生成AIに応募者の個人情報を入力してよい？採用担当が守るべきルール

応募者への連絡文や面接記録の整理に生成AIを使いたい。でも、履歴書の内容や応募者の名前を入力してよいのか分からない。採用を兼務している担当者ほど、この迷いで手が止まりがちです。

個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表し、事業者が個人情報を含むプロンプト（AIへの指示文）を入力するときの注意点を示しました。応募者の情報は、個人情報保護法に加えて職業安定法のルールもかかる情報です。

この記事では、採用担当者が守るべきルールを条文とガイドラインから整理し、入力前に確認する4つのポイント、入れてよい情報・入れない情報の区分、応募者IDに置き換える手順と指示文、うっかり入力したときの対応までをまとめます。

※本記事は2026年10月時点で確認できた法令・公的資料をもとにした一般的な情報提供です。法律相談ではありません。個別の事案の最終判断は、弁護士・社会保険労務士などの専門家にご確認ください。

結論：氏名・連絡先は入れない。入れるなら条件を確かめてから

最初に結論を示します。生成AIに個人情報を入力することを、法律が一律に禁じているわけではありません。ただし、個人情報保護委員会の注意喚起は、事業者に次の2点の確認を求めています。

1. 個人情報を含むプロンプトを入力する場合、特定された利用目的を達成するために必要な範囲内であることを十分に確認すること
2. あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、それが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性がある。そのため、サービス提供事業者が当該個人データを機械学習に利用しないこと等を十分に確認すること

出典：生成AIサービスの利用に関する注意喚起等（個人情報保護委員会・2023年6月2日）

この「確認」は、利用規約や契約、設定を読み込む作業です。兼務の担当者が、応募のたびに判断するのは現実的ではありません。そこで実務では、応募者の氏名・連絡先などは原則として入れず、応募者IDに置き換えて使うことをおすすめします。

そのうえで、どうしても個人データを扱う必要がある業務だけ、会社として条件を確かめたサービス・プランに限って使う。この二段構えにすると、現場が迷わずに済みます。ヨビコムのAI採用支援でも、AIに応募者の氏名・連絡先を渡さず、応募者IDで扱うことを原則にしています。

応募者の個人情報と生成AIに関わる法律・ガイドライン

採用の場面で関係する主なルールを一覧にします。条文番号は、e-Gov法令検索で2026年10月時点の条文を確認したものです。

ルール	内容（要旨）	生成AIを使う場面での意味
個人情報保護法 第17条・第18条	利用目的をできる限り特定し、その範囲を超えて取り扱わない	利用目的と関係のない作業に応募者情報を使わない
同 第21条	取得時に利用目的を通知・公表し、書面等で直接取得するときはあらかじめ明示する	応募フォームや受付メールに利用目的を書く
同 第20条第2項	要配慮個人情報（病歴など）は、原則として本人の同意なく取得しない	病歴や障害に関する記載はAIに入れない
同 第23条・第25条	安全管理措置を講じ、委託先を監督する	AIサービスの設定・権限・保存期間を管理する
同 第27条・第28条	本人の同意のない第三者提供の制限、外国にある第三者への提供の制限	サービス側がデータをどう扱うか、どの国で扱うかを確認する
同 第26条	一定の漏えい等が起きたら委員会への報告と本人への通知	誤入力時の社内報告ルートを決めておく
職業安定法 第5条の5	求職者等の個人情報は、業務の目的の達成に必要な範囲内で、目的を明らかにして収集・保管・使用し、適正に管理する	採用の目的に必要な範囲でだけAIを使う

出典：個人情報の保護に関する法律（e-Gov法令検索）／職業安定法（e-Gov法令検索）

職業安定法の指針と取扱要領が求める「目的の明示」

職業安定法第5条の5は、求人者や労働者の募集を行う者にも適用されます。厚生労働省の「募集・求人業務取扱要領」は、目的の明示について、漠然と「採用のために使用します。」と示すだけでは足りないとしています。

