顧客リストの一部を貼り付けて、案内文を整えてもらう。クライアントの非公開資料を読ませて、要約を出してもらう。マーケティングの現場では、どちらも日常の動作になりました。手が速くなった実感があるぶん、貼り付ける前に止まる習慣だけが残っていません。
ここで困るのは、「危ないかどうか」を感覚で決めていることです。感覚は人によって違いますし、同じ人でも締切が近いと甘くなります。基準を持たないまま使い続けると、個人情報保護法違反や契約違反につながる可能性があります。
そこでこの記事では、入力していいかどうかを、個人情報保護法・各AIサービスの利用規約・著作権という3つの視点で切り分けます。先にお断りしておくと、本誌は各AIサービスの利用規約を一次情報として十分に確認できていません。個別のサービスを使う前には、必ずご自身で各社の最新の利用規約を確認してください。判断を代わりに引き受ける記事ではなく、判断の置き場所を決めるための記事として読んでいただければと思います。
こんなふうに調べていませんか
- 「生成AI 入力データ 線引き」で検索して、社内で使える基準を探している
- 顧客リストや契約資料を貼り付けてよいのか、その場で判断できずに手が止まっている
この記事を読み終えたときに手に入るもの
- 入力の可否を、3層のどこで止まっているかとして説明できるようになります
- 迷ったデータを、4区分のどこに置くか自分で決められます
- 社内に残す確認事項を、担当者が変わっても回る形で書き出せます
結論30秒でわかる、この記事の結論
- 入力してよいかどうかは、1つの根拠では決まりません。 個人情報保護法・利用規約・著作権の3層を、それぞれ確かめます。
- どれか1つを確認しただけで「大丈夫」と進めないことが、実務でのつまずきを避ける近道です。
- 迷ったら進めず、要確認か入力しないに置きます。個別の該当性は自社の法務・専門家にご確認ください。
検証環境：個人情報保護委員会公式サイト・文化庁公式サイトの各ページ／2026-08-08確認（法令自体は改正され得るため、最新の公式情報を都度ご確認ください）。生成AIが作った広告表現そのものの規制は AIMJ-1401 で扱っています。本記事は、その手前にある入力データの可否を扱います。
01生成AIの入力データの線引きは、どこで判断すればいいんですか？
若葉さん貼り付けていいかどうかって、結局どこを見れば決まるんですか。
鈴木さん見るところは1か所ではありません。性質の違う関門が3つあって、順番に通すという形になります。1つ通っただけで安心してしまうのが、いちばん多いつまずきです。
結論から言うと、判断は3層で見ます。個人情報を含むデータは、個人情報保護法の観点から、利用目的の範囲内かどうか、第三者提供にあたらないかどうかを確認します。各AIサービスの利用規約は、学習利用の可否やデータの取り扱いが事業者ごとに異なるため、入力前に原文を確認します。他者の著作物を要約・分析させる行為は、著作権法の情報解析規定に関わる場合があり、出力の使い方にも注意が必要です。
この3つは、審査する主体も、違反したときに起きることも違います。だから「個人情報は入っていないから大丈夫」という判断が成り立ちません。入っていないことが確認できたのは、3つのうちの1つだけです。
この章のまとめ
判断は3層。1つ通っただけでは通過ではない。どこまで確認できたかで言い表す。
02マーケの現場で生成AIに入れがちなデータは、どの3種類ですか？
入力しがちなデータは、大きく3種類に分けられます。
| データの種類 | 具体例 | 主に関わる論点 |
|---|---|---|
| 個人情報を含むデータ | 顧客リスト、問い合わせ履歴、アンケート回答 | 個人情報保護法（利用目的の制限・第三者提供） |
| 自社・取引先の非公開情報 | 未公開の実績数値、契約条件、社外秘の企画書 | 契約上の秘密保持義務、社内規程 |
| 他者の著作物 | 競合記事の全文、クライアント提供の原稿、書籍の抜粋 | 著作権法 |
3種類は重なることもあります。たとえば顧客インタビューの記録には、個人情報と、著作物性のある発言の両方が含まれることがあります。データの性質を1つに決めつけず、複数の論点が重なっていないかを確認してください。
