AIエージェントと個人情報:Museの安全設計と、日本のルールで確認すべき点

AIエージェントに個人情報を扱わせてよいかは、「どのツールを選ぶか」より先に、「何を、どこまで任せるか」で決まります。エージェントはチャットと違い、メールを送る、フォームに入力するといった操作まで代わりに行います。そのため、自分が入力した文章だけでなく、つないだアカウントの中身まで扱う範囲に入ります。

この記事では、Metaが米国で公開した個人向けエージェントアプリ「Muse」を例に、公表されている安全設計を見ていきます。2026年9月時点で、Museの日本での提供についてはImpress AI Watchが「現時点で未定」と伝えています。日本で使えるようになるかどうかはMeta Museは日本で使えるかで整理しています。ここでは、使える日が来たときにも、ほかのエージェントを使うときにも役立つ確認点に絞ります。

エージェントで個人情報のリスクが変わる理由

チャット型のAIでは、気をつける対象は主に「自分が貼り付けた文章」でした。エージェントは、許可したメールやカレンダー、決済手段にアクセスして動きます。取引先の担当者名、同僚の連絡先、顧客の注文内容など、自分で入力した覚えのない個人情報にも触れることになります。

もう一つは、外からの指示です。ウェブページやメールの中にエージェント宛ての指示を紛れ込ませる「プロンプトインジェクション」という攻撃があり、その仕組みはAIブラウザとはで説明しています。ITmedia NEWSによると、Meta自身もこの問題を業界全体でまだ解決していない課題と位置づけ、最大30万ドルのバグ報奨金を用意しています。

Museの安全設計:公表されている仕組み

Metaの発表と国内の報道が説明している仕組みは、次の通りです。いずれも提供元の説明であり、第三者が検証した結果ではない点は押さえておいてください。

• —ユーザーごとの専用環境:Museは「Muse Secure VM」と呼ばれる、ユーザーごとのクラウド上の環境で動くとGIGAZINEが伝えています。
• —外部への操作の見張り役:「Sentinel」という別のエージェントが、インターネットに向かう操作を確認し、必要に応じて承認を求めます。
• —パスワードと支払い情報:エージェント自身はパスワードや支払い情報を見られない設計だと説明されています。
• —送信と購入の前の承認:メールの送信や購入の前には、ユーザーの承認が必要だとgihyo.jpが伝えています。
• —つなぐ範囲の選択:どのアプリをつなぐか、メールは読むだけか送信まで許すか、といったアクセスの深さを選べるとMetaの発表にあります。
• —学習と記憶:やり取りをMetaのAIモデルの学習に使わせない選択ができるほか、覚えた内容を忘れさせたり、つないだサービスをいつでも切断したりできるとされています。

Metaは同じ発表で、会話やVM内のデータを広告の仕組みと共有しないとも説明しています。ユーザー自身が鍵を持つ「Muse Confidential VM」は、今後の提供予定とされています。

モデルの側では、Muse Spark 1.3の発表で、プロンプトインジェクションへの耐性を高めたことと、重要な操作の前に確認を取ることが挙げられています。ただ、耐性が高まったことと、攻撃を完全に防げることは別の話です。

判断材料はもう一つあります。TechCrunchはMuseの紹介の中で、無料プランでも利用開始時に支払いカードの登録が必要なことに加え、Metaが2019年に米連邦取引委員会(FTC)から50億ドルの制裁金を科された経緯にも触れています。設計の説明を読むことと、提供元の規約やプライバシーポリシーを自分で確かめることは、どちらも必要です。

日本のルールで確認すべき点

エージェントを仕事で使う前に、日本の公的な資料を三つ押さえておくと判断しやすくなります。

一つ目は、個人情報保護委員会の「生成AIサービスの利用に関する注意喚起等」で、委員会のページによると令和5年6月2日に出された、生成AIサービスの利用全般に関するものです。事業者向けと一般の利用者向けに分かれています。事業者向けの要点は次の二つです。

• —個人情報を含むプロンプトを入力する場合は、それが利用目的の達成に必要な範囲内かを十分に確認すること。
• —本人の同意なく個人データを入力し、それが応答の出力以外の目的で扱われた場合、法に違反する可能性があること。そのため、入力した個人データをサービス提供者が機械学習に利用しないことなどを十分に確認すること。

一般の利用者に向けては、注意喚起の本文で、入力した個人情報が機械学習に使われて出力されるリスクと、応答に不正確な個人情報が含まれるリスクが挙げられています。そのうえで、利用規約やプライバシーポリシーを十分に確認するよう求めています。

