「便利なのは分かりました。ただ──お客様の情報をAIに扱わせて、本当に大丈夫なんですか」。顧客対応AIの検討が進んだ会社ほど、最後にこの壁の前で立ち止まります。機能の説明には頷けても、この一点だけは頷けない。そんな顔を、私たちは何度も見てきました。そして最初にお伝えしたいのは、この立ち止まりは正しいということです。お客様の名前、連絡先、相談の中身。会社が預かる情報の重さを知っている経営者だけが、この質問をします。逆に、この質問をせずに導入へ進む会社のほうを、私たちは心配します。
私たち株式会社Milestoneは、静岡県沼津市を拠点に、顧客対応AI・AIチャットボットの開発を専門に手がけている会社です。この記事では、漠然とした「なんとなく怖い」を、確認できる項目と決められる設計に分解します。先に結論を言えば、守りは後から付け足す機能ではなく、導入の最初に決める設計です。そして、お客様の情報を「集める」仕組みと「守る」仕組みは、必ずセットで作るものです。後付けの守りは高くつき、最初からの守りは、ほとんど費用がかかりません。
読み終える頃には、貴社が確認すべきこと、決めるべきこと、相手に聞くべきことが、チェックできる形で手元に残っているはずです。専門用語は最小限に、経営者が判断できる言葉だけで進めます。
「なんとなく怖い」を、4つに分解する
漠然とした不安は、分解すれば、全部が確認できる項目に変わります。
不安①：入力した情報が、AIの学習に使われないか
「お客様とのやり取りが、AIの頭の中に取り込まれて、よそで出てきたりしないのか」。一番よく聞く不安です。これは後述しますが、サービスの種類と契約次第で、防げるものです。確認すべき項目であって、諦める理由ではありません。数年前の記憶のまま、いまの選択肢まで諦めてしまうのは、もったいない話です。
不安②：情報が、漏れないか
会話の記録が外部に漏れる、不正アクセスを受ける。この不安の答えは、保存のされ方と、アクセスの制限のされ方にあります。つまり技術と運用の設計項目です。「絶対に漏れない」と言い切る相手より、「こう守っている」を語れる相手が本物です。
不安③：どこに、保存されるのか
データがどこの国の、どんな場所に保存されるのか。国内なのか海外なのか、どんな管理のもとにあるのか。これも契約と構成で確認できる、事実の問題です。感覚で怖がる話ではなく、答えを持っている相手に聞けば分かる話です。
不安④：誰が、見られるのか
社内の誰が会話ログを見られるのか。開発会社やツール提供元は見られるのか。権限の設計の問題であり、決めれば決まることです。決めていないから、不安なままなのです。──お気づきのとおり、4つとも「運次第の怖い話」ではなく、「確認と設計で答えが出る話」です。ここからは、その確認と設計を順にやっていきます。
まず、2026年の前提を押さえる
設計の前に、知っておくべき現在の常識を3つだけ。
「AIに入れたら学習される」は、条件次第
数年前、「AIに入力した情報が学習に使われる」という話が広く知られました。この心配は、無料の一般向けサービスを個人設定のまま使う場合には、いまも確認が必要です。数年前に広まった注意喚起は、この使い方に対するものでした。一方で、法人向けのサービスやシステム開発でのAI利用では、入力データを学習に使わない構成・契約が標準的になっています。大切なのは、「使われるか、使われないか」を貴社が契約と設定で確認すること。ここが曖昧なまま導入しないこと。それだけです。確認は、契約書の該当箇所を指差してもらうだけ。5分で済みます。
会話ログには、個人情報が含まれうる
顧客対応AIの会話記録には、お客様の名前、連絡先、相談の中身が入り込みます。とりわけ相談内容は、名簿には載らない機微な情報を含むことがあります。つまり会話ログは、貴社が預かる個人情報の一部です。「AIの記録だから」と特別扱いも軽視もせず、顧客名簿と同じ真剣さで、保存と権限のルールを決める。この認識が、すべての土台になります。新しい道具の情報も、古い帳簿の情報も、預かりものであることに変わりはありません。
法律の基本は、難しくない
個人情報保護法が求めることの骨格は、実はシンプルです。何のために集めるかを明らかにする。その目的の範囲で使う。安全に管理する。勝手に第三者へ渡さない。──貴社がすでに顧客名簿でやってきたことを、AIの記録にも同じように適用する、と言い換えてもいいでしょう。──顧客対応AIの導入も、この骨格の上に乗ります。個別の判断が必要な場面は専門家に確認するとして、経営者が押さえるべき原則は、この4行で十分です。原則を知っていれば、専門家への相談も「どこを聞けばいいか」から始められます。
