AI
AIチャットボットと顧客データ：メッセージング担当者向けGDPR・KVKKプライバシーチェックリスト
WhatsAppやInstagramのAIエージェントは、顧客のメッセージを複数の企業を経由して処理します。このチェックリストでは、GDPRおよびトルコのKVKKに沿って、データの整理、プロバイダーの選定、保持期間の設定、同意の扱いを解説します。
MonoChatチーム 更新日: 1 分で読めます
目次
AIチャットボットをGDPRとKVKKに準拠させるには、顧客のメッセージが通過するすべてのシステムを洗い出し、適法根拠と分かりやすいプライバシー通知を用意し、各プロバイダーとデータ処理契約を結び、データがEUやトルコの外に出る場合は有効な移転手段を使い、可能な限りプロンプトに個人データを含めず、保持期間を設定し、AIと会話していることを本人に伝えます。コンプライアンスはチャットボット自体ではなく、導入と運用の方法によって決まります。
難しいのは、WhatsAppの返信1件に4～5社が関わり得る点です。Meta、メッセージングプラットフォーム、LLMプロバイダー、ベクターデータベース、そしてエージェントが参照するCRMです。このチェックリストでは、それぞれを順に確認します。メッセージング担当者向けの実務的なガイドであり、法的助言ではありません。詳細はデータ保護責任者または法務の専門家にご確認ください。
AIエージェントが返信するとき、顧客データはどこへ行くのか
まず、メッセージ1件の経路を図にしてみましょう。典型的な流れは次のとおりです。
| ステップ | システム | 関係するデータ | 確認すべきこと |
|---|---|---|---|
| 1 | メッセージングチャネル（WhatsApp、Instagram、Messenger） | 電話番号またはユーザー名、メッセージ内容、メディア | どの規約と保存ルールが適用されるか |
| 2 | メッセージングプラットフォーム | 会話履歴、連絡先プロフィール、タグ、メモ | 誰がアクセスでき、どこに、どのくらいの期間保存されるか |
| 3 | ナレッジベースとベクターデータベース | 自社のコンテンツ（アップロードした場合のみ個人データ） | インデックスに個人データが含まれていないか |
| 4 | LLMプロバイダー | プロンプト：指示、取得したテキスト、履歴、最新のメッセージ | データは保持されるか、学習に使われるか、どこで処理されるか |
| 5 | 連携ツール（CRM、予約、ストア） | 注文データ、予約、アカウント情報 | エージェントは何を読み取り、何を書き込めるか |
| 6 | 担当者（人間） | 引き継ぎ後の会話全体 | 誰が何を見られるか、ログは残るか |
どの行も、個人データが処理され、契約、保持ルール、アクセス制御が必要になる場所です。埋められない行があれば、それが最初の課題です。
AIチャットボットのプライバシーチェックリスト
1. 適法根拠を選び、書面に残す
GDPR（第6条）では、処理の目的ごとに法的根拠が必要です。問い合わせてきた顧客に回答する場合は、通常は契約または正当な利益が根拠になります。マーケティングメッセージは通常、同意が根拠です。会話をエージェントの改善に使うことは別の目的であり、当初の根拠でカバーされると決めつけず、個別に評価してください。
KVKKには独自の処理要件の一覧があります。EUとトルコの両方の顧客にサービスを提供する場合は、それぞれの法律に基づく根拠を文書化してください。
2. AIの利用とデータの扱いを伝える
プライバシー通知には、会話がAIシステムによって処理される可能性があること、どのプロバイダーがデータを処理するか、どこで、どのくらいの期間か、そして担当者に連絡する方法を記載します。記載内容はGDPR第13条・第14条に定められており、KVKKにも同様の通知義務があります。
EUでは、AI規則の透明性義務が2026年8月2日から適用されます。状況から明らかな場合を除き、AIシステムとやり取りしていることを本人に知らせる必要があります。短い最初のメッセージで、法的要件と顧客の期待の両方に対応できます。
こんにちは。ノースウィンドホームのバーチャルアシスタント（AI）です。
ご注文、返品、配送についてご案内できます。「担当者」と入力いただければ、
いつでも弊社スタッフにおつなぎします。
プライバシー通知：northwindhome.example/privacy3. すべての処理者とデータ処理契約を結ぶ
