顧客名簿を預けているクラウドや、問い合わせ履歴を読み込ませているAIツールについて、提供元へ「安全ですか」と聞くだけでは確認が終わりません。預けたデータ、提供者・再委託先、調査に使えるログ、不要データの消去条件を、利用中の契約プランごとに確かめます。
個人情報保護委員会は2026年10月7日、大規模な漏えい等事案を踏まえた注意喚起を公表しました。中小企業でも、顧客データの預け先を見直す材料になります。以下の台帳と問い合わせ文を使い、担当者名と回答期限まで決めてください。例はすべて架空で、当社の支援経験や実在するサービスの回答ではありません。
10月7日の注意喚起を、顧客データの預け先一覧に置き換える
最初に、顧客データが残るサービスを業務ごとに書き出します。契約先だけでなく、その先で処理する会社や、試用後に使わなくなった保存先も確認対象にします。
PPCの注意喚起PDFの1〜2ページは、大量の情報や機微性の高い情報などを保有し、漏えい時の影響が大きい事業者を特に挙げています。同時に、安全管理措置は事業規模、情報の性質・量、取扱状況などのリスクに応じて選ぶ考え方を説明しています。安全管理措置とは、漏えいや紛失などを防ぐための組織・人・設備・技術の管理です。
今回の資料は、見直し予定の技術的な対策例も先取りして示しています。例示の全項目を、すべての会社に共通する新たな法的義務として読むものではありません。 自社ではまず、どこに何があるかを把握し、契約と設定の確認につなげます。
次は、卸売会社が作る架空の棚卸し例です。「未確認」はサービスの欠陥を意味せず、担当者がまだ根拠を確かめていない状態です。
| 業務・預け先 | 残っているデータ | 提供者と外部処理先の確認 |
|---|---|---|
| 顧客管理クラウドA・法人契約 | 顧客名、担当者の連絡先、商談メモ | 契約会社、保守担当の閲覧範囲、再委託の説明資料を確認 |
| 問い合わせ窓口B・運用代行付き | メール本文、添付資料、対応履歴 | 代行会社が使うクラウドと、別会社へ任せる処理を確認 |
| FAQ用AIツールC・試用終了 | 読み込ませた問い合わせ履歴、添付ファイル | アカウント停止後の保存・削除、外部のAI処理先は未確認 |
実際の台帳には、サービス名とプラン、社内管理者、契約書・説明資料の保存先、最終確認日を追加します。請求一覧だけでなく、各部門へ「無料試用、個人アカウント、外部システムとの自動連携で顧客情報を扱っていないか」も尋ねてください。顧客名簿を新しいAIへ渡して台帳を作る必要はありません。
クラウドの利用先が、法律上の「委託先」とは限らない
一覧には広くサービス提供者を載せたうえで、法律上の区分を確認します。クラウド、AI、運用代行といった名称だけでは区分は決まりません。
PPCのクラウドサービスに関する2024年の注意喚起PDFは、提供事業者が個人データを取り扱うことになっているかを判断の基準としています。契約上は取り扱わず、適切なアクセス制御も行う形態などは、委託に当たらない場合があります。個人データは、顧客台帳などの個人情報データベース等を構成する個人情報を指します。
委託に当たる場合は、利用側に必要かつ適切な委託先の監督が求められます。提供に当たらない場合でも、利用側の安全管理措置は確認します（PPC Q7-53、Q7-54）。AI側で学習など別目的に利用する条件があれば、その利用・提供条件も別に確認してください。個別契約の区分は、規約、実際の取扱い、アクセス制御の資料を揃えて法務担当や弁護士へ確認します。
提供元には、ログと削除を証拠付きで回答してもらう
問い合わせでは、自社の契約プランを指定し、「記録しているか」に加えて、残る内容・期間・取り出し方を聞きます。顧客データの保存条件と、事故調査に使うログの保管条件は別々に埋めてください。
ログは、いつ、誰が、どの操作やアクセスをしたかなどの記録です。PPCの注意喚起PDFの別紙8ページは、見直し予定の手法の例として、ログの一定期間の保管、改ざん・不正消去等からの保護、定期的な分析を挙げています。全社共通の保管日数は、この資料には書かれていません。 自社の契約、扱う情報、調査に必要な範囲に応じて確認します。
次は架空の問い合わせ文のひな形です。事故の申告ではなく、平時の運用確認を想定しています。角括弧の部分を自社の情報へ置き換え、顧客の実データやパスワードは添付しません。
件名：利用中サービスの顧客データ・ログ保管条件の確認
対象は［サービス名・契約プラン・組織ID］です。［回答希望日］までに、次の点について契約条項、公式資料または管理画面の確認方法とともに回答をお願いします。未対応・不明の場合は、その範囲と追加確認の予定を教えてください。
- 当社の顧客データを扱う会社、処理の内容、再委託先と変更時の通知方法を教えてください。
- 当社と提供元・再委託先の担当者は、それぞれ何を閲覧・変更できますか。不要になった権限を解除する方法も教えてください。