守りの設計①：そもそも、集めすぎない
ここから設計です。最初にして最強の守りは、これです。
一番強い守りは、「持たないこと」
漏れて困る情報は、最初から預からないのが最強の防御です。顧客対応AIの設計で言えば、AIに聞かせる情報を、用件に必要な最小限に絞ること。よくある質問への回答に、お客様のフルネームは要りません。資料請求の受付に、生年月日は要らないはずです。聞く項目を一つ減らすたびに、守るべき在庫が一つ減ります。「念のため全部聞いておく」は、親切のつもりで、リスクの在庫を増やす設計です。しかも入力項目が多い窓口は、お客様にも面倒がられて使われません。守りと使いやすさは、ここでは同じ方向を向いています。
教え込む知識からも、個人情報を除く
AIに教え込むよくある質問と答えの中に、実在のお客様の名前や事例の詳細を入れない。教材は、個人が特定されない形に整えてから渡す。この一手間が、AIの回答から個人情報が漏れ出る事故を、根元から断ちます。事例を使うなら「ある製造業のお客様」で十分。固有名詞は、教材には要りません。
集める量は、少ないほど強い
情報は、集めるほど便利で、集めるほど重くなります。何を集め、何を集めないか。この線引きを導入時に一度決めておくだけで、貴社の守りの土台は、他社より一段と固くなります。守りの第一歩は、鍵の強化ではなく、預かる荷物を減らすことなのです。金庫を大きくする前に、金庫に入れる物を選ぶ。順番はこちらです。
守りの設計②：保存と権限を決める
次に、預かった情報の置き方です。
どこに、いつまで、を決める
会話ログの保存場所はどこか。保存期間はいつまでか。期間を過ぎたものは、どう消すのか。この3つを、導入時に文字で決めておきます。「ずっと全部残しておく」は、分析には便利でも、守りの観点では在庫の積み増しです。何年も前の会話ログを、誰も見ないまま抱え続ける理由は、たいていありません。必要な期間だけ持ち、期限が来たら消す。倉庫と同じ整理の発想です。分析に使う分は、個人が特定されない形に加工してから残す手もあります。
誰が見られるか、を絞る
会話ログを見られる人を、業務上必要な人だけに絞ります。育成の担当、対応の責任者、それで足りる場面がほとんどです。全員が見られる状態は、便利なようで、事故の入口を全員分開けている状態です。権限は役割で分け、付与と削除の記録を残す。「誰が見られるか」を一覧にできない状態なら、それが最初の宿題です。地味ですが、漏えい事故の多くは、外部からの攻撃より、内部の権限の緩みから起きています。悪意がなくても、見える人が多いほど、うっかりの確率は上がるのです。
退職と委託の、出口を決める
人が辞めるとき、アカウントと権限をいつ止めるか。外部に作業を委託するとき、何を見せて何を見せないか。連絡窓口の整理でお伝えした「個人のスマホの中」の問題と、根は同じです。出口の手順が決まっていない会社は、辞めた人のアカウントが生きたまま、という一番ありがちな穴を放置しがちです。入口より出口。ここが守りの実力差になります。退職の手続きリストに「AI・システムの権限停止」の一行を足す。今日できる改善です。
守りの設計③：契約と相手を、確かめる
自社の設計と同じくらい大切なのが、相手の確認です。
開発会社・ツールに聞く、5つの質問
比較検討の場で、この5つを必ず聞いてください。「入力データはAIの学習に使われますか」「データはどこに保存されますか」「そちらの会社の誰が、私たちのデータを見られますか」「解約時、データは削除されますか」「事故が起きたときの連絡と対応は、どうなっていますか」。答えは、口頭ではなく、契約書と資料のどこに書いてあるかで確認してください。──5つとも、専門知識ゼロで聞ける質問です。メモに書いて、商談の場でそのまま読み上げてください。それで十分に機能します。
「大丈夫です」で済ませる相手を、疑う
この5つへの答えが「大丈夫です、しっかりやってます」で終わる相手なら、候補から外して構いません。誠実な相手は、構成と契約の言葉で具体的に答えます。守りの質問への答え方は、その会社の技術の解像度と誠実さを、同時に測れる試験紙です。守りを具体的に語れない相手に、攻め（機能）だけ語られても、預ける気にはなれないはずです。
委託先も、貴社の守りの一部
個人情報の管理では、委託先の監督も預かる側の責任に含まれます。つまり、開発会社やツール選びは、機能の比較であると同時に、守りのパートナー選びです。「任せたから知らない」は通用しない。だからこそ、確認して選ぶ価値があるのです。良い委託先は、貴社の守りを強くする味方でもあります。
