A8：個人情報保護法との関係
「AIだから禁止」ではなく、個人情報保護法の既存の枠組み（委託・第三者提供）で整理するのが各社の実務です。本項は一般的な整理であり、最終的な適法性判断は各社の利用目的・プライバシーポリシーとの整合を含め、顧問弁護士等の確認が前提です。
| 論点 | 整理 |
|---|---|
| 委託構成 | 法人契約（Enterprise / API等）で「入力データを学習・二次利用しない」「事業者の独自目的で利用しない」「DPA（データ処理契約）を締結している」を満たすなら、第三者提供ではなく委託に伴う提供（法27条5項1号）。AIに限らずクラウド利用全般と同じ考え方 |
| 監督義務 | 委託と整理するなら委託先の監督義務（法25条）が伴う。ベンダーのセキュリティ体制・認証（SOC 2等）・DPA の確認が実務 |
| 処理場所 | 処理リージョンによっては外国にある第三者への提供（法28条）の論点が加わるため、処理場所の確認も必要 |
| 学習利用 | 入力データがモデル学習やベンダー独自目的に利用され得るサービス（無料版・個人アカウント等）への個人情報入力は委託の枠を超え第三者提供・目的外利用となり得る。業務利用自体を禁止する運用が標準 |
| 一次情報 | 個人情報保護委員会「生成AIサービスの利用に関する注意喚起」（2023年6月）が起点。あわせてデジタル庁DS-920（要機密情報はクラウド型生成AIで原則扱わない等）、IPA「テキスト生成AIの導入・運用ガイドライン」 |
論点は「AIか否か」ではなく「委託として構成できる契約条件を満たすか」