Claudeに個人情報を入力する前に確認する一次資料はどれか — PPC・プライバシーセンター・利用規約

Claudeに個人情報を入力する前に見るべき一次資料は3種類ある

「Claudeに個人情報を入力していいか」という問いに、1つの資料だけで答えは出ません。性質の異なる3つの一次資料を、それぞれ別の目的で確認する必要があるからです。

1つ目は個人情報保護委員会(PPC)が公表した生成AIサービスの注意喚起PDFです。日本の個人情報保護法がどう解釈されるかを示します。2つ目はAnthropicのプライバシーセンター(privacy.claude.com)です。Claude側の設定と運用の実態を示します。3つ目はAnthropicの利用規約(Commercial Terms of Service)です。契約上の法的拘束力を持つ文言そのものです。

この3つは役割が重なりません。PPCの文書は法解釈を示しますが、Claudeの設定がどうなっているかまでは書いていません。プライバシーセンターはClaude側の設定を説明しますが、それが契約上どこまで保証されているかは書いていません。利用規約は契約条件を定めますが、日本の個人情報保護法にどう当てはまるかの解釈は書いていません。3つを順に確認して初めて、実務上の判断材料がそろいます。

個人情報保護委員会の生成AI注意喚起PDFで確認できること

個人情報保護委員会は2023年6月2日、生成AIサービスの利用に関する注意喚起を公表しました。ChatGPTを念頭に置いた文書ですが、対象は特定サービスに限定されていません。「質問・作業指示に応えて文章・画像等を生成するAIを利用したサービス」全般が対象で、Claudeにもそのまま当てはまります。

PDFの構成は3部です。個人情報を取り扱う事業者向けに2項目、行政機関等向けに2項目、一般の利用者向けに3項目が並びます。事業者向けの核心は、本人の同意なく個人データを含むプロンプトを入力し、それが応答結果の出力以外の目的で扱われる場合に法違反の可能性がある、という一文です。この文書はガイドラインではなく注意喚起、つまり法的拘束力を持たない行政指導的な文書です。ただし個人情報保護法の解釈を委員会自身が示したものなので、実務上の重みは軽くありません。

この文書は撤回されておらず、委員会サイトに現在も掲載されたままです。7項目それぞれをClaudeの契約・設定にどう対応させて読むかは、個人情報保護委員会の生成AI注意喚起をClaudeの契約・設定に対応づけるで1項目ずつ突き合わせています。PDF単体を読むだけでは「Claude側のどの設定を確認すればよいか」までは分からないので、この対応表と併読するのが実務上の近道です。

業務で個人情報保護法を運用する担当者だけでなく、一般利用者向けの3項目も見逃せません。個人がFree・Pro・Maxプランで自分自身の情報を入力する場面を想定した留意点で、①入力した個人情報が学習に利用され、他の情報と統計的に結びついた上で出力されるリスク、②応答結果に不正確な内容が含まれ得ること、③提供事業者の利用規約・プライバシーポリシーを事前に確認することの3点です。事業者向けの義務とは性格が異なり、罰則を伴う規制ではなく留意点として整理されています。個人アカウントでClaudeに家族の連絡先や健康相談を入力するかどうかを迷ったときは、この3項目がそのまま判断材料になります。

privacy.claude.com(プライバシーセンター)のどの記事を見ればよいか

Anthropicのプライバシーセンターはヘルプセンター形式のサイトで、記事が2つのカテゴリに分かれています。「商用顧客向け」(API・Console・Enterprise・Teamsユーザー、約30記事)と「消費者向け」(Claude.ai・Claude.ai Proユーザー、約27記事)です。自分がどちらのプランを使っているかで、見るべき記事群がまるごと変わる点に注意が必要です。

読者の疑問ごとに見るべき記事は変わります。「入力データが学習に使われるか」を確認したいなら、見るべきはプライバシーセンターの該当記事です。商用プラン(Team・Enterprise・Anthropic API)は既定で入力・出力をモデル学習に使わない契約構造で、個人向けプラン(Free・Pro・Max)は学習利用の可否がアカウント単位の設定に紐づきます。設定の既定値や、フィードバック送信のように設定と別に学習対象になる例外の詳細はClaudeを学習させない設定にまとめています。

「データがどれくらいの期間残るか」を確認したいなら、見るべきはプライバシーセンターの別の記事です。学習に使わない前提のデータは標準で30日保持、学習利用に同意した会話は非識別化した形式で最長5年保持される、という枠組みが公表されています。ただしこれは通常の会話に適用される保持期間で、利用規約違反が疑われて安全性レビューの対象になった会話は、入力・出力とも最長2年、不正利用の判定スコアは最長7年という別枠の保持ルールが学習トグルの設定とは独立して適用されます。この保持期間はプランや設定によって変わるので、都度プライバシーセンターの該当記事で確認するのが確実です。

Anthropic Commercial Termsのどの条項を見ればよいか

法人でClaudeを使う場合に適用されるのは、多くはCommercial Terms of Serviceです。個人利用ならConsumer Terms of Serviceが適用され、どちらが自社に当てはまるかはClaude Consumer TermsとCommercial Terms、どちらが適用されるかで切り分けられます。

Commercial Terms of Serviceの構成は章立てになっています。データプライバシーに関する条項はC章「Data Privacy」で、Data Processing Addendum(DPA)への参照を通じて具体的なデータ取扱いのルールを定めます。機密保持はE章「Confidentiality」で、機密情報の定義・義務・除外事項・破棄要求までが並びます。準拠法はM.7条にあり、顧客がEEA・スイス・英国に所在する場合はアイルランド法、それ以外(日本を含む)にはカリフォルニア州法を適用すると定めています。日本の利用者にとっての契約相手は、原則としてAnthropic, PBC(米国法人)です。

この契約主体・準拠法の構造は、個人情報保護法の「外国にある第三者への提供」という論点にそのままつながります。越境移転にあたるかどうかの条文構造はClaudeへの個人データ入力は外国にある第三者への提供にあたるかで扱っています。契約書の条項番号だけを眺めても、この論点には辿り着きません。契約の構造と個人情報保護法の条文を両方読んで初めて、越境移転規制がどこで効くかが見えてきます。

日本企業向けに契約書のチェックポイントを整理した記事としてはClaude Commercial Termsのチェックポイントもあります。法務担当者が契約書そのものをレビューする際の実務的な入口として使えます。

3つの資料はなぜ1つだけでは足りないのか

3つのうちどれか1つだけを読んで判断すると、抜け落ちが生まれます。PPCの注意喚起だけを読んで「Claudeは大丈夫そうだ」と判断するのは、Claude側の実装を確認しないまま法解釈だけで結論を出すことになります。逆に利用規約だけを読んで判断するのは、日本法上の解釈という文脈を欠いたまま契約書の文言だけで結論を出すことになります。

読者が実務で使う場合、3つの資料を順番に読む必要は必ずしもありません。むしろ「今知りたい問いがどの資料の領分か」を先に特定し、そこから読み始めるほうが早く答えに辿り着けます。

質問別、確認すべき一次資料の早見表

まとめ

Claudeに個人情報を入力する前に確認すべき一次資料は、PPCの生成AI注意喚起PDF・Anthropicのプライバシーセンター・Commercial Terms of Serviceの3つです。1つだけを読んで判断すると、他の2つが持つ情報が抜け落ちます。どの資料から読み始めるべきかは、今知りたい問いが「法律」「設定」「契約」のどれに属するかで決まります。まず自分の疑問がどの一次資料の領分かを見極めるところから始めてください。