学んだ内容を業務に当てはめる
生成AIに請求書・名刺などの書類を読み取らせる前の個人情報の確認手順
請求書や名刺をAIに読み取らせて表にまとめる作業では、書類に含まれる氏名などの個人情報を外部のサービスへ入力することになります。個人情報保護委員会の生成AI注意喚起と個人情報保護法の条文にもとづくと、入力前に確認する点は5つに整理できます。生成AIパスポートのシラバス第4章「個人情報保護の観点」で学ぶ内容を、業務書類に当てはめる形でまとめました。
このページは個別の書類や利用サービスの適法性を判定するものではありません。公式の注意喚起と条文に書かれている範囲を、確認の順に並べています。
公式情報の確認
試験日、料金、申込条件、試験方式など変動する情報は、公式情報を最終確認してください。 当サイトの一次情報確認日: 2026-08-31。
試験の出題範囲・実施要項は変動するため、受験前に公式情報を確認してください。
結論：入力前に確認する5点
- 入力する個人情報が、特定された利用目的の範囲内か
- 本人の同意なしに個人データを入力しないか、サービス側が機械学習に利用しないか
- サービスの利用規約とプライバシーポリシーを確認したか
- 安全管理措置・委託先の監督・第三者提供の制限（個人情報保護法第23条・第25条・第27条）に触れないか
- 読み取り結果に不正確な個人情報が混ざる前提で、元の書類と突き合わせるか
書類のどこが個人情報に当たるか
個人情報保護法第2条第1項は、個人情報を「生存する個人に関する情報」のうち、氏名、生年月日その他の記述等により特定の個人を識別できるもの、または個人識別符号が含まれるものと定めています。書類の種類ごとに見ると、次のとおりです。
名刺
氏名や生年月日その他の記述等により特定の個人を識別できる情報は、個人情報保護法第2条第1項の個人情報に当たります。
請求書・領収書
担当者名や個人事業主の氏名などが記載されていれば、同じく個人情報の対象になり得ます。法人名や金額だけの部分は、個人を識別できるかどうかで分けて見ます。
免許証・マイナンバーなどの番号
第2条第2項の個人識別符号は、特定の個人の身体の一部の特徴を変換した符号や、サービスの利用・商品の購入に関し個人ごとに割り当てられる番号などのうち政令で定めるものです。そのような番号を含む書類は、そもそも入力する必要があるかを最初に確認します。
診断書・履歴書など
第2条第3項の要配慮個人情報は、本人の人種、信条、社会的身分、病歴、犯罪の経歴などの記述等が含まれる個人情報で、不当な差別や偏見が生じないよう取扱いに特に配慮を要するものです。病歴などが書かれた書類は、特に慎重に扱います。
入力前の確認手順
1. 入力する個人情報が、決めた利用目的の範囲内か
個人情報保護委員会の注意喚起は、個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合、特定された利用目的を達成するために必要な範囲内であることを十分に確認するよう求めています。請求書の支払処理のために取得した情報を、その目的と関係のない用途で読み取らせていないかを先に見ます。
2. 本人の同意なしに個人データを入力しないか、機械学習に使われないか
同じ注意喚起は、あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反する可能性があると述べています。そのため、入力する場合は、サービス提供事業者が個人データを機械学習に利用しないこと等を十分に確認するよう求めています。
3. 利用規約とプライバシーポリシーを読んだか
注意喚起は、利用者に対し、サービス提供事業者の利用規約やプライバシーポリシー等を十分に確認し、入力する情報の内容を踏まえて利用を判断するよう求めています。入力内容の取扱いはサービスごとに定めが異なるため、書類を入力する前に読みます。
4. 外部サービスへの入力が、安全管理・委託先の監督・第三者提供の条文に触れないか
個人情報保護法第23条は、個人データの漏えい、滅失又は毀損の防止その他の安全管理のために必要かつ適切な措置を講じることを事業者に求めています。第25条は、個人データの取扱いの全部又は一部を委託する場合に、委託を受けた者への必要かつ適切な監督を求めています。第27条は、例外の場合を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定めています。外部の生成AIサービスへの入力がどれに当たるかは、サービスの契約内容と提供の仕方で変わるため、自社で判断できない場合は社内の担当部署や個人情報保護委員会の案内で確認してください。
5. 出力に不正確な個人情報が混ざる前提で、読み取り結果を突き合わせるか
注意喚起は、生成AIサービスの応答結果には確率的な相関関係に基づいて生成された不正確な内容の個人情報が含まれるリスクがあるとし、そのリスクを踏まえて適切に判断するよう述べています。氏名や金額の読み取り結果は、元の書類と突き合わせてから使います。
一次資料: 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（令和5年6月2日）、個人情報の保護に関する法律（e-Gov法令検索）
シラバスとの対応
生成AIパスポートの公式シラバスでは、第4章 情報リテラシー・基本理念とAI社会原則の「個人情報保護の観点」に、次の項目が挙げられています。
| シラバスの項目 | このページでの使いどころ |
|---|---|
| 個人情報保護法・改正個人情報保護法・個人情報保護委員会 | 上の確認手順1〜4で参照する条文と注意喚起の出どころ |
| 個人情報取扱事業者 | 確認手順の主語。書類を取り扱う事業者側が負う義務の整理 |
| 個人識別符号・要配慮個人情報 | 書類のどこが個人情報に当たるか、特に慎重に扱う情報は何か |
| 匿名加工情報・マスキング | 書類から識別できる記述を減らして入力する考え方（実際に法の加工基準を満たすかは別途確認） |
| 生成AI活用における個人情報の取り扱い | 確認手順の全体。生成AIに入力する側が確認する点 |
第4章の問題を解くと、これらの項目が試験でどう問われるかを確認できます。
実務の進め方
確認の5点を済ませたあと、実際に書類をAIで読み取りデータ化する手順は、同じ生成AIを仕事に使う人向けに、フューチャープロンプトのコラム「AIによる書類のデータ抽出の進め方」で扱われています。
よくある質問
生成AIパスポートの試験では、この内容が出る？
公式シラバスの第4章に「個人情報保護の観点」があり、個人情報保護法、個人識別符号、要配慮個人情報、匿名加工情報、マスキングなどが範囲に含まれます。このページの実務の当てはめそのものが出題されるとは限らないため、出題範囲の確認には章別演習を使ってください。
名前を伏せれば、書類を入力しても問題ない？
個人情報かどうかは、氏名の有無だけで決まりません。他の記述等から特定の個人を識別できるかで判断されます。個別の書類が該当するかは、個人情報保護委員会の案内や社内の担当部署で確認してください。このページは個別の適法性を判定するものではありません。
個人情報が含まれない書類なら、確認は要らない？
個人情報保護法の確認は不要でも、取引先の機密情報など別の情報リスクがあります。利用規約やプライバシーポリシーで、入力内容がどう取り扱われるかを確認する手順は共通です。