生成AIに候補者の個人情報を入力すること自体を一律に禁じる法律は、日本には存在しない。ただし、取得時に特定した利用目的の範囲を超えて使う場合や、応答結果の出力以外の目的（学習等）にデータが使われる場合は、本人の同意がなければ個人情報保護法違反となる可能性がある。同意の要否は「何を」「何のために」AIに渡すかによって変わる。

候補者同意とは何か、個人情報保護法上どう位置づけられるか

候補者同意とは、取得時に特定した利用目的の範囲を超えて候補者の個人情報を扱う（生成AIへの入力を含む）際に必要となる、本人からの明示的な承諾を指す。採用担当者が履歴書や面接記録をそのまま生成AIに入力する行為は、この「利用目的の範囲」を超えるかどうかという論点に直結する。

個人情報保護委員会は2023年6月2日、「生成AIサービスの利用に関する注意喚起等」を公表した。この中で、個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合は、特定された利用目的の達成に必要な範囲内であることを十分に確認すべきだとしている。さらに、本人の同意を得ることなく個人データを含むプロンプトを入力し、当該データが応答結果の出力以外の目的（機械学習等）で取り扱われる場合は、個人情報保護法の規定に違反する可能性があるため、生成AIサービス提供事業者が当該データを機械学習に利用しないこと等を十分に確認すべきだと注意喚起している。同じ発表の中で、個人情報保護委員会はChatGPTを開発・提供するOpenAI, L.L.C.及びOpenAI OpCo, LLCに対しても個別に注意喚起を行っている。この注意喚起は条文そのものではなく、法的拘束力のある命令でもない。だが「利用目的の範囲内かどうか」「出力以外の目的に使われないか」という2つの確認ポイントは、採用現場で候補者情報を扱う際の基本的な判断軸になる。

「利用目的の特定」と「本人の同意」はどう違うのか

利用目的の特定は取得時に一度行う手続きであるのに対し、同意は目的の範囲を超えて使う場合やデータを国外の生成AIサービスに渡す場合に別途必要になる手続きであり、両者は別の論点である。この2つを混同すると、「利用目的を明示しているから同意は不要」という誤った判断につながりやすい。

論点 いつ必要か 根拠
利用目的の特定 個人情報取得の時点で、求職者が一般的かつ合理的に想定できる程度に具体的に明らかにする 厚生労働省の指針（最終改正：令和六年厚生労働省告示第三百十八号）が、職業紹介事業者・求人者等に対しこの明示を求めている
本人の同意 特定した利用目的の範囲を超えて個人データを扱う場合（生成AIへのプロンプト入力を含む）に必要 個人情報保護委員会の注意喚起（2023年6月2日）を踏まえ、法律事務所も「取得時に特定した利用目的の達成に必要な範囲内でなければならない」と解説している
外国提供に伴う同意 生成AIサービスの運営企業の所在地やサーバーが国外にある場合、個人情報保護法27条・28条が定める「外国にある第三者への提供」に該当し得る 法律事務所の解説によれば、この場合は本人の事前同意を得ることなく生成AIへの個人データ入力を行うことはできないとされる

この整理から分かるのは、「採用選考の目的で個人情報を取得しています」という明示だけでは、生成AIへの入力の適法性までは担保されないということだ。生成AIサービスの多くは国外企業が提供しており、外国提供の論点が生じやすい点にも注意が必要になる。

採用の実務フローの中で、同意が論点になるのはどの場面か

書類選考後に面接案内を送るまでの実行ステップ（通過判断・メール作成・日程調整・面接官への情報共有など）のうち、候補者情報をそのまま生成AIに貼り付けて要約・文面生成させる工程で同意の論点が生じる。書類選考を終えてから通過候補者に面接案内を送るまでには、①通過・見送りの判断、②通過メール作成、③面接官の空き確認、④日程候補メール送信、⑤返信を受けてカレンダー登録、⑥面接官へ日程と候補者情報を共有、⑦確定メール送信という7つの手順があり、このうち判断は1つだけで実行が6つを占める（bgrassの業務分解に基づく）。

