生成AIに入力していいデータ｜マーケ実務の3層チェック

顧客リストの一部をAIに貼って文面を整えてもらう。クライアントの非公開資料をAIに要約させる。こうした場面は、マーケティング業務では日常的に起こります。ただし、入力してよいデータかどうかの基準を持たないまま使い続けると、個人情報保護法違反や契約違反につながる可能性があります。

本記事では、生成AIに入力するデータの可否を、個人情報保護法・各AIサービスの利用規約・著作権という3つの視点で整理します。先に断っておくと、本誌は各AIサービスの利用規約を一次情報として十分に確認できていません。特にOpenAIの利用規約関連ページは、複数回のアクセス試行がすべてHTTP 403（アクセス拒否）となり、内容を確認できませんでした（自社実測）。個別のサービスを使う前には、必ずご自身で各社の最新の利用規約を確認してください。

検証環境：個人情報保護委員会公式サイト・文化庁公式サイトの各ページ／2026-08-08確認（法令自体は改正され得るため、最新の公式情報を都度ご確認ください）

01結論：生成AIへの入力データ、判断は3層で見る

• 個人情報を含むデータは、個人情報保護法の「利用目的の範囲内か」「第三者提供にあたらないか」を確認します
• 各AIサービスの利用規約は、学習利用の可否やデータの取り扱いが事業者ごとに異なるため、入力前に必ず原文を確認します
• 他者の著作物を要約・分析させる行為は、著作権法の情報解析規定に関わる場合があり、出力の使い方にも注意が必要です

この3層のどれか1つを確認しただけで「入力してよい」と判断しないことが、実務でのトラブルを避ける近道です。個別の該当性は、最終的に自社の法務・専門家にご確認ください。

生成AIが作った広告表現そのものの規制については『広告表現の法規制まとめ』で整理しています。本記事は、その手前にある入力データの可否を扱います。

02マーケティング業務で生成AIに入力しがちな3種類のデータ

マーケティング担当者が生成AIに入力しがちなデータは、大きく3種類に分けられます。

3種類は重なることもあります。たとえば顧客インタビューの記録には、個人情報と著作物性のある発言の両方が含まれることがあります。データの性質を1つに決めつけず、複数の論点が重なっていないかを確認してください。

現場でよくあるのは、問い合わせ対応ログをAIに読み込ませて、FAQの原案を作らせるという使い方です。ログには氏名やメールアドレスが残っていることが多く、そのまま入力すると個人情報を含むデータの扱いになります。氏名等を機械的に伏せ字にしてから入力する運用に切り替えるだけでも、確認すべき論点を1つ減らせます。

03個人情報保護法から見た入力データの線引き（利用目的の制限と第三者提供）

個人情報保護委員会は2023年6月2日、生成AIサービスの利用に関する注意喚起を公表しました（出典: 個人情報保護委員会）。対象は「生成AIサービス（質問・作業指示（プロンプト入力）等に応えて文章・画像等を生成するAIを利用したサービス）」と定義されています（出典: 同上）。本稿執筆時点で、公表から3年以上が経過しています（出典: 同上）。

この注意喚起の本文ページでは、上記の定義を示しています（出典: 同上）。あわせて、ChatGPTを開発・提供するOpenAI, L.L.C.及びOpenAI OpCo, LLCの2法人にも、別途注意喚起を行ったことを明らかにしています（出典: 同上）。編集部は2026-08-08、この別添資料「OpenAIに対する注意喚起の概要」（2023年6月2日付）を直接確認しました（出典: 個人情報保護委員会）。同資料は、法第147条の規定に基づく注意喚起であることを明記しています。

概要は2点です。1点目は要配慮個人情報の取得で、法第20条第2項各号に該当する場合を除き、本人の同意なく取得しないことを求めています。機械学習用データの収集段階でも、要配慮個人情報を可能な限り減らし、混入が判明した場合は学習用データセットへの加工前に削除する措置を求めています。2点目は利用目的の通知等で、日本語による通知・公表を求めています。

