個人情報保護法改正2025とAI利用の整合：中小企業が確認すべき社内規程の更新点

「生成AIを業務で使い始めたが、個人情報保護法の改正にどこまで対応すればよいかわからない」——士業事務所や中小企業の経営者・管理担当者から、こうした相談が増えている。2025年改正では、クラウドAIサービスへの個人データ入力・自動化された意思決定・AI学習目的での利用といった場面での企業の義務が具体化され、プライバシーポリシーや社内規程の更新が求められる。

この記事では、2025年改正のポイントをAI利用の観点から整理し、中小企業・士業事務所が確認・更新すべき社内規程の具体的な箇所と更新例を解説する。改正対応の全体像を把握し、自社に必要な対応を絞り込みたい経営者・事務局担当者を対象にしている。

2025年改正の概要と中小企業への直接的影響

個人情報保護法の3年ごとの見直し規定に基づき、2025年に実施された改正では、急速に普及した生成AIの業務利用を反映した規定の整備が行われた。2022年改正（2022年4月全面施行）では、情報漏洩時の個人情報保護委員会への報告義務化・本人通知の義務化、外国の第三者への個人データ提供の規制強化、仮名加工情報制度の創設などが新設されたが、当時は生成AIの業務利用が一般化していなかったため、AI利用に関する具体的な規定は限定的だった。

2025年改正が加えた主な変更は3点だ。第一は、AIによる自動化された意思決定（スコアリング・格付け・採否判定等）を受けた本人が、その判定プロセスを確認し、必要に応じて人間による再審査を求める権利に関する規定の整備だ。第二は、AI学習データとして個人情報を利用・外部提供する際の適正利用基準の明確化だ。第三は、クラウドサービス（生成AIを含む）への個人データ入力が「第三者提供」に当たるかどうかの判断基準の更新だ（2026年7月時点）。

中小企業・士業事務所にとって最も影響が大きいのは、「従業員がChatGPTや生成AIツールに顧客の個人情報を入力している」というシャドーAI利用の実態だ。このような状況では、利用目的の明示義務違反・第三者提供規制の問題・漏洩発生時の報告義務の問題が同時に発生しうる。改正対応は「プライバシーポリシーの改訂」と「AI利用規程の新規策定」の2本柱で進めることが現実的な選択だ。

なお、2022年改正で廃止された「従業員数5,000人以下は義務免除」という規定は現在も存在せず、士業の1人事務所・従業員3名の小企業であっても、個人情報を取り扱う限り同等の義務を負う。規模を理由に対応を先送りすることはリスクを積み上げるだけだ。

改正対応の緊急度は、AIをすでに業務利用しているかどうかによって変わる。現時点でAIツールを全く使っていない企業は「使い始める前の規程策定」で対応できる。すでに使っている場合は「既存の使い方が規程に照らして問題がないか」を先にチェックする必要がある。以下のセクションで、具体的な改正点と規程更新の手順を解説する。

AI利用に直接関係する3つの改正ポイント

1. 自動化された意思決定への本人関与権

生成AIや機械学習モデルが顧客・従業員に関するスコアリング・格付け・採否判定などに使われる場合で、その結果が本人の権利や利益に重要な影響を与えるときは、本人が意思決定プロセスの説明を求め、人間による再審査を申し出ることができる仕組みを設けることが求められる。

実務で問題になりやすい場面は3つだ。①採用選考でAIが書類を評価して候補者を絞り込む場合、②顧客をAIが購買スコアでランク分けして対応優先度を決める場合、③融資・与信の判断にAIのスコアリング結果を用いる場合だ。これらの場面では、AIを使って意思決定補助を行っていることの本人への開示、判定結果への異議申し立て窓口の設定、人間が最終確認する手続きの社内明文化が求められる。

士業事務所では「AIが案件の優先度を自動判定する」「相談対応の品質をAIが評価する」といった使い方が今後増えると想定される。現時点でこのような使い方をしていない場合も、AI利用の拡大を検討する際にこの規定を念頭に置いた規程設計が必要だ。

2. AI学習目的での個人情報利用と外部提供の基準

社内に蓄積した顧客データ・従業員データを自社AIモデルの学習に使用する場合、または外部のAI事業者にデータを提供して学習させる場合は、個人情報の取得時に本人へ告知した利用目的の範囲内かどうかの確認が必要だ。