業務上、通常想定されない第三者に個人情報を提供する場合や、第三者に保管を依頼する場合は、その旨を明示する必要があるとも書かれています。外部のAIサービスに応募者情報を預けるなら、この一文を意識して説明文を作りましょう。

出典：募集・求人業務取扱要領（厚生労働省職業安定局・令和7年6月）

同じ要領は、人種・民族・社会的身分・門地・本籍・出生地その他社会的差別の原因となるおそれのある事項、思想及び信条、労働組合の加入状況を、原則として収集してはならない情報として挙げています。こうした情報は、AIに入力する以前に、そもそも集めないことが前提です。

2026年7月公布の改正個人情報保護法

2026年7月10日に「個人情報の保護に関する法律等の一部を改正する法律」が成立し、7月17日に公布されました。施行は、一部を除き公布の日から2年以内で政令で定める日とされています。

個人情報保護委員会事務局の概要資料によると、統計作成等（統計作成等であると整理できるAI開発等を含む）にのみ利用される場合の本人同意の不要化、データ処理等の委託先の義務の見直し、課徴金制度の導入などが盛り込まれています。課徴金の対象には、第三者提供の制限（第27条第1項）違反などが含まれます。

出典：「個人情報の保護に関する法律等の一部を改正する法律」の公布について（個人情報保護委員会・2026年7月17日）／個人情報保護法等の一部を改正する法律について（個人情報保護委員会事務局・2026年7月）

改正後の細かいルールは、今後の政令・委員会規則・ガイドラインで決まります。現時点では、現行法を守りつつ、委員会の発表を定期的に確認する姿勢で十分です。

入力する前に確認する4つのポイント

応募者の情報を含む内容をAIに入力する前に、次の4点を順に確認します。1つでも「いいえ」「分からない」があれば、入力しないか、ID化して個人を特定できる情報を外してから使います。

確認1：その作業は、応募者に示した利用目的の範囲内か

たとえば「選考と選考に関する連絡のため」と示して集めた情報を、選考に関係のない営業リストづくりや、AIの性能テストに使うのは範囲外です。注意喚起の①も、この点の十分な確認を求めています。

確認2：サービス側で、学習など出力以外の目的に使われないか

注意喚起の②は、入力した個人データが応答結果の出力以外の目的で取り扱われると、法違反となる可能性があると指摘しています。サービスの利用規約やプライバシーポリシー、管理画面の設定で、入力データを学習に使わないことや保存の扱いを確認します。

個人情報保護委員会のQ&A（Q7-53）は、クラウドサービスの利用が第三者提供や委託に当たるかは、サービス提供事業者が個人データを取り扱うこととなっているかどうかで判断するとしています。取り扱わないこととなっている場合の例として、契約条項で取り扱わない旨が定められ、適切にアクセス制御を行っている場合等を挙げています。

出典：生成AIサービスの利用に関する注意喚起等（個人情報保護委員会・2023年6月2日）／「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（個人情報保護委員会）

生成AIサービスがこれに当たるかどうかは、サービスやプランの契約内容によって変わります。個別の判断は、契約書を示して専門家に確認してください。

確認3：どの国で、誰がデータを扱うかを確認したか

個人情報保護法第28条は、外国にある第三者に個人データを提供する場合、原則として、あらかじめ本人の同意を得ることを求めています。Q&A（Q12-3、Q12-4）は、事業者が個人データを取り扱わないこととなっている場合は外国にある第三者への提供に当たらないとしています。一方で、外国でデータを扱うことになるため、その国の制度を把握したうえで安全管理措置を講じ、講じた措置を本人の知り得る状態に置く必要があるとしています。

氏名を削除したデータについても、Q&A（Q12-8）は、提供先が元の個人情報を復元しないことが契約で定められている等の場合を整理したうえで、提供元には定期的な確認や委託先の監督が必要だと説明しています。ID化すれば何も考えなくてよい、というわけではありません。

