介護でChatGPTに利用者の情報を入れてよいか｜個人情報保護法と国の指針で線を引く

介護でChatGPTに利用者の情報を入れてよいのか

契約と、入れる情報の形の組み合わせで答えが変わります。同じChatGPTでも、職員が自分で登録したアカウントに記録を貼るのと、法人が規約と設定を確かめた契約のもとで、氏名を記号に置き換えた文章を入れるのとでは、法律上の説明がまるで違います。

組み合わせを表にすると、次の4つに分かれます。

表の2行目と3行目の間に、もう1本の線があります。氏名などを含む記録を入れるなら、その入力が法律上の何に当たるのかを法人として整理しておく必要がある、という線です。多くの法人にとっては、2行目から始め、3行目に進むかどうかを後で決める順番が無理のない進め方になります。

入れてはいけない情報の一覧は社会福祉法人がChatGPTに入れてはいけない情報の一覧に、置き換えの具体的なやり方は福祉現場の記号化ルールにまとめています。この記事が扱うのは、その手前にある法律と国の文書の読み方です。

個人情報保護法は、どの条文で関わるのか

関わる条文は、利用目的、安全管理、漏えい等の報告、第三者提供、外国にある第三者への提供の5つのまとまりです。生成AIのための特別な条文はありません。今ある条文に、AIへの入力という作業を当てはめて読みます。

介護の記録には、もう1つ前提があります。厚生労働省と個人情報保護委員会のガイダンスは、介護関係事業者で想定される要配慮個人情報として、介護関係記録に記載された病歴、障害の事実、犯罪により害を被った事実などを挙げ、要配慮個人情報の取得や個人データの第三者提供には原則として本人同意が必要である、としています。ケース記録やアセスメントの多くは、この要配慮個人情報を含みます。一般の事業会社が顧客の連絡先を扱うときより、一段慎重な確認が要る情報だということです。

個人情報保護委員会は、何を確かめるよう求めているのか

確かめることは2つです。個人情報保護委員会は令和5年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表し、個人情報取扱事業者における注意点として次の2点を示しました。介護や障害福祉の事業を行う法人も、個人情報取扱事業者に当たります。

• 利用目的の範囲内か。生成AIサービスに個人情報を含むプロンプトを入力する場合には、特定された利用目的を達成するために必要な範囲内であることを十分に確認すること。
• 応答の出力以外に使われないか。あらかじめ本人の同意を得ることなく個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性がある。そのため、入力を行う場合には、サービスを提供する事業者がその個人データを機械学習に利用しないこと等を十分に確認すること。

読み方で気をつけたい点が2つあります。1つめに、この文書は個人情報を入力すること自体を禁じていません。確かめたうえで入力する場合の条件を書いています。2つめに、確かめる主体は職員個人ではなく事業者、つまり法人です。職員が自分で登録したアカウントでは、法人が規約と設定を確かめた状態になりません。表の1行目を認めない扱いにしたのは、このためです。

機械学習に使われるかどうかは、同じ事業者のサービスでも、契約の種類や設定によって変わることがあります。この記事では個別のサービスの仕様は書きません。使おうとしているサービスの利用規約とプライバシーポリシー、管理画面の設定を、契約する前に法人として読んでください。注意喚起の本文は、委員会が今後追加の注意喚起を行う可能性があるとも書いています。ルールを決める前に、委員会のページで最新の文書を確かめておくと安心です。

AIへの入力は、第三者提供なのか、委託なのか

法律上の整理は3つ考えられ、どれに当たるかで法人のやることが変わります。

1つめは、本人の同意を得て行う第三者提供です。第27条は、個人データを第三者に提供するには原則として本人の同意が要るとしています。利用者や家族からAIへの入力について同意を得る形ですが、介護の現場で全員から取るのは現実には重い手続です。

2つめは、委託です。第27条第5項第1号は、利用目的の達成に必要な範囲内で個人データの取扱いの全部又は一部を委託することに伴って個人データが提供される場合、提供を受ける者は第三者に該当しないと定めています。ガイダンスも、この場合は本人の同意を得ずに情報の提供を行うことができるとしています。ただし委託と整理するなら、第25条により、法人は委託先に対して必要かつ適切な監督を行わなければなりません。

