仕事でAIを安全に使う
このガイドは、仕事でAIツールを見通しよく使うためのものです。ツールに何を確認すべきか、なぜプランが大事か、どんな義務があるかをやさしい言葉で説明します。すべての記述に原典へのリンクがあります。
31.10.2026にリンク先の原典で確認しました。法的助言ではありません。
このガイドは誰のためのものですか
仕事でAIを使うすべての人
個人事業主、小さなチーム、大きな会社。文章用のチャットツールも、会議の録音ツールや画像生成ツールも同じく対象です。 出典: 欧州委員会：第50条に関するFAQ（英語）
EU一般データ保護規則（GDPR）
仕事で名前、メール、顧客記録など人に関するデータをツールに入れた時点で適用されます。ドイツのデータ保護当局によると、そうしたデータがまったくなければ適用されません。ただし慎重に確認する必要があります。 出典: EU一般データ保護規則（EUR-Lex、英語）, ドイツ・データ保護会議：AIとデータ保護の手引き（PDF、ドイツ語）
EU AI法（AI Act）
仕事でAIを使うすべての人に適用されます。欧州委員会によると、AIを私的にだけ使う人は、AI法上の利用者の義務を負いません。 出典: EU AI法（EUR-Lex、英語）, 欧州委員会：第50条に関するFAQ（英語）
無料か法人向けか：プランで大きく変わる
ツールが会社のデータに向いているかは、AIモデルよりもプランで決まることがよくあります。同じツールでも、無料プランと法人プランでルールが違うことがあります。これは私たちが確認した提供元情報からの観察で、法律ではありません。
無料・個人プランでよくあること
- データ処理契約がない
- 入力が学習に使われることがあり、オフにするスイッチがある場合が多い
- 個人アカウントでログインする
- 保存場所を選べない
法人・チーム・APIプランでよくあること
- データ処理契約がある
- 提供元によると入力で学習しない
- アカウントを個人ではなく会社が管理する
- 保存場所を選べる場合がある（例：EU）
「よくある」は「いつも」ではありません。ご自分のプランの情報を必ず読んでください。ドイツのデータ保護当局は、個人アカウントではなく会社のアカウントと端末を使うことも勧めています。 出典: ドイツ・データ保護会議：AIとデータ保護の手引き（PDF、ドイツ語）
どのAIツールでも確認したいこと
答えはたいてい、提供元のトラストセンター、プライバシー通知、契約書にあります。見つからなければ提供元に問い合わせてください。それまでは人に関するデータを入れないほうが安全です。
私のデータはどこにありますか
入力やファイルが保存・処理されるサーバーのことです。「保存」と「処理」が分けて書かれているか確認してください。Microsoftによる例：Microsoft 365 Copilotでは「フレックスルーティング」を許可していると、混雑時に米国、カナダ、オーストラリアで処理されることがあります。2026年3月25日より後に作成された対象のEUテナントでは初期設定でオンになっており、オフにできます。 出典: Microsoft：フレックスルーティング（EU・EFTA、英語）
会社の所在地はどこですか
EU内のサーバーは、データの置き場所を示すだけです。提供元がEU外に本拠を置く場合、その国の法律の対象にもなり得ます。データがEU外の国へ移る場合、GDPRは根拠を求めます。たとえばEU-US Data Privacy Frameworkに登録された米国企業や、標準契約条項です（GDPR第45条・第46条）。米国企業が登録されているかは公式リストで確認できます。 出典: EU一般データ保護規則（EUR-Lex、英語）, 欧州委員会：EUから米国へのデータ移転（英語）, Data Privacy Framework公式リスト（英語）
ツールは私の入力から学習しますか
入力や回答をモデルの改善に使う提供元もあります。そうなっているか、オフにできるかを確認してください。ドイツのデータ保護当局は、入力で学習しないツールのほうが望ましいとしています。 出典: ドイツ・データ保護会議：AIとデータ保護の手引き（PDF、ドイツ語）