出典：個人情報の保護に関する法律（e-Gov法令検索）／「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（個人情報保護委員会）

確認4：社内の安全管理ができているか

誰がどのサービスを使ってよいか、どのアカウントで使うか、履歴をどれだけ残すかを決めておきます。通則編ガイドラインは、外国において個人データを取り扱う場合、その国の個人情報保護制度等を把握したうえで、安全管理のために必要かつ適切な措置を講じることを「外的環境の把握」として求めています。

出典：個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）

個人のアカウントや、会社が把握していない無料サービスで応募者情報を扱うと、この管理がそもそもできません。会社が認めたサービスとアカウント以外では、応募者情報を扱わないと決めておくのが出発点です。

入れてよい情報・置き換えれば使える情報・入れない情報

現場で迷わないように、情報を3つに分けて決めておきます。以下は中小企業向けの一例です。自社の利用目的や使うサービスに合わせて調整してください。

区分	具体例	扱い方
入れない	氏名、住所、電話番号、メールアドレス、顔写真、生年月日、マイナンバー、病歴・障害・健康状態、本籍・出生地、家族に関すること、思想・信条に関すること、ID対照表	どのサービスでも入力しない（要配慮個人情報や、そもそも収集しない情報を含む）
置き換えれば使える	職務経歴、資格、スキル、志望動機、面接メモ、希望条件	応募者ID（例：A-0012）に置き換え、前職の社名や固有の地名など個人を特定しやすい記述をぼかしてから使う
入れてよい	自社の求人票、職務内容、評価基準表、連絡文のひな形、社内ルール文書	個人情報を含まない形で使う。社外秘の情報は社内ルールに従う

「置き換えれば使える」情報でも、組み合わせると本人が分かることがあります。たとえば「〇〇市の△△高校を卒業後、□□株式会社で唯一の女性施工管理として…」のような記述です。迷ったら、職務に関係する事実だけを残し、それ以外は削るのが安全です。

この区分表は、社内ルールの一部としてそのまま使えます。採用業務のAI活用ルール全体の作り方と雛形は、無料資料『採用×生成AI リスクとルールの手引き』にまとめています。

応募者IDに置き換える手順と指示文

ID化は、AIに頼まず人が行います。個人情報を外すためにAIへ個人情報を渡しては、本末転倒になるからです。表計算ソフトの置換機能で十分対応できます。

手順	やること	ポイント
1	応募受付順に応募者IDを振り、ID対照表（IDと氏名の対応表）を作る	対照表はAIに渡さず、閲覧できる人を限定したフォルダに保存する
2	AIに渡す部分（職務経歴、面接メモなど）だけを別のファイルに写す	履歴書の写真・連絡先欄は写さない
3	氏名を応募者IDに置換し、前職の社名・学校名・地名を一般的な表現に置き換える	例：「□□建設株式会社」→「中堅の建設会社」
4	読み直して、個人を特定できる記述が残っていないか人が確認する	指示文2で補助的に点検してもよい
5	社内で認めたサービスに入力し、出力を使い終えたら履歴の扱いを社内ルールに従って処理する	出力に戻す氏名は、送信直前に人が差し込む

IDに置き換えても、社内では対照表と照合して本人が分かります。個人情報保護委員会のQ&A（Q1-19）は、共通のIDが割り当てられ、事業者内部で特定の個人を識別できる情報とともに参照できる場合は、他の情報と容易に照合することができると解され得ると説明しています。社内では引き続き個人情報として管理してください。

出典：「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（個人情報保護委員会）

指示文1：氏名を入れずに連絡文を作る（差し込み枠方式）

指示文の例

あなたは中小企業の採用担当者のアシスタントです。
書類選考を通過した応募者に送る、一次面接の日程調整メールを作ってください。

【条件】
・応募者の氏名は {応募者名} 、候補日時は {候補日1}{候補日2}{候補日3} と書く
・会社名は「〇〇株式会社」、担当は「総務部 採用担当」
・面接はオンライン（URLは {面接URL} ）、所要時間は45分
・返信期限は {返信期限}
・丁寧だが短く、300字以内