3つめは、そもそも提供に当たらないという整理です。個人情報保護委員会は、ガイドラインに関するQ&Aの7-53で、クラウドサービスについて、本人の同意が必要な第三者提供や委託に当たるかどうかは、保存している電子データに個人データが含まれているかどうかではなく、サービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となる、と答えています。事業者が個人データを取り扱わないこととなっている場合には、個人データを提供したことにならず、本人の同意も、第25条の監督の義務も生じないという説明です。そのような場合の例としては、契約条項で事業者が個人データを取り扱わない旨が定められ、適切にアクセス制御が行われている場合が挙げられています。

生成AIへの入力がこの3つのどれに当たるのかを、サービスの種類ごとに一律に示した国の文書は、この記事のために確かめた範囲では見当たりませんでした。7-53はクラウドサービスについての回答で、生成AIを名指ししたものではありません。一方で、先の注意喚起は、入力した個人データが応答結果の出力以外の目的で取り扱われる場合に、法の規定に違反することとなる可能性があるとしています。機械学習に使われる設定のまま、同意を得ずに個人データを入れる使い方は、どの整理に立っても説明が難しくなります。

法人が決めることは、どの整理に立つのかを文書にしておくことです。候補のサービスの規約を手元に置き、事業者が入力をどの場面で取り扱うのかを読み、その整理でよいかを顧問弁護士に確かめます。確かめた日と相手を記録に残してください。利用者や家族、所轄庁から聞かれたときに、法人として説明できる状態になります。

海外の事業者のサービスだと、何が加わるのか

第28条の確認が加わります。ガイダンスは、外国にある第三者に個人データを提供する場合には、第27条第1項各号に定める場合を除き、外国にある第三者へ提供することについて本人の同意を得なければならない、としています。そのうえで、次のどちらかに当たる場合は、国内と同じように、同意による第三者提供や、委託による提供ができるとしています。

• 外国にある第三者が、日本と同等の水準にあると認められる個人情報保護制度を有している国として規則で定める国にある場合
• 外国にある第三者が、個人情報取扱事業者が講ずべき措置に相当する措置を継続的に講ずるために必要な体制として、規則で定める基準に適合する体制を整備している場合

つまり、委託と整理する場合でも、相手が海外の事業者なら、その事業者がどの国にあり、基準に適合する体制を整備していると言えるのかを確かめる工程が1つ増えます。安全管理措置の側でも、ガイダンスは、外国において個人データを取り扱う場合には外的環境の把握を行ったうえで措置を講じなければならないとしています。

契約の前に事務長が確かめるのは、契約の相手方となる事業者の名称と所在地、データが保存される場所、個人データの取扱いについての契約条項の3つです。ここは条文と契約書の両方を読む作業になるので、顧問弁護士に見てもらう範囲に入れてください。提供に当たらないという整理に立つ場合の第28条との関係は、委員会のQ&Aの別の問で扱われています。

厚生労働省のガイダンスは、介護の事業者に何を求めているのか

「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（平成29年4月14日通知、令和8年4月1日最終改正）の本文に、生成AIという語は出てきません。それでも、AIの利用を考えるときに読む箇所が3つあります。

利用目的の公表。ガイダンスは、介護サービスの提供や介護保険事務などに個人情報を使うことは利用者にとって明らかだとしたうえで、これら以外で利用する場合は、利用目的の公表等の措置が講じられなければならないとしています。通常の業務で想定される利用目的は別表2に例示されていて、介護関係事業者の欄には、当該利用者の介護サービスの向上、その他の業務委託、介護サービスや業務の維持・改善のための基礎資料、といった項目が並んでいます。御法人が事業所に掲示している利用目的の文面を出し、AIを使う作業がその中のどれに当たるのかを確かめてください。読み取れない場合、利用目的を変更できるのは変更前と関連性を有すると合理的に認められる範囲までで、変更した利用目的は本人への通知か公表が要ります。

