個人情報保護委員会の生成AI注意喚起はClaudeの対応表で読む
個人情報保護委員会が2023年に出した生成AI注意喚起の各項目を、Claudeの契約・設定にどう対応させて確認すればよいかをまとめます。法的助言ではなく確認材料の提示です。
2023年の生成AI注意喚起は何を求めているか
個人情報保護法を所管する委員会は2023年6月2日、「生成AIサービスの利用に関する注意喚起等」を公表しました。ChatGPTを念頭に置いた文書ですが、対象は「質問・作業指示に応えて文章・画像等を生成するAIを利用したサービス」全般です。特定のサービス名に限定されておらず、Claudeを含む生成AIサービスの利用にもそのまま当てはまります。
構成は3部です。個人情報を取り扱う事業者向けに2項目、行政機関等向けに2項目、一般の利用者向けに3項目。事業者向けの2項目のうち2点目が実質的な核心で、「あらかじめ本人の同意を得ることなく生成AIサービスに個人データを含むプロンプトを入力し、当該個人データが当該プロンプトに対する応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性がある」と述べています。委員会は確認の対象まで名指しし、「生成AIサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること」を求めています。
この文書はガイドラインではなく注意喚起、つまり法的拘束力を持たない行政指導的な文書です。ただし個人情報保護法の解釈を委員会自身が示したものである点で、実務上の重みは軽くありません。以下、7項目をClaudeの契約・設定に対応させて確認します。
事業者向け2項目とClaudeの対応関係
事業者向けの注意点は次の2つです。
| 注意喚起の項目 | 確認の対象 | Claude側で確認できる材料 |
|---|---|---|
| ①利用目的の範囲内であること | 確認の対象特定した利用目的を超えてプロンプトに個人情報を入れていないか | Claude側で確認できる材料自社の利用目的の特定は自社の運用管理の問題で、Claude側の設定では代替できない |
| ②機械学習に使われないことの確認 | 確認の対象応答結果の出力以外の目的で個人データが取り扱われないか | Claude側で確認できる材料商用プラン(Team・Enterprise・Anthropic API)は既定で入力・出力をモデル学習に使わない契約構造。個人向けプラン(Free・Pro・Max)はアカウント単位の学習設定に左右される |
②が事実上の分岐点です。Anthropicは商用製品について「デフォルトでは、Claude for Work・Anthropic API・Claude Gov等からの入力・出力をモデル学習に使用しない」と明記しています。Commercial Terms of Serviceに付随するData Processing Addendum(DPA)は、データの取扱いを契約上の指示の範囲に限定する構成です。委員会が求める「機械学習に利用しないこと等の確認」は、商用プランであればこの2文書を読むことで確認できます。
個人向けプランは、学習利用の可否がアカウント単位の設定に紐づいています。設定の既定や、フィードバック送信のように設定とは別に学習対象になる例外の詳細はClaudeを学習させない設定にまとめています。業務で個人情報を扱う判断をする場面では、契約書を確認すれば済む商用プランと違い、アカウント設定を都度確認する運用が必要になる点が実務上のギャップです。
行政機関等向け2項目は民間のClaude利用にどう関わるか
行政機関等向けの2項目は、行政機関等(国の機関・地方公共団体の機関・独立行政法人等)を名宛人とする規律で、民間企業には直接適用されません。ただし構造は事業者向けと同型です。「特定された利用目的のための必要最小限の利用又は提供であることの確認」「保有個人情報が応答結果の出力以外の目的で取り扱われる場合の違反リスク」という2点は、事業者向け注意点の「利用目的」「機械学習不使用の確認」とほぼ対応しています。
行政機関等がClaudeを含む生成AIサービスを業務利用する場合、この2項目がそのまま適用されます。事業者向けの②と同じく、契約先の事業者が保有個人情報を機械学習に利用しないことの確認が求められます。「必要最小限」の判断基準が事業者向けの「利用目的の範囲内」と同一かどうかは注意喚起の文言だけからは読み取れず、いずれにせよ契約では代替できない自庁側の判断事項である点は共通しています。
