「顧客情報をAIに入れて大丈夫？」に、出典付きで答えられるようにする

Amazon Bedrockで「学習されない・外に出ない」構成を作る

※この記事は、以下の当方ブログの要約です。全文は以下をどうぞ。
個人情報をAIでぶん回したい——Amazon Bedrockで「学習されない・外に出ない」構成を作る

経営者の方から、このところ同じ質問を受けます。「顧客リストや問い合わせメールをAIで処理したいが、個人情報を入れて本当に大丈夫なのか」。

結論から言うと、無料や個人向けの生成AIサービスに顧客情報を貼り付けるのは避けるべきです。多くのサービスは、入力内容がモデルの学習（サービス改善）に使われる可能性を規約に明記しています。従業員が良かれと思ってChatGPTに顧客名簿を貼り付ける——これが今、中小企業で最も起きやすい情報管理事故の入り口です。

一方で、「だから当社はAI禁止」と決めてしまうのは、もったいない判断です。法人利用を前提としたクラウドAIサービスには、個人情報を安全に処理するための仕組みがすでに揃っています。

今回のコラムでは、AWSのAmazon Bedrockというサービスを例に、次の3点を公式資料の出典付きで確認しました。

第一に、入力した内容がAIの学習に使われないこと。AWSの公式ドキュメントに明記されています。第二に、AIモデルを開発した会社（Anthropic社など）にもデータが渡らないこと。モデルはAWS内部の専用領域に配置され、開発元はそこにアクセスできない仕組みです。第三に、データを保存させない設定を会社全体に強制できること。「規約で守られている」だけでなく「技術的に強制できる」段階まで来ています。

さらに、通信をインターネットに一切出さない閉域接続や、氏名・住所などをAIに渡る前に自動でマスクする機能まで組み合わせれば、「個人情報が外に出ない」ことを取引先や監査に対して出典付きで説明できる体制が作れます。

注意点もあります。同じ「Gemini」でも、Googleの無料サービスと法人向けサービスでは規約がまったく別物です。現場が「AIを使っています」と言うとき、どの契約形態で使っているのかまで確認しなければ、リスク評価はできません。

社内のAI利用ルールをこれから整備する方、「稟議が通らない」と止まっている方の参考になれば幸いです。詳細は本文をご覧ください。

※規約・仕様に関する記述は2026年8月時点の公開情報に基づきます。契約判断の際は必ず各社の一次情報をご確認ください。