委託するときの留意事項。委託と整理する場合に、ガイダンスが挙げている留意事項がそのまま当てはまります。個人情報を適切に取り扱っている事業者を選ぶこと、契約に個人情報の適切な取扱いに関する内容を盛り込み、委託が終わった後の個人データの取扱いも含めること、再委託の扱いを確かめること、適切に取り扱っていることを定期的に確認すること、です。

情報提供先を明らかにすること。ガイダンスは、第三者提供に該当しない情報提供が行われる場合でも、事業所内への掲示やホームページ等で情報提供先をできるだけ明らかにし、問合せに回答できる体制を確保するとしています。業務委託の場合は、委託している業務の内容、委託先事業者、個人情報の取扱いに関する取り決めの内容等を公開することが考えられる、とも書いています。AIの利用を利用者と家族にどう知らせるかは、この箇所を根拠に決められます。

氏名を記号に置き換えれば、法律の外に出るのか

出るとは言えません。個人情報保護法第2条第1項は、個人情報に、他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含むと定めています。氏名をAさんに変えた文章も、法人の手元にある元の記録と見比べれば誰のことか分かります。置き換えた文章も個人情報として扱う前提でルールを組むほうが安全です。

それでも置き換えには意味があります。外に出る情報の量が減り、誤って入力したときや、サービスの側で事故が起きたときに、利用者に及ぶ影響が小さくなります。契約の確認が1本めの線、情報の形が2本めの線で、片方がもう片方の代わりにはなりません。何をどう置き換えるかは記号化ルールの記事に表でまとめています。

認めていない使い方で入力されたら、何が起きるのか

漏えい等の報告に当たるかどうかを、法人として判断する場面になります。第26条は、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたとき、個人情報保護委員会に報告し、本人に通知しなければならないと定めています。規則第7条が挙げる事態の1つめが、要配慮個人情報が含まれる個人データの漏えい等が発生し、又は発生したおそれがある事態です。本人の数が千人を超える漏えい等は別の号に挙げられていて、要配慮個人情報の号には人数の条件が書かれていません。

職員が法人の認めていないサービスにケース記録を貼り付けた場合、それがこの事態に当たるかどうかは、入力した内容やサービスの側での扱いによって変わり、ここで言い切ることはできません。決めておくのは、判断の経路です。職員は誰に報告するのか、何をいつ入力したかを誰が聞き取るのか、顧問弁護士と個人情報保護委員会に誰が相談するのか。委託と整理しているサービスで事故が起きた場合について、ガイダンスは、原則として委託元と委託先の双方が報告する義務を負うとしています。

法人として、どの順番で決めればいいのか

決める順番は、実態、契約、整理、情報の形、規程の5つです。道具を選ぶ話は2番めで、最初ではありません。

1. 今の使われ方を聞き取る。職員がすでに個人のアカウントで使っていないかを、責めない形で聞きます。聞き取った結果が、ルールを急ぐ度合いを決めます。
2. 候補のサービスの規約と設定を読む。入力が機械学習に使われないか、事業者が入力をどの場面で取り扱うのか、事業者の所在地とデータの保存場所はどこか。事務長が読み、読んだ日と規約の版を控えます。
3. 法律上の整理を決め、顧問弁護士に確かめる。同意による提供、委託、提供に当たらない、のどれに立つのか。利用目的の公表文で読めるのか。ここまでを文書にして、確認を受けます。
4. 入れる情報の形と範囲を決める。置き換える項目、置き換えても入れない情報、使ってよい業務と職員の範囲を決めます。
5. 規程に落とし、理事会に報告する。利用規程、利用目的の公表文の見直し、誤って入力したときの報告先をそろえます。条文の書き方は法人のAI利用規程の作り方に載せています。

3番めを飛ばして4番めから始める法人が多いのですが、置き換えのルールだけを先に配ると、置き換えたからどのサービスに入れてもよい、という読み方が現場に広がります。1本めの線を先に引いておくと、2本めの線が正しく働きます。

よくある質問

有料の契約にすれば、利用者の情報を入れてよいですか。

料金を払っているかどうかでは決まりません。個人情報保護委員会の注意喚起が求めているのは、入力が利用目的の範囲内であることと、サービスを提供する事業者がその個人データを機械学習に利用しないこと等を、十分に確認することです。確かめる先は、利用規約、プライバシーポリシー、管理画面の設定です。同じ事業者のサービスでも契約の種類や設定によって扱いが変わることがあるので、契約する前に法人として読み、読んだ日と規約の版を控えてください。