守りの設計④：お客様に、正直に示す
守りの最後のピースは、開示です。
何を集め、何に使うかを、見える場所に
プライバシーポリシーに、顧客対応AIで取得する情報と利用目的を記載する。AIの窓口には、AIが対応することと、会話が記録されることを明示する。難しい法律文である必要はなく、分かる言葉で、見える場所に、が原則です。隠すことは何もないのですから、先に言う。この開示は、義務である前に、お客様への礼儀です。書き方に迷ったら、「自分がお客の立場で読んで安心するか」を物差しにしてください。
正直な開示は、信頼の投資
「この会社は、情報の扱いをきちんと書いている」。その印象は、静かに、しかし確実に選ばれる理由になります。読み飛ばされたとしても、書いてあるという事実が信頼を支えます。特に相談ごとを扱う商売ほど、入口の一文が安心を作ります。守りの設計は、リスク対策であると同時に、信頼づくりの投資でもあるのです。きちんと書いてある会社と、何も書いていない会社。並べば、差は歴然です。
もし、事故が起きたら──備えの最小セット
考えたくない話こそ、先に30分だけ考えておきます。
初動の型を、一枚にしておく
万一の際にやることは、事実の確認、影響範囲の把握、関係者への報告と連絡、必要に応じた専門家・当局への相談。この順番を一枚の紙にして、初動の旗振り役を決めておくだけです。この流れを一枚にして、誰が旗を振るかを決めておく。事故の被害は、事象そのものより、初動の遅れと隠蔽で膨らみます。型があるだけで、最悪の対応を避けられます。BCPの72時間の型と同じで、決めてある会社だけが、決めてあるとおりに動けます。
記録が、貴社を守る
契約書、設計の記録、権限の付与履歴、会話ログ。日頃の記録は、事故の際に「やるべきことをやっていた」ことを示す、貴社の味方になります。守りの設計を文字で残すことは、平時の運用のためであり、有事の盾のためでもあるのです。口約束の守りは、有事には存在しないのと同じです。
「AIを制御する技術」×守り──Milestoneの設計
私たちの流儀を、最後にお伝えします。
制御には、守りの設計が含まれている
私たちMilestoneの「AIを使う」のではなく「AIを制御する」という核には、答える範囲の設計だけでなく、情報の守りの設計が最初から含まれています。集める情報の最小化、学習に使われない構成、保存と権限の設計、契約での明文化。賢さの前に、安心。順番はいつもこれです。答える範囲を制御するのと同じ手つきで、情報の範囲も制御する。私たちにとって、二つは同じ仕事です。
設計を、貴社が説明できる形で渡す
そして私たちは、守りの設計を設計書として言語化し、貴社にお渡しします。お客様や取引先から「AIを入れたそうだけど、情報は大丈夫なの」と聞かれたとき、貴社自身の言葉で答えられる状態にする。取引先の情報管理の調査票にも、その設計書がそのまま使えます。守りは、導入した会社が説明できて初めて、完成だと考えているからです。
過剰な不安にも、過剰な楽観にも、立たない
怖がらせて売るセキュリティ商売にも、「大丈夫大丈夫」の楽観にも、私たちは与しません。確認すべきことを確認し、決めるべきことを決めれば、顧客対応AIは安心して使える。その確認と決定を、一つずつ一緒にやる。それが、この分野での誠実さだと思っています。不安を煽って高い守りを売ることも、確認を飛ばして早く売ることも、どちらも私たちの流儀ではありません。
よくある質問（FAQ）
Q1．無料のChatGPTに、お客様の情報を入れるのはダメですか？ A．個人向けの無料サービスを初期設定のまま使う場合、入力内容の扱いは規約と設定の確認が必要で、お客様の個人情報を入れる使い方はお勧めしません。試しに使うなら、架空の情報に置き換えてからにしてください。業務で扱うなら、学習に使われない法人向けの構成を選ぶこと。道具の選び分けが、そのまま守りになります。
Q2．うちの会話ログは、ツールの会社に見られているのですか？ A．サービスの構成と契約によります。運用支援のために提供元がログを見られる構成もあれば、貴社しか見られない構成もあります。だからこそ、5つの質問の三つ目──「そちらの誰が見られますか」を、導入前に確認してください。誠実な提供元は、閲覧できる範囲と条件を明確に答えられます。答えが曖昧なら、その曖昧さ自体が判断材料です。
Q3．AI導入にあたって、法律上の手続きは必要ですか？ A．多くの場合、プライバシーポリシーの整備・更新と、利用目的の明示が中心になります。新しい許認可を取るような大ごとには、通常なりません。ただし、扱う情報の種類や業種によって必要な対応は変わるため、個別の判断は専門家への確認をお勧めします。この記事の設計①〜④を整えたうえで相談すれば、確認は短時間で済みます。
