生成AIサービスの利用規約で、最初に見るべき法務論点

こんにちは。LegalAgent 代表弁護士の朝戸です。

生成AIサービスを業務に導入する際は、使い勝手とともに契約条件を確認します。利用規約やプライバシーポリシー、データ処理条件、セキュリティ資料、SLAなどを読み、自社の情報を預けてよい環境なのか、生成物を業務の成果物として活用できるかを確かめます。

文章作成や契約書レビュー、営業支援など、AIサービスごとに扱う情報や生成物の使われ方は様々です。そのため、従来のSaaS契約とは異なる視点から条項を読み解く必要があります。

規約確認のチェックリスト

検討時に手元で照合できるよう、確認項目を整理しました。

• 入力データのモデル学習利用の有無と適用条件（プランやアカウント種別ごとの差異）
• 顧客との秘密保持義務に基づく第三者提供や再委託への該当性
• 出力結果の権利帰属および第三者権利侵害時の責任分担や補償条項
• 個人情報を入力する場合における委託、第三者提供、国外移転の区分
• AI出力を社外へ提示する前の、弁護士や法務担当者による点検フローの有無

入力データの取り扱い条件

利用規約を開いて最初に着目すべきなのは、入力データの扱いです。プロンプトや添付ファイル、顧客情報、ソースコードが、事業者側でどのように利用されるかを確かめます。

中核となるのは、入力データがAIモデルの機械学習に利用されるかどうかです。学習利用の有無は、契約プランごとの規約本文だけでなく、実際の管理画面の設定値まで照合して判断します。プラン名や「学習オフ」の文言だけで適法性や契約上の許容性を即断せず、どのプランやアカウントで何を扱うかまで社内で定めておく必要があります。

データがいつまで保存され、削除できるかも確認します。ログの閲覧権限や、管理者が利用状況を監査できるかも点検します。対話履歴そのものが業務上の機密に当たる場合もあるため、ファイル添付の有無だけでなく、入力したテキスト全体を情報管理の対象にします。

秘密保持義務と顧客情報

とりわけ慎重さが求められるのは、顧客から受領した情報をAIサービスへ入力する場面です。顧客との取引基本契約や秘密保持契約には、秘密情報の取り扱い、第三者提供、外部クラウドサービスの利用制限などが盛り込まれていることが少なくありません。

AI事業者へのデータ送信が、契約上の第三者提供や再委託に該当するのか、それとも通常想定されるツール利用の範囲に収まるのかは、契約条項の文言や利用形態によって判断が分かれます。とりわけM&A、資金調達、未公表の事業計画といった機密性の高い資料を扱う際は、事前の確認が欠かせません。

サービスの知名度や一般的な評判だけで安全だと決め込まず、自社が顧客に対して負っている契約義務と抵触しないかを基準に判断します。

出力結果の権利関係と責任

生成AIの活用では、出力結果の権利関係も確かめておきます。生成されたテキストや画像、契約条項案を自社の成果物として利用できるのか、第三者の知的財産権などを侵害した際の責任はどう配分されるのか、事業者の免責や補償はどう規定されているかを確認します。

契約書レビューや法務コメントの作成にAIを用いる場合、出力内容の正確性にも目を向ける必要があります。規約上で成果物の利用権が認められていても、その内容が法的に正しいとは限りません。AIの出力をそのまま社外へ出すことは避け、弁護士や法務担当者が最終確認を行う前提で業務の流れを組み立てます。

個別の法令解釈や事案に応じた法的リスクの判断には、専門的な知見が欠かせません。AIは法務業務の有力な支援手段になりますが、その出力を採用する判断は人が担います。

個人情報保護と国外移転

AIサービスに個人情報を入力する局面では、個人情報保護法との整合性を点検します。委託として整理できるのか、第三者提供に当たるのか、国外の事業者やサーバーへデータが送信されるのか、必要な本人同意や情報提供の措置が講じられているかを見極めます。委託に該当する場合であっても、外国にある第三者への提供に関する規律を別途検討する場面があります。

採用、労務、カスタマーサポート、営業支援などの領域では、候補者や従業員、顧客の個人情報が扱われる可能性が高まります。事業者のデータ処理条件を曖昧にしたまま導入すると、後から社内外への説明に窮しかねません。

法規制や各種ガイドラインは随時見直されるため、過去の一般的な知識に頼らず、検討時点の最新ルールを確かめて対応します。2026年改正法は7月10日に成立し、7月17日に公布されました。個人情報保護委員会の発表によれば、一部を除き公布から2年以内の政令で定める日に施行されます。公布と施行を混同せず、各規定の施行期日と具体的なルールを確認して備えます。

業務の実態と合わせて契約を読む

規約の条文だけを眺めていても、リスクの度合いは掴みきれません。利用する部門と業務、扱う情報、作成する成果物を把握すると、契約条件がその使い方に合うかを判断しやすくなります。

そのため、生成AIの導入にあたっては、事業部門、情報システム部門、法務部門が早い段階から同じ前提を共有することが大切です。法的な懸念を指摘するだけでなく、利用を認める条件と残るリスクを具体的に示すことが、企業法務の役割だと考えています。

LegalAgentでは、AIサービスの規約点検を、ガバナンスの設計と現場の業務の流れをつなぐ取り組みとして支援しています。

よくある質問

生成AIサービスの利用規約を確認する際、最初に着目すべき論点は何ですか？

入力データがAIモデルの機械学習に利用されるかどうかが中心となります。プロンプトや添付ファイル等の機密情報が事業者側でどのように利用されるかを確かめる必要があるためです。規約本文の確認だけでなく管理画面の設定値まで照合し、データの保存期間や削除の可否、管理者の監査権限まで社内で確認すべきと考えられます。

顧客から受領した情報を生成AIサービスに入力することは契約違反になりますか？

顧客との秘密保持契約等の文言やツールの利用形態によって契約違反となるリスクがあります。AI事業者へのデータ送信が、契約上の第三者提供や再委託に該当すると評価される可能性があるためです。ツールの知名度や評判だけで判断せず、自社が顧客に対して負っている秘密保持義務や外部ツールの利用制限と抵触しないか個別に確認すべきと考えられます。

生成AIサービスに個人情報を入力する際、個人情報保護法上どのような確認が必要ですか？

委託か第三者提供かの区分や国外移転の該当性、必要な本人同意や措置の有無を確認します。事業者のデータ処理条件を曖昧にしたまま導入すると後から社内外への説明に窮するためです。また2026年改正法が成立・公布されたことを踏まえ、公布と施行を混同せず、各規定の施行期日や最新のルールを確認して備える必要があると考えられます。