現場でよくあるのは、問い合わせ対応ログを読み込ませて、FAQの原案を作らせるという使い方です。ログには氏名やメールアドレスが残っていることが多く、そのまま入力すれば個人情報を含むデータの扱いになります。氏名等を機械的に伏せ字にしてから入力する運用に切り替えるだけでも、確認すべき論点を減らせます。
この章のまとめ
入力データは3種類。重なることもある。種類が決まれば、確認する先も決まる。
03個人情報を含むデータは、生成AIの利用目的の範囲内と言えますか？
個人情報保護法は、利用目的をできる限り特定するよう個人情報取扱事業者に求めています（第17条第1項、出典: 個人情報保護委員会）。特定した利用目的の範囲内で個人情報を取り扱うことも、同法第18条が定める義務です（出典: 同上）。
ここで見落とされやすいのが、入力もまた「取扱い」の一種であるという点です。保存しているだけなら範囲内でも、分析や文面作成に使えば話が変わることがあります。既存の利用目的の範囲を超えていないかを、入力前に確認する必要があります。
実務での確認方法は難しくありません。自社のプライバシーポリシーに書かれた利用目的の文言を開き、AIによる分析・要約・文面作成が、その文言に含まれる使い方かどうかを照らし合わせます。
「商品・サービスに関するご案内」「お問い合わせへの対応」といった目的しか示していない場合、AI分析目的の利用は範囲外になり得ます。目的の追記や本人への通知を検討してください。
この章のまとめ
入力は取扱いにあたる。プライバシーポリシーの文言と照らし、範囲外なら追記や通知を検討する。
04個人情報保護委員会の注意喚起は、生成AI利用に何を求めていますか？
個人情報保護委員会は2023年6月2日、生成AIサービスの利用に関する注意喚起を公表しました（出典: 個人情報保護委員会）。対象は、質問や作業指示に応えて文章・画像等を生成するAIを利用したサービスと定義されています（出典: 同上）。本稿執筆時点で、公表から3年以上が経過しています（出典: 同上）。
同じページでは、ChatGPTを開発・提供するOpenAI, L.L.C.及びOpenAI OpCo, LLCの2法人にも、別途注意喚起を行ったことが明らかにされています（出典: 同上）。編集部は2026-08-08、この別添資料「OpenAIに対する注意喚起の概要」（2023年6月2日付）を直接確認しました（出典: 個人情報保護委員会）。同資料は、法第147条の規定に基づく注意喚起であることを明記しています。
大森部長事業者側への注意喚起だろう。うちのような使う側には関係ないんじゃないか。
鈴木さん直接の名宛人は事業者です。ただ、そこで求められている中身は、使う側が何を気にすべきかの手がかりになります。 要配慮個人情報の扱いと、目的の伝え方の2点です。
概要は2点です。1点目は要配慮個人情報の取得で、法第20条第2項各号に該当する場合を除き、本人の同意なく取得しないことを求めています。機械学習用データの収集段階でも、要配慮個人情報を可能な限り減らし、混入が判明した場合は学習用データセットへの加工前に削除する措置を求めています。2点目は利用目的の通知等で、日本語による通知・公表を求めています。
本記事が引用する個人情報保護法の条番号（第17条第1項・第18条・第27条第5項第一号・第28条第1項）は、e-Gov法令検索の条文原文と照合しました。2026-08-08に確認し、条番号と内容の一致を確認しています（出典: e-Gov法令検索）。
この章のまとめ
注意喚起の中身は、要配慮個人情報の扱いと、目的の伝え方。使う側の点検項目としても読める。
05海外の生成AIサービスへ送るのは、第三者提供にあたるんですか？
生成AIサービスの多くは、海外に拠点を置く事業者が提供しています。個人情報保護法は、外国にある第三者へ個人データを提供する場合、原則として本人の同意が必要だと定めています（第28条第1項）（出典: 個人情報保護委員会）。
この同意が不要になるのは、次のいずれかに該当する場合です（出典: 同上）。
