生成AIに入力する前の個人情報の置き換え手順：氏名・社員番号を記号にする方法と、置き換えても入力しない情報

「個人情報は入力しないこと」。生成AIの社内ルールにこう書いても、現場では「氏名を消せば大丈夫か」「社員番号ならよいか」と迷います。人事・総務の文書は、もともと個人の情報を含むものが多いからです。

この記事では、生成AIに入力する前に、個人を特定できる情報を記号に置き換える手順と、置き換えても入力しない情報を整理します。

国の注意喚起が求めていること

個人情報保護委員会は2023年6月、生成AIサービスの利用に関する注意喚起を出しました。個人情報取扱事業者（個人情報を事業に使う会社）に向けた注意点は次の2つです。

つまり、個人情報を入力すること自体が一律に禁止されているわけではありません。ただし、確認すべきことが多く、一人で判断するのは大変です。中小企業では、そもそも個人を特定できる情報を入れない運用にするのが現実的です。

置き換えても「個人情報でなくなる」とは限らない

個人情報保護法は、個人情報を「特定の個人を識別できるもの」と定め、そこに「他の情報と容易に照合でき、それにより特定の個人を識別できるもの」も含めています。

氏名を「社員A」に置き換えても、会社の手元に「社員A＝山田さん」という対応表があれば、会社にとっては照合できる状態です。置き換えたからといって、法律上の個人情報でなくなるとは言い切れません（ガイドライン（通則編）も参照）。

そのため、置き換えはAIに渡る情報を減らし、漏れたときの影響を小さくする工夫として位置づけます。「置き換えたから何でも入力してよい」という運用にはしません。

置き換えの手順

手順1：入力したい文章から特定につながる情報を探す

氏名を消しても、所属・役職・日付・珍しい経歴の組み合わせで本人が分かることがあります。社員数が少ない会社ほど、この組み合わせに注意します。

手順2：対応表はAIの外で管理する

置き換えた記号と本人の対応は、社内のファイルにだけ残します。対応表をAIに貼ったり、同じ会話の中で「社員Aは山田さんです」と書いたりしません。

手順3：出力を戻すのは人が行う

AIの出力を受け取ったら、記号を実際の名前に戻す作業は社内で行います。戻したあとの文書は、通常の社内文書と同じように管理します。

手順4：入力前にもう一度読む

送信する前に、「この文章だけを社外の人が読んで、誰のことか分かるか」を確かめます。迷ったら、さらに削ります。

置き換えても入力しない情報

次の情報は、記号に置き換えても入力しないと決めておきます。

• マイナンバー：番号法により、利用できる事務が限られている（特定個人情報ガイドライン）。生成AIへの入力はその範囲に入らない
• 健康診断の結果、病名、通院の状況：特に慎重に扱う情報で、少しの記述で本人が推測できる
• ハラスメントや懲戒の具体的な経緯：当事者が少なく、置き換えても特定されやすい
• 給与・評価の個別の数字と、本人を推測できる属性の組み合わせ
• 家族の状況（介護・妊娠・障害など）

これらを扱う文書は、AIには「ひな形」や「進め方」だけを作らせ、個別の内容は人が書き込みます。たとえば、ハラスメントのヒアリング記録は、質問項目の一覧をAIで作り、記録そのものは人が作成します（→ハラスメントの事実調査の進め方）。

プロンプトの例

置き換えたあとの文章を渡すときは、AIにも推測させないよう指示します。

次の文章は、人物を「社員A」「上司B」に置き換えた社内の相談メモです。
人物を特定しようとしたり、実在の人物を推測したりしないでください。
この内容をもとに、上司Bが社員Aと面談するときの進行メモを、
「確認すること」「伝えること」「次回までの宿題」の3つに分けて作ってください。

（置き換えた文章を貼る）

文書の種類ごとの置き換えの目安

人事・総務でよく使う文書ごとに、AIに渡してよい形の目安をまとめます。

研修資料のように、実在の人物である必要がないものは、最初から架空の人物で作るほうが安全です。「実際にあった話」をもとにするときは、業種や時期を変えるなど、社内の人が読んでも特定できない程度まで変えます。

迷う文書は、まず「AIに渡さなくても作れる部分」と「AIに手伝ってほしい部分」に分けます。多くの場合、AIに任せたいのは文章の構成や言い回しで、個人の情報そのものは必要ありません。

社内ルールに書くこと

ルール全体の作り方は社内の生成AI利用ガイドライン、個人情報の管理の基本は個人情報の管理にまとめています。誤って入力してしまったときの初動は、個人情報の漏えい時の対応も参考にしてください。

よくある失敗

まとめ

• 国の注意喚起は、利用目的の範囲内かの確認と、学習に使われないことの確認を求めている
• 置き換えても、対応表を持つ会社にとっては個人情報でなくなるとは限らない。置き換えは入力する情報を減らす工夫と考える
• 氏名・番号・所属・日付・珍しい事実を置き換え、対応表と戻す作業はAIの外で行う
• マイナンバー、健康情報、ハラスメントの経緯、家族の状況は、置き換えても入力しない

自社の業務で、どの情報をAIに渡してよいかの線引きを相談したいときは、Otsumu株式会社のAIツール診断をご利用ください。