Q4．データが海外のサーバーに置かれるのは、まずいですか？ A．一概にまずいわけではありません。世界的なサービスの多くは海外の基盤を使っており、管理水準はむしろ高いこともあります。大切なのは、保存場所を把握していること、契約でデータの扱いが明確なこと、貴社の取引先や業種の要請に反しないことです。取引先から国内保存を求められる業種もあるので、貴社の商流に照らして確認してください。
Q5．小さな会社でも、ここまでの守りが必要ですか？ A．規模ではなく、扱う情報で決まります。10人の会社でも、預かる顧客名簿の重さは大企業と同じです。お客様の名前と連絡先を預かるなら、最小セット──集めすぎない、権限を絞る、契約を確かめる、開示する──は規模に関わらず必要です。幸い、この最小セットは費用がほぼかからず、決め事だけで整います。
Q6．社員が勝手にAIへ情報を入れていないか、心配です。 A．正しい心配です。禁止だけでは隠れて使われるので、会社として安全な使い方を用意し、ルールを一枚で示すのが現実解です。何を入れてよく、何を入れてはいけないか。例つきの一枚があるだけで、うっかりは大きく減ります。「業務の情報は、会社が用意したこの環境で」。禁止ではなく行き先を示す。行き先のない禁止は、見えない場所での利用を増やすだけだからです。このテーマは根が深いので、改めて一本の記事で書く予定です。
Q7．万一、漏えいが起きたらどうなりますか？ A．影響の確認、関係者への報告・連絡、再発防止が基本の流れで、内容によっては当局への報告や本人への通知が必要になります。判断に迷う事態こそ、早めに専門家へ。抱え込みが一番傷を広げます。だからこそ、初動の型と日頃の記録が効きます。起きない設計を尽くしたうえで、起きたときの型も持つ。両方で一人前の守りです。保険と同じで、型は使わないで終わるのが一番ですが、無いまま走ってはいけません。
Q8．結局、何から確認すればいいですか？ A．今週やるなら二つ。いま検討中の（または導入済みの）仕組みについて「5つの質問」を投げること。そして、AIに集めている情報の一覧を眺めて「本当に要るか」を見直すこと。順番はどちらからでも構いません。この二つだけで、貴社の守りの現在地は、はっきり見えてきます。どちらも費用ゼロ、社内だけで今週できます。
顧客対応AIの守りの設計なら、株式会社Milestoneへ
お客様の情報への不安は、導入をやめる理由ではなく、設計を良くする出発点でした。集めすぎない。保存と権限を決める。契約と相手を確かめる。正直に説明する。この4つの設計と5つの質問があれば、「なんとなく怖い」は「確認済みの安心」に変わります。そして確認済みの安心は、お客様への説明にも、取引先への回答にも、そのまま使える資産になります。
私たちMilestoneは、静岡県沼津市を拠点に、顧客対応AI・AIチャットボットの開発と導入支援を専門に行っています。「AIを使う」のではなく「AIを制御する」を核に、情報の守りを最初の設計に組み込み、貴社が自分の言葉で説明できる形でお渡しします。
こんなご相談を歓迎しております
- 検討中のツールに「5つの質問」を一緒にぶつけてほしい
- 会話ログの保存・権限・削除のルールを整えたい
- プライバシーポリシーのAI対応の記載を相談したい
- 導入済みの仕組みの守りを、一度点検してほしい
- 情報を集めすぎない設計で、窓口を作り直したい
訪問対応（静岡県内・隣接エリア）、オンライン対応（全国）、どちらでも可能です。30分ほどお話を伺うだけで、貴社の「守りの現在地と、固めるべき順番の輪郭」は、たいてい見えてきます。設計①〜④のどこから固めるべきかは、会社ごとに違うものです。
▶ ご相談・お問い合わせ https://milestone-net.com
「資料だけ見たい」「他社と比較検討中」というライトな段階のご連絡も、歓迎しております。
「やりたいをできるに、できるをできたに」。中小企業の長期パートナーとして、責任を持って伴走します。
株式会社Milestone（マイルストーン） 代表取締役 大石 湧斗（おおいし ゆうと） 所在地：静岡県沼津市
中小企業向けAIシステム開発・導入支援。「AIを使う」のではなく「AIを制御する」を経営の核に据え、業務にフィットしたAI導入を伴走型でご提案。静岡県全域と隣接エリアで対面対応可能。「やりたいをできるに、できるをできたに」をミッションに、貴社の長期パートナーとして責任を持ってご支援します。