「サービスの提供および業務改善のため」という利用目的で取得した顧客情報を、自社内でAIモデルの学習に使用する場合は利用目的の範囲内とみなせる可能性がある。しかし同じデータを外部のAI事業者に提供して学習させる場合は、「第三者提供」として原則として本人の同意が必要になる。この区分を整理せずに外部AIサービスを利用していると、意図せず第三者提供違反が発生する。

プライバシーポリシーには「AI学習への利用の有無とその範囲」を明記することが、改正後の対応として有効だ。AI学習に使用しない場合も「使用しない」と明示することで、顧客・取引先への説明責任を果たしやすくなる。

3. クラウドAIサービスへの個人データ入力と第三者提供該当性

ChatGPT・Claude（Anthropic）・Gemini（Google）などの生成AIサービスに個人データを含むテキストを入力する行為が、個人情報保護法上の「第三者提供」に当たるかどうかは、サービス利用規約の内容と入力データの性質によって判断が分かれる。

2025年改正では、この判断の指針が更新された。クラウドサービス事業者が①入力データを自社モデルの学習に使用しない旨を利用規約で明示しており、②適切な安全管理措置を講じていることが確認できる場合は、「委託」として扱われ、第三者提供の同意は不要とされる。一方、学習使用への言及が利用規約に含まれている場合や、安全管理措置の内容が不明確な場合は、第三者提供に該当する可能性が生じる。

中小企業が最初に取るべき行動は、社内で利用しているすべての生成AIサービスの利用規約を確認し、「個人データを入力してよいサービス」と「入力してはいけないサービス」を一覧化することだ。この一覧を社内共有し、従業員が個人データを扱う際の判断基準として使えるようにすることが、実務上最も効果的な対応だ。

社内規程の更新が必要な5つの箇所と具体的な更新例

1. プライバシーポリシーへのAI利用目的の追記

Before（更新前）：「個人情報は、サービスの提供および当社業務の遂行を目的として利用します。」という汎用的な記載のみで、AIに関する記載がない状態。

After（更新後）：「当社は、業務効率化のため、特定のAIツールを使用することがあります。AIツールに個人情報を含むデータを入力する際は、当該ツールの利用規約において入力データが学習目的で使用されないことを事前に確認のうえ使用します。顧客の個人情報を含む情報を外部のAI事業者のモデル学習に提供することはありません。」と追記する。

士業事務所の場合は、さらに「顧問先から受領した個人情報・機密情報をAIツールに入力する際は、必ず匿名化処理を行ったうえで使用します」という条項を追加することで、守秘義務との整合を明示できる。プライバシーポリシーの改訂後は、サイト上での公開日の更新と変更内容の告知も合わせて行うことが、顧客への説明責任の観点で必要だ。

2. AI利用規程（新規策定）

多くの中小企業では「従業員がどのAIサービスをどのような目的で使ってよいか」のルールが存在しない。このルールを明文化した「生成AI利用規程」を新規策定することが、今回の改正対応で最も効果が高い施策だ。規程がないと、従業員が善意でAIを活用しようとしても、何が許容されて何が禁止なのかわからず、結果として個人情報保護法上の問題を生じさせるリスクが高まる。

規程に最低限含める5項目を示す。

・使用許可サービス一覧：使用を許可するAIサービスの名称と用途を列挙する。一覧に含まれないサービスへの個人データ入力は原則禁止とする旨を明記する。
・入力禁止情報の範囲：顧客の氏名・連絡先・取引情報・医療情報等の個人情報、未公開の財務情報・契約内容等の機密情報を入力禁止の対象として定める。
・出力確認義務：AIの出力結果は、担当者が内容を確認・修正してから業務に使用する。そのままコピーして外部に提出することを禁止する。
・個人データ入力の承認フロー：個人データを業務上やむを得ずAIサービスに入力する必要が生じた場合は、上長承認を経てから行う。
・違反発生時の報告経路：誤って個人情報を入力した場合は、即時に管理者に報告し、削除要請の手続きを開始する。報告を怠ることを規程違反とする。

規程策定後は、すべての従業員に対して書面または研修で内容を周知し、周知日と参加者の記録を保存する。年1回以上の定期見直しを規程内に明記することで、AI利用環境の変化に合わせた継続的な対応が可能になる。

3. 個人データ管理台帳へのAI処理項目の追加

Before（更新前）：個人データの種類・保存場所・保存期間・担当部署のみを記載した台帳。

After（更新後）：上記に加えて、「当該データをAIツールで処理しているか（はい/いいえ）」「使用しているAIツール名」「当該AIツールの学習使用可否（規約確認日も記載）」の3列を追加する。

