AIチャットボット導入時のプライバシー対応とは？Cookie（クッキー）規制・外部送信規律・個人情報の注意点

AIチャットボットは、AI（人工知能）を活用して利用者からの質問に自動で回答するシステムです。カスタマーサポートや商品・サービスの案内、社内問い合わせなど、企業における活用の幅も広がっています。

一方、AIチャットボットでは、利用者が入力する会話内容だけでなく、クッキー（Cookie）ID やIPアドレスなどの情報が取得・送信される場合があります。そのため、企業が導入する際は、機能や利便性だけでなく、クッキー規制や電気通信事業法の外部送信規律、個人情報保護法などのプライバシー対応についても確認することが重要です。

本稿では、AIチャットボットの仕組みを簡潔に紹介したうえで、導入時に確認したいプライバシー対応について解説します。

【この記事で分かること】
・AIチャットボットとは、AI（人工知能）が入力された文章の内容をふまえて自動で応答するプログラムで、決まった返答しかできない従来型とは対応範囲が異なる
・AIチャットボットの主な活用例や導入するメリット
・AIチャットボット導入時に確認したいクッキー規制・外部送信規律・個人情報保護への対応

【監修】株式会社インターネットイニシアティブ　ビジネスリスクコンサルティング本部
個人情報保護法・電気通信事業法・GDPRを専門とする法務コンサルタントが監修。

AIチャットボットとは？

AIチャットボットとは、AI（人工知能）を活用し、利用者から入力された質問やメッセージに対して、会話形式で自動応答するシステムです。従来のチャットボットには、あらかじめ設定されたシナリオやルールに基づいて回答するものが多く見られました。一方、近年では大規模言語モデル（LLM）などの生成AIを活用し、利用者が入力した自然な文章をもとに回答を生成するAIチャットボットも広く利用されています。

AIチャットボットと従来型チャットボットとの違い

従来型チャットボットと、生成AIを活用したAIチャットボットには、主に以下の違いがあります。

従来型はあらかじめ想定された質問への対応に適している一方、AIチャットボットは入力された文章に応じて回答を生成できるため、より柔軟な対応が可能です。ただし、AIチャットボットの構成や機能はサービスによって異なり、従来型の仕組みとAIを組み合わせたものもあります。

AIチャットボットの仕組み

生成AIを活用したAIチャットボットでは、主に大規模言語モデル（LLM：Large Language Model）が利用されます。

LLMとは、大量のテキストデータを学習した言語モデルです。

入力された文章などをもとに、続く可能性の高いトークン（単語やその一部）を予測することで文章を生成し、質問への回答や要約、翻訳などのさまざまな言語処理を行います。

AIチャットボットは、利用者が入力した質問などをLLMが処理し、その内容に応じた回答を生成します。サービスによっては、社内文書やFAQなどの外部データを検索・参照し、その情報をもとに回答を生成する仕組みも利用されています。

企業によるAIチャットボットの主な活用例

AIチャットボットは、顧客対応から社内業務まで幅広い用途で活用できます。

AIチャットボットを導入するメリット

AIチャットボットを導入する主なメリットとして、以下が挙げられます。

• 問い合わせ対応を効率化できる

• 24時間対応など、顧客対応を充実させやすい

• 蓄積したデータをサービス改善などに活用できる（あらかじめ特定した利用目的の範囲内で適切に実施することが前提）

AIチャットボット導入時に注意したいプライバシー対応

AIチャットボットでは、利用者が入力する会話内容のほか、クッキーIDやIPアドレス、利用状況に関する情報などが取得・送信される場合があります。

取得・送信情報と法的論点の対応表

これらの情報は法的な取り扱いが異なるため、AIチャットボットの仕様書や設定画面を確認するだけでなく、実際にどのような情報が送信されているかを把握したうえで、適用される法規制を確認することが重要です。

AIチャットボットにクッキーバナーが必要なケース・不要なケース

AIチャットボットを導入しただけで、直ちにクッキーバナーが必要となるわけではありません。クッキーバナーによる同意取得などが必要かどうかは、利用するクッキー等の種類や利用目的、実際の実装内容、適用される法規制などによって判断する必要があります。

たとえばEUでは、利用者の端末に情報を保存したり端末に保存された情報へアクセスしたりする場合、サービスの提供に必要なクッキー等を除き、原則として利用者の同意が必要となるため（ePrivacy指令5条3項）、実務上クッキーバナーで同意を取得するケースが多いです。一方、サービス提供に必要な必須クッキーのみを利用している場合など、クッキーバナーによる同意取得が不要となるケースもあります。