データ処理契約はありますか
提供元があなたの委託で人に関するデータを処理する場合、ドイツのデータ保護当局によると、この契約が必要になることが多いです（GDPR第28条）。契約で提供元は、とくにあなたの指示どおりにだけデータを使うこと、事故の際に協力することを約束します。 出典: EU一般データ保護規則（EUR-Lex、英語）, ドイツ・データ保護会議：AIとデータ保護の手引き（PDF、ドイツ語）
身近な3つの例
塗装会社の見積もり
塗装会社が、顧客名、住所、家の写真を入れずに、外壁塗装の見積もり文をAIに書かせます。注意：名前がなくても、通りや日付などの文脈から人を特定できることがよくあります。そのため、データ保護当局によると、名前を消すだけでは足りないことが多いです。 出典: ドイツ・データ保護会議：AIとデータ保護の手引き（PDF、ドイツ語）
応募書類の下仕分け
会社がAIに応募書類を要約させます。誰を面接に呼ぶか、誰を断るかは、提案をきちんと確認する人が決めます。人は原則として、自動処理だけで行われ、本人に重大な影響を与える決定に服さない権利を持っています（GDPR第22条）。データ保護当局によると、形だけ承認する人では足りません。 出典: EU一般データ保護規則（EUR-Lex、英語）, ドイツ・データ保護会議：AIとデータ保護の手引き（PDF、ドイツ語）
顧客との会議での録音ツール
ある代理店が、ビデオ通話をAI録音ツールで記録したいと考えています。事前に参加者全員に知らせ、同意を求めます。ドイツでは、他人の非公開の発言を権限なく録音することは犯罪です（ドイツ刑法第201条）。ほかの国にはそれぞれのルールがあります。 出典: ドイツ刑法第201条（ドイツ語）
コピーできるチェックリスト
チームの文書にリストをコピーし、終わった項目にチェックを入れてください。個別の事案の確認の代わりにはなりません。
チェックリスト：仕事でAIを安全に使う（aicompare.ninja、31.10.2026時点） [ ] どのAIツールを何に使っているか書き出した。 [ ] ツールごとに、どのプランを使っているかがはっきりしている。 [ ] 提供元によると、データがどこで保存・処理されるか知っている。 [ ] 提供元の所在地と、EU外のデータがどう保護されるか知っている。 [ ] 提供元によると入力は学習に使われない、または学習をオフにした。 [ ] 人に関するデータを入れる場合、データ処理契約がある。 [ ] 個人アカウントではなく会社のアカウントを使っている。 [ ] AIツールに決して入れないデータを決めた（例：健康データ、パスワード、営業秘密）。 [ ] AIの結果は、送信する前や人について決める前に、人が確認する。 [ ] AIを使う全員に説明をし、誰がいつ研修を受けたか記録した。 [ ] ディープフェイクと、確認していない公共の話題についてのAI文章には表示を付ける。 [ ] 会話を録音する前に、関係者全員に確認する。 [ ] データ侵害を誰が報告するか、期限は可能なら72時間であることを知っている。 [ ] データ保護責任者が必要か確認した。 [ ] このリストを定期的に見直している（例：半年ごと）。
義務のポイント
チームのAIリテラシー
2025年2月2日から、仕事でAIを使う会社は、従業員がAIを扱えるようにしなければなりません（AI法第4条）。欧州委員会によると、決まったレベルや資格証明は求められておらず、研修や手引きの社内記録で対応できます。欧州委員会によると、チームがチャットツールで文章を書くだけの場合も対象で、たとえば作り話の事実への注意を伝えます。当局は2026年8月2日から監督しています。 出典: 欧州委員会：AIリテラシーに関するQ&A（英語）, 欧州委員会：AI Omnibus発効（2026年7月27日、英語）
ディープフェイクとAI文章の表示
