自社が生成AIを使うときの告知とプライバシーポリシーの記載

告知を考える場面を整理する

講座やサービスの運営で、生成AIを使う場面は、思いのほか多くあります。教材の下書き、講義の議事録や文字起こし、問い合わせへの回答案、画像や図表の素材などです。受講生や会員の側から見ると、自分の発言や情報がAIに入力されるのか、出力は誰が確認するのかが分からないままだと、不安が残ります。

告知は、その不安に答える役割に加えて、法律上の手当てと結び付くことがあります。個人情報を扱う場面では、利用目的を本人に示すことが求められ、外部に渡す場面では、提供や委託の整理が必要になるからです。ただし、告知のすべてが法律上の義務というわけではなく、公的な指針が勧めるものや、事業者が自主的に約束するものも混ざっています。

契約の実務で見られる告知の型

確認できた範囲では、自分が生成AIを使うこと（または使わないこと）を、相手方や本人に告げる条項や記載が、5依頼者分にありました。ここで示すのは、契約の実務で見られる書き方と、そこで起きがちな問題の型で、AIの下書きで見つかった誤りの事例ではありません。

個人情報保護法の確認点

ここでは、生成AIに個人データ（検索できるように整理された個人情報（個人情報データベース等）を構成する個人情報用語集）を入力する場面で確認する条文を、順に整理します^［1］。条文は、2026年10月23日時点の現行の条文で確認しています。個人情報保護法は、令和8年法律第56号による改正の施行を待っています（e-Govの改正履歴には、2027年1月17日と2028年7月16日の記載があります）。このページで引く条のうち、2条・16条・18条・20条・27条・28条は、改正後の文言が変わる予定です。18条・20条・27条には、同意を要する場面に例外が加わる内容が含まれています。書面を直す時点の条文を確かめてください。

利用目的の特定と、目的の範囲

事業者は、個人情報を扱うとき、何のために使うのか（利用目的）を、できるだけ具体的に決めておく必要があります^［2］。決めた利用目的の範囲を超えて使うときは、原則として先に本人の同意が必要です^［2］。取得したときは、利用目的をすでに公表している場合を除き、速やかに本人へ知らせるか、公表します。申込書や契約書のように、書面で本人から直接取得するときは、取得の前に利用目的をはっきり示します^［2］。

議事録の作成や文字起こしに生成AIを使うのであれば、その作成が利用目的に含まれているかを確かめます。点検の実務では、AIの利用の目的（議事録の作成など）をプライバシーポリシーの利用目的に明記する直し方が見られました。利用目的の書き方そのものは、プライバシーポリシー 利用目的の書き方のページに詳しく書かれています。

外部のAIサービスへの入力は、委託か、第三者提供か

個人データを外部のサービスに渡すときの整理は、二つの条文を軸に考えます。個人データを第三者に渡すときは、法令に基づく場合などの例外を除き、先に本人の同意が必要です^［4］。一方で、利用目的の範囲で取扱いを委託するために渡す場合は、受け取る側は「第三者」に当たらないとされ、そのかわり、委託先を適切に監督しなければなりません^［4］。

個人情報保護委員会は、令和5年6月2日に、生成AIサービスの利用に関する注意喚起を公表しました^［6］。個人情報取扱事業者に対しては、個人情報を含むプロンプトを入力するときは、特定した利用目的の達成に必要な範囲内かを十分に確認すること、そして、あらかじめ本人の同意なく個人データを含むプロンプトを入力し、その個人データが応答を出す以外の目的（たとえば機械学習）で扱われるなら、法に違反するおそれがあるので、提供事業者がそのデータを機械学習に使わないことなどを十分に確かめること、を求めています^［6］。この注意喚起は令和5年6月2日の時点のものですので、日付を付けて読んでください。

入力した内容を、サービス提供者が自らの目的で使うのか、依頼を受けた範囲だけで扱うのかによって、整理は変わります。具体的な考え方は、個人情報保護委員会のガイドラインやQ&Aに示されていますが、このページは、条文と注意喚起で示されている範囲の整理にとどめます。外部のサービスを一覧にしてプライバシーポリシーに載せる書き方は、プライバシーポリシーの外部サービスの書き方のページが扱っています。

外国にある第三者への提供

利用する生成AIサービスの運営事業者が外国にあるときは、外国にある第三者への提供の制限を検討します。個人データを外国にある第三者へ渡すときは、原則として、外国への提供を認める本人の同意を事前に得る必要があります^［5］。ただし、個人情報保護の制度が日本と同等の水準にあるとして規則で定められた国や、必要な体制を整えている第三者への提供は、この原則から外れます^［5］。

本人の同意を求めるときは、相手国の個人情報保護の制度の状況や、提供先が実施している保護措置の内容など、本人が判断する材料を事前に伝える必要があります^［5］。サービス提供者がどこの国の事業者か、入力した情報がどこで処理されるのかを、利用前に確認しておくことが、この整理の出発点です。