- 提供先が、日本と同等水準の保護制度を持つ国（EU・英国等）にある場合
- 提供先が、個人情報保護委員会規則の定める体制基準を満たしている場合
- 法第27条第1項各号が定める例外のいずれかに該当する場合
社内のデータ処理を外部委託すること自体は、通常は第三者提供にあたりません（第27条第5項第一号）（出典: 同上）。ただし委託先が外国にある場合は、この委託であっても前段の同意要件の対象になり得ます（出典: 同上）。
生成AIサービスへの入力を委託の一種とみなせるか、提供先が体制基準を満たしているかは、サービスごとの契約条件を個別に確認しないと判断できません。ここは「調べれば分かる」ではなく、契約書を開かないと分からない領域です。
この章のまとめ
委託でも、提供先が外国なら同意要件の対象になり得る。判断材料は契約条件の記述にある。
06利用規約は、生成AIに入力する前にどこを確かめればいいんですか？
前段の判断は、AIサービスがどのようなデータ処理条件を提示しているかに左右されます。契約前に確認したい項目は、主に次の4点です。
- 入力したデータを、モデルの学習に使うかどうか
- 入力したデータの保持期間、削除を依頼できるかどうか
- 法人向けプラン・API利用と、無償の個人向けプランとで取り扱いが異なるかどうか
- データの保存・処理が行われる地域（越境移転にあたるかどうか）
一般的なSaaSの利用規約では、無償の個人向けプランと、契約を結ぶ法人向けプラン・API利用とで、データの取り扱いに関する条項が分かれていることがあります。無償版のヘルプページで見た案内を、社内で契約している法人向けプランにそのまま当てはめるのは避けてください。プランごとに該当する規約・データ処理条件を個別に確認する必要があります。
大森部長現場の全員に規約を読ませるのは、正直むずかしいぞ。
鈴木さんおっしゃるとおりです。だから読むのは1度でよく、結果を社内の1枚に書き写しておく運用をおすすめしています。読む担当と、参照する担当を分ける形です。
この章のまとめ
確認するのは4点。読む担当と参照する担当を分け、結果を社内の1枚に残す。
07生成AIサービスの規約を、本誌が確認できていないのはなぜですか？
本誌は前段の4点について、OpenAIの利用規約を一次情報で確認しようと試みましたが、確認できませんでした。2026-08-07、編集部が利用規約関連ページ6件へアクセスを試みたところ、全件でHTTP 403（アクセス拒否）が返りました（自社実測）。本稿執筆時点の2026-08-08にも編集部が同URLへ再度アクセスを試みましたが、同じくHTTP 403が返り、内容を確認できませんでした（自社実測）。
したがって本記事では、OpenAIを含む各AIサービスが実際にどのような条件を定めているかを断定しません。ウェブ検索の要約や第三者の解説記事だけを根拠に、学習に使われないといった判断をするのは避け、必ずご自身で各社の公式ページの原文を確認してください。他のAIサービスについても、本誌が原文を確認できたものはこの記事の執筆時点ではありません。
この章のまとめ
本誌は各サービスの規約原文を確認できていない。断定している解説を、原文の代わりに使わない。
08他社の記事を生成AIに読ませるのは、著作権ではどう扱われますか？
他者の著作物を入力する行為は、著作権の観点でも確認が必要です。文化庁は2024年3月、AIと著作権に関する考え方を公表し、著作権法第30条の4（情報解析のための利用）を中心に整理を行っています（出典: 文化庁）。同庁は2024年7月にも、実務者向けのチェックリスト＆ガイダンスを公表しています（出典: 同上）。
第30条の4は、著作物に表現された思想・感情の「享受」を目的としない利用であれば、著作権者の許諾なく利用できる場合があるという趣旨の権利制限規定です。ただし、この規定がどこまでの入力行為に適用されるかは個別の利用実態によって判断が分かれるため、本誌は一律の可否を断定しません。判断に迷う場合は、文化庁のチェックリスト（出典: 同上）を参照したうえで、著作権の専門家に確認してください。第30条の4の条文は、e-Gov法令検索でも2026-08-08に確認しました（出典: e-Gov法令検索）。
