顧客データをAIに入れる前に
——主要AIサービスの規約を読んで分かった、学習の既定はサービスではなくプランで決まる

この記事は、お客様の情報を扱う仕事をしていて、AIを業務で使い始めた（または従業員に使わせている）事業主・兼任担当者に向けて書いています。専任の情報システム担当はいない。「入れたものが学習に使われるのでは」という不安はあるけれど、何をどこまで確かめればいいのか分からない、という段階の方が対象です。

先に結論を3つ。ひとつ、学習に使われるかどうかは、事業者ではなくプランで決まります。同じ会社のサービスでも、個人向けは学習に使われる既定、法人向けは契約で使わないと定めている——この形が、確認したAIサービス5つのうち3つ（OpenAI・GitHub Copilot・Google）で共通していました。Anthropicは個人向けも許可制、Microsoftは更新版で学習に使わないと明記していて、どちらもこの型から外れます。ふたつ、設定を切っても残るものがあります。安全性のレビューや不正利用の監視は、学習の設定とは別に動きます。みっつ、学習に使われないことと、ログが残らないことは別です。保持期間は30日のものもあれば、既定18か月のものもありました。

根拠は各事業者の公式ドメインに限定し、2026年8月28日に開いて確認しています。まとめ記事やニュース記事は使っていません。ただし規約は変わります。この記事は確認日時点の観測であって、「この設定にすれば安全」という保証ではありません。

まず、なぜChatGPTの記事だけでは足りないのか

2026年8月28日に「ChatGPT 学習 オフ 設定 業務利用 顧客データ」で検索したところ、上位8件はすべてChatGPT単体の設定手順記事でした。会計ソフト、通信会社、AI事業者、情報セキュリティの会社——書き手は違いますが、扱っているサービスは同じ1つです。観測したのは検索結果のタイトルとURL、そこに付いた要約までで、各ページの本文は開いていません。

手順そのものは、それで足ります。問題は、小さな会社が実際に触っているのがChatGPTだけではないことです。お客様とのやりとりはLINE、資料はGoogleかMicrosoft、開発を外に出しているならGitHub。入り口が複数あるのに、横並びの答えがどこにもありませんでした。それなら自分たちで作るしかありません。

私たちは、お客様の情報が通るサービスについて、事業者ごとに規約の原文で学習利用の可否を判定し、社内の台帳に残しています。お客様から「AIをどう使っているのか」と聞かれたときに、その場で答えられるようにするためです。今回はその台帳から、AIサービス5つぶんを公開できる形に整え直し、あわせてお客様との連絡に使うLINEのメッセージの扱いも確認しました。

軸1——既定値は、プランで決まる

いちばん大事なところから書きます。同じ事業者でも、個人向けのプランと法人向けのプランで学習利用の既定が変わることがあります。ただし全部がその形ではありません。個人向けでも学習に使わないと定めているところもあります。表で見てください。

表を眺めて気づくのは、個人向けでも学習に使わない形になっているものが2つあることです。ただし理由が違います。Anthropicは「設定で許可するまで使わない」という形。Microsoftは2026年8月18日の更新版について「そもそも学習に使わない」と明記している形です。Anthropicのほうは、設定の場所がSettingsのPrivacyで、切り替えのスイッチは英語表記のまま "Help Improve our AI models" と出ます。ここをオンにして初めて学習に使われます。

OpenAIは逆で、個人アカウントは既定でオンです。切るには設定のData Controlsにある "Improve the model for everyone" をオフにします。一方で法人向けのBusiness、Enterprise、Edu、Healthcare、それにAPI（2023年3月1日以降）は既定でオフになっていて、企業向けのページには "By default, we do not use your business data for training our models."（既定では、お客様の業務データをモデルの学習に使用しません）と書かれています。

Googleも同じ形でした。Geminiは個人のGoogleアカウントだと18歳以上はアクティビティの保存が既定でオンで、オンのあいだは会話がモデルの改善に使われます。Google WorkspaceのGeminiは "Workspace does not use customer data for training models without customer's prior permission or instruction."（お客様の事前の許可または指示なく、お客様のデータをモデルの学習に使用しません）。