個人情報保護法は、利用目的をできる限り特定するよう個人情報取扱事業者に求めています（第17条第1項、出典: 個人情報保護委員会）。特定した利用目的の範囲内で個人情報を取り扱うことも、同法第18条が定める義務です（出典: 同上）。生成AIへの入力も個人情報の「取扱い」の一種であるため、既存の利用目的の範囲を超えていないかを、入力前に確認する必要があります。

実務での確認方法は難しくありません。自社のプライバシーポリシーに書かれた利用目的の文言を開き、生成AIによる分析・要約・文面作成が、その文言に含まれる使い方かどうかを照らし合わせます。「商品・サービスに関するご案内」「お問い合わせへの対応」といった目的しか示していない場合、AI分析目的の利用は範囲外になり得ます。目的の追記や本人への通知を検討してください。

生成AIサービスの多くは、海外に拠点を置く事業者が提供しています。個人情報保護法は、外国にある第三者へ個人データを提供する場合、原則として本人の同意が必要だと定めています（第28条第1項）（出典: 個人情報保護委員会）。この同意が不要になるのは、次のいずれかに該当する場合です（出典: 同上）。

• 提供先が、日本と同等水準の保護制度を持つ国（EU・英国等）にある場合
• 提供先が、個人情報保護委員会規則の定める体制基準を満たしている場合
• 法第27条第1項各号が定める例外のいずれかに該当する場合

社内のデータ処理を外部委託すること自体は、通常は第三者提供にあたりません（第27条第5項第一号）（出典: 同上）。ただし委託先が外国にある場合は、この委託であっても前段の同意要件の対象になり得ます（出典: 同上）。生成AIサービスへの入力を委託の一種とみなせるか、提供先が体制基準を満たしているかは、サービスごとの契約条件を個別に確認しないと判断できません。

本記事が引用する個人情報保護法の条番号（第17条第1項・第18条・第27条第5項第一号・第28条第1項）は、e-Gov法令検索の条文原文と照合しました。2026-08-08に確認し、条番号と内容の一致を確認しています（出典: e-Gov法令検索）。

04各AIサービスの利用規約は、入力前に何を確認すべきか

前段の判断は、AIサービスがどのようなデータ処理条件を提示しているかに左右されます。契約前に確認したい項目は、主に次の4点です。

• 入力したデータを、モデルの学習に使うかどうか
• 入力したデータの保持期間、削除を依頼できるかどうか
• 法人向けプラン・API利用と、無償の個人向けプランとで取り扱いが異なるかどうか
• データの保存・処理が行われる地域（越境移転にあたるかどうか）

本誌はこの4点についてOpenAIの利用規約を一次情報で確認しようと試みましたが、確認できませんでした。2026-08-07、編集部が利用規約関連ページ6件へアクセスを試みたところ、全件でHTTP 403（アクセス拒否）が返りました（自社実測）。本稿執筆時点の2026-08-08にも編集部が同URLへ再度アクセスを試みましたが、同じくHTTP 403が返り、内容を確認できませんでした（自社実測）。

したがって本記事では、OpenAIを含む各AIサービスが実際にどのような条件を定めているかを断定しません。ウェブ検索の要約や第三者の解説記事だけを根拠に「学習に使われない」等と判断するのは避け、必ずご自身で各社の公式ページの原文を確認してください。他のAIサービスについても、本誌が原文を確認できたものはこの記事の執筆時点ではありません。

一般的なSaaSの利用規約では、無償の個人向けプランと、契約を結ぶ法人向けプラン・API利用とで、データの取り扱いに関する条項が分かれていることがあります。無償版のヘルプページで見た「学習に使われない」という案内を、社内で契約している法人向けプランにそのまま当てはめるのは避けてください。プランごとに該当する規約・データ処理条件を個別に確認する必要があります。

05著作権の視点から見た入力データの線引き

生成AIに他者の著作物を入力する行為は、著作権法の観点でも確認が必要です。文化庁は2024年3月、AIと著作権に関する考え方を公表し、著作権法第30条の4（情報解析のための利用）を中心に整理を行っています（出典: 文化庁）。同庁は2024年7月にも、実務者向けのチェックリスト＆ガイダンスを公表しています（出典: 同上）。

