AIに顧客情報を入れていい？｜感覚ではなく契約・規約から決める——対面セミナーで「一番聞きたかった」と言われた質問

公開日：2026年9月11日

「顧客から預かった情報を、AIに入れていいのだろうか」。前編のAIに個人情報はどこまで入力していい？では、この問いを「どの業務の、どの部分まで任せるか」という業務単位の線引きで整理しました。今回はその続編として、線引きの先にあるもうひとつのレイヤー——顧客との合意形成、つまり契約・規約の話をします。

先に結論です。AIに顧客情報を入れていいかどうかは、危険か安全かの感覚では決まりません。決めるのは、顧客と交わしている契約書や自分のサービスの利用規約に何が書いてあるか——そして、それを縛る法令や社内の規定です。

前提をひとつ置かせてください。契約・規約の話は、扱う情報の種類・業種の法令・既存の契約内容によって結論が変わる領域です。この記事は考え方を整理する一般論であり、法的助言ではありません。個別の判断は、弁護士などの専門家に確認してください。

AIに顧客情報を入れていいかの決め方: 危険か安全かの感覚論ではなく、顧客と交わしている契約・規約に何が書いてあるかで判断します。実務では「この情報をAIに入れて処理する」ことを契約書・規約に明記しておく動きが増えており、明記が難しい相手には個人情報をマスキングして渡す方法もあります。個別の可否は契約内容・法令によって変わるため、専門家への確認が前提です。

対面セミナーで「一番聞きたかった」と前置きされた質問

2026年8月29日、東京・銀座で開催されたSTUDY HACKER共催の対面セミナー「非エンジニアのための Codex 入門」（登壇レポート）の質疑で、参加者の方から「セキュリティはどこまで担保されるのか、個人情報をどこまで言っていいのか」という質問が出ました。当日「一番聞きたかった」と前置きされた質問です。

みやっち🧑‍💻はその場で、「そこだけで一つのビジネスができるぐらいの重要な話」だと答えています。顧客のデータを預かる仕事——士業・受託業・コンサル業——でAIを使おうとすると、経営者・個人事業主を問わず、まずここで立ち止まることになるからです。

同じ問いは、この日だけのものではありません。前編のきっかけになった社労士中心の勉強会（登壇レポート）でも、事前アンケートで個人情報・顧客データの扱いに触れた方が複数いました。聞かれる場所が変わっても、質問の中身は同じです。

そしてこの質問に、「安全です」とも「危険です」とも答えられません。答えの置き場所が、そもそも感覚ではないからです。

プラン選択で一定は担保される。ただし規約は自分で読む

判断の前段として、AIサービス側の整理から始めます。プランと設定を選ぶことで、入力したデータの扱いについて一定は整理できます。たとえば、既定で入力内容が学習に使われない法人向けプランを提供するサービスもあります。一方、個人向けプランは有料に上げただけで扱いが変わるとは限らず、学習に使うかどうかを設定で決めるサービスもあります。いずれにしても、利用するサービスの規約と設定画面を自分で確認したうえでの話です。データの扱いはサービスとプランごとに違い、変わることもあります。Claude Codeの権限の仕組みやプランごとのデータの扱いは、Claude Codeのセキュリティで整理しています。

そのうえで押さえたいのは、プランや設定の選択で整理できるのはAIの提供元と自分のあいだのデータの扱いだ、という点です。顧客と自分のあいだの合意は、プランをいくら選んでも生まれません。

たとえば、クライアントから預かった資料をAIで整理するケースを考えてみてください。法人向けプランを選んで、入力内容が学習に使われなくなったとしても、「クライアントがその処理を了承しているか」は一歩も前に進んでいません。前者はAIの提供元との規約の話、後者は顧客との契約の話。レイヤーが違うのです。ここから先が、この記事の本題です。

「この情報をAIに入れる」と契約・規約に明記しておく実務が広がりつつある

では、顧客との合意はどう作るか。みやっち🧑‍💻がセミナーで紹介したのは、「このユーザーの情報をAIに入れて処理する」という趣旨の一文を、顧客と交わす契約書や自分のサービスの利用規約にあらかじめ明記しておく、という実務です。感覚で悩む代わりに、合意そのものを文書にしておく。みやっち🧑‍💻の見ている範囲でも、この明記を入れておく動きは増えています。

文書にしておくことには、もうひとつの効き目があります。顧客から「うちの情報はAIでどう扱われるのか」と聞かれたときに、その場の言葉ではなく、契約・規約を根拠に説明できることです。感覚で運用しているあいだは、この質問に答えるたびに歯切れが悪くなります。合意が文書になっていれば、説明はいつ聞かれても同じで、揺れません。

