顧客情報を生成AIに入れる前に。店で決めておく4つと、2026年7月の法改正

「この名簿、AIに整形させていいですか」と現場から聞かれるたびに考える、という状態は長続きしません。

判断が属人的だと、忙しい日に通ってしまいます。先に線を引いて、迷わない形にしておくほうが結局は早い。何を入れてはいけないかは店舗の業務をAIに任せるなら、最初の1つはどれかに書いたので、ここでは決めておく中身のほうを扱います。

決めておくこと1：使うサービスと、契約の形

個人情報保護委員会の生成AIに関する注意喚起には、事業者向けにこう書かれています。

あらかじめ本人の同意を得ることなく生成 AI サービスに個人データを含むプロンプトを入力し、当該個人データが当該プロンプトに対する応答結果の出力以外の目的で取り扱われる場合、当該個人情報取扱事業者は個人情報保護法の規定に違反することとなる可能性がある。

そして、そうした入力を行う場合は提供事業者が当該個人データを機械学習に利用しないこと等を十分に確認することとされています。

ここから決まるのは、使ってよいサービスを指定するという運用です。「生成AIを使ってよい」ではなく「このサービスのこのプランを使う」。学習に使われない設定や契約になっているかを確認した上で、1つか2つに絞ります。無料版を各自が勝手に使う状態が、いちばん確認できません。

決めておくこと2：入れてよい情報の線

線は3段に分けると運用しやすくなります。

区分	例
入れてよい	公開済みのメニュー、自店の投稿文、一般的な言い回しの相談
加工すれば入れてよい	氏名を伏せた口コミ本文、個人を特定できない集計値
入れない	顧客名簿、予約者の連絡先、施術記録、領収書の控え

真ん中の「加工すれば」を決めておくのが要点です。ここが曖昧だと、現場は「ダメと言われていない」側に倒します。伏せ方まで具体的に書いてください。 名前はイニシャルにするのか削るのか、日付は残すのか。

予約の一次対応で渡してよい情報の線引きは予約の一次対応をAIにどこまで任せるかにまとめています。

決めておくこと3：要配慮個人情報は別の扱い

ここは業種によって一段重くなります。個人情報保護委員会の資料には、要配慮個人情報の定義が挙げられています。

「要配慮個人情報」とは、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。

「病歴」は病気に罹患した経歴と説明されています。整骨院・治療院・エステ・美容室のカルテや施術記録は、ここに触れる可能性があります。

取得の段階から条件が付きます。

要配慮個人情報を取得する場合は、原則本人の同意を得る。（20条②）

AIに入れる前の話として、そもそも同意を得て取っているかを確認してください。取得の時点で整っていないものは、使い道を考える段階ではありません。

決めておくこと4：漏れたときにどうするか

漏えい等報告の義務化について、対象となる類型が示されています。

• 要配慮個人情報の漏えい等
• 財産的被害のおそれがある漏えい等
• 不正の目的によるおそれがある漏えい等
• 1,000件を超える漏えい等

そして上の3類型は件数に関わりなく対象、さらに各類型につき漏えい等の「おそれ」がある事案も対象とされています。

小さな店ほど「1,000件も持っていないから関係ない」と考えがちですが、要配慮個人情報は1件でも対象です。施術記録を扱う店は、ここを前提に体制を組んでください。顧客情報を取ること自体の準備は飲食店のリピート率と店舗の予約システムを増やす前ににも書いています。

2026年7月に法律が変わった。施行はこれから

ここからは先の話です。個人情報保護委員会のページに経緯が載っています。

令和８年４月７日に第221回国会（特別会）に提出されました「個人情報の保護に関する法律等の一部を改正する法律案」は、令和８年７月10日の国会において可決、成立し、令和８年７月17日に「個人情報の保護に関する法律等の一部を改正する法律」が公布されました。

成立・公布は済んでいますが、施行はこれからです。 概要資料の施行期日は「原則として公布の日から起算して２年を超えない範囲内」とされており、具体的な日は決まっていません。政令・委員会規則・ガイドラインの整備が進行中で、直近では令和8年10月14日に「政令・規則の整備に向けた基本的な考え方について③」が決定されています。

つまりいま慌てて何かを変える段階ではなく、変わる前提で社内のルールを作っておく段階です。

店舗に効きそうな改正点

概要資料から、店舗運営に関わりそうな項目を抜き出します。

• 顔特徴データ等：取扱いに関する一定の事項の周知を義務化し、利用停止等請求の要件を緩和、オプトアウト制度に基づく第三者提供を禁止（第21条の２ほか）
• 16歳未満：同意取得や通知等について法定代理人を対象とすることを明文化し、本人の最善の利益を優先して考慮すべき責務規定を設ける（第35条第９項ほか）
• 委託：データ処理等の委託を受けた事業者について、適正な取扱いに係る義務の見直し（第30条の３ほか）
• 漏えい等：本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務を緩和（第26条第２項）
• 課徴金：重大な違反行為により個人の権利利益が侵害された場合等について、違反行為によって得られた財産的利益等に相当する額の課徴金の納付を命ずる（第148条の３以下）

顔特徴データは、防犯カメラや入退店の記録を扱う店に関わります。16歳未満の項目は、学習塾・スクール・子ども向け教室に直接効きます。自店がどれに当たるかだけ、いま確認しておいてください。

まとめ

• 使うサービスを指定する。学習に使われない契約かを確認してから1〜2本に絞る
• 入れてよい／加工すれば入れてよい／入れない、の3段で線を引く。伏せ方まで書く
• 病歴などの要配慮個人情報は、取得の時点で原則本人の同意が要る
• 漏えい等報告は、要配慮個人情報なら件数に関わりなく対象。「おそれ」も含む
• 令和8年改正は7月10日成立・7月17日公布。施行期日は「公布から2年を超えない範囲内」で未定
• 顔特徴データ、16歳未満、委託、課徴金。自店に当たる項目だけ先に確認する

法律が動く前に、社内の線を決めておくほうが楽です。

店舗の情報まわりを整理したい方へ。無料のMEO診断では、Googleビジネスプロフィールの記載内容を確認してお返ししています。