要配慮個人情報を取得する場面

要配慮個人情報（病歴など、本人への不当な差別や偏見が生じないよう取扱いに特に配慮が必要な個人情報用語集）は、法令に基づく場合などを除き、取得の前に本人の同意を得ることが必要とされています^［3］。受講生や会員との面談や相談の記録に、健康や病歴に関する話が含まれるときは、その記録をAIで文字起こしする前に、取得そのものの扱いを確かめます。取得の同意と、AIへの入力の扱いは、別の論点です。

プライバシーポリシーと規約への書き方

告知の書き方は、前の節の確認点を、本人に分かる言葉に直す作業です。次の条文例は、論点ごとの考え方を示す短いもので、そのまま使える完成した文書ではありません。サービスの実態に合わせて、場面と情報の範囲を決める必要があります。

規約と同意フォームには、プライバシーポリシーと同じ内容を書いておくと、書面ごとの食い違いを防げます。受講契約書やサービスの申込みの書類との組合せはオンライン講座に必要な書類一式、資格スクールの受講者の個人情報の扱いは資格スクールのプライバシーポリシー、利用者のデータをAIの学習に使うときの規約は利用者のデータをAI学習に使うときの規約、アプリのプライバシーポリシーの記載事項はアプリのプライバシーポリシーの書き方に、それぞれ書かれています。

プライバシーポリシーへの記載だけで足りない場面

プライバシーポリシーに書くことは、利用目的の公表や通知の手段としては大切ですが、すべての場面で同意の代わりになるわけではありません。同意が必要になる主な場面を、条文から並べると、次のようになります。あらかじめ決めた利用目的の範囲を超えて個人情報を扱う場合^［2］、個人データを第三者に提供する場合^［4］、個人データを外国にある第三者に提供する場合^［5］、要配慮個人情報を取得する場合^［3］、です。

反対に、利用目的の範囲内で、委託の範囲で外部のサービスを使うのであれば、本人の同意は条文上の要件ではありません。そのかわり、利用目的の通知または公表と、委託先の監督が求められます^{［2］［4］}。どちらの整理になるかは、サービスの条件で変わりますので、利用するサービスの規約を確かめたうえで、書面の側で整理しておきます。

同意を取るときは、本人が内容を理解して選べる形にすることが大切です。点検の実務では、同意フォームに、AIによる議事録の作成を希望しない旨の選択肢を置く直し方が見られました。選択肢があると、AIを使わない進め方を用意しておく必要がありますから、運営の実態と合わせて決めます。

告知の運用：誰に、いつ、何を伝えるか

告知は、書面に書いて終わりではなく、運用が伴って初めて意味を持ちます。AI事業者ガイドラインは、AIを利用する事業者に対して、関係者の性質に応じて、適正な利用方法を含む情報を、平易でアクセスしやすい形で提供することを求めています^［7］。関係者からデータの提供を受けることが予定されている場合は、データを提供する手段や形式を、あらかじめ関係者に知らせること、AIの出力を特定の個人や集団を評価する参考にするときは、AIを利用している旨を、評価の対象になる人に通知することも、この指針に挙げられています^［7］。これらは、法的拘束力のない、いわゆるソフトロー（法的な拘束力はないが、関係者が従うことが期待される指針や基準用語集）ですので、義務として書かず、約束として書く点に注意してください。

自社が納品する教材や制作物にAIの生成物が含まれるときは、文化庁のチェックリストが、AI生成物を取引の対象にする場合に、AIを利用したAI生成物であることや著作物性などを関係者に適切に説明することを求めています^［8］。成果物の権利の取り決めは、生成AIの成果物の権利と表明保証のページで整理しています。

生成AIを使わないことを約束する書き方（1依頼者分で見られた例）を置くときは、約束の範囲を限ることが大切です。「教材の作成に生成AIを使わない」のように対象を決め、誤字の確認のような補助的な道具の扱いをどうするかも、あらかじめ線を引いておきます。書いた約束は契約上の責任の対象になりますから、守れる運用かどうかを確かめてから書きます。

見つけ方：自社の書面を読むときの問い

告知の書面は、書いてあるかどうかよりも、実態と合っているか、書面どうしで食い違っていないかを見ます。次のチェックリストは、自社の規約やプライバシーポリシーを読むときの問いです。

点検と仕上げについて

自社の生成AIの利用の告知は、規約、プライバシーポリシー、同意フォームのそろえ方まで含めて見ると、書面の数が多くなります。点検と仕上げの進め方、渡していただく資料は、点検と仕上げの流れに整理しています。料金は書類1通ごとの定額で、ページ末尾の案内の枠から料金表を開けます。入力してよい情報の取り決めは生成AIに入力してよい情報・いけない情報、社内のルール作りは社内・取引先向けAI利用ルールの作り方、教材の側の取り決めは受講生・会員による教材のAI入力禁止のページを参照してください。

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。個別の書類が有効か無効か、どの条項を直すべきかは、事業の実際の流れ、取引の相手、書類の全体の構成によって異なります。書き方の例として紹介している内容は、型として作り直した一般的な例で、特定の事業者や書類を示すものではありません。条文は e-Gov法令検索（法令API）で2026年10月23日時点のものを確認しています。参考: e-Gov法令検索 / 文化庁 / 個人情報保護委員会 / 法務省 / 消費者庁