AIに渡す個人情報は、機能ごとに項目で決める ― 規約に書く前に確かめること

業務システムにAIを組み込むとき、「個人情報をAIに渡して大丈夫か」は、多くの方が気にされる点です。大事なのは、AIを使うかどうかより、機能ごとにどの項目を渡し、どの項目を渡さないかを決めること。そして、利用規約やプライバシーポリシーに書く約束を、実装で裏付けを取ってから書くことです。

弊社が開発・運営している「SkillPort」（エンジニアの経歴書＝スキルシートを一か所で管理するサービス）は、氏名・年齢・最寄駅といった個人情報を多く扱います。2026年10月26日、AIを使う機能を足したのに合わせて、利用規約とプライバシーポリシーを改めました。その実例をもとに、AIと個人情報の扱い方をお伝えします。

AIに渡す情報は、機能ごとに項目で決める

SkillPortでは、AIを使う機能ごとに「AIに送る項目」と「送らない項目」を一覧にして、設計書に置いています。項目を足すときは、この一覧も必ず直します。一覧と実装を並べておけば、送る項目が増えたことに、確認する段階で気づけるからです。

たとえば、自己PRの文章を作る機能でAIに送るのは、IT経験の年数、案件経歴の要約、保有スキルの一覧だけです。氏名・連絡先・生年月日は送りません。スキル名の表記をそろえる機能では、入力されたスキル名1件だけを送り、利用者に関する情報は何も送りません。

案件への適性を判定し、営業用の紹介文も作る機能では、紹介文に名前が要ります。それでも氏名はAIに送らず、紹介文は仮の呼び名で書かせて、答えを受け取った後にシステムの側で名前を差し込んでいます。

一方で、経歴書の取り込みのように資料そのものを読ませる機能では、資料に書かれていることはAIに届きます。取り込みで抜き出す項目は絞っていますが、届く範囲そのものをどう絞るかは、読み取りの精度への影響を確かめてから決めることにしています。だからこそ、AIで処理することを利用規約とプライバシーポリシーに書いています。

AIに書かせなくてよい情報は、AIに渡さない

10月26日に足した機能の一つが、営業用の要約です。エンジニアを取引先に紹介するときに、そのまま貼れる数行の紹介文を作ります。

この紹介文には、名前の頭文字・年齢・性別・最寄駅・稼働できる時期・単価が載ります。ただ、これらはAIに考えてもらう必要のない情報です。登録されているデータを、そのまま並べればよいからです。そこで、AIに作らせるのはスキルの要約と得意な技術の整理だけにし、名前の頭文字や単価などはAIに送らず、システムの側で差し込むことにしました。

1. 1スキルや案件の経歴をAIに送る（氏名・単価などは送らない）
2. 2AIがスキルの要約と得意な技術の整理を作る
3. 3名前の頭文字・年齢・性別・最寄駅・稼働・単価は、登録データからシステムが差し込む
4. 4営業の担当者が見直して、取引先に貼る

出典：SkillPort 開発記録（2026年10月26日）・SkillPort AI設計書

差し込む側の情報は、要約と一緒には保存しません。開くたびに今の登録データで組み立てます。稼働できる時期や単価は変わるので、作ったときの値を残しておくと、古い値のまま取引先に渡ってしまうおそれがあるためです。

同じ日、営業の担当者から、普段ほかのAIツールで使っている紹介文の作り方を取り込めないか、という相談を受けました。その作り方は、氏名や単価までAIに読み取らせるものでした。名前の行の書き方など、紹介文の形は取り入れましたが、氏名や単価をAIに渡す部分は取り入れていません。

約束を書く前に、その処理が実際にあるかを確かめる

AIを使う機能を足したら、利用規約のAIの処理を説明する条文に書き足す。これは社内の決まりにしています。今回も、案件経歴の書きぶりを整える機能、営業用の要約、要員紹介メールの読み取りの3つを書き足しました。

要員紹介メールは、協力会社から届く「こういう技術者がいます」というメールを、つないだメールボックスから取り込む機能です。プライバシーポリシーには、取り込んだメールは受信から30日で削除し、添付のファイルそのものは保存しない、と書きました。

書く前に、それが本当にそうなっているかをプログラムで確かめました。定期的に動く取り込みの処理が、最初に30日を過ぎたメールを消し、そこから作った情報も一緒に消えること。添付のファイルを保存する処理がないこと。この2つを確かめてから書いています。さらに、社内の注意事項に「30日の削除を止めない」と書き足しました。文面の約束を、後の改修で知らないうちに破らないためです。

同じ日、プライバシーポリシーに「管理者による主な操作を記録し、管理者が確認できる」と書き足したときも、管理画面に操作の記録が実際にあることを根拠にしました。

確かめる中で、ずれも見つけて直しました。社内の文書で、AIで処理する経路を「5経路」と数えていた箇所があり、機能を足すうちに実際の数に追いついていませんでした。いまある9つの機能に書き直しています。

• 直す前の社内文書5経路
• いまある機能9機能

出典：SkillPort 開発記録（2026年10月26日）

確認の手間は、意味のある場所にだけ置く

個人情報の扱いでは、「念のため、毎回同意を取る」という案もよく出ます。10月26日にも、社内から、会社の管理者が経歴書を代わりに取り込むたびに、本人の同意を得たことを確かめるチェックを押させてはどうか、という提案がありました。

この案は採りませんでした。本件では、本人への手続きを会社（利用者）の責任とすることを利用規約に定めていて、その義務は契約のときの同意で成り立っています。取り込みのたびにチェックを押させても、手間が増えるだけだと判断しました。代わりに、取り込みの画面と編集の画面に、本人への手続きは会社の責任であることを示す注記を出し、利用規約の該当する条文へのリンクを付けています。

確認の手間は、増やすほど安心に見えます。ただ、同じ約束を何度も確かめさせても、守られる中身は変わりません。手間に見合う意味があるかで、置く場所を決めています。

個人情報を扱うシステムを発注するときに役立つこと

AIに何を渡すかを、項目の単位で聞いてください

AIを使う機能を発注するときは、「個人情報は大丈夫ですか」と聞くより、「この機能で、AIに送る項目と送らない項目は何ですか」と聞いてみてください。項目の一覧で答えが返ってくれば、扱いが決まっているということです。

規約の約束は、実装で裏付けを取ってもらいましょう

利用規約やプライバシーポリシーに「30日で削除」「保存しない」と書くなら、その処理が実際にあるかを確かめてから書いてもらいましょう。後の改修で約束を破らないよう、守るべき処理を開発側の決まりとして残しておくことも大切です。

AIに考えさせなくてよい情報は、渡さない作りにしましょう

名前や金額のように、登録済みのデータをそのまま使えばよい情報は、AIに渡さずシステムの側で差し込めます。そうすれば、AIに渡る個人情報そのものを減らせます。