ただし、契約書にこう書けば大丈夫、という話ではありません。どんな文言なら足りるのか、明記だけで済むのかは、扱う情報の種類・業種の法令・既存の契約との関係で変わります。契約書や規約に手を入れるときは、必ず弁護士などの専門家に確認してください。持ち帰ってほしいのは特定の文言ではなく、顧客との合意を雰囲気ではなく文書のレイヤーで設計するという考え方です。

明記が難しい相手には、マスキングして入れて戻す方法がある

契約や規約への明記が、すぐには現実的でない相手もいます。セミナーで挙がったのは、大企業や老舗企業のように、AIで処理することの理解を得るのに時間がかかる相手です。そうした場合に向けて、個人情報にいったんマスキング（名前などを伏せ字にする加工）をしてからAIに入れ、出てきた成果物の伏せ字を元の情報に戻す、という工程を挟む方法があります。

これも、マスキングすれば何を入れても安全になる、という意味ではありません。名前を伏せても、ほかの情報との組み合わせで個人を特定できる場合があることは、前編のよくある質問で触れたとおりです。マスキングは、合意形成が難しい局面でリスクを抑えて進めるための選択肢のひとつであり、法的な評価を保証する仕組みではありません。どの程度の加工なら足りるかも、個別に確認が要る領域です。

入れるか入れないかの二択ではなく、契約と加工の設計の問題

ここまでを並べると、冒頭の問いの形が変わっているはずです。感覚論のままだと、「怖いから全部やめておく」か「たぶん大丈夫だろうと入れてしまう」かのどちらかに落ちがちで、どちらももったいない着地です。判断基準を契約・規約に載せ替えると、やることが具体的な作業に変わります。まず、今結んでいる契約書と、利用しているAIサービスの規約を読み直すところから始めてください。そのうえで、これから交わす契約にどう書くかを専門家と設計する、明記が難しい相手にはマスキングの工程を用意する、と進んでいけます。

契約で「ここまで入れてよい」という線が決まったあとは、その線を日々の運用で守る仕組みが要ります。チャット画面に貼り付ける使い方では、線を守るのは毎回の人間の注意力です。Claude Code・CodexのようなAIエージェントなら、渡すフォルダを区切る、特定の情報へのアクセスを機械的にブロックするといった形で、決めた線を仕組みとして運用できます。みやっち🧑‍💻の会社でも、AIに読ませない情報・触らせないサービスを、文章のルールと機械的なブロックの両方で運用しています。契約のレイヤーで合意を作り、運用のレイヤーで線を守る。前編の3つの物差しとつなげると、「顧客情報とAI」の全体像がここで一本の線になります。

結論は自社の契約・法令・規定でしか決まらない

念押しをひとつ。この記事で紹介した明記の実務もマスキングも、こうすれば大丈夫という保証ではありません。同じ業種でも、契約の内容・扱う情報・準拠する法令・社内規定によって、できる範囲は変わります。契約書や規約の設計、加工の程度の判断は、弁護士などの専門家に相談しながら進めてください。本記事は法的助言ではありません。

よくある質問

今の契約書にAIのことは何も書かれていません。顧客情報を入れてはいけないのですか

一律には言えません。書かれていないことが直ちに禁止を意味するかどうかは、契約全体の内容・扱う情報の種類・業種の法令によって変わります。まず現行の契約書と利用中のサービスの規約を読み、判断に迷う箇所を弁護士などの専門家に確認してください。そのうえで、次の契約更新や規約改定のタイミングで明記を検討するのが、この記事で紹介した実務の方向です。

法人向けプランを契約すれば、顧客情報を入れても問題ありませんか

プラン選択で整理できるのは、主にAIの提供元と自分のあいだのデータの扱い（入力内容が学習に使われるかどうかなど）です。それ自体は大事な前提ですが、顧客と自分のあいだの合意は別のレイヤーの問題として残ります。プランと規約の確認、顧客との合意の設計、この両方を確認してください。

利用規約は、どこから読めばいいですか

全文を一度に読み切る必要はありません。まず、入力したデータの扱いに関する部分——学習への利用の有無、保存と削除、第三者への提供——から読み始めてください。データの取り扱いをまとめた解説ページを公式サイトに用意しているサービスもあり、そこも入口になります。読んでも判断がつかない箇所は、そのまま専門家への相談メモになります。