Microsoftはこの型から外れます。2026年8月18日に更新された個人向けのCopilotについて、公式ページは "Prompts, responses, and your file contents when using the Microsoft Copilot app aren't used to train foundation models."（プロンプト、応答、ファイルの内容は基盤モデルの学習に使用されません）と明記しています。ただしこの記述は更新版に対するもので、更新していない場合は別の条件が適用されると同じページに書かれています。組織のアカウントで使うMicrosoft 365 Copilotも使われません。

ここから実務の結論がひとつ出ます。お客様の情報を扱う作業では、個人向けのプランを使わない。設定を切れば同じになるという考え方もありますが、切り忘れる人が一人いれば穴が開きます。既定で守られている側を使うほうが、運用として楽です。

確認先：Anthropic「Is my data used for model training?」／Anthropic Commercial Terms of Service（Effective 2025-06-17）／OpenAI「Data Controls FAQ」／OpenAI Enterprise Privacy／Google Gemini Apps ヘルプ／Google Workspace 生成AIプライバシーハブ／Microsoft 365 Copilot Enterprise Data Protection。いずれも2026年8月28日に取得して確認

2026年4月に変わったところ——GitHubは事業者名で語れない

ここは、いま調べ直さないと間違えるところです。

GitHubには2つの別々の規定があって、混同しやすくなっています。ひとつは利用規約で、2026年4月27日発効の版の§J.3にこう書かれています。

This license does not extend to Your Content stored in repositories that are not provided as Input to an AI Feature.

AIの機能へ入力として渡していないリポジトリ（プログラムやファイルを置いておく保管場所）の中身には、学習のライセンスが及ばない、という意味です。GitHubのChangelogも「保存されているプライベートリポジトリの内容をAIモデルの学習に使用しません」と書いています。ただしそこには続きがあり、Copilotを使っているあいだに生まれるやりとり（プロンプト、提案、生成されたコード）は、保存されたリポジトリの中身とは別扱いだと明記されています。「置いてあるコード」と「使っているときのやりとり」を分けて考える必要があります。

ところがもうひとつ、Copilotについての変更が別にあります。GitHubの公式Changelog（2026年3月25日付・施行は2026年4月24日）は、Copilot Free、Pro、Pro+ の個人プランについて、2026年4月24日からやりとりを学習に使う場合があると告知しています（学生向けのCopilot Studentと、無料で提供されている教員向けCopilot Proは対象外。この告知にCopilot Maxの記載はありません）。Business と Enterprise は契約上、引き続き学習に使わないと定められていて、"We do not use private repository content at rest to train AI models."（保存されているプライベートリポジトリの内容をAIモデルの学習に使用しません）と書かれています。

つまり「GitHubは学習に使わない」という一般化は、個人プランでCopilotを使っている人には当てはまりません。2026年3月以前に調べたまま止まっている社内ルールがあれば、そこは見直しどころです。

これは私たち自身にも当てはまりました。社内の記録には「GitHubは対象外」とだけ書いてありました。自社の運用としてはCopilotなどのAI機能を使っていないので結果は変わりませんが、書き方としては不正確です。この記事を書く過程で見つけて直しました。以前も、AIによる事実確認の「修正」が2件とも間違っていた例を書いています（AIの事実確認で「修正」が両方間違っていた）。一度確かめたことでも、規約が変われば古くなります。

確認先：GitHub Terms of Service（Effective 2026-04-27・§J.3）／GitHub Changelog「Updates to our privacy statement and terms of service」（2026-03-25付・施行2026-04-24）。2026年8月28日に取得して確認

軸2——切っても残るもの

設定をオフにすれば、入力したものが一切使われなくなる。そう理解したくなりますが、規約はもう少し細かく書いています。

Anthropicは、安全性のレビューのためにフラグが立った会話について、利用ポリシーの検知と執行の改善のために利用・分析することがある、としています。OpenAIは、オプトアウトしても不正利用の監視のためにレビューされることがある（"May be reviewed only to monitor for abuse"）と書いていて、さらにメモリやパーソナライズ機能を切っても、安全性に関わる限定的な文脈を使う安全機能は無効にならない、とも明記しています。

