生成AIサービスの利用規約で、最初に見るべき法務論点

こんにちは。LegalAgent 代表弁護士の朝戸です。

企業が生成AIサービスを導入するとき、法務として最初に確認すべきなのは、サービスの便利さだけではありません。利用規約、プライバシーポリシー、データ処理条件、セキュリティ資料、SLAなどを見ながら、自社の情報を入力してよいサービスなのか、業務上の成果物に使ってよいのかを判断する必要があります。

最近は、AIサービスの種類もかなり増えています。文章作成や契約書レビュー、営業支援など、利用場面も広がっています。その分、利用規約の読み方にも、従来のSaaSとは少し違う注意が要ります。以下では、入力データの学習利用、既存の秘密保持契約との関係、出力結果の権利と責任、個人情報の国外移転の順に、導入判断の前に読むべき箇所を見ていきます。

規約を開く前に手元に置きたい確認リスト

導入検討のたびに繰り返し使えるように、確認事項をチェックリストの形で挙げておきます。

• 入力データの学習利用の条件（プランやアカウント種別による違いを含む）
• 顧客との秘密保持義務から見た、情報入力の第三者提供・再委託該当性
• 出力結果の権利帰属と、第三者の権利を侵害した場合の責任・補償の定め
• 個人情報を入力する場合の委託・第三者提供・国外移転の切り分け
• AI出力を社外に出す前の、弁護士・法務担当者による確認フローの有無

入力データの取扱い条件

生成AIサービスの利用規約で最初に見るべきなのは、入力データの扱いです。自社が入力したプロンプトや添付ファイル、顧客情報、ソースコードが、サービス提供者によってどのように利用されるのかを確かめることになります。

中心になるのは、入力データがモデルの学習に使われるかどうかです。エンタープライズプランでは学習利用が制限されていることも多い一方、無料プランや個人向けプランでは条件が異なる場合があります。会社として利用を認める場合には、どのプランで、どのアカウントで、どのデータを扱うのかまで決めておく必要があります。

入力データが保存される期間、削除の可否、ログの閲覧権限、管理者による監査の可否も確認対象です。生成AIサービスでは、プロンプトそのものが業務上の重要情報になることがあります。ファイルをアップロードしているかどうかだけでなく、会話履歴も情報管理の対象として見ることになります。

秘密保持義務と顧客情報

企業法務で特に注意したいのは、顧客から預かった情報をAIサービスに入力する場面です。顧客との契約書には、秘密情報の取扱いや第三者提供、クラウドサービスの利用などに関する条項が含まれていることがあります。

AIサービスの提供者に情報が送信されることが、契約上の第三者提供や再委託にあたるのか、ツール利用の範囲内として説明できるのかは、契約文言や利用形態によって変わります。特に、M&Aや資金調達、未公表の事業計画を含む資料を扱う場合には慎重な確認が必要です。

生成AIサービスの一般的な安全性だけで導入可否を決めると、自社が顧客に負っている契約上の義務との抵触を見落とす可能性があります。判断の基準になるのは、サービスの評判ではなく、自社の義務との整合です。

出力結果の権利関係と責任

生成AIサービスでは、出力結果の権利関係も確認が必要です。出力された文章や画像、契約書案などを、自社の成果物として使えるのか。第三者の権利を侵害した場合の責任はどう扱われるのか。サービス提供者がどこまで補償するのか。これらは利用規約によって差があります。

契約書レビューや法務コメントにAIを使う場合には、出力結果の正確性も問題になります。多くのサービスでは、AIの出力について完全性や正確性を保証しない建付けになっています。そのため、AIの出力をそのまま社外に出すのではなく、弁護士や法務担当者が確認する前提で業務フローを設計する必要があります。

特に、契約書の修正案、法的リスクの判断、個別事案への法令適用は、人間の専門的判断が必要になる場面が多いです。生成AIは法務業務を支援する強力な道具になり得ますが、判断責任まで移すものではないと考えています。

個人情報保護と国外移転

AIサービスに個人情報を入力する場合には、個人情報保護法との関係も確認が必要です。委託として扱えるのか、第三者提供にあたるのか、国外にある事業者やサーバーにデータが移転するのか、本人への説明や社内規程との整合性はどうか、といった点です。

採用、労務、顧客対応、営業支援のAIサービスでは、個人情報が含まれる可能性が高いです。候補者情報、従業員情報、顧客とのやり取りを入力する場合、サービス提供者のデータ処理条件を確認せずに導入すると、後から説明が難しくなる可能性があります。

法令やガイドラインは更新されることがあるため、公開時点の一般論で終わらせず、実際の導入時には最新の法令、ガイドライン、サービス規約を確認することが必要です。なお、個人情報保護法は3年ごとの見直しが予定されており、2026年には課徴金制度の導入等を内容とする改正法案が国会に提出されています。本記事執筆時点では法案審議中であり、今後の動向によって実務対応が変わり得る点にも留意が必要と考えられます。

事業理解とセットで行う契約レビュー

生成AIサービスの利用規約を見るとき、法務が条項だけを読んでも十分ではないことがあります。どの部署が、どの業務で、どの情報を入力し、どの成果物に使うのかを確認しなければ、リスクの大きさを判断しにくいからです。

そのため、生成AIサービスの導入では、事業部門、情報システム部門、法務部門が最初から同じ前提で話すことが大切です。契約上のリスクを指摘するだけで終わらせず、使える範囲を具体的に示すことが、企業法務としての役割だと考えています。

LegalAgentでは、AIサービスの利用規約レビューを、AIガバナンスと業務フロー設計の一部として捉えています。利用規約を読む力と、現場で本当に使える形に落とし込む力の両方が要る領域です。