広告代理店が生成AIへ顧客データを入力する判断基準｜契約・環境の確認表

広告代理店が生成AIへ顧客データを入力できるかは、ツールの料金プランだけでは決まりません。顧客契約で外部サービスへの入力が許されているかを先に確かめ、その後に会社が承認した利用環境かを確認するのが基本です。どちらか一方でも確認できなければ、入力を止めます。

広告実績、未公開施策、顧客との契約書、媒体の認証情報は、同じ資料に入っていても扱いが違います。表計算ファイルを丸ごとアップロードせず、項目ごとに「入力不可」「確認待ち」「条件付きで可」へ分ける必要があります。なかでもパスワードやAPIキー、アクセストークンは文章生成に不要なので、承認済み環境でも入力しません。

個別案件の適法性や契約解釈は、契約内容やデータの性質によって変わります。この記事の表は現場の一次判定に使い、判断が残る項目は法務・情報管理責任者・顧客窓口へ確認してください。

契約が未確認なら、承認済みAIでも顧客データを入れない

会社が法人向けAIを契約していても、顧客との秘密保持契約や業務委託契約が外部サービスへのデータ入力を認めているとは限りません。顧客データを扱う前に、少なくとも次の点を確認します。

• 秘密情報の定義に、広告実績、施策案、素材、契約内容が含まれるか
• クラウドや外部AIの利用について、事前承認や通知が必要か
• 外部AIの利用が再委託などに当たるか、契約上の手続きがあるか
• 利用目的、保存場所、保存期間、削除方法に指定があるか
• 事故時の報告期限と連絡先が決まっているか

条文を読んでも該当箇所が分からない場合は「禁止の記載がないから可」と扱いません。何の業務に、どの情報を、どのサービスへ入力したいかを一枚にまとめ、契約の管理担当者へ確認します。確認結果には、案件名、対象業務、許可された情報、利用環境、承認者、確認日を残します。

個人に関するデータは、契約だけで結論を出せません。個人情報保護委員会は、生成AIへ個人情報を入力する際、特定した利用目的の達成に必要な範囲かを確認するよう注意を促しています。本人の同意なく個人データを入力する場合には、提供事業者が機械学習へ使わないことなども十分に確認するよう示しています（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」）。この注意喚起を読んだだけで、個別案件の法的結論が出るわけではありません。問い合わせ情報や個人単位のコンバージョン記録を扱う場合は、社内の個人情報保護ルールと専門担当者の判断を優先します。

四つの情報を、顧客契約と利用環境の両方で判定する

広告代理店の実務では、情報の名前より「契約上の許可」と「利用環境」を交差させると判断が安定します。2026年8月17日時点の経済産業省「AI事業者ガイドライン（第1.2版）」も、AI利用者に対し、個人情報や機密情報を不適切に入力しないよう注意を求めています。現場では、この原則を次の判定表へ落とし込みます。

広告実績は数字だけなら安全、とは言い切れません。媒体名、配信地域、少数件の成果、施策名を組み合わせると、顧客や未公開施策を推測できることがあります。社名を消すだけで済ませず、文章作成に必要な粒度まで落とします。

契約で外部AIの利用が禁止されているなら、マスキング後でも入力しません。契約が許可していても、個人アカウントや会社未承認のサービスは使わない。この順番を崩さないことが大切です。

承認済み環境は、学習利用だけでなく六項目で確認する

「入力内容を学習に使わない」という表示だけでは、保存、閲覧、共有の条件までは分かりません。同じ提供会社でも、個人向け画面、法人契約、APIで条件が異なる場合があります。管理者または導入責任者は、公式規約と契約書で次の六項目を確認し、確認日と参照URLを記録します。

一度承認したサービスでも、料金プラン、利用規約、管理者設定、接続先が変われば再確認します。承認はサービス名に与える永久許可ではなく、「どの契約・設定で、何の業務に使うか」への許可です。

月次レポートでは、ファイルを渡さず必要項目だけ切り出す

架空の案件を例にします。月次レポートの表には、顧客名、広告アカウントID、日別費用、成果件数、未公開キャンペーン名、施策メモ、媒体接続用トークンが入っているとします。目的は、数値変化を説明するコメントの草案作成です。

この処理をしても、顧客契約と承認済み環境の確認は省けません。許可を得た後に、必要最小限へ減らすための加工です。AIの出力にも顧客事情が残る可能性があるので、共有リンクを発行せず、担当者が根拠と機密混入を確認してから既存のレポートへ移します。

業務全体の棚卸しは広告代理店のAI活用・DX入門の手順が使えます。会議の録音・文字起こし・要約を扱う場合は、入力だけでなく参加者への案内、共有先、保存期間まで決める必要があるため、AI議事録を定例会で使う方法も合わせて確認してください。

誤入力では、削除の前に認証情報と共有を止める

誤入力を見つけたら、どのサービス、組織アカウント、時刻、会話へ何を入力したかを記録し、社内の事故対応手順に従って責任者へ連絡します。認証情報なら失効・再発行を優先し、会話の共有リンクや外部連携があれば停止します。その後、サービス上の削除、アクセス記録の保全、提供会社への照会を進めます。

顧客や本人への連絡、個人情報保護委員会への報告が必要かは、情報の種類と影響によって変わります。現場担当者だけで決めず、法務・情報管理責任者が個人情報保護委員会の漏えい等対応案内と契約を確認して判断します。チャットを削除できたことだけで、影響がなくなったとは扱いません。

再発防止では、禁止事項を読み直すだけで終わらせず、承認済み環境への導線、入力前の判定表、マスキング用の書式、相談先を直します。迷った担当者が、個人利用のAIへ移らずに止まれる運用が必要です。

最初の一業務を、項目単位で判定する

まず月次レポートや定例準備から一業務を選び、普段扱う情報を十項目ほど書き出します。各項目に、契約上の許可、利用環境、必要性、マスキング方法、承認者を記入し、「入力不可」「確認待ち」「条件付き」「利用可」を仮置きします。判断できない項目は許可せず、担当部署や顧客へ出す質問に変えてください。

顧客データを安全に扱う鍵は、AIを選ぶことより、入力前の順序を固定することです。契約を確認し、承認済み環境を確認し、必要最小限に減らす。その三段階を一枚の表にすれば、広告実績と未公開施策が混ざる現場でも、止めるべき場所が見えるようになります。