AIチャットボットで利用されるクッキー等はサービスや設定によって異なるため、導入時には以下の点を確認しておきましょう。

• どのようなクッキー等が利用されているか

• クッキー等がどのような目的で利用されているか

• 適用される法規制ではどのような対応が求められるか

関連記事：WebサイトのAIチャットボットにクッキーバナーは必要？

改正電気通信事業法の外部送信規律が適用される可能性もある

AIチャットボットの種類や設定によっては、クッキーIDやセッション識別子、IPアドレス、利用状況データなどが、AIチャットボットの提供事業者をはじめとする外部事業者へ送信される場合があり、改正電気通信事業法の外部送信規律が適用されるケースもあります。

【外部送信規律の適用要件】
①電気通信事業者又は②第三号事業を営む者のうち、ブラウザやアプリ等を通じて以下のいずれかのサービスを提供する事業者が、利用者情報を利用者以外の者に送信するためのプログラム等を利用者端末に送信する場合に適用される。

• 他人の通信を媒介するサービス（例：メール、ダイレクトメッセージ、ウェブ会議）

• コンテンツ配信サービス（例：SNS、電子掲示板、動画共有サービス、ストリーミング、モール（複数出品者）、シェアリング）

• 検索サービス

• 各種情報のオンライン提供サービス（例：ニュース、気象情報、映像配信、オンライン地図等）

なお、企業が自社の商品・サービスを紹介する目的のみで運営するホームページや、自社商品だけを販売するオンラインショッピングサイトについては、原則として電気通信事業に該当せず、外部送信規律の対象外となる例が総務省から示されています。

そのため、AIチャットボットを設置したすべてのWebサイトで外部送信規律が適用されるわけではなく、まず自社のサービスが上記4類型に該当する電気通信役務かを確認する必要があります。

また、外部送信規律では、サービスの提供に真に必要な情報や、サービス提供者が利用者の端末に送信した一定の識別符号（ファーストパーティのクッキー等）については、通知・公表等が不要となる場合があります。

具体的な判断は、送信される情報の内容・利用目的・サービスの提供形態などを踏まえて行う必要があります。

外部送信規律が適用される場合は、事前に、利用者情報の外部送信について、利用者に「確認の機会」を与えなければなりません。具体的には、「①情報提供（通知又は公表）」「②事前の同意取得」「③オプトアウト機会の提供」のいずれかの方法で対応します。

AIチャットボットを導入する際は、Cookieの利用だけでなく、閲覧者が入力した情報や識別子等が、どの事業者へ送信されているかを確認することが重要です。

IIJのCMPツール「STRIGHT」では、Webサイトを自動スキャンし、Cookieの発行を伴わないものを含む外部通信を可視化できます。

なお、AIチャットボットが送信するクッキーIDや広告識別子等のうち、特定の個人への情報伝達に利用できるものは、2026年改正個人情報保護法の「連絡可能個人関連情報」に該当する可能性があります。詳しくは以下の関連記事を参照してください。

参考：総務省「外部送信規律について」電気通信事業における個人情報等の保護に関するガイドライン

参考：改正法

AIチャットボットの導入やプライバシー対応についてよくある質問

AIチャットボットに個人情報を入力しても問題ない？

AIチャットボットへの個人情報の入力が一律に禁止されているわけではありませんが、企業が個人情報を取り扱う場合は個人情報保護法に沿った対応が必要です。

企業が個人情報を取り扱う場合は、個人情報保護法に沿った適切な対応が必要です。特に、企業が保有する個人データを生成AIサービスに入力する場合は注意しましょう。

個人情報保護委員会は、企業が生成AIサービスに個人情報を入力する場合、あらかじめ特定した利用目的の達成に必要な範囲内であることを確認するよう求めています。また、本人の同意を得ずに個人データを入力し、その個人データが回答の生成以外の目的（機械学習等）で取り扱われる場合には、個人情報保護法に違反する可能性があるとしています。そのため、AIチャットボットに個人データを入力する場合は、サービス提供事業者が入力情報をどのように取り扱うのかを利用規約やプライバシーポリシーなどで確認することが重要です。