利用者や家族から、AIに入力することについて同意を取り直す必要がありますか。

法律上の整理によって変わります。本人の同意による第三者提供と整理するなら同意が要ります。利用目的の達成に必要な範囲内の委託と整理するなら、個人情報保護法第27条第5項第1号により第三者への提供には当たりませんが、委託先を監督する義務が生じます。どちらの場合も、AIを使う作業が公表している利用目的の範囲に入っているかは別に確かめます。御法人の場合にどの整理が取れるかは、サービスの規約を持って顧問弁護士に確かめてください。

名前を消して入力すれば、個人情報保護法は関係なくなりますか。

関係なくなるとは言えません。個人情報保護法第2条第1項は、他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものも個人情報に含むと定めています。法人の手元には元の記録があるので、名前を消した文章も個人情報として扱う前提でルールを作るほうが安全です。名前を消すことの意味は、外に出る情報の量を減らすことにあります。

障害福祉サービスの事業所にも、このガイダンスは当てはまりますか。

ガイダンスは、対象を病院、診療所、薬局、介護保険法に規定する居宅サービス事業を行う者等の事業者等としています。御法人の事業が対象に入るかは、ガイダンスの対象となる事業者の章で確かめてください。対象に入らない事業でも、個人情報保護法そのものと、個人情報保護委員会の通則ガイドライン、生成AIサービスについての注意喚起は、個人情報取扱事業者として同じように関わります。

職員がすでに個人のアカウントで記録を入力していた場合は、どうすればいいですか。

まず、何をいつ、どのサービスに入力したかを聞き取り、記録に残します。それが個人情報保護法第26条の報告の対象になるかどうかは、入力した内容とサービスの側での扱いによって変わるので、聞き取った内容を持って顧問弁護士に確かめてください。職員を責める形にすると次から報告が上がらなくなります。報告した職員を守る扱いを、先に法人として決めておくことをおすすめします。

まとめ｜線は2本、順番は契約が先

利用者の情報をChatGPTに入れてよいかは、契約と、入れる情報の形で決まります。契約の側では、入力が利用目的の範囲内か、応答の出力以外に使われないかを法人が確かめ、その入力が提供なのか委託なのかを整理しておきます。情報の形の側では、氏名などを記号に置き換え、置き換えた後も個人情報として扱います。

今月やることを1つ選ぶなら、御法人が事業所に掲示している個人情報の利用目的の文面を出して読むことです。AIを使う作業がその文面のどこに当たるのかを言えるかどうかで、次に決めることが見えてきます。

出典

• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（令和5年6月2日） https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/（別添1 生成AIサービスの利用に関する注意喚起等の、個人情報取扱事業者における注意点）
• 個人情報保護委員会・厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（平成29年4月14日通知、令和8年4月1日最終改正） https://www.mhlw.go.jp/content/001470633.pdf（要配慮個人情報の例、利用目的の特定と別表2、安全管理措置と業務を委託する場合の取扱い、漏えい等の報告等と規則第7条、第三者に該当しない場合、外国にある第三者への提供の制限。掲載ページ 厚生労働分野における個人情報の適切な取扱いのためのガイドライン等）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A Q7-53（クラウドサービスと第三者提供、委託の関係） https://www.ppc.go.jp/all_faq_index/faq1-q7-53/
• 個人情報の保護に関する法律（平成15年法律第57号）（e-Gov法令検索） https://laws.e-gov.go.jp/law/415AC0000000057（第2条、第17条、第18条、第23条から第28条。条文はガイダンスに掲載されているもので確かめています）

この記事は2026年10月14日時点で公開されている法令と資料に基づいています。生成AIへの入力が第三者提供、委託のどれに当たるかなど、条文の当てはめは個別の契約と使い方によって変わります。この記事は判断の順番を示したもので、法律上の結論を示すものではありません。実際にルールを定める際は、最新の資料と利用するサービスの規約を確かめ、御法人の顧問弁護士や所轄庁にご相談ください。

最終更新：2026-10-14