メッセージングプラットフォーム、LLMプロバイダー、ベクターデータベースのホスト、そして貴社に代わって個人データを扱うツールの提供元は、いずれも処理者に当たります。GDPR第28条は、処理を貴社の指示の範囲に限定し、機密保持とセキュリティを求め、サブ処理者、削除、監査を定める書面の契約を求めています。サブ処理者の一覧を管理し、プロバイダーが変わるたびに確認してください。
4. EUやトルコ域外への移転を確認する
多くのLLMプロバイダーは他国でデータを処理します。GDPR第5章では、EEA域外への移転には十分性認定、または標準契約条項などの適切な保護措置が必要です。
KVKKの国外移転に関する規則は2024年6月に改正されました。現在、移転は十分性認定、個人データ保護委員会が公表する標準契約などの適切な保護措置、または限定的な例外のいずれかに基づきます。標準契約は、締結から5営業日以内に当局へ届け出る必要があります。各プロバイダーがどこでデータを処理するかを確認し、義務に合ったリージョンやプロバイダーを選んでください。
WhatsAppでは、MetaのCloud APIにローカルストレージがあり、ビジネス用電話番号ごとに、保存時のメッセージデータの保管場所を選べます。ただし、Cloud APIでは利用中のコンテンツが最大60分間、国際的にMetaのデータセンターで処理される場合があり、その後は選択したリージョンにのみ保管されます。
5. LLMプロバイダーは慎重に選ぶ
モデルのプロバイダーは、プロンプトに入れたすべての内容を見ます。接続する前に、次の点を確認してください。
- 学習への利用。 プロバイダーはAPIデータをモデルの学習に使うか。オプトアウトできるか。
- 保持。 不正利用の監視を含め、プロンプトと出力はどのくらいの期間保持されるか。
- リージョン。 データはどこで処理・保存されるか。選択できるか。
- 契約。 ご利用のプランでデータ処理契約を結べるか。
- セルフホスト。 機密性の高い用途には、自社サーバー上のオープンソースモデルが適しているか。
自社のプロバイダーアカウント（独自のキーの持ち込み）を使えば、契約、リージョン設定、保持オプションはベンダーのアカウントから引き継ぐものではなく、自社のものになります。
6. プロンプトとツールに渡す情報を最小限にする
データの最小化（GDPR第5条）は、AIエージェントにとって最も効果的なプライバシー対策です。
- 顧客の記録、本人確認書類、社内メモをナレッジベースにアップロードしない。
- モデルには、連絡先プロフィール全体ではなく、必要な履歴だけを送る。
- ツールには可能な限り狭いアクセス権を与える。注文状況ツールに必要なのは注文番号であり、顧客データベース全体ではありません。
- 国民ID番号、カード番号、パスワードなどの項目はマスクするか、扱わない。
- 不要な機密データをエージェントが尋ねないように指示する。
エージェントのルール：チャットでカード番号、パスワード、ID番号を
絶対に尋ねないこと。顧客が共有した場合は、その内容を繰り返さず、
安全な決済リンクまたは担当者との通話をご案内すること。MCPなどのプロトコルでエージェントを業務システムに接続する場合も、接続するすべてのシステムに同じルールが当てはまります。リスクについては、顧客メッセージングのためのMCPをご覧ください。
7. 健康データなど特別なデータは特に慎重に扱う
健康、宗教、生体データなどの区分は、GDPR第9条およびKVKKで特別な保護を受けます。クリニック、薬局、保険会社は、AIが扱う範囲を限定し、AIによる医療アドバイスを避け、臨床的な質問は資格のあるスタッフに回してください。こうしたデータを大規模に処理するAIエージェントを導入する前に、データ保護影響評価（GDPR第35条）の実施を検討してください。
8. すべての保管場所に保持期間を設定する
保管の制限（GDPR第5条）とは、個人データを必要な期間だけ保持するということです。次のそれぞれについて期間を定め、文書化してください。
- メッセージングプラットフォームの会話履歴
- LLMプロバイダーのログ
- エクスポートした会話記録と分析データ
- ベクターデータベースやナレッジベースにある個人データ
そのうえで、可能であればバックアップも含め、削除が実際に行われるようにしてください。
9. 開示請求と削除請求に備える
