社内文書をRAGで検索させたい｜資料の種類で変わる著作権リスク
こんにちは。LegalAgent 代表弁護士の朝戸です。
社内のナレッジをAIで検索させる場合、投入する資料によって確認事項が変わります。検索の対象が自社で作成した日報や議事録なのか、購入した市販の専門書なのか、それとも取引先から届いた提案書なのかによって、著作権法上の位置づけが大きく変わるためです。RAG（検索拡張生成）を取り入れる際は、ツールの選定を急ぐ前に、まず手元にある資料の切り分けから着手することが大切です。
RAGは、生成AIが質問に答えるときに、あらかじめ用意したデータベースから関連する記述を検索し、その文脈を踏まえて回答を組み立てる仕組みです。社内規程や契約書のひな形、購入した書籍などをデータベースに入れておけば、AIが学習していない社内の最新情報についても、参照元を示しながら答えられるようになります。ただし、検索時の拾い漏れや情報の陳腐化、誤った要約や出典の不一致といった問題は残り続けるため、RAGを入れたからといって回答の正確性が保証されるとは限りません。そして便利さの裏側には、「他人の著作物をどうコピーし、どう使うか」という著作権法の基本的なルールが常に関わってきます。
処理の流れとデータベース化の権利関係
RAGの法的な検討は、データの流れに沿って三つの段階に分けると見通しが立ちます。例えばベクトル検索を使うRAGでは、第1段階で契約書や議事録、書籍・ウェブ記事の文章を数値データへ変換し、検索用データベースに保存します。この処理では元の文章がいったん複製されるため、著作権法上の「複製」に当たるかどうかが問題になります。第2段階は、利用者の質問に応じてデータベースを検索し、ヒットした箇所を取り出して生成AIへの入力（プロンプト）に組み込む段階です。第3段階は、AIが検索結果を読み込んで回答を生成し、利用者に提示する段階で、元の資料の表現がどれだけそのまま出力されるかが着眼点となります。データベース化の段階は複製行為として、回答出力の段階は生成物利用の問題として、それぞれの段階の具体的な動作と目的に即して適用される条文を確かめていきます。
まずデータベースを作成する段階では、著作権法30条の4が関係します。この条文は、著作物に表現された思想や感情を自ら味わったり他人に味わわせたりすること（享受）を目的としない場合、必要な限度で著作物を利用できると定めており、同条2号の情報解析用途はその代表例です。文化庁が2024年3月15日に公表した「AIと著作権に関する考え方について」でも、生成AIと著作権の関係を「開発・学習段階」と「生成・利用段階」に分けて整理したうえで、RAGについて個別の解説項目を設けています。この資料では、既存のデータベースやインターネット上の情報に含まれる著作物の内容をベクトルに変換したデータベースを作成する行為に伴い、著作物の複製等が生じ得ると指摘されています。
そのうえで文化庁は、このデータベース作成に伴う複製等が、回答の生成時に当該著作物の創作的表現を出力することを目的としないものであるときは、非享受目的の利用として30条の4が適用され得ると整理しています。反対に、生成時に既存の著作物の創作的表現の全部または一部を出力させることを目的としている場合は、同条は適用されません。検索用データベースであっても、利用目的を実態から確認します。情報解析という目的に加えて創作的表現を享受させる目的が混ざっていれば対象外となります。また非享受目的であっても、目的に照らして必要な限度を超える利用や、著作権者の利益を不当に害する利用は認められない点に留意しておきます。
出力段階における軽微利用の要件と原文混入の防止
回答出力の段階で元の創作的表現が反映されるなど、30条の4が適用されない場合であっても、文化庁の考え方では著作権法47条の5第1項1号または2号の適用があり得るとされています。47条の5は、検索結果の提供や情報解析の結果提供のように、コンピュータによる情報処理で新しい知見や情報を作り出す行為に付随する利用を認める規定です。
ただし、47条の5第1項に基づく利用は、著作物のうち利用される部分の割合や分量、表示の精度などに照らして軽微なもの（軽微利用）に限られます。加えて、各号に掲げる行為に「付随して」行われることが欠かせません。元の著作物が持つ創作的表現の提供そのものを主たる目的とする場合は、権利制限の対象外となります。文化庁の整理でも、軽微利用の限度を超える利用には47条の5第1項は適用されず、著作権者の許諾や、引用など別の権利制限規定が適用されるかの検討を要します。要約という形式をとっていても、創作的表現の提供を主目的とする要約は対象になりません。さらに、対象となる著作物が公表されているか送信可能化されていること、政令で定める実施基準を満たすこと、目的上必要な限度にとどめることも前提となります。著作権を侵害して公衆提供等が行われている事実を知りながら利用する場合や、権利者の利益を不当に害する利用は除かれます。
