ChatGPTに個人情報を入れてしまったら？会社の初動と防ぐルール

1. はじめに：ChatGPTに個人情報を入れてしまったら

社員がChatGPTに、顧客や社員の個人情報を入れてしまうことがあります。2026年には、生成AIに個人情報を入れたと公表する国内の会社が出ています。

入れてしまったあとは、削除・設定の確認・法律上の判断を、短い時間で進める必要があります。誰が何をするかを先に決めておくと、迷わずに動けます。

本記事では、次の5つを解説します。

✅ ChatGPTに入れた個人情報の扱われ方
✅ 生成AIに個人情報を入れた国内の事例
✅ 個人情報保護委員会が示す確認点
✅ 入れてしまったときの初動（誰が何をするか）
✅ どこまで入れてよいかのルール

2. ChatGPTに入れた個人情報の扱われ方

学習に使われるかどうかは、プランと設定で変わります。会話を削除しても、すぐにはOpenAIのシステムから消えません。

図の「例外あり」は、すでに匿名化されている場合や、セキュリティ上・法律上の理由でより長く保持する場合です。また、メモリ（ChatGPTが会話をまたいで覚えておく情報）とライブラリに保存されたファイルは、チャットと別に消す必要があります（5.2の図）。

3. 生成AIに個人情報を入れた国内の事例

2026年に公表された例に、RIZAPグループとパナソニック オペレーショナルエクセレンスがあります。どちらの発表も、使った生成AIサービスの名前は書いていません。

RIZAPの例には、要配慮個人情報（病歴など、取扱いに特に配慮を要する個人情報）が含まれていました。

パナソニックは事業者から、アップロード時は学習に使う機能が無効だったという回答を得ており、個人情報保護委員会にも報告しています。学習に使われない状態だったかどうかは、委員会に報告するかの判断材料の1つにすぎないと考えられます。

4. ChatGPTに個人情報を入れる前の確認点

個人情報保護委員会は、事業者が生成AIに個人情報を入れるときに確かめる点を2つ示しています。2023年6月2日の注意喚起です。ここでの個人データは、個人情報データベース等を構成する個人情報を指します（個人情報保護法 第16条第3項）。

1つ目は、利用目的の達成に必要な範囲内かを十分に確認することです。2つ目は、「当該生成AIサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること」です。

2つ目の理由として、委員会は、本人の同意なく個人データを入力し、それが応答の出力以外の目的で扱われると、個人情報保護法に違反する可能性があるとしています。個人向けプランを初期設定のまま使うと、2つ目を確かめていない状態になると考えられます。

5. ChatGPTに個人情報を入れたときの初動

初動は、社員・情報システム担当・個人情報の担当者の3者で分けて進めます。個人情報の担当者は、社内で個人情報の取扱いを受け持つ人（法務・総務など）です。

5.1 社員がすること：記録して報告する

社員は、入れた内容・日時・使ったアカウントを書き留めて、すぐ情報システム担当に報告します。チャットは削除すると元に戻せないため、消す前に、入れた情報の種類と人数を記録します。

5.2 情報システム担当がすること：チャット等の削除と設定の確認

情報システム担当は、まず使ったアカウントのプランを確かめます。個人向けプランは本人に操作してもらい、Businessなら管理者も削除できます（2章の図）。

チャットは、チャットのその他のオプションメニュー（•••）から「削除」で消します。学習の設定は、「設定」→「データコントロール」の「すべての人のためにモデルを改善する」です。削除が終わったら、OpenAIに扱いを問い合わせます。

5.3 OpenAIに削除を依頼する

チャットを消すだけで足りないときは、OpenAIに直接依頼します。窓口は、プライバシーポータル（privacy.openai.com）か、[email protected] 宛てのメールです。

個人向けプランは、アカウントごと削除すると、OpenAIが30日以内にデータを削除します。法令で保持が求められる場合などは例外です。

ChatGPTにサインインできないときや、アプリで削除が完了しないときは、プライバシーポータルの「プライバシーリクエストを送信する」から依頼します。OpenAIへの依頼では、本人確認を求められることがあります。

法人向けプランのアカウントは、自分では削除できません。所属組織に依頼します。

5.4 個人情報の担当者がすること：対応を判断する

担当者は、情報システム担当が集めた事実をもとに、委員会への報告や本人への通知が要るかを判断します。個人情報保護法 第26条第1項は、個人データの漏えい等のうち、個人の権利利益を害するおそれが大きいとして委員会規則で定める事態が生じたときは、個人情報保護委員会への報告を義務づけています。

報告が必要な事態として、委員会は次の4つを挙げています（下の図）。どれに当たるかは入れた情報の種類や人数で変わるため、5.1の記録をもとに判断します。

委員会は、「健康診断その他の検査の結果、保健指導、診療・調剤情報」も要配慮個人情報に当たるとしています。社員の健康に関するデータを入れた場合は、1に当たらないか確かめます。

6. ChatGPTに個人情報はどこまで入れてよいか

個人データは、法人向けプランで、利用目的の範囲内のときだけ入れる、と決めます。要配慮個人情報は、どのプランでも入れないのが安全と考えられます。

図の「フィードバックした会話」は、回答に評価を付けたときの会話です。OpenAIのヘルプでは、個人向けプランの場合、学習をオフにしていても、フィードバックを送った会話は学習に使われることがあるとされています。

3章の2社も、再発防止にルールの周知や見直しを挙げています。ルールは、口頭で伝えるより書面にして配るほうが、社員が迷ったときに見返せます。

本メディアでは、自社用の生成AIガイドラインを作れる社内用生成AIガイドラインの雛形を無料で公開しています。入力フォームに会社名などを入れると、雛形に反映したWordファイルを出力できるので、よければ活用してください。

社員に周知するときは、本メディアの学習レッスン「[第5話] 個人情報・機密情報を守るための基本ルール」の動画も使えます。

7. まとめ：先に決めること、起きたときにすること

ChatGPTに入れた個人情報は、削除してもすぐには消えません。そのため、起きる前に決めておくことと、起きたときの手順を分けて用意します。

8. よくある質問

法人向けプランなら、個人情報を入れてもよいですか？

学習の点はよくても、それだけでは足りません。委員会の1つ目の確認点のとおり、利用目的の範囲内かを入れる前に確かめます。

一時チャットなら、個人情報を入れてもよいですか？

一時チャットかどうかでは決まりません。個人データを入れるかどうかは、6章のルールで決めます。

委員会への報告は、いつまでにしますか？

委員会は「発覚したら、まずは速やかに報告してください」としています。報告が要るかは、5.4の4つの事態をもとに個人情報の担当者が判断します。

学習の設定をオフにすれば、入れてしまった情報も学習されませんか？

設定が効くのは、オフにしたあとの新しい会話です。OpenAIのヘルプは、オプトアウト後の新しい会話はモデルの改善に使わないとしています。入れてしまったチャットは、設定とは別に削除します（5.2）。

チャットを削除すれば、学習に使われた分も消えますか？

消えない場合があります。OpenAIのプライバシーポリシーでは、学習への利用を許可していた間に匿名化され、アカウントとのひも付けが外れたデータは、削除の対象外です。だからこそ、個人向けプランを初期設定のまま業務に使わないことが大切です。

社員の個人アカウントに入れた場合、会社が削除できますか？

個人向けプランのチャットやアカウントは、持ち主である社員が自分で削除します。会社は手順を伝えて操作してもらい、記録シートに残します。RIZAPの事例でも、入れた本人がチャット履歴を削除しています。