2026年8月2日から、仕事で公開するディープフェイクにははっきりと表示を付ける必要があります。ディープフェイクとは、実在の人物、場所、出来事に似た、本物のように見えるAIの画像、動画、音声です。公共の関心事について一般に知らせるAI文章にも表示が必要です。ただし、人が内容を確認し、編集上の責任を負う場合は除きます（AI法第50条第4項）。2026年12月2日は主に提供元に関係します。2026年8月2日より前に市場にあったツールは、その日までにコンテンツを機械で読める形で表示しなければなりません。同じ日から、同意なく性的な画像を作るAIシステムは禁止されます。 出典: 欧州委員会：第50条に関するFAQ（英語）, AI Act Service Desk：いつから何が適用されるか（英語）
データ侵害：72時間
ハッキングされたAIアカウントなどで人に関するデータが権限のない人に渡った場合、会社は遅滞なく、可能なら72時間以内にデータ保護当局へ報告しなければなりません。ただし、関係者へのリスクが生じるおそれがない場合を除きます。侵害はすべて社内で記録します。会社のためにデータを処理する提供元は、侵害を遅滞なく会社に知らせなければなりません（GDPR第33条）。 出典: EU一般データ保護規則（EUR-Lex、英語）
データ保護責任者
ドイツでは、原則として20人以上が個人データの自動処理に常時携わっている場合、会社はデータ保護責任者を置く必要があります。人数に関係なく、データ保護影響評価が必要な場合なども義務になります（ドイツ連邦データ保護法第38条）。データ保護当局によると、AIの利用ではこれが「多くの場合」必要になります。EU全体ではGDPR第37条も適用されます。 出典: ドイツ連邦データ保護法第38条（ドイツ語）, ドイツ・データ保護会議：AIとデータ保護の手引き（PDF、ドイツ語）, EU一般データ保護規則（EUR-Lex、英語）
すべての原典
- EU一般データ保護規則（EUR-Lex、英語）
- EU AI法（EUR-Lex、英語）
- 欧州委員会：AI Omnibus発効（2026年7月27日、英語）
- AI Act Service Desk：いつから何が適用されるか（英語）
- 欧州委員会：AIリテラシーに関するQ&A（英語）
- 欧州委員会：第50条に関するFAQ（英語）
- ドイツ・データ保護会議：AIとデータ保護の手引き（PDF、ドイツ語）
- ドイツ連邦データ保護法第38条（ドイツ語）
- ドイツ刑法第201条（ドイツ語）
- Data Privacy Framework公式リスト（英語）
- 欧州委員会：EUから米国へのデータ移転（英語）
- 事件C-703/25 P（EUR-Lex、英語）
- Microsoft：フレックスルーティング（EU・EFTA、英語）
法的助言ではありません
一般的な情報であり、法的助言ではありません。特定の使い方が認められるかは目的とデータによります。迷ったら専門家に相談してください。誤りを見つけたらお問い合わせフォームからお知らせください。
用語をひとことで
個人データ
名前がなくても、住所、顧客番号、文脈などから人を特定できるあらゆる情報。
データ処理契約
提供元が、あなたの指示どおりにだけデータを処理すると約束する契約。
学習（トレーニング）
提供元が入力や回答を使ってAIモデルを改善すること。
第三国
EUと欧州経済領域の外にある国。
Data Privacy Framework（DPF）
登録された米国企業へのデータ移転を認める欧州委員会の決定で、これに対する上訴がEU司法裁判所に係属中です（C-703/25 P）。
標準契約条項
第三国へのデータ移転を守るために企業が使う、欧州委員会が定めた契約文。
クローズドなシステム
データが区切られた環境にとどまり、提供元の学習に使われないAI。
AIリテラシー
リスクを意識しながらAIツールを上手に使うために必要な知識。
ディープフェイク
実在の人物、場所、出来事に似た、本物のように見えるAIの画像、動画、音声。
データ保護影響評価（DPIA）
処理が人に高いリスクをもたらすおそれがあるときに、始める前に行う書面でのリスク確認。
データ侵害
人に関するデータが失われる、改ざんされる、または権限のない人に渡ること。