参考：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」

AIチャットボットを導入する際に確認すべきことは？

AIチャットボット導入前に最低限確認すべき3点は、①取得・送信される情報の種類、②情報の送信先と利用方針、③自社サービスへの適用法規制です。

AIチャットボットを導入する際は、機能や回答精度だけでなく、主に以下の点を確認しておきましょう。

• どのような情報を取得・送信するのか

• 取得・送信した情報をどのような目的で利用するのか

• 情報がどの事業者へ送信されるのか

• クッキー等を利用しているか

• 適用される法規制と、必要な対応は何か

AIチャットボット提供事業者の説明資料や管理画面、利用規約などを確認するだけでなく、必要に応じて、実際にどのようなタグが動作し、どのようなクッキー等が利用されているのか、通信内容を確認することも重要です。

海外向けWebサイトにAIチャットボットを導入する際の注意点は？

海外向けWebサイトにAIチャットボットを導入する場合、日本の法令に加えて対象とする国・地域のプライバシー保護規制を別途確認する必要があります。

プライバシー保護規制の内容や求められる対応は国・地域によって異なるため、海外向けWebサイトでは、対象とする国・地域を整理したうえで、AIチャットボットで取得・送信される情報やクッキー等の利用状況を確認し、必要な対応を検討することが重要です。

たとえばEUでは、利用者の端末に情報を保存したり、端末に保存された情報へアクセスしたりする場合、サービス提供に必要なクッキー等を除き、原則として利用者の同意が必要となります（ePrivacy指令5条3項）。

参考：ePrivacy指令第5条第3項（EUR-Lex英語版）

AIチャットボットの導入にCMPは必須ですか？

AIチャットボットを導入しただけで、CMPが一律に必要になるわけではありません。必要な対応は、AIチャットボットが取得・送信する情報の種類、利用目的、送信先、適用される法規制によって異なります。

一方、クッキーIDや利用状況等が外部事業者へ送信される場合、CMPを利用することで外部通信の把握・利用者への情報提供・同意やオプトアウトの管理・タグの制御などを効率化できる場合があります。適用される法規制と自社の実装状況を踏まえて判断することが重要です。

AIチャットボットの外部通信を継続的に把握する

AIチャットボットの導入時には、提供事業者の説明資料や利用規約を確認するだけでなく、Webサイト上で実際にどのような外部通信が発生しているかを把握することも重要です。サービスのアップデートや設定変更によって、利用するクッキーや外部送信先が変わる可能性もあるため、導入時だけでなく公開後も継続的に確認する必要があります。

CMPツール「STRIGHT」は、クッキーの発行を伴わないものを含むWebサイト上の外部通信を検知し、検出したサービスとの照合や外部送信先一覧の作成を支援します。また、利用者への通知・公表、同意・オプトアウトの管理、タグの制御など、適用される法規制に応じた対応に活用できます。

ただし、STRIGHTが法令の適用有無を自動で判断するものではなく、チャットに入力された情報の内容やAI事業者との契約条件を管理するものでもありません。実際のデータの流れと適用法令を確認したうえで、必要な対応を設計することが重要です。

AIチャットボット導入時はプライバシー対応に注意しよう

AIチャットボットは、顧客からの問い合わせ対応や商品・サービスの案内、社内業務の支援など、さまざまな用途で活用できます。業務効率化や顧客対応の充実などが期待できる一方、導入時には利用者に関する情報の取り扱いにも注意が必要です。

AIチャットボットでは、会話内容のほか、クッキーIDやIPアドレスなどの情報が取得・送信される場合があります。導入するサービスの仕様や設定を確認し、「どのような情報を取得・送信するのか」「どのような目的で利用するのか」「どこへ送信されるのか」を把握することが重要です。

そのうえで、クッキー規制、電気通信事業法の外部送信規律、個人情報保護法など、適用される法規制を確認し、必要な対応を検討しましょう。

　自社サイトのクッキー等の利用状況を把握したい方へ　

IIJのCMPツール「STRIGHT」では、Webサイト上の外部送信ツールを自動スキャンし、

改正個人情報保護法・電気通信事業法・GDPRなど複数法令への対応を効率的に進められます。

AIチャットボットの適用法令の判断や具体的な対応を専門家に相談したい方へ

IIJでは、プライバシー・コンプライアンス対応をトータルでご支援します。

「BizRis」では、法律とITの両面に詳しいIIJの専門家へ、

法令の適用判断やWebサイトのプライバシー対応についてオンラインで相談できます。