この台帳更新により、監査・点検・従業員への教育の際に「どのデータがどのAIを経由しているか」を一覧で把握できる。個人情報保護委員会による確認が入った際にも、対応状況の説明材料として機能する。台帳は少なくとも年1回の棚卸しを行い、使用中止したサービスや新規追加サービスを反映する運用が望ましい。

4. 漏洩対応手順書へのAI誤入力インシデント対応の追記

Before（更新前）：フィッシングメール・ランサムウェア・誤送信等を想定した漏洩対応手順のみ。

After（更新後）：「生成AIサービスへの個人情報の誤入力」をインシデント類型に追加する。対応手順は、①発生直後に管理者に報告、②当該AIサービスの削除・修正機能で入力データを削除（可能な場合）、③個人情報保護委員会への報告該当性の確認（漏洩規模・性質による）、④影響を受けた可能性のある本人への通知検討、の順に定める。

誤入力が発生しやすいのは「急いでいる状況でテキストをコピーペーストする場面」だ。顧客メールや相談内容をそのまま貼り付けてしまうケースが実際に報告されている。発生を防ぐために、AIへの入力前に「個人情報が含まれていないか」を確認するステップを入力フロー内に設けることが有効だ。

5. 自動化意思決定に対する本人の申し出フローの策定

現時点でAIを使った採用選考・信用評価等を行っていない場合も、将来の利用拡大に備えて雛形を準備しておくことが望ましい。フローには①申し出窓口（担当者・連絡先）、②受付から回答までの期限（例：受付後30営業日以内）、③再審査の実施手順と担当者の設定が必要だ。この雛形を作成しておくことで、AI活用の範囲を広げる際に都度ゼロから規程を作る手間が省ける。

旧規程と改正対応後の規程：主な変更点の比較

下の表は、改正前の典型的な中小企業の規程状況と、2025年改正対応後に必要な規程の違いをまとめたものだ。自社の現状と照らし合わせて、対応が必要な箇所を確認してほしい。

規程区分	改正前（典型的な状態）	改正対応後（必要な状態）
プライバシーポリシー	AIに関する記載なし。汎用的な利用目的のみ	AI利用目的・学習への不使用の明示。クラウドAIへの入力ルールを追記
AI利用規程	存在しない（社員が各自の判断で使用）	使用可能サービス一覧、入力禁止情報、出力確認義務を明文化した規程を策定
個人データ管理台帳	保存場所・期間・担当者のみ記載	AI処理の有無、使用AIサービス名、学習使用可否を追加列として管理
漏洩対応手順書	メール誤送信・不正アクセスのみ対象	AI誤入力インシデントを類型追加。削除要請と報告判断フローを明記
自動化意思決定対応	記載なし（想定外の事象として未整備）	AI採用選考・信用評価を使う場合の開示義務と再審査申し出フローを策定
従業員教育	個人情報保護の一般的な研修のみ（年1回）	AI利用に関するガイドラインを加えた研修を年1回以上実施。受講記録を保管

上記の変更は規模によって対応の深さが変わるが、「AI利用規程の策定」と「プライバシーポリシーへのAI記載の追加」は企業規模を問わず必須の対応だ。これらの整備が遅れている場合は、当面の間、従業員に対して「個人情報を含む情報はAIに入力しない」という暫定ルールを書面で周知するだけでも、リスクを一定程度低下させることができる。

よくある質問

Q. 改正対応は専門家（弁護士・社労士）に依頼しなければ進められませんか？

プライバシーポリシーの軽微な追記や社内AI利用規程の策定は、社内担当者が個人情報保護委員会のガイドラインを参照しながら行うことができる範囲のものも多い。ただし、顧客情報を大量に扱う業種（士業・医療・金融）の場合は、守秘義務との兼ね合いや業法（税理士法・弁護士法等）の制限も関係するため、専門家へのレビュー依頼が安全だ。まず自社で「対応が必要な箇所の洗い出し」を行い、判断に迷う部分を専門家に確認する分業が、コストと確実性のバランスが取れた進め方だ。