行政機関等の場合、調達段階で情報セキュリティ・個人情報保護の要件をどこまで契約書に落とし込めるかが実務上の焦点になります。Claudeの商用プランが提供するCommercial Terms of ServiceとDPAは民間向けの標準契約であり、行政機関等の調達要件をそのまま満たすとは限りません。個別の調達仕様に照らした確認が別途必要です。
一般利用者向け3項目とClaude個人プランの対応関係
一般の利用者向け3項目は、法的な違反可能性ではなく「留意点」として整理されています。
- 入力した個人情報が機械学習に利用され、他の情報と統計的に結びついた上で、正確または不正確な内容で出力されるリスクがある
- 応答結果に不正確な内容が含まれることがある
- 提供事業者の利用規約・プライバシーポリシーを確認した上で利用を判断する
1点目は前節で触れた学習利用の設定にそのまま対応します。3点目は、ClaudeであればConsumer Terms of Service(個人向け)またはCommercial Terms of Service(法人向け)とPrivacy Policyの該当箇所です。
データの保持期間も判断材料の一つです。学習に使わない前提のデータは標準で30日保持、学習利用に同意した会話は非識別化した形式で最長5年保持される、という枠組みが公表されています。
契約主体が地域によって異なる点も確認材料になります。Commercial Terms of Serviceは、顧客がEEA・スイス・英国に所在する場合はアイルランド法、それ以外(日本を含む)にはカリフォルニア州法を適用すると定めており、日本の利用者にとっての契約相手は原則としてAnthropic, PBC(米国法人)です。この点は外国にある第三者への提供に関わる別の論点で、越境移転の考え方はClaudeへの個人データ入力は外国にある第三者への提供にあたるかで扱っています。
この注意喚起はいまも有効か
2023年6月の注意喚起そのものは撤回されておらず、委員会の公式サイトに現在も掲載されています。ただし個人情報保護法そのものは動いています。令和8年(2026年)7月10日、「個人情報の保護に関する法律等の一部を改正する法律」が国会で成立しました。改正の柱の一つは、統計情報等の作成にのみ利用される場合の第三者提供・要配慮個人情報の取得について、本人同意を不要とする規定の新設です。
この改正は統計情報等の作成に利用される場面を対象としており、生成AIサービスを提供する事業者側がデータを収集・学習に使う場面もその一形態として含まれ得ると読めます。施行期日は公布日から起算して2年を超えない範囲内とされており、まだ施行されていません。政令・規則・ガイドラインの整備も進行中の段階にあります。したがって、2023年の注意喚起が示す「機械学習に利用しないことの確認」という実務対応は、当面そのまま維持する必要があります。改正法が施行された段階で、統計利用目的の扱いに変更が生じないかを改めて確認する価値はあります。
よくある質問
注意喚起に違反すると罰則があるか
注意喚起自体には罰則がありません。ガイドラインでもなく、委員会が法律の解釈を示した行政指導的な文書です。ただし注意喚起が示す解釈の根拠は個人情報保護法の本体にあり、法違反が認定されれば勧告・命令等の対象になり得ます。
ChatGPTだけでなくClaudeにも同じ考え方が当てはまるか
はい。注意喚起の対象は「生成AIサービス」全般で、特定のサービス名に限定されていません。別添2でOpenAIへの個別の注意喚起が触れられていますが、これは要配慮個人情報の取得等に関する別件の措置です。本文(別添1)の一般的な注意点はサービスを問わず適用されます。
学習利用をオフにすれば、事業者としての義務はすべて満たされるか
学習利用をオフにすれば、注意点②が懸念する「応答結果の出力以外の目的での取扱い」の主要な経路は塞げます。ただし業務で個人情報を扱う場合、利用目的の特定(注意点①)や委託先の監督といった、個人情報保護法が定める他の義務は別途残ります。この点は個人情報を含むプロンプト入力は第三者提供にあたるかで掘り下げています。
まとめ
2023年の生成AI注意喚起は、生成AIサービス全般に当てはまり、Claudeも例外ではありません。事業者にとっての実務対応は、①プロンプトに入れる個人情報を利用目的の範囲内に収めること、②入力データが機械学習に使われないことを契約文書または設定で確認すること、の2点に集約されます。②の確認先はプランによって異なり、商用プランはCommercial Terms of ServiceとDPA、個人向けプランはアカウントの学習設定です。2026年の法改正は統計利用目的の不同意特例を新設しますが、まだ施行されていません。注意喚起が示す実務対応を変える必要はありません。個々の取扱いが適法かどうかの最終判断は、自社の利用目的・データの性質を踏まえて個別に行う必要があります。