これは隠されているわけではなく、規約に書いてあることです。そして、経営として見れば妥当でもあります。不正利用の監視が一切効かないサービスは、それはそれで困ります。大事なのは、オフにしたから何も残らないと思い込まないことです。お客様の名前や連絡先を、切ったから安心と考えて丸ごと貼り付ける——そこが危ないところで、実務の答えは「切る」ではなく「入れない」になります。

軸3——保持期間は、学習とは別の話

もうひとつの軸です。学習に使われないことと、ログが残らないことは別です。公式に日数が書かれているものを並べます。

目を引くのは2つです。ひとつ、学習を許可すると、その会話は学習の処理の中で最大5年保持されるとAnthropicが明記していること。許可しなかった場合の通常の会話が何日で消えるかは、確認したページに記載を見つけられませんでした。よく見かける「30日」は、利用者が自分で削除した会話がバックエンドから消えるまでの期間であって、消さずに置いてある会話の保存期限ではありません。この2つは混同されやすいので分けて書いておきます。もうひとつ、Geminiの個人向けは保存が既定18か月で、オフにすれば72時間まで縮むこと。同じ「オフにする」でも、学習の設定と保存の設定は別の場所にあります。

Microsoftについては版で分かれます。旧版のCopilotのFAQには、会話の履歴を既定で18か月保存するという記述があります。2026年8月18日の更新版について、固定の日数を書いた記述は見つけられませんでした。GitHub CopilotとLINEヤフーについても、具体的な保持日数を書いた公式の記述に到達できていません。分からないものは分からないと書いておきます。

確認先：Anthropic「How long do you store my data?」（2026-07-01更新）／Anthropic API and data retention／OpenAI「Chat and file retention policies in ChatGPT」／Google Gemini Apps アクティビティ（最終更新2026-08-10）。いずれも2026年8月28日に取得して確認

もうひとつ、別に確認すること——LINEのメッセージの扱い

ここまでの3つの軸は、AIサービスの話でした。最後に、それとは別の論点をひとつ足します。お客様との連絡にLINEを使っている場合の、メッセージそのものの扱いです。

先にはっきりさせておきます。これはAIの学習の既定値の話ではありません。LINE公式アカウントのMessaging APIについて、AIモデルの学習に使うかどうかを定めた規定は、私たちが読んだ範囲では見当たりませんでした。ここで見るのは、メッセージが何に使われうるかという一般的な利用目的のほうです。上の5つと同じ表には並べられないので、節を分けています。なおMessaging APIは事業者向けのサービスで、個人向け・法人向けというプランの分け方自体がありません。LYコーポレーションの共通のプライバシーポリシーが一律に適用されます。

そのプライバシーポリシーには、こう書かれています。

お客様間でやりとりされるメッセージなど、お客様と当社以外の特定の受信者を送信先とする送信内容については原則送信以外の目的には利用しません。

お客様とお店のあいだのトークは、原則として送信以外に使わない、ということです。ただし同じポリシーには続きがあります。

ただし、当社は、特定の国または地域、個別サービスにおいて…お客様の追加の同意などに基づいてこれらの情報の一部を利用することがあります。

「原則」には例外がある、という構造です。この例外がどこまで及ぶかを、私たちは規約の文面からは判断できませんでした。事業者の側で何かを遮断する設定についても、Messaging APIの利用規約とLINE公式アカウントAPIの利用規約を読んだ範囲では記述が見つかりませんでした。これは「規約に書かれていない」ことの確認であって、管理画面に機能が無いと断定するものではありません。実務的な結論はひとつです。トークに残す情報を必要最小限にしておく。これはLINEに限った話ではなく、どの連絡手段でも同じことです。

ひとつ、書き方の訂正も添えておきます。私たちの社内の記録には、この条項について「2026年7月1日改定のプライバシーポリシーが明記」と書いてありました。ところが2026年7月1日の改定の公式告知を確認すると、その改定で変わったのは保管場所から「韓国」の記載を削除した点だけで、この条項自体はそれ以前から続いている既存の条項でした。「その改定で新しく決まった」と読める書き方だったので、この記事では「2026年7月1日時点で有効な版に明記されている」としています。細かい違いですが、根拠の書き方としては別物です。

