第１ 本記事の概要
本記事は，社内で業務利用を禁止している生成AIサービスに従業者が個人データを入力した場合に，個人情報保護委員会への漏えい等報告（個人情報保護法２６条）が必要になるかを整理するものである。
基準日は令和８年１０月２５日であり，個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和８年６月一部改正）と，「「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ」を参照した。
結論を先に述べると，生成AIサービスへの入力が直ちに漏えいになるわけではない。
しかし，事業者が自らの意図に基づいて提供したといえない入力は，個人データの漏えい又はそのおそれと評価される余地があり，施行規則７条の４つの事態のいずれかに当たれば報告が必要になると考えられる。
ただし，個人情報保護委員会が，社内で禁止された生成AIへの入力について報告の要否を直接示した資料は，基準日現在，確認できない。
学習に利用しない設定の生成AIに秘密情報を入力することの評価は学習オフの生成AIに秘密情報を入力することは第三者開示に当たるかで，社内の禁止ルールと懲戒はシャドーAIの問題点――営業秘密，個人情報保護法及び懲戒処分をめぐる法的枠組みで説明している。
第２ 問題の所在
１ 承認したサービスと禁止したサービス
同じ生成AIサービスでも，会社が契約して業務利用を認めている場合と，社内規程で利用を禁止している場合とがある。
社内規程による禁止の対象には，従業者が個人で契約したアカウントを業務に使う場合や，正式な審査の前に試験的な利用を始める場合も含まれ得る。
サービスの仕様や入力データの扱いが同じであっても，会社が承認しているかどうかで個人情報保護法上の評価が変わるのかが，本記事の問いである。
２ 検討の順序
この問いは，次の順に検討すると整理しやすい。
①生成AIサービスへの入力が，第三者提供，委託に伴う提供又はクラウド例外のどれに当たるか
②社内で禁止された入力が，個人データの漏えい又はそのおそれに当たるか
③当たるとして，施行規則７条の報告対象の事態に当たるか
第３ 漏えい等報告の仕組み
１ 個人情報保護法２６条と施行規則７条
個人情報保護法２６条１項本文は，「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。」と定める。
同条２項は，この場合に本人への通知も求めている。
報告の対象となる事態は，個人情報の保護に関する法律施行規則７条が定める次の４つである。
①要配慮個人情報が含まれる個人データ（高度な暗号化等の措置を講じたものを除く。）の漏えい等が発生し，又は発生したおそれがある事態（１号）
②不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し，又は発生したおそれがある事態（２号）
③不正の目的をもって行われたおそれがある当該個人情報取扱事業者に対する行為による個人データの漏えい等が発生し，又は発生したおそれがある事態（３号）
④個人データに係る本人の数が千人を超える漏えい等が発生し，又は発生したおそれがある事態（４号）
２ 「おそれ」の判断
ガイドライン（通則編）3-5-3-1の（※2）は，「報告対象事態における「おそれ」については、その時点で判明している事実関係に基づいて個別の事案ごとに蓋然性を考慮して判断することになる。」とする。
その上で，漏えい等が発生したおそれについては，「その時点で判明している事実関係からして、漏えい等が疑われるものの漏えい等が生じた確証がない場合がこれに該当する。」としている。
３ 報告の期限と「知った」時点
施行規則８条１項は，報告対象の事態を知った後，速やかに，その時点で把握している事項を報告することを求めている。
同条２項は，事態を知った日から３０日以内（３号の事態は６０日以内）に，所定の事項をすべて報告することを求めている。
法人の場合の「知った」時点について，Ｑ＆Ａ６－２４は，部署内のある従業者が報告対象事態を知った時点で「部署が知った」と考えられるとしている。
同じ回答は，「従業者等の不正な持ち出しの事案においては、不正な持ち出しを行った従業者等を除いた上で判断することとなります。」とも述べる。
禁止された生成AIに入力した従業者本人だけが入力の事実を知っている段階では，会社が知ったとはいえない場合があると考えられるが，Ｑ＆Ａのこの記載は不正な持ち出しの事案についてのものであり，生成AIへの入力に直接触れたものではない。
個人情報保護委員会は，報告の対象となる事態と報告の期限，安全管理措置を説明する動画を，令和６年５月２７日に公式チャンネルで公開している（令和５年４月時点の内容で，令和８年に公布された改正法は反映されていない）。