第30条の4は、著作物に表現された思想・感情の「享受」を目的としない利用であれば、著作権者の許諾なく利用できる場合があるという趣旨の権利制限規定です。ただし、この規定がどこまでの入力行為に適用されるかは個別の利用実態によって判断が分かれるため、本誌は一律の可否を断定しません。判断に迷う場合は、文化庁のチェックリスト（出典: 同上）を参照したうえで、著作権の専門家に確認してください。第30条の4の条文は、e-Gov法令検索でも2026-08-08に確認しました（出典: e-Gov法令検索）。

競合の非公開レポートを丸ごと貼り付けて要約させる行為や、AIの出力に他社の著作物の表現がそのまま残ってしまう行為は、入力段階・出力段階のどちらでもリスクが残ります。要約や分析の範囲にとどめ、成果物を公開する前には元の著作物の表現が残っていないかを確認してください。

06実務で使える入力データの判断フロー

ここまでの3層を、実務で使える4区分に落とし込むと、次のようになります。

1. 入力してよい：個人情報を含まず、自社が著作権を保有する、または公開情報のみのデータ
2. 条件付きで入力してよい：個人情報を含むが利用目的の範囲内で、かつ利用中のAIサービスが学習利用しない条件を原文で確認できている場合
3. 要確認：個人情報や非公開の契約情報を含み、利用規約の該当箇所を自社でまだ確認できていない場合
4. 入力しない：同意取得ができていない個人データ、契約で第三者開示を禁じられている情報、他者の著作物をそのまま複製・転用する場合

迷ったときは3か4を選んでください。何となく大丈夫という感覚だけで2に進まないことが、実務上のトラブルを避ける近道です。

マーケティング実務での例で見ると、区分の違いがより分かりやすくなります。自社が書いたプレスリリースの文面をAIに整えてもらうのは1に該当します。伏せ字にした問い合わせログを使ってFAQ原案を作るのは、目的の範囲内であれば2に近づきます。

クライアント企業の非公開の実績数値をそのまま貼り付けて提案書を作らせる行為は、秘密保持契約の内容を確認できていない限り3にとどめてください。競合他社の記事全文をそのまま貼り付けて要約させる行為は、著作権の観点から4に分類するのが安全です。

07入力前に確認すべき自社規程と契約条項

個人情報保護法・利用規約・著作権の3層に加えて、自社側で確認すべき項目も2つあります。

クライアント資料を要約させる作業は、多くの現場で日常的に発生します。ただし契約上の秘密保持義務は、個人情報保護法とは別の論点です。個人情報を含まない資料でも、契約違反になり得る点に注意してください。

判断に迷う場合は、案件ごとに立ち止まって確認する運用を、部署内のルールとして明文化しておくことをおすすめします。

生成AIの利用可否を、担当者個人の判断に委ねている職場も少なくありません。入力してよいデータの基準を文書化し、判断に迷った際の相談窓口をあらかじめ決めておくことが、実務上もっとも効果的な対策です。担当者が変わっても同じ基準で運用できる状態を、記事公開前ではなく、生成AIを導入する段階で整えておくことをおすすめします。

08生成AIへの入力データでつまずきやすい点

実務でよく見かける誤解を整理すると、次の表のとおりです。

5つの誤解に共通するのは、1つの根拠だけで「大丈夫」と判断してしまう点です。個人情報保護法・利用規約・著作権のうち、どれか1つを確認しただけで入力を進めないでください。

09生成AI入力データ チェックリスト

• 入力するデータに個人情報が含まれるか確認した
• 含まれる場合、取得時に示した利用目的の範囲内かを確認した
• 利用するAIサービスが海外事業者かどうかを確認した
• 利用規約・データ処理条件の原文を、自社で直接確認した（第三者の要約だけで判断していない）
• 入力データの学習利用の可否・保持期間を確認した
• クライアントとの秘密保持契約に抵触しないか確認した
• 他者の著作物をそのまま複製・転用する形になっていないか確認した
• 判断に迷う場合、自社の法務・専門家に確認できる体制があるか確認した

10FAQ