AIガバナンスは、社内利用ルールだけでは足りない

こんにちは。LegalAgent 代表弁護士の朝戸です。

生成AIを社内で使い始めるとき、多くの会社はまず「AI利用規程を作りたい」「ChatGPTの利用ルールを作りたい」と考えます。社内ルールの整備は正しい出発点です。ただ、実務の感覚としては、AIガバナンスを社内利用ルールだけで完結させるのは少し危ういと感じています。

生成AIの利用は、情報管理や個人情報保護、著作権、取締役会でのリスク管理など、複数の領域にまたがります。そのため、AIガバナンスは「AIを使ってよいかどうか」を決めるだけの作業にとどまりません。会社としてどの情報を、どの業務で、どの責任者のもとで使うのかを決める作業です。この記事では、社内規程だけでは判断できない場面、入力情報・出力結果・責任者という三つの見方、外部AIサービスの契約条件の順に確認していきます。

AI利用規程だけでは足りない理由

社内規程を作るときにありがちなのは、「機密情報を入力してはいけない」「個人情報を入力してはいけない」「出力結果を鵜呑みにしてはいけない」という禁止事項を並べる形です。出発点としては分かりやすい一方、現場ではそれだけで判断できない場面が多くあります。

たとえば、顧客との契約書をAIに要約させたい場合、契約書の内容は秘密情報にあたる可能性があります。ただ、会社として契約しているエンタープライズ版のAIサービスで、学習利用がオフになっており、アクセス権限も管理されている場合と、個人アカウントで無料サービスに入力する場合とでは、リスクの見方が変わります。

営業部門が提案資料のたたき台を作る場合、法務部門が契約条項の修正案を作る場合、エンジニアがコードレビューに使う場合でも、確認すべき点は異なります。利用場面ごとにリスクが違うため、社内利用ルールは業務フローとセットで考える必要があります。

入力情報・出力結果・責任者の切り分け

AIガバナンスでまず見るべきなのは、入力情報です。個人情報、営業秘密、未公表の決算情報、M&Aや資金調達に関する情報、顧客の契約書、ソースコードなどは、それぞれリスクの性質が異なります。単に「機密情報」とひとまとめにするのではなく、外部流出時の影響がどの程度かを踏まえて分類する必要があります。

次に、出力結果の扱いです。AIが作成した文章や契約書の修正案、コードを、そのまま外部に出してよいのか。誰が確認するのか。誤りがあった場合に、どの部署が責任を持つのか。ここを曖昧にしたまま使い始めると、便利さが先行し、後から問題が見つかる可能性があります。

三つ目が、責任者の設計です。情報システム部門だけで管理するのか、法務部門が関与するのか、事業部門の責任者が承認するのか。生成AIの利用は業務効率化の話に見えますが、実際には会社の情報管理体制そのものに関わります。

外部AIサービスの契約条件

AIガバナンスでは、社内規程だけでなく、利用するAIサービスの契約条件も確かめることになります。入力データが学習に使われるのか、データがどの地域で保存されるのか、ログがどの程度残るのか、サブプロセッサーが誰か、障害時や情報漏えい時の責任がどう定められているのか。ここは企業法務として外せない確認項目です。

特に、顧客情報や契約書を扱う場合、秘密保持義務との関係が問題になります。自社が顧客から受け取った情報をAIサービスに入力することが、契約上許されるのか。委託先や再委託先の管理として説明できるのか。個人情報が含まれる場合には、委託、第三者提供、国外移転の観点も確認が必要になる可能性があります。

生成AIサービスの利用規約は変更されることもあります。導入時に一度読んで終わりにせず、主要サービスについては、契約更新や大きな機能追加のタイミングで規約を読み直す運用にしておくと、条件変更を拾い損ねにくくなります。

企業法務としてのAIガバナンス

AIガバナンスは、AIの利用を止めるためのものではありません。現場が安心してAIを使えるように、会社としての判断基準を作るためのものです。禁止するだけのルールは、現場の利用実態と乖離しやすくなります。

企業法務の役割は、「危ないから使わない」と言うことではなく、どの業務なら使えるのか、どの情報なら入力できるのか、どの段階で人間の確認を入れるべきかを示すことにあります。法務部門が事業のスピードを止めず、リスクの見立てを文章にして、使える範囲を明確にできるかが問われます。

LegalAgentでは、AIガバナンスを、社内利用規程や契約確認、法務レビュー体制を一体で考えるテーマだと捉えています。ルールを作って終わりにせず、実際に現場で使われる仕組みまで作り込むことが必要だと考えています。