会社のAI導入で最初に決める5つ｜個人情報保護法とプラン選びのチェックリスト

こんにちは～！さつきです(*´ω｀*)♪

「うちもAIを入れたい」と考えて、とりあえずChatGPTやClaudeを契約した会社は多いと思います。
ただ、契約しただけでは仕事は何も変わりません。しかも使い方によっては、お客さんの個人情報を守る法律に触れてしまうことがあります。

この記事では、小さな会社や個人事業主がAIを導入するときに、最初に決める5つのことを、実例とチェックリストつきでまとめました。

• AIに何をやらせたいかの決め方
• 人の仕事とAIの仕事の線の引き方
• 自由に使う場所と、仕組みにする場所の分け方
• 個人情報保護法で押さえるべき箇所（漏えいしたときの報告と本人への通知）
• お客さんの情報を扱うときのプランの選び方

まず全体像：AI導入で最初に決める5つ

ここから1つずつ、例とチェックリストで見ていきます。

1. AIに何をやらせたいかを決める

AIは資料作り・調べもの・文章作りなど、いろいろなことができます。だからこそ「なんでもできるから、とりあえず契約」になりがちです。

目的は、生産性を上げたり、費用を減らしたりして、会社をよくすることのはずです。そのために自分の会社の仕事のうち、どこをAIに任せるかを先に決めます。全部の会社に同じ正解があるわけではありません。

例：小さな会社での任せ方

2. 人がやる仕事とAIがやる仕事の線を引く

すべての仕事をAIがやる方がいい、ということはありません。AIが得意なこともあれば、人にしかできないこともあります。

この線引きは、できるだけ早くやります。ここがあいまいだと、スタッフは「AIに仕事を取られる」と感じて、社内でAIが使われなくなるからです。

「AIが下書きをして、人はお客さんと話す時間を増やす」「早く終わった分で、働きやすくなる」のように、AIを入れたあとの姿を見せると、社内に広がりやすくなります。

次のプロンプトを使うと、自分の会社の仕事を整理するたたき台が作れます。

あなたは、小さな会社のAI導入を手伝う相談相手です。
次の情報をもとに、AIに任せる仕事と人がやる仕事を整理してください。

【会社の情報】
・業種：（例：美容サロン、税理士事務所、工務店）
・人数：（例：社長＋スタッフ4人）
・毎日やっている仕事：（思いつくだけ箇条書き）
・時間がかかって困っている仕事：（例：見積書づくり、お知らせ文、口コミへの返信）
・扱っているお客さんの情報：（例：名前、電話番号、住所、カルテ）

【出してほしいもの】
1. AIに任せられる仕事と、人が続ける仕事の表（理由も1行ずつ）
2. お客さんの個人情報を入れずにできる仕事と、入れないとできない仕事の分け方
3. 「決まった項目を入れてボタンを押すだけ」にした方がいい仕事の候補
4. 最初の1か月で試す仕事を3つ

※ここにはお客さんの名前・電話番号などの個人情報は書かないでください。

3. 自由に使う場所と、仕組みにする場所を分ける

AIの使い方は、大きく2つに分けられます。

なぜ「自由」だけではダメなのか

全員が自由に使える状態にすると、人によって入れるデータがまったく違ってきます。中には、お客さんの名前・電話番号・住所や、取引先の売上をそのまま貼り付ける人も出てきます。

たとえば「売上を分析したい」と思ったスタッフが、顧客一覧のスプレッドシートを丸ごとコピーして、AIに貼り付けてしまう。これは普通はやってはいけないことです。

「個人情報は入れないこと」とルールに書いても、煩雑だと人は守らなくなります。だから、守らなくても困らない形（仕組み）にしておくのが確実です。

例：見積書をボタンで作る

工務店の例です。スタッフは画面で「工事の種類」「広さ」「希望の時期」だけを選んでボタンを押します。裏でAIが説明文を作り、見積書の形で出てきます。お客さんの名前や住所は、最初から入れる欄がありません。