出力例（※説明用の例です）

件名：一次面接の日程のご相談（〇〇株式会社）

{応募者名} 様

このたびは当社の求人にご応募いただき、ありがとうございます。
書類選考の結果、一次面接にお進みいただくことになりました。
下記の候補日時から、ご都合のよいものをお知らせください。

・{候補日1}
・{候補日2}
・{候補日3}

面接はオンラインで約45分を予定しています（URL：{面接URL}）。
恐れ入りますが、{返信期限}までにご返信ください。

〇〇株式会社 総務部 採用担当

{ }の部分は、送信の直前に人が差し込みます。この方式なら、AIに応募者の氏名や連絡先を一切渡さずに文面を整えられます。フェーズ別の文面は応募者対応メールの書き方｜選考フェーズ別のテンプレートと注意点も参考にしてください。

指示文2：ID化した文章に、個人を特定できる記述が残っていないか点検する

指示文の例

次の文章は、応募者の氏名を応募者IDに置き換えた職務経歴です。
個人を特定できる、または特定につながるおそれがある記述が残っていないか点検してください。

【点検の観点】
・氏名、住所、電話番号、メールアドレス、生年月日
・会社名、学校名、具体的な地名、珍しい役職名や受賞歴
・家族、健康、思想・信条に関する記述
見つけた箇所は引用し、置き換え案を示してください。問題がなければ「指摘なし」と答えてください。
文章の要約や評価はしないでください。

【文章】
応募者A-0031：2018年から□□建設株式会社（〇〇市）で施工管理を担当。
社内で初めて1級建築施工管理技士を取得し、社長賞を受賞。

出力例（※説明用の例です）

点検結果

1.「□□建設株式会社（〇〇市）」
　→ 会社名と地名から勤務先が特定できます。
　　置き換え案：「地方の中堅建設会社」
2.「社内で初めて1級建築施工管理技士を取得し、社長賞を受賞」
　→「社内で初めて」「社長賞」の組み合わせで本人が特定されるおそれがあります。
　　置き換え案：「1級建築施工管理技士を取得」

その他、氏名・連絡先・家族・健康に関する記述は見当たりませんでした。

この指示文は、人が置き換えを終えた後の「二重チェック」として使います。最初から生の文章を入れて点検させるのは避けてください。また、AIの点検で漏れがないとは限らないため、最後は人が読み直します。

指示文3：個人情報を入れずに、社内向けの入力ルール表を作る

指示文の例

当社は従業員20名の会社で、採用業務に生成AIを使い始めます。
採用担当者向けに「AIに入れてはいけない情報」「IDに置き換えれば使える情報」「入れてよい情報」の
3区分の早見表を作ってください。各区分に具体例を5つずつ挙げ、最後に迷ったときの判断の原則を1行で書いてください。

出力例（※説明用の例です）

【入れてはいけない情報】
氏名／住所・電話番号・メールアドレス／顔写真／生年月日／病歴・健康状態

【IDに置き換えれば使える情報】
職務経歴／保有資格／スキル／志望動機／面接メモ（評価を除く）

【入れてよい情報】
求人票／職務内容／評価基準表／連絡文のひな形／社内ルール文書

迷ったときの原則：本人が分かるかもしれないと思ったら、入れない。

AIが作った表は、そのまま使わず、本記事の3区分表や自社の利用目的と照らし合わせて修正してください。

うっかり入力してしまったときの対応

ルールを決めていても、急いでいるときに履歴書をそのまま貼ってしまうことは起こり得ます。大事なのは、隠さずにすぐ報告できる仕組みです。

順番	やること	補足
1	入力した日時、サービス名、プラン、入力した内容（項目と人数）をメモする	画面を閉じる前に記録する
2	社内の責任者にすぐ報告する	報告した人を責めない運用にすると、報告が早くなる
3	サービスの設定（学習への利用、履歴の保存）を確認し、可能なら履歴を削除する	削除の可否や保存の扱いはサービスの規約で確認する
4	個人情報保護委員会への報告や本人への通知が必要な事態か、専門家と検討する	判断に迷う場合は委員会の相談窓口も使える
5	再発防止策（ID化の手順、利用できるサービスの見直し）を決める	社内ルールを更新する

