生成AIを業務に取り入れると、便利さと引き換えに「これ、個人情報を扱っていないか？」という不安がついて回ります。難しさの正体はシンプルで、AIは入力・学習データ・ログ・出力のどこにでも個人情報が紛れ込みやすいから。本記事は、EUのGDPRと日本の個人情報保護法（APPI）を起点に、現場で判断しやすい「どこに気をつけ、どう設計するか」を実務目線で整理します。
01AIに個人情報が紛れ込む「4つの入口」
AI活用で個人情報が関わる場所は、分解すると4つに収まります。ここを最初に押さえると、「何を守ればいいか」が一気にクリアになります。
FIG.1 ①入力 → ②学習・微調整 → ③保存・ログ → ④出力。守るべき対象は「データの流れ」上に並ぶ
- ① 入力：ユーザーや社員がAIに投げるプロンプト、添付ファイル、会話履歴
- ② 学習・微調整：追加学習（ファインチューニング）や、RAGで参照させる社内文書
- ③ 保存・ログ：プロンプトログ、監査ログ、エラーログ、ベクトルDBの埋め込み（embeddings）
- ④ 出力：要約・推薦・スコアリングが「特定個人に関する判断」になっていないか
典型シーンも、たいていこの4点のどこかに当てはまります。問い合わせ対応チャットボットに顧客の氏名・連絡先・購入履歴が入る（①）、コールセンター音声を文字起こしして要約しCRMへ連携する（①③④）、人事評価コメントを整形する（①②）、画像解析で顔写真やナンバープレートが混ざる（①④）——いずれも、入口を意識すれば対策が立てられます。
02GDPR と APPI：思想は同じ、強調点が違う
EUのGDPRと日本のAPPIは、方向性そのものはよく似ています。ざっくり言えば「目的を明確にし、必要な範囲に絞り、適切に守る」。共通の土台はこの3点です。
- 目的の明確化：何のために使うか（目的外利用を避ける）
- データ最小化：本当に必要な項目だけに絞る
- 安全管理：アクセス制御、暗号化、委託先管理など
違いは「どこを強く押し出すか」です。AIに引き寄せて整理すると、次の表が実務の出発点になります。
| GDPR（EU） | APPI（日本） |
|---|---|
| 域外適用が強い。EU在住者のデータを扱えば日本企業も対象になり得る | 日本国内での取扱いが中心。外国の第三者提供には別途の規律 |
| 処理には「合法性の根拠（lawful basis）」の明示が必須 | 利用目的の特定・通知公表が中心。根拠の事前明示は求めない |
| 本人の権利（開示・消去・異議など）が広く強い | 開示・訂正・利用停止等を「保有個人データ」を軸に整理 |
| 制裁金は最大 2,000万ユーロ or 全世界売上の4% | 現行は罰金中心。2026年改正方針で課徴金（行政処分）の導入を提示 |
GDPRの肝：「なぜ処理してよいのか」を言えること
GDPRでは、個人データを処理する前提として合法性の根拠を説明できる必要があります。代表的なのは次の4つです。
- 同意（Consent）
- 契約の履行（Contract）
- 法的義務（Legal obligation）
- 正当な利益（Legitimate interests）
AI活用では「正当な利益」で進めたくなる場面が多いのですが、その場合は本人の権利利益とのバランスを説明できることが条件になります。「便利だから」だけでは根拠になりません。
APPIの肝：情報の「種類分け」が運用を左右する
APPIでは、データの加工度合いに応じた区分が実務に効いてきます。とくにAIで「学習に使うために加工する」ときに混同しやすいので、正確に押さえましょう。
