AIガバナンスは、社内利用ルールだけでは足りない

こんにちは。LegalAgent 代表弁護士の朝戸です。

生成AIの導入にあたり、「AI利用規程」や「社内ルール」を作る会社もあると思います。規程は、利用条件を社内で共有するための一つの手段です。ただ、実務の現場を見ていると、社内ルールを整えるだけでガバナンスを完結させる運用には危うさがあると感じています。

生成AIの活用は、情報管理や個人情報保護、著作権、取締役会によるリスク管理など多岐にわたる領域に関わります。そのため、AIガバナンスの役割は単に「AIの利用可否」を決めることにとどまりません。どの情報を、どの業務において、誰の責任のもとで取り扱うのかを定める仕事です。

社内ルールだけで判断できない場面

利用規程を策定する際、「機密情報の入力禁止」「個人情報の入力禁止」「出力結果の鵜呑み禁止」といった禁止事項を並べる形が多く見られます。方針としては明快ですが、これだけでは現場の判断を支え切れない場面が少なくありません。

たとえば、顧客との契約書をAIで要約したい場合、その内容は秘密情報にあたる可能性があります。このとき、会社契約のエンタープライズ版で学習利用がオフになっており、権限管理が行き届いている場合と、個人が無料サービスに入力する場合とでは、生じるリスクの質が異なります。プラン名や学習利用オフの設定だけで、情報入力の適法性や契約上の許容性を即断することはできません。実際の契約条項や利用環境まで確かめます。

営業部門が提案資料の骨子を作る場合、法務部門が条項修正案を検討する場合、エンジニアがコードレビューを行う場合でも、見極める論点はそれぞれ異なります。業務ごとに抱えるリスクが違うからこそ、利用ルールは実際の業務フローと一体で組み立てる必要があります。

入力情報・出力結果・責任者の視点

AIガバナンスを設計する際は、まず入力情報の選別から目を向けます。個人情報や営業秘密、未公表の決算数値などは、漏えいした際の影響が異なります。M&Aや資金調達の資料についても、顧客の契約書やソースコードと同じ条件で扱えるかを確かめます。「機密情報」と大雑把にくくるのではなく、万一の流出リスクを踏まえて分類することが欠かせません。

次に、出力結果の取り扱いです。生成された文章、修正条項、プログラムコードをそのまま外部へ出してよいのか、誰が目を通して確認するのか、万一誤りがあった場合にどの部門が責任を負うのかを取り決めます。ここを曖昧にしたまま利用を進めると、利便性ばかりが先行し、後から予期せぬトラブルにつながりかねません。

三つ目は、責任者の所在です。情報システム部門が管轄するのか、法務部門が関与するのか、各事業部門の長が承認するのかを明確にします。AIの導入は、作業時間だけでなく会社全体の情報管理にも関わります。

外部AIサービスの契約条件

AIガバナンスの実践では、社内規程の整備にとどまらず、利用するAIサービスの契約条件を点検することも欠かせません。入力データがモデル学習に使われるか、どの地域に保管されるかを確認します。操作ログの保存範囲や再委託先に加え、障害や情報漏えいが起きた際の責任分担も確認対象です。

とりわけ顧客情報や契約書を扱う業務では、相手方との秘密保持義務との整合性が焦点になります。預かった情報を外部AIに入力する行為が契約違反にあたらないか、業務委託や再委託の枠組みとして説明できるかを確かめます。個人情報を取り扱う際は、委託該当性だけでなく、第三者提供や国外移転の要件を満たしているかどうかも確かめておきます。

外部サービスの利用規約が変わることもあります。導入時に一度目を通すだけでなく、主要なサービスについては契約更新や大型アップデートの節目に規約を再確認する運用を設けておくと、条件の変更を見落としにくくなります。

現場で機能するガバナンスの設計

AIガバナンスでは、現場が利用の可否を判断できる基準を作ります。禁止事項だけでは扱いが分からない業務について、利用条件を具体化しておくことが必要です。

企業法務では、AIを使える業務と入力できる情報を示し、人が確認する段階を決めます。事業上の必要性とリスクを確認し、利用を認める条件を示します。

LegalAgentでは、AIガバナンスを「利用規程」「契約書の点検」「法務確認フロー」が一体となった取り組みだと捉えています。規程を作った後も、日々の業務で判断に使えるかを確かめることが大切だと考えています。