金融庁AIディスカッションペーパーが指摘する個人情報保護の論点

金融機関が生成AIで最も難化したと感じた論点は個人情報保護

金融庁は2025年3月4日、「金融機関等におけるAIの活用実態と健全な利活用の促進に向けた初期的な論点整理」と題するAIディスカッションペーパーを公表しました。2026年3月3日には内容を更新した第1.1版が公表されています。アンケート・ヒアリングをもとにした金融機関の生の声を集めた文書で、生成AI導入を検討する事業者が制度面で何を気にしているかが具体的に読み取れます。

文書がまとめた「生成AIにより特に難化した課題」の一覧の中で、最も多くの金融機関等が挙げたのが個人情報保護でした。データベース設計・データセキュリティ・モデル検証・説明可能性など他の論点も並びますが、個人情報保護が突出して回答数が多かった項目です。ディスカッションペーパー自体も「生成AIにより課題が難化したと感じている金融機関等が最も多かったのが個人情報保護であり」と明記しています。

どこが「わかりにくい」とされたか

金融機関がわかりにくいと感じている点として、文書は3つの場面を挙げています。1つ目は学習データとして自社の顧客情報を含む個人情報を扱う場合の規律の適用関係です。2つ目は生成AIの利用時に顧客情報等の個人情報を含むプロンプトを入力する場合の規律の適用関係です。3つ目はAIモデルの開発・学習を外部ベンダーに委託する場合や、海外にサーバーを置く生成AIプラットフォームを利用する場合の規律の適用関係です。

いずれも「違法かどうか」ではなく「既存の個人情報保護法の規定がどう当てはまるか整理がつきにくい」という訴えである点が特徴です。生成AI固有の新しい規制が求められているというより、既存法令の解釈適用の明確化を求める声が中心になっています。

金融機関が実際に取り組んでいる対策

ディスカッションペーパーはアンケート・ヒアリングで確認できた対応事例も紹介しています。個人情報を生成AIサービスに入力しないことを徹底するため、個人情報保護委員会からの通達を含めて社内の事務連絡文書で全職員へ注意喚起している金融機関があります。顧客情報の入力をシステムで自動的に制限できないか検討している先も確認されました。

入力データが再学習に使われるのを防ぐために専用区間を設けている先、外部ベンダーとの契約書・覚書でデータの取扱範囲を明文化している先、インシデント発生時に速やかにトレースできるようログ管理を徹底している先もあります。これらは特定のAIサービスに限らない一般的な対策ですが、Claudeを業務で使う場合にも同じ発想がそのまま当てはまります。

3つの「わかりにくい場面」と、ディスカッションペーパーが紹介する対応事例の対応関係は次のとおりです。

いずれも技術的な統制と契約・運用面の統制を組み合わせている点が共通しています。個人情報を含むプロンプトを入力する場合の論点整理は個人情報を含むプロンプト入力は第三者提供にあたるか、AnthropicのDPA・商用契約条項との対応づけは個人情報保護委員会の生成AI注意喚起を、Claudeの契約・設定に対応づけるで扱っています。

個人情報保護は「規制の明確化を求める声」でも1位

文書の終盤、金融庁は今後の対応の方向性として、アンケートで規制の適用関係の明確化を求める回答が多かった論点を順に並べています。個人情報保護、AIガバナンス、モデル・リスク管理、サイバーセキュリティの順で明確化を求める声が多いと述べており、ここでも個人情報保護が最上位です。図表でも同じ4つの論点が並んで挙げられています。

金融庁自身の姿勢は明確です。個人情報保護を含むこれらの論点について、AI利用の有無に関わらず適用される既存の法令・監督指針・原則・ガイドラインに沿った対応を金融機関等に促していく方針で、生成AI専用の新法整備を急ぐ方向ではありません。重大な規制上のギャップが見つかった場合でも、まずは原則やガイドラインの改定を検討するという段階的なアプローチを取ると明記されています。

個人情報保護委員会の議論も並行して進んでいる

ディスカッションペーパーは、個人情報保護委員会が2025年2月、統計作成等であると整理できるAI開発等における本人同意の在り方についてステークホルダーとの議論を続けながら整理していく旨を公表したことにも触れています。金融庁は今後、この議論や整理の内容を踏まえて必要な対応を検討するとしており、個人情報保護法そのものの解釈整理は個人情報保護委員会側、金融分野固有の実務適用は金融庁側という役割分担が続く見通しです。