- ログイン、顧客情報の閲覧・書き出し、管理設定の変更は、どの範囲がログに残りますか。保管期間、消失・改ざん防止策、確認担当を教えてください。
- 当社が取得できるログと、提供元へ調査依頼が必要なログを分けてください。取得手順、費用、提供までの目安も確認したいです。
- 入力・添付・会話履歴・連携先の複製データは、どこにいつまで残りますか。学習など応答以外の利用条件も教えてください。
- 不要データや契約終了後のデータは、誰がどう削除しますか。バックアップや再委託先に残る分の扱いと、削除完了を確認する方法も教えてください。
- 漏えいが疑われる場合の連絡窓口、当社への通知条件、ログ保全と調査への協力範囲を教えてください。
この質問文は本記事の運用提案です。PPCの2024年の注意喚起PDFの2〜3ページでは、委託する場合の役割・責任を契約等で明確にし、安全管理の状況を定期的な報告等で確認することや、委託先が使うクラウドの安全性を確認する考え方を示しています。
回答が「ログあり」だけなら、質問3と4へ戻します。たとえばログイン記録しか取れないと分かった場合は、顧客一覧の書き出しまで調べられるかを追加確認します。「会話を削除できる」だけなら、質問6で添付・バックアップ・外部処理先に残る範囲を分けます。画面の操作結果だけで、全保存先の削除完了とは扱いません。
回答は、契約プラン、確認日、資料の該当箇所とセットで台帳へ保存します。未回答や機能不足が残れば、追加の記録方法、利用範囲の縮小、契約変更などを社内で判断するための欄を作ります。
担当と期限を決め、漏えいの疑いがあれば削除前に保全する
平時の点検は、問い合わせを送って終わりにせず、回答を読む人と未解決事項を決める人まで割り当てます。漏えいの疑いがあるサービスは通常の整理作業と分け、調査用のログや関連記録を消さないよう保全を依頼してください。
以下は、点検を始めた会社の架空の担当・期限例です。日数は法定期限や公的機関の指定ではありません。担当者の予定に合わせて実際の日付へ置き換えます。不審な操作や提供元からの事故通知があれば、この期限を待たずに社内窓口へ連絡します。
| いつまでに | 誰が確認するか | 完了時に残すもの |
|---|---|---|
| 点検開始日 | 経営者と各業務の責任者 | 対象サービス、担当者名、不在時の代理、社内の事故連絡先 |
| 開始から2営業日後 | 総務などの運用担当 | 契約プラン付き台帳と問い合わせの送信記録 |
| 開始から5営業日後 | 運用担当と技術担当・外部支援 | 回答資料、取得できるログの確認結果、未回答項目 |
| 回答確認の翌営業日 | 経営者と業務責任者 | 利用を続ける条件、未解決項目の対応者、再回答の期限 |
技術担当はログの見本や取得手順を確かめ、業務責任者は「その顧客データを今も使うか」を判断します。同じ人が兼ねてもよいので、実名を入れてください。役割が曖昧な場合は、AI運用の担当と判断先を決める表も使えます。
不要データの消去は、保存理由を確認してから進める
PPCの注意喚起PDFの2ページ「不要となった個人データの消去」は、利用する必要がなくなった個人データを遅滞なく消去するよう努める規定を確認しています。法令で保存期間等が定められている場合の例外にも触れています。
試用したAIへ渡した顧客資料や、終了した問い合わせ案件を整理するときは、次の欄を埋めます。
- 残す理由：利用目的、適用される保存根拠、保存を終える条件
- 消す範囲：本体、添付、複製、バックアップ、外部処理先ごとの扱い
- 完了の確認：承認者、実行者、実施日、提供元の回答や完了記録
「何かに使うかもしれない」だけで残す分は、業務責任者へ目的を確認します。法令・契約上の保存条件も確かめたうえで、消去対象と実行日を決めてください。
事故の疑いがあれば、平時の削除手順をいったん止める
不審なアクセス、身に覚えのない書き出し、提供元からの事故連絡がある場合は、関係する履歴を先に消すと影響範囲を調べにくくなります。社内窓口と提供元へ連絡し、ログ等の自動消去・上書きへの対応を含めて証拠保全を相談します。保全先の閲覧者も絞り、調査のために残す記録の範囲を担当者と決めてください。被害拡大を防ぐ利用停止・権限の無効化などは、保全の相談と並行して進めます。
JPCERT/CCの10月8日公開・9日更新の注意喚起は、把握した攻撃情報を限定的・断片的とし、すべての事案で同じ手口が使われたとはしていません。ここまでの問い合わせ表も、平時の予防点検です。利用中のAIツールが攻撃された証拠や、被害の有無を判定する表ではありません。
漏えい等の報告・本人への通知の要否は、実際の情報と事態に応じてPPCの公式案内で確認します。入力ルールや誤入力時の対応を見直す場合は、生成AIの情報漏えい対策へ進めます。本記事は一般的な情報提供です。個別の法務判断は、弁護士などの専門家に確認してください。
まず台帳の1行を選び、サービス名・契約プラン・社内担当者・回答希望日を埋めると、上の問い合わせ文を自社の確認依頼に使えます。
