「生成AIに利用者の情報を入力することは、個人情報保護法上の『第三者提供』にあたるのではないか」——この疑問は、障がい福祉・介護事業所の管理者からよく聞かれるものです。結論からいえば、状況によって該当する場合としない場合があり、一律に答えを出すことは難しいテーマです。本記事ではチェックリスト形式で、どのような要素が「第三者提供」該当性の判断材料になるのかを整理します。
第三者提供とは何か（基本の確認）
個人情報保護法における「第三者提供」とは、個人データを、本人および提供元の事業者以外の第三者に渡す行為を指します。原則として本人の同意なく第三者提供を行うことはできません（法令に基づく場合など一部例外を除く）。生成AIサービスに個人データを入力することが、このAI事業者への「提供」にあたるかどうかが論点になります。
チェックリスト：第三者提供に該当しやすい要素
- 入力した個人データが、AI事業者のサーバーに保存され、事業者が内容を閲覧・利用できる状態になっている
- 入力内容がAIモデルの学習・改善のために利用される規約になっている
- AI事業者との間で「データを取り扱わない」旨の契約が結ばれていない
- 無料版・個人向けプランなど、企業としてのデータ管理契約を結んでいない
チェックリスト：第三者提供に該当しにくいと整理されやすい要素
- クラウド例外の考え方が適用できる契約内容（事業者がデータを取り扱わないことが契約上明確）になっている
- 法人向けプランで、入力データの学習利用がオプトアウトされている
- アクセス制御や暗号化など、技術的・組織的な安全管理措置が講じられている
- 委託契約として整理でき、法第27条第5項第1号の「委託に伴う提供」の要件を満たしている
第三者提供に該当するかどうかの判断がつかない場合でも、「委託」として整理し、委託先の監督義務（法第25条）を適切に果たすという方向で運用を組み立てる事業所も多くあります。委託として整理する場合も、委託先の選定基準や監督体制を書面で残しておくことが望ましいです。
「提供」と「委託」の違いを表で整理
| 区分 | 同意の要否 | 事業所の義務 |
|---|---|---|
| 通常の第三者提供 | 原則本人同意が必要 | 同意取得、提供記録の作成 |
| 委託に伴う提供（法27条5項1号） | 利用目的の範囲内であれば同意不要 | 委託先の適切な監督義務 |
| クラウド例外に該当する場合 | 提供自体に該当しないため同意不要 | 契約条項による取扱い制限の確認 |
生成AIサービスならではの注意点
委託先の監督義務を果たす、あるいはクラウド例外を主張するためには、いずれにしても「事業者がデータをどう扱うか」を契約・規約レベルで確認できることが前提になります。生成AIサービスの中には、入力データを学習に使うかどうかが選択制になっているものもあれば、規約上明記されていないものもあります。不明確なサービスをそのまま業務利用することは避け、確認が取れたサービスから優先的に導入することが現実的な対応です。
「委託だから同意は不要」と安易に判断するのは危険です。委託と整理するためには、委託先に対する必要かつ適切な監督（契約内容の確認、定期的なチェックなど）を行っていることが前提になります。
事業所としての実務対応の指針
結論として、生成AIの利用が第三者提供に該当するかどうかは、サービスの契約内容、データの扱われ方、事業所側の管理体制など複数の要素を総合的に見て判断する必要があり、断定的な結論を出すことは容易ではありません。判断に迷う場合は、弁護士や個人情報保護に詳しい専門家に相談しながら、少なくとも以下の実務対応は進めておくことをおすすめします。
- 利用する生成AIサービスの規約・データ取扱い方針を書面で確認し保管する
- 委託として整理する場合は、委託先選定の基準と監督記録を残す
- 要配慮個人情報を含む業務については、特に慎重にサービスを選定する
Hope Care AIでは、事業所向けにデータの取扱い方針を明確にしたうえでサービスを提供しています。詳細はセキュリティページ、機能の詳細は機能一覧をご覧ください。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。