ディスカッションペーパーはこのほかに、AI戦略会議のもとに設置された「AI制度研究会」が2025年2月に公表した中間とりまとめにも触れています。金融サービスを含む国民生活・経済活動の基盤インフラについては各業所管省庁が既存の法令・ガイドライン体系のもとで対応すべきこと、新たなリスクが顕在化し既存の枠組みで対応できない場合には枠組みの解釈明確化や制度見直しを検討すべきことが示されたとしています。金融分野固有の生成AI規制を新設するより、既存の枠組みの解釈を明確化する方向性が、金融庁・AI制度研究会双方の足並みとして読み取れます。

個人情報保護委員会が2023年に出した生成AIサービス利用に関する注意喚起(個人情報を含むプロンプトを事前同意なく入力し、応答結果の出力以外の目的で取り扱われる場合は違反の可能性があるとする文書)は、金融分野に限らず生成AI利用の基礎になる文書です。金融機関がClaudeを含む生成AIを導入する際は、金融庁の論点整理と個人情報保護委員会の注意喚起の両方を踏まえておく必要があります。

情報漏洩リスクは個人情報保護と表裏一体で語られている

ディスカッションペーパーは情報セキュリティ・サイバーセキュリティの章でも、個人情報保護の論点を再び引き合いに出しています。クラウド型AIサービスと連携する場合、機密情報や顧客情報がサービス提供元に送信される可能性があり、プロンプトや出力内容がベンダー側の学習に利用されるリスクが懸念されると述べ、特に海外にサーバーを置くプラットフォームを用いる場合はデータの越境移転の管理が重要な課題になるとしています。

対応として、機密情報や個人情報の入力をシステム上で自動的に制限する仕組み(マスキング等)を検討している金融機関がある一方、完全にブロックできるわけではなく最終的には従業員教育や運用ルールの徹底に頼らざるを得ないという意見も紹介されています。技術的な統制と人的な統制を両輪で回す発想は、Claudeを含むどの生成AIサービスを選んでも共通する実務上の到達点だと言えそうです。

生成AI利用のガードレールとして挙げられた4つの管理策

ディスカッションペーパーは、金融機関が実装している生成AI利用のコントロールを4種類に整理しています。①出力データ(成果物)について検証・評価している、②利用目的を限定している、③入力データについて制約を課している、④入出力情報が適切に管理できるようなシステム環境としている、の4点です。回答は「管理している」「管理しているが改善の余地がある」「検討中」の3段階で集計されており、多くの金融機関が何らかの形でこれらのガードレールに着手していることが示されています。

一方で文書は、ガードレールを実装していても生成AIチャットボットへの敵対的入力を完全には防ぎきれないという課題にも言及しています。技術的な制約だけで個人情報保護を完結させるのは難しく、①〜④の仕組みと従業員教育・運用ルールの徹底を組み合わせる発想が実務上の到達点になっている点は、前節の情報漏洩リスクの議論とも一致します。

よくある質問

外部ベンダーとの契約書・覚書には何を書けばよいですか

ディスカッションペーパー自体は覚書の記載項目まで具体的に示しているわけではなく、「データの取扱範囲を明文化している先がある」という対応事例の紹介にとどまります。AnthropicのDPA・商用契約条項の各条項が金融庁の論点整理のどこに対応するかは個人情報保護委員会の生成AI注意喚起を、Claudeの契約・設定に対応づけるで個別に整理しています。

個人情報保護法の解釈は金融庁と個人情報保護委員会のどちらに聞けばよいですか

ディスカッションペーパーの記述からは役割分担が読み取れます。個人情報保護法そのものの解釈整理(本人同意の在り方など制度横断的な論点)は個人情報保護委員会側が担い、金融分野での実務適用(監督指針との整合など)は金融庁側が担うという構図です。金融庁は個人情報保護委員会の議論を踏まえて必要な対応を検討するとしており、一本化された窓口があるわけではありません。

まとめ

金融庁のAIディスカッションペーパーは、生成AI導入で金融機関が最も課題視している論点が個人情報保護であることを、アンケート結果と規制明確化への要望の両面から裏づけています。金融庁は既存法令の枠組みでの対応を基本方針としつつ、個人情報保護委員会の議論も踏まえて必要な対応を検討していく段階です。Claudeを含む生成AIを金融業務で使う担当者は、この論点整理を「どこまでが白でどこからが灰色か」を把握する材料として読み、個人情報を含むプロンプト入力・外部ベンダー委託・海外サーバー利用の3点について自社の運用ルールを点検することをおすすめします。金融業界での具体的な活用実務は金融業界のClaude活用ガイドで扱っています。