AI電話ベンダーのデータ取扱いを確認する

AI電話ベンダーのデータ取扱いは、「国内保存」や「学習しない」という一つの回答で判断しません。預けるデータがどの処理を通り、誰がどこから扱い、いつ消えるかを一件の業務で追います。

確認結果は営業担当者の説明だけで終えず、公開資料と契約条項へ結び付けてください。未確定の条件は導入後の確認事項へ送らず、対象データを渡す前に回答期限を決めます。

預けるデータと処理を一枚にする

最初に、AI電話へ渡す情報と生成される記録を書き出します。発信先の電話番号だけを渡す構成と、CRMの顧客情報を参照する構成では確認範囲が違います。録音から文字起こしや要約が作られる場合は、それぞれを別のデータとして扱います。

データごとに処理の目的を付けます。通話を成立させるための処理と、品質改善のために後から使う処理を一つにまとめません。利用目的が違えば、アクセスする担当者と保存期間も分けて確認できます。

個人情報保護委員会の通則ガイドラインは、個人データの取扱いを委託する場合の委託先監督や安全管理措置を示しています。製品名だけで委託範囲を決めず、自社が渡すデータと処理から確認対象を定めます。

契約するAI電話ベンダーだけで処理が完結するとは限りません。音声の認識と合成に加えて、生成AIやクラウド基盤を外部サービスへ再委託する場合があります。データの種類ごとに再委託先を確認してください。

委託先一覧が公開されている場合は、更新通知の方法も見ます。社名だけでなく、担当する処理と所在国が分からなければ自社への影響を判断できません。再委託先が変わる前に通知されるか、異議を申し出る手続があるかを契約で確かめます。

委託先への監督は、契約締結時の質問票だけでは終わりません。取扱状況をどの資料で定期確認できるかを決めます。監査報告書や認証の有無だけでなく、自社が利用する機能と対象範囲が一致しているかを確認してください。

データの保存地域と、運用担当者がアクセスする地域は別に聞きます。国内リージョンへ保存していても、国外のサポート担当者や再委託先が内容へアクセスする構成があります。バックアップと障害調査用の複製先も対象です。

個人情報保護委員会のQ&Aは、外国にある委託先や再委託先への監督について説明しています。外国にある第三者への提供編では、契約で利用目的や安全管理を定める例も示されています。再委託と漏えい時の対応も対象です。

国名だけで可否を決めず、どのデータへ誰がアクセスできるかを確認します。通話内容を見ない保守と、録音を再生する品質支援では影響が違います。アクセスが必要な場面と承認方法、操作記録の保存を分けて聞いてください。

「AI学習に使わない」という回答では、品質改善の範囲が残ります。基盤モデルの学習と顧客ごとの辞書改善を分けます。誤認識の解析や担当者による会話確認も別の処理です。入力データだけでなく、録音から作られた文字起こしや要約も対象です。

個人情報保護委員会の生成AIに関する注意喚起は、個人データを生成AIサービスへ入力する場合に、利用目的の範囲や提供事業者による取扱いを確認するよう促しています。学習除外の設定だけでなく、契約と実際の処理を照合します。

改善利用を許可する場合は、対象データと期間を限定します。自社データだけを使うのか、他社向けの改善にも使うのかを確認してください。設定を変更した後、過去に保存したデータへいつ反映されるかも聞きます。

削除は管理画面の操作だけで判断しません。契約終了時と個別削除時に、稼働系から消える時点を確認します。ログとバックアップに加えて、再委託先の削除も対象です。削除完了を示す記録を受け取れるかも聞いてください。

事故連絡は「速やかに」だけでなく、起算点と最初の連絡内容を確認します。ベンダーが事象を認識した時点から何時間以内か、影響範囲が未確定でも第一報が届くかを決めます。再委託先で起きた事故も同じ経路へ含めます。

連絡後に自社が判断する事項も整理します。対象データと期間、影響を受けた人の範囲、停止すべき機能が分からなければ初動が遅れます。追加報告の頻度と最終報告の条件を契約前に確認してください。

候補ベンダーごとに、次の六つを同じ版と確認日で保存します。

回答が公開資料と契約で違う場合は、契約上の適用関係を確認します。営業資料だけにある機能や約束は、そのまま比較表へ入れません。質問への回答者と日付を残し、製品更新や再委託先の変更時に見直します。

最初の作業は、導入予定の一業務を選ぶことです。入力と録音から生成物を経て、外部連携へ届く流れを一枚に描きます。その図を候補ベンダーへ渡し、六つの証拠がそろうまで実データを使った検証へ進まないようにしてください。