AI-OCRにFAX注文書を読み込ませて大丈夫? — 個人情報・セキュリティで確認すべきこと
公開:
FAXで届く注文書には、取引先の会社名や担当者名、電話番号、納品先の住所まで書かれていることが珍しくありません。これをAI-OCR(AIで帳票を読み取るソフト)にアップロードして大丈夫なのか、導入を検討する段階でふと不安になる方は多いはずです。個人情報が絡む話だからこそ、「精度がいいから」だけで決めるのは避けたいところです。
この記事は、中小の受注事務担当者がAI-OCRの導入を検討するときに、セキュリティ・個人情報の取り扱いの観点で何を確認すればよいかを整理したものです。特定の製品を評価・比較するものではなく、どの製品を選ぶ場合にも共通して見ておきたいチェックリストとしてお使いください。
注文書に含まれる「個人情報」を具体的にする
まず、注文書のどこが個人情報にあたるのかを整理します。漠然と「心配」と考えるより、具体的な項目を並べたほうが、確認すべきことがはっきりします。
- 発注担当者の氏名・部署名・直通の電話番号
- 個人事業主や小規模店舗の場合、屋号ではなく個人名がそのまま記載されていることがある
- 納品先の住所(会社の代表住所と異なる、担当者の自宅や現場が指定されることもある)
- FAX番号・メールアドレスなど、担当者に直接連絡が取れる情報
これらは注文書という業務文書の一部として日常的にやり取りされていますが、AIサービスにアップロードするとなると、「どこに送られ、どこに保存され、誰が見られるのか」を確認する対象になります。
導入前に確認したい観点
BOXILなどの比較サイトやベンダー各社のコラムを見ると、セキュリティに関して共通して挙げられている確認観点があります。特定の製品名を挙げず、一般的なチェック項目として整理すると次のとおりです。
- 通信の暗号化: アップロード時や結果を確認する画面との通信がSSL/TLSで暗号化されているか
- 保存データの暗号化とアクセス制御: アップロードした原本や読み取り結果が、権限のない第三者(他社の顧客)から見えない設計になっているか。特に複数の顧客企業が同じサービスを使うクラウド型では、顧客ごとのデータが技術的に分離されているかが重要
- 多要素認証・権限管理: 社内の誰がどの画面・データにアクセスできるかを、役割ごとに制限できるか。退職者のアカウントを止め忘れるリスクにも関わる
- アクセスログ・監査ログ: 誰がいつどのデータを見たかを、後から確認できる仕組みがあるか
- データの保存期間と削除: アップロードした原本や画像データを、いつまで保存し、いつどのように削除するか。保存期間が明記されていない製品には注意する
- 委託先・データの保管場所: LLM(AIモデル)へのデータ送信を含め、どの事業者にどこまでデータを渡すか、国内で処理されるか
これらは製品カタログの「セキュリティ対応」の一行だけでは判断しきれないことが多く、実際には利用規約・プライバシーポリシー・セキュリティページの本文まで読む必要があります。
「AIに読み込ませる」こと自体への誤解を解いておく
AI-OCRへの不安の一部は、「AIに読み込ませた注文書が、他社のAIモデルの学習に使われてしまうのでは」というものです。この点は製品によって扱いが大きく異なるため、一律には言えません。
確認すべきなのは次の点です。
- アップロードしたデータが、AIモデルの追加学習(ファインチューニング)に使われるかどうかが、利用規約・プライバシーポリシーに明記されているか
- 明記されていない、または問い合わせても曖昧な回答しか返ってこない場合は、その製品の採用を見送る材料にする
「AIを使っている=データが学習に使われる」と決めつける必要はありませんが、逆に「AIだから大丈夫」と思い込むのも危険です。契約前に文書で確認することが一番確実です。
契約前にベンダーへ聞いておきたい質問リスト
チェックリストを眺めるだけでなく、実際に問い合わせや商談の場で聞いておくと安心できる質問をまとめました。
| 確認したいこと | 聞き方の例 |
|---|---|
| データの保存場所 | サーバーは国内にありますか。データが海外に送信されることはありますか |
| 保存期間 | アップロードした原本や画像は、いつまで保存されますか。削除申請はできますか |
| AI学習への利用 | 弊社がアップロードしたデータは、御社やLLM提供元の学習に使われますか |
| アクセス制御 | 弊社の管理者以外(御社の従業員含む)が、弊社のデータを閲覧できる仕組みはありますか |
| ログの内容 | アップロードした注文書の内容そのものが、御社の運用ログやサポート対応の記録に残ることはありますか |
| 退会時のデータ削除 | 解約した場合、保存済みのデータはどのように・いつまでに削除されますか |
これらは営業担当者がその場で即答できないこともありますが、書面(利用規約・セキュリティページ・個別の確認メール)で回答をもらっておくと、後から「言った・言わない」にならずに済みます。
まとめ
FAXの注文書には発注担当者の氏名・電話番号・納品先住所といった個人情報が含まれていることが多く、AI-OCRの導入前にセキュリティを確認すべきなのは自然な判断です。特定の製品の優劣を決めつけるのではなく、通信・保存データの暗号化、アクセス制御とログ、保存期間と削除、AI学習への利用有無という観点を、契約前に利用規約やセキュリティページ、直接の質問で確認しておくことをおすすめします。曖昧な回答しか得られない製品は、それ自体が判断材料になります。
手前味噌の紹介
この記事を書いているのは、注文書特化サービス注文書係(ちゅうもんしょがかり)の運営者です。上で挙げた確認観点について、自社の設計をそのままお伝えします。
- データベースへのアクセスはRow Level Security(RLS)で制御しており、他社の顧客企業のデータを閲覧することはできません
- アップロードした原本・画像は非公開のStorageに保存し、配布は期限付きの署名付きURLのみで行います(公開バケットには置きません)
- 原本の保存期間は組織ごとの設定(デフォルト90日)で管理し、期限後はStorage・データベースの両方から削除します
- アップロードいただいた原文・画像の内容そのものを、アプリの運用ログに書き出すことはありません
無料トライアルは30枚または14日間、クレジットカードの登録は不要です。まずは自社の注文書を数枚読ませて、確認画面での使い勝手とあわせてセキュリティ面の質問も遠慮なくお寄せください。月額9,800円(税抜)から、初期費用は0円です。