第４ 生成AIへの入力は提供か委託か
１ 委託に伴う提供
個人情報保護法２７条５項１号は，「個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合」には，提供を受ける者は第三者に該当しないとする。
ガイドライン（通則編）3-6-3の（1）は，この場合の提供先は「委託された業務の範囲内でのみ、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできない。」としている。
Ｑ＆Ａ７－３７は，委託を受けた者が提供された個人データを委託の内容と関係のない自社の営業活動等のために利用する場合を，委託に当たらない例として挙げている。
２ クラウド例外
Ｑ＆Ａ７－５３は，クラウドサービスの利用が第三者提供又は委託に当たるかは，「保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。」としている。
提供事業者が個人データを取り扱わないこととなっている場合は，提供にも委託にも当たらない。
その場合に漏えい等が起きたときは，Ｑ＆Ａ６－２２により，サービスを利用する事業者が報告義務を負う。
生成AIサービスは，入力されたプロンプトを処理して回答を作るため，提供事業者が入力された個人データを「取り扱わないこととなっている」とはいいにくい。
本記事では，生成AIサービスへの入力がクラウド例外に当たる場面は限られ，承認した利用は委託に伴う提供として整理するのが通常であると考える。
３ 個人情報保護委員会の注意喚起
個人情報保護委員会が令和５年６月２日に公表した「生成AIサービスの利用に関する注意喚起等」の別添１は，個人情報取扱事業者があらかじめ本人の同意を得ることなく生成AIサービスに個人データを含むプロンプトを入力し，「当該個人データが当該プロンプトに対する応答結果の出力以外の目的で取り扱われる場合、当該個人情報取扱事業者は個人情報保護法の規定に違反することとなる可能性がある。」としている。
その上で，提供事業者が「当該個人データを機械学習に利用しないこと等を十分に確認すること」を求めている。
会社が業務利用を承認するに当たっては，この確認を経た上で，利用目的の範囲内での委託として扱えるかを判断する必要がある。
契約・規約で確認する項目は，法律事務所が生成AIのDPAを確認するときのチェックリスト－学習不使用，保持期間，ZDR，再委託，国外処理及びコネクタで説明している。
第５ 禁止された生成AIへの入力は漏えいに当たるか
１ 漏えいの定義と「自らの意図」
ガイドライン（通則編）3-5-1-2は，「個人データの「漏えい」とは、個人データが外部に流出することをいう。」としている。
同じ項は，「個人情報取扱事業者が自らの意図に基づき個人データを第三者に提供する場合（※）は、漏えいに該当しない。」とも述べる。
この（※）は，第三者への提供には原則としてあらかじめ本人の同意が必要であることを注記するものである。
２ 承認の有無で評価が分かれる理由
本記事では，会社が審査して業務利用を承認した生成AIサービスへの入力は，事業者の意図に基づく提供（委託に伴う提供）と評価しやすいと整理する。
これに対し，社内規程で禁止されたサービスへの従業者の入力は，事業者の意図に基づくとはいいにくく，個人データの外部への流出又はそのおそれと評価される余地がある。
サービスの技術的な安全性が同じでも結論が変わりうるのは，ガイドラインが「漏えい」を事業者の意図との関係で定めているためである。
試験的な利用の後に会社が同じサービスを審査して承認した場合でも，承認前の入力が遡って事業者の意図に基づく提供になるとまではいえないと考えられる。
３ 学習に利用しない設定の意味
学習に利用しない設定であっても，入力された個人データは提供事業者の設備で処理される。
その設定は，二次利用や再提供の可能性を評価する事情にはなるが，事業者の意図に基づかない外部への送信であることまで消すものではないと考えられる。
もっとも，入力直後に削除され，提供事業者の規約上も学習や保存に使われないことが確認できる場合には，その事情は，ガイドラインのいう「おそれ」の蓋然性の判断に影響しうる。
４ 報告が必要になるのは報告対象の事態に当たる場合
漏えい又はそのおそれに当たるとしても，報告義務が生じるのは，施行規則７条の事態に当たる場合に限られる。
健康診断の結果や病歴などの要配慮個人情報を入力した場合は１号が，千人を超える本人のデータを入力した場合は４号が問題になる。
３号の「不正の目的」については，会社を害する目的がないことだけで対象外とはせず，ガイドライン（通則編）3-5-3-1が従業者による不正な持出しを例示していることも踏まえ，入力の経緯や目的を個別に検討する必要がある。