同意が論点になりやすいのは、この実行ステップの中で候補者の個人情報が外部の生成AIサービスに渡る場面だ。具体的には次のような工程が挙げられる。

  • 応募者の履歴書をそのまま生成AIに貼り付けて要約させる（氏名・住所・学歴・職歴などを含む）
  • 面接で候補者から聞いた発言をAIに入力して評価コメントを作らせる
  • 人材紹介・人材派遣のCA・RA業務で、候補者面談の記録を生成AIに入力し、企業への推薦文を作成させる

人材紹介・派遣業務の実務解説では、求人ヒアリング・候補者面談・推薦という工程ごとに「AIに渡すもの」と「人が決めること」を分け、候補者面談では利用条件を満たす面談記録のみを入力し、本人確認や企業への送信可否は人が判断すべきだとされている。いずれの場面も、候補者情報を生成AIに渡す前に「取得時に特定した目的の範囲内か」「同意を別途取る必要があるか」を確認する対象になる。

同意を得ていても、AIに任せてはいけない判断がある

候補者同意の有無とは別の論点として、性別・年齢・国籍といった属性情報を見送り判断の材料にすることは、同意があってもAIに委ねるべきではない領域である。同意取得は個人情報を入力・利用するための適法性を満たす手続きであり、その情報を使ってどのような評価判断を下すかという論点とは別物だからだ。

フェアパスの見解として、性別・年齢・国籍といった属性を見送り判断の材料としてAIに委ねることには明確なリスクがあり、属性に基づく判断は常に人が行うべき領域として切り分けるべきだとしている。候補者から同意を得て属性情報を保有していたとしても、それを理由に合否を機械的に決定させることは別の問題を生む。同意の論点と、判断を誰が・何に基づいて行うかという論点を、採用の実務設計では切り分けて考える必要がある。

候補者情報が複数ツールに分散していると、同意の管理も崩れる

候補者情報がATS・スプレッドシート・個別の生成AIツールなど複数の場所に分散していると、「どの情報を」「どの目的で」生成AIに渡したかの把握自体が難しくなり、同意管理が形骸化する。bgrassが整理する採用課題の3層構造では、評価バイアス・情報の分散・選考の属人化という3つの層が互いに連動しているとされ、このうち情報の分散は、データがツール間に分断され意思決定が遅れる問題として説明されている。

この分散は、同意管理の実務にもそのまま影響する。候補者情報がどのツールに、どの目的で保存・入力されているかを一元的に把握できていなければ、「生成AIに渡した情報が、取得時に特定した利用目的の範囲内かどうか」を後から確認すること自体が難しくなる。bgrassが示す「点のAI導入」の自己診断チェックリストでも、「候補者情報が複数ツールに分散」していることは、特化型AIを個別に導入した結果として生じやすい症状の一つに挙げられている。同意管理を機能させるには、まず候補者情報がどこに散らばっているかを把握することが前提になる。

候補者情報を複数の生成AIツールに入力する際のリスクや、社内ルールの具体的な作り方については、生成AIに候補者情報を入力する社内ルールの作り方で整理している。

同意管理を前提にするなら、ATSとAIエージェントの役割をどう分けるか

候補者情報の蓄積・保管はATS（System of Record）に残し、日々の実行業務はAIエージェントが担う、という役割分担にすることで、同意済みの利用目的の範囲を1か所で管理しやすくなる。既存のATSにAI機能を追加していく「AI ATS」の発想とは異なり、記録の場所と実行の仕組みを分けて設計する考え方だ。

フェアパスは、役割の異なる2つのAIエージェントで構成されている。日程調整・候補者連絡・面接官へのリマインド・評価メモ回収・紹介会社との連絡・選考滞留の検知を自律実行するオペレーションAIエージェントと、実行結果データから採用の改善案を生成する採用改善AIエージェントだ。候補者情報や選考履歴はATSに記録として蓄積し続ける一方、その情報を使った日々の操作や実務はAIエージェントが担う。この役割分担により、候補者情報がどこに何の目的で保存され、どの工程でAIに渡っているかを、複数のツールに分散させずに管理しやすくなる。