確認先：LINEヤフー プライバシーポリシー（最終改定2026-07-01）／同 改定のお知らせ／Messaging API 利用規約／LINE公式アカウントAPI利用規約。いずれも2026年8月28日に取得して確認

HaruIroAIはこう考える——設定を切るより「入れない」を先に決める

私たちの立場を書きます。

ここまで見てきたとおり、設定は事業者ごとに場所が違い、プランで既定が変わり、規約は改定されます。全部を追いかけ続けるのは、専任の担当がいない会社には重すぎます。だから私たちは、順番を逆にしています。まず「どこに何を入れないか」を決め、そのうえで設定を確認する。

実際にやっているのは3つです。ひとつ、お客様のデータを扱う作業では、学習に利用されない設定・契約形態のサービスだけを使う。ふたつ、個人情報や機密情報は必要な範囲に限って渡し、要らない部分は事前に除いておく。みっつ、本番の環境と検証の環境を分け、検証には可能な限り実際のデータを使わない。この3つは実施体制とセキュリティのページに公開してあり、お客様が契約前に確認できるようにしています。

そのうえで、使っている事業者ごとの学習利用の可否を規約の原文で判定し、社内の台帳に記録しています。個人向けプランの設定も、実際にオフへ切り替えて確認済みです（2026年8月25日）。台帳の中身そのものは公開していませんが、判定して記録しているという運用があること自体は、こうして書いておきます。

もうひとつ大事なのは、AIの出力をそのまま出さないことです。うちでは調査や下書き、テストの補助にAIを使いますが、最終的な品質と、お客様に対する責任は事業者としてHaruIroAIが負います。人が確認してから出す、という順番を崩しません。この線引きについては、AIに任せる範囲と人が確認する範囲の線引きにも書きました。

コピペで使う——使っているサービスの棚卸しシート

そのままコピーして、社内の共有ファイルに貼ってお使いください。全部を一度に埋める必要はありません。お客様の情報が通るものから順に埋めてください。

【AIサービスの棚卸しシート】
記入日: ____年__月__日 / 記入者: __________
次回の見直し日: ____年__月__日（規約は変わるので半年に一度を目安に）

サービスごとに1行ずつ埋める
--------------------------------------------------
サービス名: ______________________
契約しているプラン: ______________
  □ 個人・無料  □ 個人・有料  □ 法人向け  □ API

1. お客様の情報がここを通りますか
   □ 通る（氏名・連絡先・取引内容・写真など）
   □ 通らない（社内の下書き・調べもののみ）
   □ 分からない → まず調べる

2. 学習利用の既定はどちらですか（公式ページで確認する）
   □ 既定でオフ／契約で使わないと定めている
   □ 既定でオン → 3へ
   確認したURL: ______________________
   確認日: ____年__月__日

3. 既定でオンだった場合、どうしますか
   □ 設定でオフにした（設定の場所: ________________）
   □ 法人向けプランへ切り替える
   □ このサービスにはお客様の情報を入れない、と決める

4. 保持期間は公式に書かれていますか
   □ 書かれている（____日 / ____か月）
   □ 見つからなかった

5. 切ってもオフにならないもの（安全性のレビュー・不正利用の監視など）
   □ 規約に記載を確認した
   □ 未確認

--------------------------------------------------

会社として決めておくこと
□ お客様の氏名・連絡先を、そのままAIへ貼らない
   （必要な部分だけを渡し、要らない情報は先に消す）
□ 個人の無料アカウントで業務のデータを扱わない
□ AIの出したものを、人が確認せずにお客様へ出さない
□ 新しいサービスを使い始めるときは、このシートを1行足してから使う

やらないと決めること
□ 「オフにしたから何も残らない」と考えること
   → 安全性のレビューや不正利用の監視は別に動くと規約に書かれている
□ 一度確認した内容を、そのまま何年も社内ルールに置いておくこと
   → 2026年4月にも、個人プランの既定が変わった事業者がある