報告対象の事態に当たらない場合でも，ガイドライン（通則編）3-5-3-1の（※1）は，個人情報保護委員会に任意の報告をすることができるとしている。
また，安全管理措置（個人情報保護法２３条）と従業者の監督（同法２４条）の問題は，報告の要否とは別に残る。
第６ 協会けんぽの公表事例
１ 公表の内容
全国健康保険協会は，令和８年９月３０日，船員保険部と兵庫支部のそれぞれのページで，「個人情報漏洩の可能性に関する事案の発生（生成AIサービスへの個人情報データ入力）」を公表した。
船員保険部の公表によれば，特定保健指導業務の委託先において，作業者の認識不足により，「A事業所内で許諾されていない個人利用の生成AIサービス」に，個人情報を含む特定保健指導にかかるデータが誤ってアップロードされた。
発生日は令和８年８月２０日，判明日は同月２５日であり，データはアップロードの直後に削除され，公表時点で被害は確認されていないとされている。
委託先は，対象者へのお詫びと経過説明を行うとともに，個人情報保護委員会への報告を実施したとされている。
２ この事例から読み取れること
この事例では，入力の直後に削除され，被害も確認されていない段階で，「漏洩の可能性」として個人情報保護委員会への報告と本人への説明が行われている。
公表文は，施行規則７条のどの事態に当たると判断したかを示していない。
特定保健指導のデータには健康に関する情報が含まれうるため，要配慮個人情報が含まれる場合の１号が検討された可能性があるが，これは公表文からの推測にとどまる。
再発防止策としては，許諾されていない生成AIサービスの業務利用禁止の周知と教育（人的措置），アクセス権限と利用環境の点検・見直し（技術的措置），情報セキュリティマネジメントシステムに加えたAIマネジメントシステムの取得（組織的措置）が挙げられている。
委託先で起きた漏えいについての委託元の対応は，外部委託先で個人情報が漏えいした場合の委託元の対応―報告，本人通知及び委託先監督で説明している。
第７ 実務上の対応
１ 平時の備え
①業務で使ってよい生成AIサービスと，個人データを入力してよい範囲を，社内規程で明示する。
②試験的な利用も審査の対象とし，承認前に個人データを入力しない運用にする。
③承認するサービスについては，委託として扱えるか（学習・二次利用の有無，保存期間，再委託等）を契約・規約で確認する。
④入力の記録や外部サービスへの通信を管理できる技術的措置を検討する。
２ 禁止された入力が判明したとき
①入力された個人データの項目と本人の数，入力の日時，サービスの名称と設定（学習・履歴保存の有無）を確認する。
②サービス側でデータを削除できるか，その手順を確認し，対応の経過を記録する。
③施行規則７条の事態に当たるかを判断し，当たる場合又は当たるおそれがある場合は，知った後速やかに報告する。
④委託先で起きた場合は，委託先からの通知の有無と内容を確認する（委託先が委託元に通知したときは，委託先は報告を要しないとする個人情報保護法２６条１項ただし書を参照）。
なお，令和８年法律第５６号による個人情報保護法の改正では，委託を受けた個人情報取扱事業者が，委託された個人情報を委託を受けた業務の遂行に必要な範囲を超えて取り扱うことを禁止する規定（３０条の３）が新設され，本人への通知の例外を定める２６条２項ただし書も改められる。
e-Gov法令検索の改正履歴の表示によれば，これらの規定の施行期日は公布の日から２年を超えない範囲内で政令で定める日とされており，基準日現在，施行期日を定める政令は確認できない。
改正の内容は，令和８年改正個人情報保護法と委託契約－クラウド・生成AI利用で見直す事項（第３０条の３・第５８条の２）で説明している。
第８ 出典
個人情報の保護に関する法律（e-Gov法令検索）
個人情報の保護に関する法律施行規則（e-Gov法令検索）
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和８年６月一部改正）
個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ」
個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和５年６月２日）
全国健康保険協会船員保険部「個人情報漏洩の可能性に関する事案の発生（生成AIサービスへの個人情報データ入力）」（令和８年９月３０日）
全国健康保険協会兵庫支部「個人情報漏洩の可能性に関する事案の発生（生成AIサービスへの個人情報データ入力）」（令和８年９月３０日）
個人情報保護委員会「マンガで学ぶ個人情報保護法「漏えい等報告と安全管理措置について」（令和5年4月）」（YouTube，令和６年５月２７日公開）