個人情報保護法第26条は、個人の権利利益を害するおそれが大きい漏えい等が生じたとき、委員会への報告と本人への通知を求めています。通則編ガイドラインは報告対象事態として、①要配慮個人情報が含まれる個人データの漏えい等、②不正に利用されることにより財産的被害が生じるおそれがあるもの、③不正の目的をもって行われたおそれがあるもの、④本人の数が1,000人を超えるもの、を挙げています。

速報の「速やか」の目安は、事態を知った時点から概ね3〜5日以内とされています。AIへの誤入力がこれらに当たるかは状況によって異なるため、自己判断で終わらせず、早めに専門家へ相談してください。

出典：個人情報の保護に関する法律（e-Gov法令検索）／個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）

応募者への利用目的の示し方と、送信前チェックリスト

AIを使う場合の利用目的は、応募フォーム、求人票の応募方法欄、受付メールなど、応募者が応募する前後に目にする場所に書きます。先に触れた取扱要領の考え方に沿って、何のために使い、外部に預けることがあるかを具体的に書くのがポイントです。

利用目的の記載例

【応募者の個人情報の利用目的】
当社は、ご応募の際にいただいた個人情報を、次の目的で利用します。
1. 書類選考・面接など採用選考の実施
2. 選考日程や結果など、選考に関するご連絡
3. 採用決定後の入社手続き

連絡文の作成や応募書類の要約・整理のために、氏名・連絡先を除いた情報を、
当社が契約する外部の文章作成支援サービス（生成AI）で処理することがあります。
選考の合否は当社の担当者が判断します。
個人情報の取扱いに関するお問い合わせ：〇〇株式会社 総務部（メールアドレス）

外国の事業者のサービスを使う場合や、個人データを含めて処理する場合は、第28条の同意や情報提供が必要になることがあります。記載内容は、使うサービスの契約を確認したうえで専門家に見てもらうと安心です。

送信前チェックリスト（AIに入力する前に毎回確認）

• □ 入力する内容に、氏名・住所・電話番号・メールアドレス・写真・生年月日が含まれていない
• □ 病歴・健康状態・家族・本籍・思想信条に関する記述が含まれていない
• □ 会社名・学校名・地名など、組み合わせで本人が分かる記述を置き換えた
• □ ID対照表を貼り付けていない
• □ 会社が認めたサービス・プラン・アカウントを使っている
• □ この作業は、応募者に示した利用目的の範囲内である
• □ AIに合否・点数・順位を出させる指示になっていない
• □ 出力を送る前に、人が内容を確認し、氏名などを差し込む

採用業務のデジタル化をどこから進めるか迷う場合は、採用DXとは？メリット・進め方や人事の効率化を実現する方法もあわせてご覧ください。

ヨビコムが採用支援で守っている入力ルール

Digital&が運営するヨビコムでは、採用業務での生成AIの個人情報リスクを重要なテーマと考え、個人情報、公正な採用選考、著作権、求人媒体の規約などを整理したAI活用の手引きを作っています。基本の考え方は、「応募者を特定できる情報を必要以上にAIへ入れない」「使う前に利用目的と利用環境を確かめる」の2つです。

1. 入力を最小限にする

• 氏名、住所、電話番号、メールアドレスなどは原則として入力しない
• 必要に応じて応募者IDなどに置き換える
• 履歴書・職務経歴書を、そのまま無条件にAIへ入れない

2. 利用環境を確認する

• 使うAIサービスで、入力したデータがどう扱われるかを確認する
• 学習への利用、保存期間、アクセスできる人の範囲を確認する
• 支援先との契約や、応募者に示した個人情報の利用目的に合っているかを確認する

