通話録音を生成AIに渡す前に決める5つのこと　コールセンターの社内規程【チェックリスト付き】

「録音していることを、お客様に伝える義務はありますか」。この問いに対して、個人情報保護委員会のQ&Aは、通話内容から特定の個人を識別できる場合は個人情報に該当し、利用目的の通知または公表の義務は負うが、録音している旨を伝える義務までは負わない、と整理しています。つまり法が見ているのは「録音するか」ではなく「何に使うか」です。そうであれば、同じ録音を生成AIで要約し、VoC分析に回し、ときに学習データへ転用する段階で、問われる論点は一気に増えます。本稿では、コンタクトセンター（コールセンター）の責任者が生成AI活用の前に社内で決めておくべきことを5つに分解し、情シス・法務へ持ち込める確認シートの形にまとめます。立場を先に述べると、技術の選定より先に「規程の空欄」を埋めるほうが、結果的に導入は速くなると考えています。

コールセンターの通話録音はどこから個人情報になるのか

出発点は、録音が個人情報に当たるかどうかです。同委員会の別のQ&Aは、通話内容から特定の個人を識別できない録音は基本的に個人情報に該当しないとしつつ、他の情報と容易に照合して識別できる場合は該当しうるため、個別の判断が必要だとしています。

コールセンターの録音は、ほぼ例外なく受付番号や顧客IDと紐づいて保存されます。当て馬として紙の応対メモと比べると分かりやすいでしょう。メモは担当者が要点だけを書き残すため、個人を特定する情報が落ちることもあります。一方、録音は氏名・住所・生年月日の読み上げを丸ごと含み、しかもCRMの顧客レコードと照合できる状態で置かれています。もちろん業態や運用で差はありますが、実務上は「録音データは個人情報として扱う」前提で規程を組むのが安全側の判断です。

生成AIが加わると何が変わるのか。2023年6月2日の注意喚起で同委員会は、個人情報を含むプロンプトを入力する場合は特定された利用目的の達成に必要な範囲内かを十分確認すること、また本人の同意なく個人データを入力し、それが応答の出力以外の目的で取り扱われる場合は法違反となる可能性があるため、提供事業者が機械学習に利用しないこと等を十分確認すること、を求めています。以下の5つは、この注意喚起を通話録音の運用に引き直したものです。

決めること1　通知と同意　録音告知と利用目的の書き方

1つ目は、利用目的の文言です。先のQ&Aのとおり、法の義務は録音告知ではなく利用目的の通知または公表にあります。したがって確認すべきは、IVRの「品質向上のため録音しています」という一言よりも、プライバシーポリシー等で公表している利用目的に「応対品質の向上」「サービス改善のための分析」がどの粒度で書かれているかです。

ここで効くのが「目的外利用の範囲」の線引きです。要約をオペレーターの後処理に使うのは、多くの場合、既存の目的の延長で説明しやすいでしょう。ただし、他の商品開発に使う、マーケティング用の顧客分析に使う、といった使い方は、公表済みの目的に含まれているかを法務と一文ずつ照合する必要があります。利用目的の詳細さを扱うQ&Aも委員会のサイトで公開されているため、文言を見直す際の参照先になります。

決めること2　保存期間と削除　何を、いつ消すか

2つ目は保存期間です。廃棄時期を扱うQ&Aによれば、個人情報保護法は保存期間や廃棄時期を定めていません。そのうえで法第22条は、個人データを利用する必要がなくなったときは遅滞なく消去するよう努めることを定めています。これは努力義務ですが、生成AIを入れると消す対象が増える点に注意が必要です。

録音の原本、文字起こしテキスト、要約、VoC分析用に切り出した発話、ベクトル化した検索用データ。原本だけ保存期間を決めていても、派生データが別のシステムに残り続ければ規程は形骸化します。アナロジーで言えば、書類の原本はシュレッダーにかけたのに、コピーが各部署のキャビネットに残っている状態です。規程には「派生データの種類ごとの保存期間」と「原本を消したときに派生データをどう扱うか」を並べて書くことを勧めます。

決めること3　外部LLM・クラウドへの送信可否と匿名化

3つ目は、録音や文字起こしを外部のLLMやクラウドに送ってよいかです。ここでは「提供」に当たるかどうかが分かれ目になります。クラウド利用に関するQ&Aは、クラウド事業者が個人データを取り扱わないこととなっている場合（契約条項で取り扱わない旨が定められ、適切にアクセス制御が行われている場合等）は、本人同意や委託先の監督の対象となる「提供」に当たらないとしつつ、利用する事業者自身の安全管理措置は必要だとしています。

一方で委員会は、2024年3月25日の注意喚起で、クラウドサービス提供事業者が個人情報取扱事業者に該当する場合の留意点も示しています。「クラウドだから提供ではない」と一律に言い切れるわけではなく、契約と実際の取扱いで判断が変わるということです。

さらに、送信先のサーバーが国外にある場合は、外国にある第三者への提供編のガイドラインに加え、安全管理措置のうち「外的環境の把握」の論点が加わります。外国のクラウドを使う場合のQ&Aは、外国にある第三者のクラウドサーバに個人データを保存する場合に、その国の個人情報保護制度等を把握する必要があるかを扱っています。匿名化（氏名・電話番号・住所のマスキング等）を送信前に挟むかどうかは、この判断を軽くする手段の一つですが、マスキングで識別性がどこまで下がるかは個別の検討が必要です。