見落とされやすいのは、リスクが入力の瞬間だけで終わらないことです。競合の非公開レポートを丸ごと貼り付けて要約させる行為や、AIの出力に他社の著作物の表現がそのまま残ってしまう行為は、入力段階・出力段階のどちらでもリスクが残ります。要約や分析の範囲にとどめ、成果物を公開する前には元の著作物の表現が残っていないかを確認してください。
この章のまとめ
著作権は入口と出口の両方で見る。入力の可否を通っても、出力の点検は別に必要になる。
09生成AIの入力データの線引きを、実務の4区分に落とすとどうなりますか？
ここまでの3層を、実務で使える4区分に落とし込むと、次のようになります。
- 入力してよい：個人情報を含まず、自社が著作権を保有する、または公開情報のみのデータ
- 条件付きで入力してよい：個人情報を含むが利用目的の範囲内で、かつ利用中のAIサービスが学習利用しない条件を原文で確認できている場合
- 要確認：個人情報や非公開の契約情報を含み、利用規約の該当箇所を自社でまだ確認できていない場合
- 入力しない：同意取得ができていない個人データ、契約で第三者開示を禁じられている情報、他者の著作物をそのまま複製・転用する場合
迷ったときは3か4を選んでください。何となく大丈夫という感覚だけで2に進まないことが、実務上のトラブルを避ける近道です。
この章のまとめ
4区分に置き換えると、迷いが「どちらか分からない」から「まだ確認していない」に変わる。
10自社規程と契約書は、生成AI活用の前にどこを見ればいいんですか？
3層に加えて、自社側で確認すべき項目も2つあります。法令の話ではなく、自社が自分で結んだ約束の話です。
| 確認先 | 確認するポイント |
|---|---|
| 自社の情報セキュリティ規程 | 生成AIサービスの利用そのものが許可されているか、入力してよいデータの範囲が定められているか |
| クライアントとの契約書 | 秘密保持条項が、生成AIサービスへの入力を「第三者への開示」とみなしているか |
クライアント資料を要約させる作業は、多くの現場で日常的に発生します。ただし契約上の秘密保持義務は、個人情報保護法とは別の論点です。個人情報を含まない資料でも、契約違反になり得る点に注意してください。
この章のまとめ
法令のほかに、社内規程と契約書という自分で結んだ約束がある。別々に確認する。
11生成AIの入力データでつまずくのは、どんな思い込みからですか？
実務でよく見かける誤解を整理すると、次の表のとおりです。
| よくある誤解 | 正しい理解 |
|---|---|
| 個人情報を含まなければ何を入力しても問題ない | 契約上の秘密保持義務や著作権は、個人情報保護法とは別に確認が必要 |
| 法人向けプランなら学習に使われないので安心 | 学習利用の条件はサービス・プランごとに異なり、原文の確認が必須 |
| 顧客の同意を得ていれば、どんな形で入力しても問題ない | 同意の範囲は取得時に示した利用目的に限られ、範囲外の利用には別途の確認が必要 |
| 海外のAIサービスも国内サービスと同じ扱いでよい | 外国にある第三者への提供にあたる場合、原則として別途の同意が必要になり得る |
| 要約させるだけなら著作権の問題は起きない | 情報解析目的の利用にあたるかは個別事情次第で、出力の使い方にも別のリスクが残る |
5つの誤解に共通するのは、1つの根拠だけで大丈夫と判断してしまう点です。個人情報保護法・利用規約・著作権のうち、どれか1つを確認しただけで入力を進めないでください。
- 入力するデータに個人情報が含まれるか確認した
- 含まれる場合、取得時に示した利用目的の範囲内かを確認した
- 利用するAIサービスが海外事業者かどうかを確認した
- 利用規約・データ処理条件の原文を、自社で直接確認した（第三者の要約だけで判断していない）
- 入力データの学習利用の可否・保持期間を確認した
- クライアントとの秘密保持契約に抵触しないか確認した
- 他者の著作物をそのまま複製・転用する形になっていないか確認した
- 判断に迷う場合、自社の法務・専門家に確認できる体制があるか確認した