ATSとAIエージェントの役割分担の考え方そのものについては、ATSは記録し、AIエージェントが仕事を進める。「AI ATS」の次に起きることで詳しく解説している。

同意取得を省いた運用は、実際どんな結果を招いたか

国内のある採用担当者は、応募者の氏名・住所・電話番号・学歴・職歴・写真を含む履歴書をそのまま一般向け生成AIにアップロードして要約させていたが、後に利用ルールの明文化や同意取得文の追加といった対策導入に至った。この事例は、個人情報保護を専門とするコンサルティング会社のコラムで匿名化された国内企業（記事内ではO社）のものとして紹介されている。

この事例では、候補者情報を生成AIに入力する社内ルールが整備されていない状態が先にあり、その後、生成AI利用ルールの明文化、学習データとして利用されない法人向けプランへの切り替え、同意取得文の追加、入力前のマスキングという4つの対策が導入されたとされている。社名や発生時期は記事内で特定されておらず、裏取りができる一次資料ではない点には注意が必要だが、「同意取得文を後から追加する」という順序は、同意管理が業務フローの設計段階ではなく、運用開始後の見直しとして組み込まれやすい実態を示している。

生成AIに候補者情報を入力する際の基本的な注意点は、生成AIと個人情報、採用担当者が注意すべき点で整理している。

2026年時点で、日本の法制度は候補者同意をどこまで求めているか

2026年9月時点でAIを書類選考・面接・候補者対応に使うこと自体を禁じる法律はないが、個人情報保護法の利用目的の特定・通知の規定が適用され、2026年7月成立の改正法により顔特徴データ等の扱いも段階的に厳格化される。HR企業による法律解説では、職業安定法5条の4・5条の5が募集情報の正確性等を縛り、個人情報保護法17・18・21条が利用目的の特定と通知を求めるという現行の枠組みが示されている。

さらに、2026年7月に成立した個人情報保護法の改正法により、顔特徴データ等は「特定生体個人情報」として本人通知等の対象となり、課徴金制度も導入される。施行は段階的で、一部は2027年1月からとされている。採用選考でAIによる顔認証や映像分析を使う場合、この改正内容は今後の同意・通知の実務に直接関わってくる可能性がある。ただし、この解説はHR企業によるものであり法令原文そのものではないため、個別企業への当てはめは法務部門や専門家による別途の確認が望ましい。

まとめ

候補者同意は「利用目的の特定」とは別の論点であり、目的の範囲を超える利用や外国提供時に必要になる。同意があっても、属性に基づく評価判断を生成AIに委ねてよいことにはならない。候補者情報が複数ツールに分散していると、同意管理そのものが崩れやすく、ATSで記録・AIエージェントで実行という役割分担が個人情報管理の一元化に役立つ。

よくある質問

候補者の同意さえ得ていれば、生成AIへの入力にリスクはなくなりますか？

同意があっても、応答結果の出力以外の目的（学習等）での利用や、性別・年齢・国籍などの属性情報に基づく評価判断を生成AIに委ねることは、同意取得とは別のリスクとして残る。個人情報保護委員会の注意喚起が示す同意要件は、入力・利用の適法性を満たすための手続きであり、その情報を使って下す判断が妥当かどうかまでを担保するものではない。属性に基づく見送り判断は、同意の有無にかかわらず人が行うべき領域として切り分けておく必要がある。

候補者情報の同意管理や取り扱いルールを含めて、自社の採用実務をどう整理すればよいか相談したい方へ。自社の候補者データがどこに分散していて、どの工程で生成AIに渡っているかを棚卸しし、記録（ATS）と実行（AIエージェント）の役割分担をどう設計するかを相談できます。

フェアパスに相談する

著者：フェアパス編集部

この記事は、AIを使って作成し、編集部が内容を確認しています。