Q. ChatGPTを使って顧客名が含まれる書類のドラフトを作っています。すでに違反していますか？

違反かどうかは、使用しているChatGPTのプランと入力内容によって変わる。ChatGPT（OpenAI）のビジネス向けプラン（TeamまたはEnterprise）では、入力データをモデル学習に使用しないと利用規約で明示されており、この条件のもとでは「委託」として扱われ、第三者提供の問題は生じにくい。一方、個人向けの無料・有料プランでは学習オプトアウトの設定が必要な場合がある。まず使用中のプランと設定状況を確認し、次に入力した情報が氏名・住所・マイナンバー等の機微情報に当たるかどうかを確認する。現時点で明確なルールがない場合は「個人情報を含む情報はAIに入力しない」を暫定ルールとして即時周知することを推奨する。

Q. プライバシーポリシーはどこに何を追記すればよいですか？

「個人情報の利用目的」または「個人情報の取り扱いについて」のセクションに、「業務上のAIツール利用に関する事項」として以下の内容を追記する。①使用するAIツールの種類（クラウドサービス系か社内専用AI系か）、②個人情報を含むデータをAIツールに入力しない旨またはその条件、③AIツール事業者への個人データの提供を行わない旨（または行う場合はその根拠と範囲）の3点だ。既存のプライバシーポリシーに「AI利用に関する個人情報の取り扱い」という条を追加する形が、改訂と第三者への説明の両面で対応しやすい。改訂後は施行日を明記し、サイト上で公開する。

Q. 自社ではAIで採用選考や信用評価は行っていませんが、応募書類のスクリーニングにAIを使い始めたら改正の対象になりますか？

AIが応募書類のキーワードを抽出して候補者を絞り込む処理を行い、その結果が採否に影響する場合は、自動化された意思決定の規定の対象となる可能性がある。「AIが参考情報を提示する」という補佐的な使い方と「AIの判定結果で候補者を絞り込む」という意思決定への直接的な関与の違いが判断の分かれ目だ。採用プロセスへのAI導入を検討する場合は、AIの出力を最終判断にどこまで活用するかを事前に明確にし、意思決定に影響する使い方をする場合は応募者への開示と再審査申し出フローの整備を合わせて進めることが必要だ。

社内規程更新チェックリスト

2025年改正への対応を進めるにあたり、以下の項目を確認する。チェックが入っていない項目が、直近で対応優先度の高い箇所だ。

・プライバシーポリシーの確認：現行のプライバシーポリシーにAI利用に関する記載があるか確認する。
・AI関連記載の追記：記載がない場合は、AI利用目的・学習不使用・個人データ入力ルールを追記する。
・使用中AIサービスの利用規約確認：社内で使用しているすべての生成AIサービスの利用規約を確認し、個人データ入力の可否を一覧化する。
・AI利用規程の有無確認：従業員が使ってよいAIサービスの範囲と入力禁止情報を定めた社内規程が存在するか確認する。
・AI利用規程の策定または更新：規程がない場合は新規策定する。既存の規程がある場合は2025年改正の内容を反映して更新する。
・個人データ管理台帳の更新：台帳にAI処理の有無・使用AIサービス名・学習使用可否の列を追加する。
・漏洩対応手順書の更新：AI誤入力インシデントを対応手順書に類型として追加し、削除要請と報告判断フローを明記する。
・自動化意思決定の有無確認：採用・信用評価・優先度判断等にAIを使っている場合は、本人への開示と再審査申し出フローの整備状況を確認する。
・従業員への周知：AI利用規程の内容を全従業員に書面または研修で周知し、日時・参加者の記録を保存する。
・年次見直しのスケジュール設定：AI利用状況の変化は速いため、少なくとも年1回の規程見直しスケジュールを設定し、担当者を明確にする。

本記事のまとめ

2025年改正の個人情報保護法では、生成AIの業務利用に直接関係する3つの観点——自動化された意思決定への本人関与権、AI学習目的での個人情報利用基準の明確化、クラウドAIサービスへの入力と第三者提供の判断基準更新——が具体化された。

中小企業・士業事務所が最初に取るべき対応は、プライバシーポリシーへのAI利用に関する記載の追加と、AI利用規程の新規策定の2点だ。これらは専門家に全面依頼せずとも、本記事で示した更新例を参考に社内で作業できる部分が多い。判断に迷う箇所を絞り込んでから専門家レビューを依頼するのが、コストと確実性のバランスが取れた進め方だ。

生成AIの活用場面は今後も広がり続ける。規程を整備しておくことで、新しいAIツールを業務に導入する際の判断基準が明確になり、従業員の自己判断によるリスクを事前に防ぐ体制が構築できる。個人情報保護法対応とAI活用は両立できる。今から規程を整備し、安全に生成AIを活用する基盤を作ることが、中長期的な業務効率化への第一歩だ。