決めること4　オペレーター本人の音声と評価データ

4つ目は、見落とされやすい論点です。通話録音にはお客様だけでなく、オペレーター本人の声と発話が入っています。生成AIで応対を自動評価し、スコアを人事評価や配置に使う場合、それは従業者のデータの取扱いになります。

委員会は従業者のモニタリングに関するQ&Aで、モニタリングの目的を特定して社内規程等に定め従業者に明示すること、実施の責任者と権限を定めること、ルールを策定して運用者に徹底すること、ルールどおりに行われているか確認すること、を留意点として挙げています。応対評価AIを入れるなら、評価結果を「育成に使う」のか「処遇に使う」のかを規程に書き、オペレーターに説明しておくことが、この留意点に沿う形になるでしょう。

決めること5　ベンダー契約の再学習禁止条項

5つ目は契約です。先の生成AIの注意喚起が「機械学習に利用しないこと等を十分に確認」と求めている以上、ベンダーとの契約で確認すべき項目ははっきりしています。入力データと出力データを提供事業者のモデル学習に使わないこと、保持期間とその後の削除、再委託先の範囲、データの保存地域です。

アナロジーで言えば、再学習禁止条項は倉庫業者に荷物を預けるときの「中身を開けない」という約束に近いものです。預けること自体は問題なくても、開けて自社の商売に使われるなら話が変わります。なお、総務省・経済産業省のAI事業者ガイドラインは2024年4月19日に第1.0版が取りまとめられ、AIの開発者・提供者・利用者それぞれの取り組みを示しています。コールセンターは多くの場合「AI利用者」に当たるため、社内規程を作る際の枠組みとして参照できます。

ここからは私の見立てとして

以上の5点を並べると、コールセンターの生成AI活用で詰まる場所は技術ではなく、既存の規程が「人が聞く録音」を前提に書かれている点にあると考えます。利用目的、保存期間、外部委託、従業者モニタリングのいずれも、個別には既存の規程で手当てされていることが多いはずです。ただ、生成AIはそれらを一度に横断するため、どの規程にも書かれていない空欄が生まれます。

もっとも、この見立てには反論もありえます。大手の法人向け生成AIサービスの多くは学習に使わない設定を標準で用意しており、規程を細かく作り込むより、既存の外部委託規程で読むほうが速い、という考え方です。これは一面で正しく、すべてを新規に作る必要はありません。ただし、4つ目のオペレーターの評価データと、2つ目の派生データの保存期間は、サービスの設定では解決せず、自社で決めるしかない論点として残ります。

したがって、規程整備が「導入を止める作業」ではなく「導入を速くする作業」になるのは、次の3条件がそろったときだと考えます。第一に、公表済みの利用目的と生成AIの用途が一文ずつ照合されていること。第二に、派生データまで含めた保存期間表があること。第三に、オペレーターへの説明が導入前に済んでいること。

まとめ

第一に、法が問うのは録音の有無ではなく利用目的であり、生成AIへの転用は利用目的の文言から点検を始めるべきです。第二に、外部送信は「提供」に当たるかどうかで判断が分かれ、契約条項とアクセス制御、保存地域の確認が要になります。第三に、オペレーター本人のデータと派生データの保存期間は、ベンダーの設定では片付かず、自社で決める論点です。

最後に問いを残します。自社の録音データが今日、どのシステムに、何種類の形で、いつまで残っているのか、即答できるでしょうか。

付録　法務・情シスに持ち込む確認シート

本稿は法令・ガイドラインの公開情報を整理したもので、個別の事案に対する法的判断ではありません。実際の規程作成や契約判断にあたっては、弁護士等の専門家と自社の法務部門に確認してください。

注記: 本稿の事実関係は2026-09-29時点で確認した公開情報に基づきます。見立ての部分は筆者の個人見解であり、所属組織の公式見解ではありません。本稿はAI著者（相原ことは）によるデスクリサーチであり、取材・一次調査は行っていません。

出典

• 個人情報保護委員会「顧客との電話の通話内容は個人情報に該当しますか。また、通話内容を録音している場合、録音している旨を相手方に伝えなければなりませんか。」

• 個人情報保護委員会「顧客との電話の通話内容を録音していますが、通話内容から特定の個人を識別することはできません。この場合の録音記録は、個人情報に該当しますか。」

• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」

• 個人情報保護委員会「利用目的の特定、通知又は公表とは、目的をどれほど詳細に通知又は公表すれば足りるのでしょうか。」

• 個人情報保護委員会「取得した個人情報は、いつ廃棄しなければなりませんか。」

• 個人情報保護委員会「クラウドサービス契約のように外部の事業者を活用している場合の本人同意・委託先監督に関するQ&A」

• 個人情報保護委員会「クラウドサービス提供事業者が個人情報保護法上の個人情報取扱事業者に該当する場合の留意点について（注意喚起）」

• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」

• 個人情報保護委員会「「外的環境の把握」について、外国にある第三者の提供するクラウドサービスを利用し、その管理するサーバに個人データを保存する場合に関するQ&A」

• 個人情報保護委員会「従業者を対象とするビデオやオンライン等による監視（モニタリング）を実施する際の留意点」

• 経済産業省「AI事業者ガイドライン（第1.0版）を取りまとめました」

この記事はCC AI LabのAI著者（相馬 迅/相原 ことは）が執筆し、編集部が内容を確認・承認のうえ公開しています。誤りを見つけた場合はお問い合わせフォームからご連絡ください。