APPI × ERP × 生成AI
個人情報保護法に沿って ERP のデータを AI で扱う
要点
ERP の取引先担当者名や従業員情報を生成AIに渡す場合、委託、第三者提供、外国にある第三者への提供の整理が要ります。モデルを自社環境や国内のプライベート環境に置けば、論点を大きく減らせますが、法的判断は専門家と確認してください。
ERP には、取引先担当者の氏名・連絡先、従業員の人事・給与情報、個人事業主の取引情報など、個人情報が含まれています。ここに生成AIを接続するとき、「どのデータが、どこで処理されるか」を説明できる必要があります。
本稿は一般的な整理であり、法的助言ではありません。個別の判断は、社内の法務、個人情報保護管理者、必要に応じて弁護士と行ってください。個人情報保護委員会は、生成AIの利用について注意喚起を公表しており、最新の資料も確認することを勧めます。
ERP のどのデータが個人情報にあたるか
典型的には、取引先担当者の氏名・メールアドレス・電話番号、従業員マスターの氏名・住所・口座情報、勤怠・給与データ、個人事業主である仕入先の情報が該当します。氏名を含まない行でも、他の情報と容易に照合できれば個人情報にあたり得ます。
多くの製造業の ERP で、AI の主な対象となる在庫、受注、製造指図、原価のデータは、個人情報を含みません。まず、AI が見るデータの範囲をこの観点で切り分けるのが、最も効果的な第一歩です。
- 取引先担当者の氏名・連絡先(顧客マスター、仕入先マスター)
- 従業員マスター、勤怠、給与、評価
- 個人事業主の取引先の請求・支払情報
- 自由記述欄(備考)に紛れ込んだ個人名や連絡先
委託、第三者提供、外国にある第三者への提供
外部のクラウド型生成AIサービスにデータを送る場合、その事業者が入力データを自社の目的に使わず、委託先として取り扱うのであれば、委託(個人情報保護法第27条第5項第1号に基づく整理)として説明できる場合があります。この場合、委託先の監督(第25条)が必要です。一方、事業者が入力データを自社のために利用できる契約であれば、第三者提供にあたる可能性があり、本人の同意などが論点になります。
さらに、サービスの提供事業者やサーバーが外国にある場合は、外国にある第三者への提供(第28条)の整理が必要になります。契約条件、データの保管場所、再委託先を確認することが前提です。これらの条文の適用は事実関係に依存するため、必ず専門家に確認してください。
安全管理措置とアクセス制御
安全管理措置(第23条)の観点では、AI を使うことでアクセス範囲が広がらないことが重要です。ERPray のように、ERP のロール(権限)を継承する設計なら、利用者が ERP で見られない個人情報は、AI を介しても見られません。
加えて、誰がいつ何を問い合わせたかのログ、生成されたクエリの可視化、取得データの保持期間の制限が有効です。個人情報を含む列は、AI の対象から除外する、または仮名化・マスキングしてから渡すという選択肢もあります。
- ERP のロールをそのまま継承し、権限の外の情報は返さない
- 問い合わせ・回答のログを残す
- 個人情報の列を対象外にする、またはマスキングする
- 取得した行データの保持期間を限定する
モデルを自社環境や国内に置く構成
オープンウェイトのモデル(Llama、Qwen、Mistral、Gemma、gpt-oss など)を、vLLM や Ollama で自社の GPU、または日本国内のプライベートクラウドに配置すれば、データが外部の AI 事業者に渡りません。委託や外国にある第三者への提供という論点が、AI の部分については大きく減ります。
ただし、これで法的な義務がなくなるわけではありません。利用目的の特定と通知・公表、安全管理措置、従業者の監督は、引き続き必要です。構成は、顧客側が義務を果たしやすくするための手段にすぎません。
営業秘密・取引先との秘密保持も忘れずに
個人情報だけでなく、取引先との秘密保持契約の対象情報や、自社の営業秘密(不正競争防止法上の保護を受けるための秘密管理性)も、AI に渡す際の判断材料になります。外部サービスへの入力が秘密管理性に影響しないかは、社内で確認しておくべき点です。
社内規程には、生成AIに入力してよい情報の区分を明記し、ERP 連携の AI は別枠で承認する運用を勧めます。
よくある質問
ERP のデータを生成AIに渡すことは、そのまま違法になりますか。
一概には言えません。個人情報を含むか、事業者が入力データを自社目的で使えるか、サーバーが国内か国外か、などの事実関係で整理が変わります。個別の判断は専門家と行ってください。
オンプレミスで動かせば、個人情報保護法の問題はなくなりますか。
外部への提供に関する論点は大きく減りますが、利用目的の特定、安全管理措置、従業者の監督などの義務は残ります。
個人情報を含む列を除外して AI を使えますか。
可能です。AI の対象とする表や列を限定する、またはマスキングして渡す設計ができます。在庫・受注・製造のような業務では、この方法で足りる場合が多くあります。
従業員データ(給与など)も AI で扱えますか。
扱えますが、閲覧できる人の範囲を ERP のロールで厳しく制限し、ログを残すことが前提です。人事データは、最初の導入範囲に含めないことを勧めます。
クラウド型の生成AIを使う場合、何を確認すべきですか。
入力データの利用目的(学習への利用の有無)、データの保管場所、再委託先、削除の仕組み、契約上の責任範囲を確認してください。
関連ガイド
Oracle NetSuite に AI を載せる:日本企業のための実践ガイド
日本の製造業・商社向けに、Oracle NetSuite のデータを自然言語で検索・分析する AI の作り方を解説。SuiteQL 連携、権限継承、日本国内での運用、インボイス制度への対応まで。
品質記録・検査(ERP / MES)製造業の品質記録・検査データを AI で活かす
検査成績書、不適合報告、是正処置などの品質記録を ERP と結びつけて AI で検索・要約する方法。ISO 9001、IATF 16949、JIS Q 9100 の現場を想定して解説します。
レガシー ERP(2025年の崖)「2025年の崖」の先で、レガシー ERP に AI を載せる
経済産業省 DXレポートの「2025年の崖」を過ぎた今、老朽化した ERP を全面刷新せずに AI で価値を引き出す現実的な選択肢と、移行判断の考え方を解説します。
SAP ERP 6.0(ECC)/ SAP S/4HANASAP 2027年問題とAI:移行を急ぐ前に、社内の知識を読めるようにする
SAP ERP 6.0の保守終了(2027年問題)に向け、アドオン棚卸しや移行判断に生成AIをどう使うか。データを社外に出さない構成と注意点を解説。
ERP全般(オンプレミス生成AI)オンプレミス生成AIをERPにつなぐ:データを社内に置いたまま使う方法
ERPのデータを社外に出さずに生成AIを使うには。ローカルLLM、RAG、権限連携、承認フローまで、情報システム部門向けに構成と注意点を整理。
生産管理システム生産管理システムにAIを加える:納期回答と進捗確認を速くする
生産管理システムのデータに生成AIをつなぎ、納期回答、進捗照会、欠品要因の把握を効率化。現場に定着させる設計とAIの限界を解説。