データプライバシーとは

データプライバシーとは、個人情報や機密データが、本人や持ち主の想定を超えて集められたり、使われたり、漏れたりしないように守る考え方のことです。読み方は「でーたぷらいばしー」、英語では data privacy と書きます。

よく並べられるセキュリティとは、見ている場所が違います。暗号化やアクセス制御のように「データを外から守る手段」がセキュリティで、「誰のデータを、何の目的で、どこまで使ってよいか」という決まりの側がプライバシーです。守りが固くても、預かった目的と違う使い方をすればプライバシーの問題になります。

日本の個人情報保護法では、個人情報を「生存する個人に関する情報」で、氏名や生年月日などにより特定の個人を識別できるものと定めています。他の情報と容易に照らし合わせて識別できるものも含みます。病歴や犯罪の経歴など、差別や偏見につながりうる情報は「要配慮個人情報」として、特に慎重な扱いが求められます（個人情報の保護に関する法律（e-Gov 法令検索）第2条）。

生成AIのサービスに文章を入力すると、その内容は提供者のサーバーに送られて処理されます。個人情報保護委員会は一般の利用者向けに、次の2つのリスクを挙げています。

• 入力された個人情報が機械学習に使われ、他の情報と統計的に結びついたうえで、正確または不正確な内容で出力されるおそれがあること。
• 応答は確率的な相関関係にもとづいて作られるため、不正確な内容の個人情報が含まれるおそれがあること。

つまり、心配すべきなのは「漏れる」ことだけではありません。自分や他人について、事実と違う内容が作られて広がることも、プライバシーの問題に含まれます。

個人情報保護委員会は2023年6月2日に生成AIサービスの利用に関する注意喚起等（個人情報保護委員会）を公表しました。事業者向けの要点は次の2つです。

1. 個人情報を含むプロンプトを入れるときは、その情報を預かったときに決めた利用目的の範囲内かを十分に確かめること。
2. 本人の同意なく個人データを入力し、それが応答の出力以外の目的で扱われる場合、法律の規定に違反する可能性があること。そのため、提供者がそのデータを機械学習に使わないこと等を十分に確かめること。

一般の利用者に対しては、提供者の利用規約やプライバシーポリシーを確かめたうえで判断するよう求めています（注意喚起の本文（個人情報保護委員会、PDF））。

• エラーの調査：本番のログをそのままAIに貼ると、メールアドレスや注文履歴まで送ってしまいます。貼る前に user@example.com のような架空の値に置き換えます。
• AIコーディングエージェントに作業を任せるとき：顧客データの CSV や .env を読める状態だと、中身が会話ごと送られることがあります。読ませないファイルは設定で除外します。
• 自分のアプリにAIを組み込むとき：利用者の入力を外部のAPIに送るなら、その送り先と目的をプライバシーポリシーに書きます。送り先の提供者が入力をどう扱うかも、規約で確かめておきます。

• 誤解：名前を消せば個人情報ではなくなる → 実際：法律の定義は、他の情報と容易に照らし合わせて個人を識別できるものも含みます。社員番号と部署名が残っていれば、誰のことかは分かります。
• 誤解：どのAIサービスも入力を学習に使う（または使わない） → 実際：扱いはサービスや契約、設定によって違います。思い込みで判断せず、利用規約とプライバシーポリシーで確かめます。
• 誤解：社内だけで使うなら関係ない → 実際：社内利用でも、預かったときの利用目的を超えて使えば問題になります。委員会の注意喚起も、利用目的の範囲内かの確認を最初に挙げています。

1. これは誰の情報か：自分のものか、顧客や同僚のものか。他人の情報なら、次の問いに進みます。
2. 何の目的で預かったか：AIに入れることが、その目的の範囲に収まっているかを考えます。
3. 送り先でどう扱われるか：学習に使われるか、どのくらい保存されるかを規約で確かめます。分からなければ入れません。

3つとも答えにくいときは、架空のデータに置き換えて試すのがいちばん手軽です。APIキーのような秘密情報は、そもそもプロンプトに入れず環境変数で扱います。

• プロンプトインジェクション
• ガードレール
• AIリテラシー
• バイアス
• 学習データ
• APIキー
• 環境変数

• 生成AIリテラシー：安全に使うための基礎知識
• AIコーディングエージェント導入のセキュリティチェックリスト2026
• エラーをAIに直させる手順：貼り方・情報の渡し方・切り分け

• 生成AIサービスの利用に関する注意喚起等（個人情報保護委員会）
• 注意喚起の本文（個人情報保護委員会、PDF）
• 個人情報の保護に関する法律（e-Gov 法令検索）

Q1. データプライバシーとは何ですか？
個人情報や機密データが、本人や持ち主の想定を超えて集められたり、使われたり、漏れたりしないように守る考え方です。誰のデータを何の目的でどこまで使ってよいか、という決まりの側を指します。

Q2. セキュリティとは何が違いますか？
セキュリティは暗号化やアクセス制御など、データを外から守る手段です。データプライバシーは、預かったデータを目的の範囲で使うという決まりの側です。守りが固くても、目的外に使えばプライバシーの問題になります。

Q3. 生成AIに個人情報を入力してもよいですか？
一律には決まりません。個人情報保護委員会は、事業者に対して利用目的の範囲内かを確かめること、提供者が機械学習に使わないこと等を確かめることを求めています。迷うときは架空のデータに置き換えて試します。

Q4. 名前を消せば個人情報ではなくなりますか？
なくならない場合があります。個人情報保護法の定義は、他の情報と容易に照らし合わせて特定の個人を識別できるものも含みます。社員番号や部署名などが残っていないかも確かめます。