顧客は、貴社が保有する自分のデータの開示や削除を求めることができます（GDPR第15条・第17条。KVKKにも同様の権利があります）。データマップにあるすべてのシステムで、特定の人物の会話を見つける方法と、それぞれで削除する方法を把握しておきましょう。
10. AIだけで判断しない
GDPR第22条は、人に重大な影響を与える、自動処理のみに基づく決定を制限しています。AIには回答、情報収集、振り分けを任せ、承認、拒否、与信判断、例外対応は人が担当してください。信頼できるAIから有人対応への引き継ぎは、サービスであると同時にコンプライアンスの機能でもあります。
11. アクセスを保護し、ログを残す
会話を閲覧できる人を限定し、ロールベースのアクセス制御を使い、多要素認証を必須にし、誰が何をしたかの監査ログを残します。GDPR第32条はリスクに見合ったセキュリティを求めており、第33条は、個人データ侵害が人々にリスクをもたらす場合に、監督機関へ72時間以内に通知するよう定めています。
12. チャネル独自のルールに従う
MetaのWhatsApp Business Messaging Policyには、オプトイン、データの利用、AIについて独自の要件があります。Metaが認めている内容は2026年のWhatsApp AIチャットボットポリシーのガイドで、能動的なメッセージに対する同意はWhatsAppのオプトインで解説しています。
早見表：GDPRとKVKKの比較
| 項目 | GDPR | KVKK（第6698号） |
|---|---|---|
| ユーザーへの情報提供 | 第13条・第14条 | 通知義務 |
| 処理者との契約 | 第28条 | 管理者が処理者のセキュリティに共同で責任を負う（第12条） |
| 国外移転 | 第5章：十分性認定、標準契約条項 | 十分性認定、当局へ届け出る標準契約、限定的な例外 |
| 特別な種類のデータ | 第9条 | 特別な種類の個人データ |
| 保持 | 保管の制限、第5条 | 目的が終了した時点での削除、破棄、匿名化 |
| データ主体の権利 | 開示、消去など | 開示や削除を含む同様の権利 |
MonoChatがAIとデータの管理をどう支援するか
MonoChatは、スタック内の機密性の高い部分を貴社の管理下に置けるように設計されています。セキュリティとコンプライアンスのページで説明している、製品の機能は次のとおりです。
- 自社のLLMキー。 カスタム LLMでは、自社のOpenAI、Anthropic、Google、Azure、AWSなどのプロバイダーアカウントを接続できます。料金とデータ契約は自社のものとなり、どのアシスタントがどのモデルを使うかも貴社が決められます。
- セルフホストモデル。 プロンプトを自社のインフラ内にとどめたい場合は、Ollamaまたは独自のモデルAPIを通じて、自社サーバーで動くモデルを接続できます。
- 自社のベクターデータベース。 VectorDB 連携では、ナレッジベースのベクターを、貴社が選んだベクターデータベース、リージョン、クラウドに保存し、独自のストレージと保持ポリシーを適用できます。
- スコープ付きナレッジ。 AI ナレッジベースは、コンテンツをスコープごとに分け、それぞれに独自のアクセス制御を設定できるため、各エージェントは取得すべき内容だけを取得します。
- 制御されたAIアクション。 AI 関数ツールは、検証、権限、許可リスト登録済みのエンドポイント、ログとともに実行されるため、アシスタントは許可した操作しか行えません。
- アクセス制御とログ。 ロールベースのアクセス制御、ワークスペースの分離、監査ログ、暗号化されたワークスペース単位のプロバイダー認証情報。
- 公式チャネルAPI。 WhatsAppは公式のWhatsApp Business Platform（Cloud API）経由で接続され、MonoChatはMetaの公式Business Partnerです。
- 認証とポリシー。 MonoChatはISO 27001とISO 9001の認証を取得しており、プライバシーポリシーはKVKK（第6698号）に基づいて作成されています。個人データの開示、訂正、削除の請求には30日以内に回答します。
- オンプレミスオプション。 Enterpriseプランでは、より厳格な要件に対応するオンプレミス導入が可能です。
無料のBasicプラン（エージェント1つ、チャネル1つ）で製品を評価でき、app.monochat.aiから始められます。社内レビューの前に、プライバシーポリシーの全文もご確認ください。
情報源
MonoChatで実践する