1番と2番だけなら、1サービスあたり10分ほどです。お客様の情報が通らないサービスは、そこで「通らない」と書いて終わりにして構いません。

この記事で書いていないこと

4つあります。ひとつ、法律の話はしていません。個人情報保護法上の義務や、委託先の監督をどこまでやるべきかという解釈には踏み込んでいません。必要な場合は専門家へご相談ください。ふたつ、「この設定にすれば安全」という保証はしていません。この記事は2026年8月28日時点の規約の観測です。

みっつ、特定の事業者を危険だとは言っていません。既定値の違いは設計の考え方の違いであって、既定でオンの側が不誠実というわけではありません。よっつ、確認できなかったものがあります。GitHub CopilotとLINEヤフーの具体的な保持日数、Microsoftの2026年8月18日更新版の保持日数（旧版のFAQには既定18か月という記述があります）、そしてLINEで事業者側が遮断できる設定の有無は、公式の記述に到達できませんでした。

よくある質問

ChatGPTの学習をオフにすれば、顧客情報を入れても大丈夫ですか。
設定を切ることと、入れてよいことは別です。オプトアウトしても不正利用の監視のためにレビューされることがあると公式に書かれています。実務としては「切る」より先に「入れない」を決めるほうが確実です。渡すのは判断に必要な部分だけにして、氏名や連絡先は先に消してください。

無料プランと有料プランで違いますか。
価格ではなく、個人向けか法人向けかで分かれます。OpenAIの場合、個人アカウントは無料でも有料（Plus）でも既定でオンです。既定でオフになるのはBusiness、Enterprise、Edu、Healthcare、そしてAPIです。Googleも同じ形で、組織のアカウントで使うかどうかが境目になります。Microsoftは事情が違い、2026年8月18日の更新版であれば個人向けでも学習に使わないと明記されています。更新していない場合は別の条件が適用されると同じページに書かれているので、まず自分のCopilotが更新版かどうかを確かめてください。

Claudeは何もしなくていいのですか。
Anthropicの個人向けプランは、許可するまで学習に使われない形になっています。ただし設定画面の切り替えスイッチ（英語表記で "Help Improve our AI models"）を過去にオンにしていれば話は別です。オンにした場合、その会話は学習の処理内で最大5年保持されるとされています。一度、Settings の Privacy を開いて確認してみてください。

GitHubにコードを置いているだけなら関係ないですか。
利用規約（2026年4月27日発効）の§J.3は、AIの機能へ入力として渡していないリポジトリの内容には学習のライセンスが及ばないと定めています。ただしCopilotを使っている場合は別で、個人プランのうち Free・Pro・Pro+ は、2026年4月24日から学習利用が既定でオンになりました（この告知にMaxの記載はありません）。Business と Enterprise は、契約上、学習に使わないと定められています。

LINEでお客様とやりとりしています。何を確認すればいいですか。
プライバシーポリシーは、特定の受信者を送信先とする送信内容を原則として送信以外の目的に利用しないと定めています。ただし追加の同意などに基づいて一部を利用することがある、という例外の記述もあります。事業者の側で遮断する設定については、規約を読んだ範囲では記述が見つかりませんでした。トークに残す情報を必要最小限にしておく、というのが現実的な対応になります。

どれくらいの頻度で見直せばいいですか。
半年に一度を目安にしています。2026年3月から4月にかけて、個人プランの既定が変わった事業者が実際にありました。一度確認したら終わり、という性質のものではありません。

まとめ——3つの軸で見る

もう一度3つだけ。既定値はプランで決まります。切っても残るものがあります。保持期間は学習とは別の軸です。

この3つで見れば、新しいサービスを使い始めるときも同じ手順で確認できます。公式ページで既定を調べ、例外の記述を探し、保持期間を見る。そして分からなかったところは「分からない」と書いて残しておく。上の棚卸しシートは、その順番のとおりに並べてあります。

「調べる時間が取れない」「そもそも自社が何を使っているか把握できていない」という状態でしたら、そこから一緒に整理します。受付や事務作業をAIで自動化する場合も、最初にやるのはこの棚卸しです。ご支援のかたちはAI活用・業務自動化のページでご案内しています。