顧客情報をAIに渡す前に――匿名化・置き換えシステムの構築・選定ガイド

顧客別の売上を分析したり、問い合わせを要約したり、会議資料を作ったり。生成AIを業務で使いたくても、ファイルに含まれる顧客情報が気になり、そのまま渡せない場面があります。

そこで考えたいのが、社内で顧客名などを仮の記号に置き換え、AIの処理後に必要な情報を戻す仕組みです。

この記事では、その仕組みと実装までの手順、ツールを選ぶ際の確認点を整理します。

「元に戻せる置き換え」と「匿名加工情報」は異なる

最初に、言葉を整理しておきます。

氏名を「担当者001」に置き換え、対応表を使って元に戻す方法は、法律上の「匿名加工情報」とは異なります。匿名加工情報は、特定の個人を識別できず、元の個人情報を復元できないように加工した情報です。個人情報保護委員会の解説

本記事では、元に戻せる処理を「仮IDへの置き換え」と呼びます。これは情報の露出を減らすための技術的な工夫であり、置き換えただけで外部送信が認められるわけではありません。

何のために作るのか

目的は、AIの処理に必要な情報を残しながら、渡す顧客情報を減らすことです。

例えば、顧客別の月次売上を比較するなら、顧客を区別する記号と売上データがあれば分析できます。実際の会社名や担当者の電話番号まで渡す必要はありません。

AIには仮IDを使って分析や文章の下書きをさせ、社内で確認した後に顧客名を戻します。これにより、資料を作るたびに手作業で名前を消して戻す負担も減らせます。

ただし、売上額や契約内容そのものが機密情報である場合もあります。名前の置き換えと、データを外部に渡してよいかの判断は、分けて考えます。

基本的な仕組み

処理は、次の順番で行います。

元ファイル → 社内で削除・置き換え → 送信前確認 → AI処理 → 社内で復元・確認

例えば、次のように加工します。

元の情報	AIへ渡す情報
顧客の会社名	`CUSTOMER_001`
担当者の氏名	分析に不要なら削除
電話番号・メールアドレス	分析に不要なら削除
詳細な住所	必要に応じて地域単位にまとめる
月別売上	分析に必要な範囲を残す

すべての情報を仮IDにする必要はありません。不要な情報は削除し、処理後に戻す必要がある情報だけを置き換えます。

仮IDと元の情報を結び付ける「復元用の対応表」は、社内の管理領域に保存します。AIへ送るファイルに別シートとして入れたり、同じ添付ファイルにまとめたりしない設計にします。

実装までの5つの手順

1．対象の業務とファイルを一つに絞る

最初は「毎月の売上CSVから、顧客別の報告文を作る」など、入力と出力が決まっている業務を対象にします。

決めるのは、使うファイル、AIに任せる処理、完成させたい資料の3点です。まずは架空データで、一連の処理が成立するかを確かめます。

2．削除する項目と置き換える項目を決める

顧客名、氏名、連絡先、顧客番号などを洗い出し、それぞれの扱いを決めます。

列が決まっている表なら、指定した列を処理する方法から始められます。一方、備考欄や問い合わせ本文には、名前や住所が文章の途中に含まれるため、別の確認が必要です。

自動検出だけに頼らず、顧客辞書や表記のルールを組み合わせ、判断できない箇所は人が確認できるようにします。

3．社内で仮IDに置き換える

同じ処理の中では、同じ顧客に同じ仮IDを割り当てます。別の顧客に同じIDを付けると、集計や復元を誤るためです。

対応表は処理ごとに管理し、誰が復元できるかを制限します。保存先のアクセス制御や暗号化に加え、保存期間と削除方法も決めておきます。

また、情報の検出や置き換え自体を外部サービスで行う場合、その段階で元データが送信されます。社内で前処理する設計なら、検出処理も社内の管理環境で完結させます。

4．送信する内容を確認してAIへ渡す

元ファイルを直接加工して送るよりも、必要な列や文章だけを取り出し、送信用の新しいファイルを作る構成にすると、確認範囲を絞れます。

送信前には、氏名や連絡先の残存に加え、備考欄やファイル名にも識別情報がないかを確認します。元のExcelなどを送る設計では、非表示シートやコメントも検査対象に含めます。

読み取れない箇所や未対応の形式があった場合は、そのまま送信せず、確認待ちにする動作が必要です。

5．AIの出力を社内で復元し、内容を確認する

AIから返った仮IDを対応表と照合し、必要な箇所を元の顧客名へ戻します。

このとき、AIがIDを書き換えたり、存在しないIDを出力したりする可能性があります。対応しないIDは推測で復元せず、確認対象として止めます。

顧客名が正しく戻っても、集計や説明が正しいとは限りません。数値は元データと照合し、別の顧客の内容が混ざっていないかも確認します。

ExcelからPowerPointを作る場合

入力と出力の形式が違っても、両方に対応する処理を用意すれば、同じ考え方を使えます。

例えば、Excelから必要な表を取り出して仮IDに置き換え、AIで報告文を作り、その結果を社内のPowerPointテンプレートへ差し込む流れです。

AIに完成版のPowerPointを直接作らせる場合は、本文だけでなく、表やグラフなど、仮IDが入る場所ごとに復元できるかを確かめる必要があります。画像になった文字は、通常の文字置換では戻せません。

最初は出力形式と差し込み位置を固定すると、復元と確認の仕組みを作りやすくなります。

ツールの選定で確認すること

既存ツールの導入でも独自開発でも、実際に使うファイルで次の点を確認します。

確認項目	確かめる内容
処理する場所	置き換え前のデータが外部へ送信されないか
検出範囲	日本語の氏名、会社名、自由記述を扱えるか
ファイルの対応範囲	本文以外のシート、コメント、図表などをどう扱うか
復元の正確さ	同じ顧客のIDが統一され、誤った復元を防げるか
エラー時の動作	読取失敗や未検出の疑いがあるときに送信を止められるか
情報の管理	対応表、ログ、一時ファイルの権限と保存期間を設定できるか
運用負担	送信前確認や例外対応を担当者が継続できるか

「匿名化対応」という名称だけでは、自社のファイルを処理できるかは分かりません。架空の顧客名、表記揺れ、備考欄への記載などを含むテストデータで、見落としと誤変換を確認します。

名前を消した後にも残る注意点

氏名がなくても、地域、役職、年齢、珍しい取引内容などの組み合わせから、本人や顧客を推測できる場合があります。分析に必要なければ削除し、必要な場合も情報をどこまで細かく残すかを検討します。個人情報保護委員会のガイドライン

利用するAIサービスの契約条件も確認します。入力内容の学習利用、保存期間、提供者によるアクセスなどを確かめ、社内ルールと照合する必要があります。個人情報保護委員会も、入力する情報を踏まえ、利用規約やプライバシーポリシーを確認して利用を判断するよう求めています。生成AIサービスの利用に関する注意喚起

復元後の資料には、再び顧客情報が含まれます。完成ファイルの保存先や共有先まで含めて、運用を決めておきます。

まずは一つの定型業務で試す

最初の対象は、入力の形と確認方法が決まっている業務にします。

架空データで「削除・置き換え」「送信前確認」「AI処理」「復元・照合」を通し、見落としや誤復元が起きたときに止められるかを確かめます。

そのうえで、処理時間だけでなく、人が確認する時間も測ります。確認の負担を含めて業務が楽になることを確かめてから、対象ファイルや自動化の範囲を広げていきます。