3. 採用判断にAIを直接使わない

• AIに合否を自動で決めさせない
• 面接質問や確認事項の整理など、補助的な使い方に限る
• AIが作った評価や要約は、人が確認してから使う

見落としやすい点として、IDに置き換えた情報でも、社内で元の個人と照らし合わせられるなら個人情報として管理が必要です。IDにしたから安全、とは考えないようにしています。また、社内向けの手引きと、正式に承認・施行した社内規程は別のものとして扱い、運用の責任者や承認方法、使ってよいサービスなどは継続して整備しています。

よくある質問

Q1. 有料の法人向けプランなら、応募者の個人情報を入力しても問題ありませんか？

プランの種類だけでは決まりません。入力データを学習に使わないか、どこで保存・処理されるか、事業者がデータを取り扱わない契約になっているかなどを、利用規約や契約で確認する必要があります。そのうえで、利用目的の範囲内か、社内の安全管理ができているかも確かめてください。個別の判断は専門家にご相談ください。

Q2. 氏名をIDに置き換えれば、個人情報ではなくなりますか？

社内では対照表と照合できるため、個人情報として扱う必要があります（個人情報保護委員会Q&A Q1-19の考え方）。IDに置き換えるのは、AIサービス側に渡る情報を減らすための対策です。社内での管理を緩めてよいという意味ではありません。

Q3. 面接の録音データを文字起こしAIに入れてもよいですか？

録音には声や発言内容など、本人を特定できる情報が多く含まれます。録音する場合は事前に応募者へ説明しておくことが望ましく、AIに入れるなら利用目的の範囲内か、サービス側の扱いはどうかを確認してから判断してください。面接記録の要約は、人がメモをID化してからAIに渡す方法が安全です。

Q4. 応募者本人の同意を取れば、何を入力してもよいですか？

同意は重要ですが、何でも許されるわけではありません。職業安定法の指針や取扱要領は、業務の目的の達成に必要な範囲を超えた個人情報の取扱いへの同意を、募集の条件にしてはならないとしています。また、社会的差別の原因となるおそれのある事項などは、原則として収集してはならない情報です。

出典：募集・求人業務取扱要領（厚生労働省職業安定局・令和7年6月）

Q5. 社員が個人のスマートフォンのAIアプリで応募者情報を扱っていました。どうすればよいですか？

まず事実を確認し、「うっかり入力してしまったときの対応」の手順で記録・報告・設定確認を行います。そのうえで、会社が認めたサービスとアカウントを用意し、それ以外では応募者情報を扱わないルールを周知してください。禁止するだけでなく、使ってよい道具を用意することが再発防止につながります。

あわせて読みたい：AI×採用の関連記事

• 採用AIとは？中小企業が採用業務でAIを使う範囲と始め方【実務ガイド】
• 採用業務の生成AIガイドライン｜社内ルールの作り方とそのまま使える雛形
• AIで書類選考はしてよい？公正な採用選考とAIに任せない線引き

まとめ

生成AIへの個人情報の入力は、法律で一律に禁じられてはいません。しかし個人情報保護委員会は、利用目的の範囲内かどうか、入力したデータが学習など出力以外の目的に使われないかを十分に確認するよう求めています。応募者の情報には、職業安定法の目的明示や管理のルールもかかります。

兼務の採用担当者が毎回この確認を行うのは大変です。だからこそ、氏名・連絡先は入れず、応募者IDに置き換える、会社が認めたサービスだけを使う、送信前チェックリストで確かめる、という仕組みで守るのが現実的です。

まずは、指示文1の差し込み枠方式で、応募者の情報を入れずに連絡文を作るところから試してみてください。

※本記事は2026年10月時点で確認できた法令・公的資料をもとにした一般的な情報提供です。法律相談ではありません。個別の事案の最終判断は、弁護士・社会保険労務士などの専門家にご確認ください。