ChatGPTやClaudeで作ったプライバシーポリシーは、一般的な文面になりがちです。公開前に、利用目的、Cookieの外部送信、開示請求の窓口の3か所を、自社の実態と照らしてください。

私は、IT業界出身の行政書士としてプライバシーポリシーのチェックをしています。AIを使った作り方とチェック方法は、著書『AI時代のプライバシーポリシー』にまとめました。この記事では、チェックで実際に提案している内容を紹介します。

1. 利用目的を実態に合わせて具体的に書く

利用目的が雑な場合は、何のために使うかを書き直します。個人情報保護法17条1項は、利用目的をできる限り特定するよう求めています。

個人情報保護委員会のガイドラインは、「事業活動に用いるため」「マーケティング活動に用いるため」を、具体的に特定していない例としています。

チェックでは、実際に行っている業務と利用目的を一つずつ照らします。私がよく聞くのは、「お問い合わせへの対応は入っていますか」です。

確認する業務の例は次のとおりです。

あなたのサービスにあるものだけを残し、具体的に書きます。

2. Cookieと外部送信を洗い出す

サイトに入れたタグから、利用者の情報が外部へ渡る場合があります。アフィリエイト、広告、アクセス解析のタグを入れているなら、プライバシーポリシーと照らしてください。AIは、サイトに入っているタグを知らないからです。

確認する観点は2つあります。

一つ目は、電気通信事業法の外部送信規律（27条の12）です。対象となるサービスは、外部へ送信される情報の内容、送信先の名称、利用目的を、通知するか容易に知り得る状態に置きます。この規律は2023年6月16日に施行されました。すべてのサイトが対象ではありません。サービスごとに判断します。

二つ目は、個人情報保護法31条です。Cookieなどの個人関連情報を提供し、提供先が個人データとして取得すると想定される場合は、原則として、本人の同意が得られていることを確認しなければ提供できません。

まず、次の3点を一覧にします。

決済、クラウド、AIのAPIなど、外部サービスへ渡すデータも同じように洗い出します。こちらは、委託か第三者提供かの整理が必要です。

保有個人データを扱う事業者には、本人が知り得る状態に置くべき事項があります（個人情報保護法32条）。ここが抜けている文書は、チェックで普通に見かけます。

ガイドラインが挙げる事項は次のとおりです。

安全管理措置は「ガイドラインに沿って実施しています」だけでは適切といえません。この点はガイドラインが示しています。一方、公表すると安全管理に支障が出る具体的な方法までは、書かなくてかまいません。

海外のサーバーやクラウドで個人データを扱う場合は、外的環境の把握も確認します。外国の制度を把握したうえで安全管理措置を講じる、という内容です。

自分で進める方は『AI時代のプライバシーポリシー: ChatGPT・Claudeを使った作り方から法律上のチェックまで』を参考にしてください。法律上の義務と任意の整理、AIによる聞き取り、プロンプト付きの作成法、最新法令との照合を扱っています。利用規約は『AI時代の利用規約』にまとめています。

「AIで作ったけれど、自社の実態と合っているか分からない」という方は、AI生成文書チェックをご利用ください。行政書士が全文を読み、問題点の指摘だけでなく、サービスの実態に合わせた書き換え案までお返しします。

ご依頼料は料金案内をご確認ください。AIで作った文書は、お問い合わせからお送りいただけます。

※この記事は執筆時点（2026年11月）の情報です。個別の紛争への対応は、弁護士にご相談ください。

著者：坂本倫朗（行政書士） IT業界で14年間働いた経験を生かし、利用規約、プライバシーポリシー、IT契約書の作成とチェックを行う。著書に『AI時代の利用規約』『AI時代のプライバシーポリシー』など。