二つ目は、総務省と経済産業省によるAI事業者ガイドライン(第1.2版)で、令和8年3月31日のこの版からAIエージェントやフィジカルAIが対象に加わりました。PwC Japanの解説によると、エージェントについては、権限を適切に設定すること、人間の判断を介在させること、動作の記録を定期的に見直すことが重視されています。

三つ目は、「人工知能関連技術の研究開発及び活用の推進に関する法律」、いわゆるAI法です。内閣府のページによると、令和7年6月4日に公布・一部施行、同年9月1日に全面施行され、イノベーションの促進とリスクへの対応を両立させることを目指しています。

この記事は、これらの資料の要点を紹介するもので、法的な助言ではありません。自社で個人データを扱う判断は、社内の情報管理の担当部署に確認してください。

日本の職場で考える具体例

総務省の令和8年版情報通信白書(概要)によると、日本で最も多い生成AIの業務用途は「議事録・メール作成補助」で、約7割でした。エージェントに最初に任せたくなるのも、議事録やメールまわりの作業だと思います。

例えば、営業担当が「今週の商談メモをもとに、先方の担当者へお礼のメールを送っておいて」と頼む場面です。ここには相手の氏名、メールアドレス、商談の中身が含まれます。確認したいのは次の点です。

1. 01そのサービスは、入力した内容やアクセスした内容を学習に使うか。使わない設定を選べるか。
2. 02メールは「読むだけ」の権限で足りないか。送信まで許す必要が本当にあるか。
3. 03送信の前に、宛先と本文を自分の目で確認できる流れになっているか。
4. 04会社のメールアカウントを個人向けのサービスにつなぐことが、社内の規程で認められているか。

最後の点は見落としがちです。Googleの個人向けエージェント「Gemini Spark」は、Googleのヘルプページで、仕事用や学校用のGoogleアカウントでは使えないと明記しています。個人向けのエージェントを会社のデータにつなぐ前に、そもそもそういう使い方が想定されているかを確かめる必要があります。MuseとGemini Sparkの違いはGemini SparkとMeta Museの違いで比べています。

人事の例も考えてみます。採用候補者の履歴書をまとめて要約させるのは、IPAの調査で、AIを導入した企業の82.5%が用途に挙げた「文書・音声の要約・翻訳・校正」にあたる作業です。便利ですが、候補者は自分の情報がAIサービスに入ることを想定していないかもしれません。こうした場面では、先ほどの注意喚起にある「利用目的の達成に必要な範囲内か」という確認がそのまま当てはまります。

社内ルールが追いついていない会社もあります。同じ白書の概要では、生成AIによる業務変革について「組織的な取組はない」と答えた日本企業が約3割弱で、比較した4か国の中で最も高い割合でした。ルールがないことは、何をしてもよいという意味ではありません。迷ったら、まず担当部署に聞くのが確実です。

エージェントを使う前のチェックリスト

1. 01扱う情報を減らす:氏名や連絡先を含めずに頼める形がないか、先に考える。
2. 02学習への利用を確かめる:利用規約とプライバシーポリシーで、入力内容が学習に使われるかを確認する。
3. 03権限は最小限にする:読むだけで済む作業に、送信や購入の権限を渡さない。
4. 04取り消せない操作は自分で承認する:送信、購入、予約の確定を任せきりにしない。
5. 05記録を見返す:エージェントが何をしたかの記録を、定期的に確認する。
6. 06社内ルールを確認する:会社のアカウントやデータをつないでよいか、担当部署に聞く。

エージェントに「できる」ことと、自分が「任せてよい」ことは別です。その境目を決めるのは、ツールではなく使う側です。

複数のサービスを比べるときは、性能の順位より先に、データの扱いや権限の設定を比べる軸に入れておくと判断がぶれません。比べる軸の決め方はAI比較:ランキングより先に決めておく5つの軸で扱っています。

AIに任せられる作業とそうでない作業の見分け方はAIでできることと、できないことで、出力を鵜呑みにしない基本はAIの使い方で説明しています。MuseとMuse Sparkがそれぞれ何を指すのかはMuse Sparkとはにまとめました。

何をAIに任せ、どこを自分で確かめるかは、実際に手を動かす中で身につく判断です。Coursiumは仕事でのAIの使い方を学べるiPhoneアプリで、App Storeで公開しています。詳しくはCoursiumのトップページをご覧ください。