# 個人情報保護法に沿って ERP のデータを AI で扱う

> Source: https://netray.co/ja/appi-erp-ai
> Language: ja
> Publisher: Netray (netray.co)

ERP の取引先担当者名や従業員情報を生成AIに渡す場合、委託、第三者提供、外国にある第三者への提供の整理が要ります。モデルを自社環境や国内のプライベート環境に置けば、論点を大きく減らせますが、法的判断は専門家と確認してください。

ERP には、取引先担当者の氏名・連絡先、従業員の人事・給与情報、個人事業主の取引情報など、個人情報が含まれています。ここに生成AIを接続するとき、「どのデータが、どこで処理されるか」を説明できる必要があります。

本稿は一般的な整理であり、法的助言ではありません。個別の判断は、社内の法務、個人情報保護管理者、必要に応じて弁護士と行ってください。個人情報保護委員会は、生成AIの利用について注意喚起を公表しており、最新の資料も確認することを勧めます。

## ERP のどのデータが個人情報にあたるか

典型的には、取引先担当者の氏名・メールアドレス・電話番号、従業員マスターの氏名・住所・口座情報、勤怠・給与データ、個人事業主である仕入先の情報が該当します。氏名を含まない行でも、他の情報と容易に照合できれば個人情報にあたり得ます。

多くの製造業の ERP で、AI の主な対象となる在庫、受注、製造指図、原価のデータは、個人情報を含みません。まず、AI が見るデータの範囲をこの観点で切り分けるのが、最も効果的な第一歩です。

- 取引先担当者の氏名・連絡先(顧客マスター、仕入先マスター)
- 従業員マスター、勤怠、給与、評価
- 個人事業主の取引先の請求・支払情報
- 自由記述欄(備考)に紛れ込んだ個人名や連絡先

## 委託、第三者提供、外国にある第三者への提供

外部のクラウド型生成AIサービスにデータを送る場合、その事業者が入力データを自社の目的に使わず、委託先として取り扱うのであれば、委託(個人情報保護法第27条第5項第1号に基づく整理)として説明できる場合があります。この場合、委託先の監督(第25条)が必要です。一方、事業者が入力データを自社のために利用できる契約であれば、第三者提供にあたる可能性があり、本人の同意などが論点になります。

さらに、サービスの提供事業者やサーバーが外国にある場合は、外国にある第三者への提供(第28条)の整理が必要になります。契約条件、データの保管場所、再委託先を確認することが前提です。これらの条文の適用は事実関係に依存するため、必ず専門家に確認してください。

## 安全管理措置とアクセス制御

安全管理措置(第23条)の観点では、AI を使うことでアクセス範囲が広がらないことが重要です。ERPray のように、ERP のロール(権限)を継承する設計なら、利用者が ERP で見られない個人情報は、AI を介しても見られません。

加えて、誰がいつ何を問い合わせたかのログ、生成されたクエリの可視化、取得データの保持期間の制限が有効です。個人情報を含む列は、AI の対象から除外する、または仮名化・マスキングしてから渡すという選択肢もあります。

- ERP のロールをそのまま継承し、権限の外の情報は返さない
- 問い合わせ・回答のログを残す
- 個人情報の列を対象外にする、またはマスキングする
- 取得した行データの保持期間を限定する

## モデルを自社環境や国内に置く構成

オープンウェイトのモデル(Llama、Qwen、Mistral、Gemma、gpt-oss など)を、vLLM や Ollama で自社の GPU、または日本国内のプライベートクラウドに配置すれば、データが外部の AI 事業者に渡りません。委託や外国にある第三者への提供という論点が、AI の部分については大きく減ります。

ただし、これで法的な義務がなくなるわけではありません。利用目的の特定と通知・公表、安全管理措置、従業者の監督は、引き続き必要です。構成は、顧客側が義務を果たしやすくするための手段にすぎません。

## 営業秘密・取引先との秘密保持も忘れずに

個人情報だけでなく、取引先との秘密保持契約の対象情報や、自社の営業秘密(不正競争防止法上の保護を受けるための秘密管理性)も、AI に渡す際の判断材料になります。外部サービスへの入力が秘密管理性に影響しないかは、社内で確認しておくべき点です。

社内規程には、生成AIに入力してよい情報の区分を明記し、ERP 連携の AI は別枠で承認する運用を勧めます。

## FAQ

### ERP のデータを生成AIに渡すことは、そのまま違法になりますか。

一概には言えません。個人情報を含むか、事業者が入力データを自社目的で使えるか、サーバーが国内か国外か、などの事実関係で整理が変わります。個別の判断は専門家と行ってください。

### オンプレミスで動かせば、個人情報保護法の問題はなくなりますか。

外部への提供に関する論点は大きく減りますが、利用目的の特定、安全管理措置、従業者の監督などの義務は残ります。

### 個人情報を含む列を除外して AI を使えますか。

可能です。AI の対象とする表や列を限定する、またはマスキングして渡す設計ができます。在庫・受注・製造のような業務では、この方法で足りる場合が多くあります。

### 従業員データ(給与など)も AI で扱えますか。

扱えますが、閲覧できる人の範囲を ERP のロールで厳しく制限し、ログを残すことが前提です。人事データは、最初の導入範囲に含めないことを勧めます。

### クラウド型の生成AIを使う場合、何を確認すべきですか。

入力データの利用目的(学習への利用の有無)、データの保管場所、再委託先、削除の仕組み、契約上の責任範囲を確認してください。