つは、個人情報を含む入力が、特定した利用目的の達成に必要な範囲かを十分に確かめること。もう1つは、本人の同意なく個人データを入力し、それが応答の出力以外の目的で扱われると、法律に違反する可能性があるため、AIの事業者がその個人データを機械学習に使わないことなどを十分に確かめること、です。

受注の仕事に当てはめると、確かめるのは3つです。

1. 利用目的:取引先の担当者の情報は、ふつう「受注・出荷・請求のための連絡」に使う目的で預かっています。注文書を読み取って受注を登録するのは、その範囲に入ると考えやすい使い方です。プライバシーポリシーの利用目的の書き方も見直しておきます。
2. 学習に使われないこと:利用するプランやAPIの規約で、入力を学習に使わないと定めているかを確かめます。無料版の対話型AIは、設定によっては入力が学習に使われます。
3. 保存のされ方:入力がどこに、どれくらいの期間残るかを確かめます。悪用の監視のために一定期間保存する、と定めているサービスもあります。

海外のAIのサービスを使うと、何が変わりますか?

AIの事業者がデータを取り扱わない形なら、サーバが海外にあっても「外国にある第三者への提供」(法第28条)には当たりません。ただし、外国でデータを扱うことになるので、その国の個人情報の保護に関する制度を把握したうえで安全管理措置を講じ、講じた措置を本人が知り得る状態に置く必要があります(Q12-3)。

逆に、外国の事業者がデータを取り扱う形なら、サーバが日本国内にあっても外国にある第三者への提供に当たります(Q12-4)。サーバの場所だけでは決まりません。この場合は、本人の同意を得るか、提供先が日本の基準に相当する体制を整えていることを確かめるなど、第28条の手続きが要ります。

実務では、プライバシーポリシーに、使っているサービスの事業者がある国の名前と、その国の制度を踏まえて講じた措置を書いておくのが確実です。このサイトの個人情報の取り扱いでも、海外のサービスを使う場合の書き方を載せています。

仕組みの保守を外部に頼むときは、どう考えますか?

保守の作業で個人データを扱うかどうかで分かれます。考え方はAIのサービスと同じです。Q7-55は、保守の事業者が不具合の再現などのために情報システムの中の個人データを扱う場合は、提供に当たるので、本人の同意を得るか、委託として監督する必要がある、としています。

一方、ソフトウェアの更新を当てるだけのように、契約で個人データを扱わない旨を定め、アクセスを制御している保守なら、提供に当たりません。FAX受注の仕組みの保守では、「要確認が急に増えた原因を、実際の注文書で調べる」といった作業が起きます。保守を頼む前に、どの作業で注文書を見るのかを決め、見るなら委託として契約に書いておくと、あとで迷いません。

結局、何から確かめればよいですか?

まず「個人データを渡さずに済むか」、次に「AIの事業者が取り扱わない形か」を確かめます。この2つで、必要な手続きのほとんどが決まります。

総務省と経済産業省の「AI事業者ガイドライン」(第1.2版、2026年3月31日)も、AIを使う事業者に、プライバシーの保護や安全性への配慮を求めています。法的な拘束力はありませんが、社内の決まりを作るときの手がかりになります。ここに書いたのは一般的な整理で、個別の判断は、使うサービスの規約と契約の中身で変わります。迷う場合は、弁護士に確認してください。

私が仕組みを作るときは、入力が学習に使われない有料プランかAPIだけを使い、仕組みは御社のアカウントの中に作ります。どの情報をAIに渡すかは、始める前に一緒に決めます。くわしくはセキュリティへの取り組みに書いています。

このサイトで相談するには?

データの扱いも含めて、無料相談でご相談いただけます。今お使いのAIのサービスや、受注データの置き場所をうかがい、どこに確認が要りそうかを一緒に整理します。