この章のまとめ
誤解はどれも「1つの根拠で決めた」という形をしている。確認の数が足りているかを見る。
12線引きを社内に定着させるには、AI活用のどこから決めますか？
生成AIの利用可否を、担当者個人の判断に委ねている職場も少なくありません。判断が属人化していると、担当が変わった瞬間に基準も変わります。
入力してよいデータの基準を文書化し、判断に迷った際の相談窓口をあらかじめ決めておくことが、実務上もっとも効果的な対策です。担当者が変わっても同じ基準で運用できる状態を、記事公開前ではなく、生成AIを導入する段階で整えておくことをおすすめします。
若葉さんつまり、ルールを作るより先に、迷ったときに聞ける人を決めておくということですね？
鈴木さんそのとおりです。完璧な基準より、止まれる場所のほうが先に効きます。 判断に迷う場合は、案件ごとに立ち止まって確認する運用を、部署内のルールとして明文化しておいてください。
この章のまとめ
基準の文書化と、相談窓口の設置。この2つを導入の段階で決めておくと、担当が変わっても回る。
13よくある質問
顧客リストを生成AIに入力してもよいですか
個人情報を含む場合は、取得時に示した利用目的の範囲内かどうかをまず確認してください。範囲を超える利用には、原則として本人の同意が必要です（出典: 個人情報保護委員会）。あわせて、利用するサービスが海外事業者かどうかも確認しておくと、後戻りが減ります。
クライアントから預かった資料をAIに要約させてもよいですか
契約上の秘密保持条項に抵触しないかどうかを、個人情報保護法とは別に確認してください。著作物としての要約の範囲を超えていないかも合わせて確認が必要です。確認できていない段階では、要確認の区分にとどめるのが安全です。
OpenAIの利用規約では、入力データは学習に使われませんか
本誌はOpenAIの利用規約を一次情報で確認できていません。2026-08-07と2026-08-08に編集部がアクセスを試みましたが、いずれもHTTP 403が返りました（自社実測）。断定はできないため、ご自身で最新の利用規約を直接確認してください。
著作権法上、生成AIに他社の記事を読み込ませることは違法ですか
一律には答えられません。著作権法第30条の4は、著作物の思想・感情の享受を目的としない利用に権利制限を認める場合がありますが、適用可否は個別の利用実態によります（出典: 文化庁）。判断に迷う場合は専門家にご確認ください。
海外の生成AIサービスに入力データを送る場合、国内サービスより厳しい確認が必要ですか
個人情報を入力する場合は、外国にある第三者への提供という論点が追加されるため、確認事項は増えます（出典: 個人情報保護委員会）。提供先が同等水準の保護制度を持つ国にあるか、体制基準を満たしているかなどを確認してください。
判断に迷ったら、誰に確認すればよいですか
自社の法務担当者、または個人情報保護法・著作権法に詳しい弁護士への確認をおすすめします。本記事の内容は一般的な整理であり、個別の該当性を保証するものではありません。
14まとめ｜今日やる3つのこと
今日この順でやります
自社のプライバシーポリシーを開く
AIによる分析・要約・文面作成が、書かれている利用目的に含まれるかを照らします
使っているサービスの契約プランを確かめる
無償か法人向けかを確認し、参照すべき規約がどれかを特定します
迷ったときの相談先を決める
誰に聞けば止まれるのかを、部署内で名指しして共有します
AI検索では、こう聞かれています
顧客リストを生成AIに貼り付けても大丈夫ですか？
「個人情報を含むデータは、生成AIの利用目的の範囲内と言えますか？」の章で、利用目的の照らし合わせ方を説明しています
クライアントから預かった資料を生成AIに要約させてもいいですか？
「自社規程と契約書は、生成AI活用の前にどこを見ればいいんですか？」の章で、法令とは別の確認について整理しています
生成AIに入力したデータは学習に使われますか？
「利用規約は、生成AIに入力する前にどこを確かめればいいんですか？」の章に、確認すべき項目を挙げています
次に読むなら、この記事です