データの流れを決める

仕組みにするときは、データを「どこから取り出して、どう入れて、どう出力するか」を決めます。

全部を仕組みにすると、作るのも直すのも大変になります。よく使う仕事だけを仕組みにして、残りは教育を受けた人が自由に使う、と分けるのが現実的です。

4. 個人情報保護法は「知らなかった」では済まない

赤信号では止まる。これは小学生でも知っています。もし知らずに赤信号を渡っても、「知らなかったからOK」にはなりません。

個人情報保護法も同じです。法律で決まっている以上、事業者は守らなければいけません。

小さな会社・個人事業主も対象

個人情報保護委員会のガイドラインでは、顧客名簿などを事業に使っていれば、扱う人数の多い少ないに関係なく対象になるとされています。法人でない個人事業主も同じです。

漏えいしたら、委員会への報告と本人への通知が必要

お客さんの情報が漏れた（または漏れたおそれがある）とき、次のようなケースでは、個人情報保護委員会への報告が義務になっています。

• 病歴など、特に配慮が必要な情報が含まれる
• クレジットカード番号など、悪用されるとお金の被害が出るおそれがある
• 不正アクセスなど、不正な目的で行われたおそれがある
• 1,000人を超える人の情報が漏れた

報告は、まず速報を発覚日から3〜5日以内、次に確報を30日以内（不正な目的のおそれがある場合は60日以内）です。

さらに、報告が必要なケースでは、漏れた本人に、状況に応じて速やかに通知する義務もあります（個人情報保護法第26条第2項）。最近届く「お客様の情報が漏えいした可能性があります」というメールは、この通知です。

AIに貼り付けた顧客一覧がきっかけで情報が漏れても、責任を負うのはAIの会社ではなく、貼り付けた側の事業者です。

個人情報保護委員会のページには、中小企業向けのお役立ちツール（自己点検チェックリストなど）もあります。
漏えい等の対応とお役立ち資料（個人情報保護委員会）

5. お客さんの情報を扱うなら、個人プランはやめる

ChatGPTもClaudeも、個人向けのプランと会社向けのプランがあります。個人プランも仕事に使うこと自体はできますが、自分で使うことが前提で、お客さんから預かった個人情報を処理することは想定されていません。

いちばん大きな違い：入れた内容がAIの学習に使われるか

個人プランは、オフにし忘れた人が1人いるだけで、その人が入れた内容は学習に使われる設定のままになります。会社向けプランは、最初から学習に使われない設定です。

ChatGPT Business

OpenAIの公式ページでは、ChatGPT Business のデータは初期設定でモデルの学習に使われない、とされています。多要素認証、メンバー・管理者・所有者の3つの役割、シングルサインオンなどの管理機能があります。会社向けプランは2人から使えます。

Claude Team / Enterprise

Claude Team は2〜150人のチーム向けで、「デフォルトでコンテンツをモデルのトレーニングに使用しない」と書かれています。Enterprise は、監査ログやデータを残す期間の設定など、さらに細かい管理ができます。

Claude の会社向けプランでも、回答に👍👎で評価を送ると、その会話は学習に使われることがあります。Team・Enterprise の所有者は、組織設定の「Data and Privacy」にある「Rate chats」で、メンバーが評価を送れないようにできます。

料金はどちらも変わることがあるので、申し込む前に公式ページで確認してください。

もっと厳しく管理したい会社は

病院のように特に慎重に扱う情報がある会社では、AmazonのAWSやMicrosoftのAzureの上に自社専用のAI環境を作る方法や、会社の中にサーバーを置いて、その中だけでAI（ローカルLLM）を動かす方法（オンプレミス）もあります。専門の知識が必要なので、導入支援の会社に相談しながら進めることが多い選択肢です。

まとめ：AI導入の前に、この5つだけは決める

1. AIに何をやらせたいかを、自分の会社の仕事から決める
2. 人の仕事とAIの仕事の線を引いて、スタッフに伝える
3. 自由に使う場所と、仕組みにする場所を分ける
4. 個人情報保護法のルール（漏えい時の報告と本人への通知）を知っておく
5. お客さんの情報を扱うなら会社向けプランにする

AIは、契約した日から会社を変えてくれるわけではありません。先にこの5つを決めておくと、安心して、しかも社内でちゃんと使われる形で導入できます。