なお、データベースを作成する際の複製や公衆送信については、47条の5第2項が定める準備行為として権利制限規定の適用を受けることも考えられます。ただしこれも、同項の対象や実施基準を満たし、適法な軽微利用の準備に必要な限度で行うことが大前提です。準備行為にも対象や範囲の制限があり、権利者の利益を不当に害する場合も除外されます。
実際の運用では、AIに要約を指示したつもりでも、回答に元の資料の文章がほぼそのまま出力される可能性があります。「一言一句が完全一致していなければよい」という単純な基準は通用しません。創作的な表現が実質的に残っていれば著作権侵害が問題となり得るため、利用割合、分量、表示の精度から軽微利用の枠内に収まっているかを個別に点検することが大切です。実務的な対応としては、検索した原文を直接貼り付けずに要約させる、参照元と出力分量を記録できるようにする、原文の出力が設定した限度を超える場合に表示を止め、許諾や利用根拠を確認するといった設計上の工夫が考えられます。もっとも、「何文字以内なら適法」という共通の安全基準は存在しません。小さな抜粋を繰り返して元の文章を再構成できる場合も含め、累積した出力量と本来の利用目的に照らして確認します。
投入する資料の種類に応じた権利関係の点検
RAGに投入する資料は、その出所によって法的な扱いが分かれます。まず社内で作成した資料であっても、自社に正当な著作権や利用権限があるかを確かめます。従業員が作成した文書については著作権法15条の職務著作の要件を満たしているか、外部に発注して納品された成果物であれば委託契約での権利処理はどうなっているかを確認します。自社に必要な権限があり、他人の創作的表現を含まない文書であれば、その文書の著作権について第三者から追加の許諾を得る必要はありません。秘密保持や個人情報は別途確認します。しかし、取引先との協議記録や相手方から届いた修正案が含まれている場合は、他社提供資料と同じ課題を抱えることになります。
購入した書籍や実務書は、第三者が権利を持つ著作物です。本を全文スキャンしてデータベース化し、章単位でまとめて出力させるような使い方は、軽微利用の範囲を超えやすい典型例といえます。目次や見出しであっても創作性が認められれば保護が及ぶため、「項目名や見出しなら自由に使ってよい」という基準は使えません。法令の条文そのものは著作権法13条により保護対象外ですが、実務書の解説文は保護の対象です。要約であっても元の創作的表現が残れば著作権の問題が生じるため、30条の4や47条の5の各要件を確認します。書籍ごとの権利関係を確認したうえで、利用する分量と出力への反映度合いに応じて使い方ごとに点検するのが安全です。ウェブ上の記事も同様で、誰でも閲覧できる公開情報であっても著作物である点に変わりはなく、利用規約でスクレイピングや二次利用を制限しているサイトも多いため、取得経路の適法性と保存範囲の確認が欠かせません。なお、ウェブサイトの利用規約が契約として成立しているか、その条項が有効であるかは区別して判断する論点です。ウェブサイトのAI利用禁止という表示がある場合も、契約の問題と区別し、30条の4の各要件に照らして適用を判断します。
他社から受け取った提案書や見積書は、著作権だけでなく、契約上の秘密保持義務や目的外利用の制限が関係してきます。取引先の資料を自社のRAGに投入し、他の案件の検討や日常業務の検索に使い回す行為は、著作権法上の整理をクリアしていても契約違反になり得ます。受領時に交わした契約条件を確かめておく必要があります。また個人情報が含まれる文書を扱う場合は、利用目的の特定や委託先の監督、外国にある第三者への提供制限といった個人情報保護法上の論点もあわせて確認します。権限のない社内ユーザーに秘密情報が開示されないよう、アクセス権の制御も設計に組み込みます。
社内利用と対外サービス提供に伴うリスク
同じRAGシステムであっても、社内の従業員だけが使う検索ツールとして運用する場合と、顧客に向けたサービスとして提供する場合とでは、リスクの現れ方が異なります。社内利用であっても、従業員への複製・提供や外部AIサービスへのデータ送信を含む実際の処理工程を確認します。会社の業務として利用する以上、個人の私的使用を認める著作権法30条の例外には当たりません。また「社内利用なら外部に知られるリスクが低い」という理由は、法的な免責の根拠にはなりません。もっとも、30条の4にも47条の5にも「社内限りであること」を独立した要件とする文言はなく、利用目的と利用態様から判断するという基本的な枠組み自体は社内・対外で変わりません。
対外的にサービスを提供する場合、顧客への回答の中に第三者の著作物が軽微利用の範囲を超えて含まれていれば、利用の主体や関与の程度等に応じて、サービス提供者に対する差止めや損害賠償の請求が問題となり得ます。さらに、購入書籍や他社提供の資料を検索対象に加える場合、それらの利用許諾が「社内利用限定」になっていないかを確かめておかなければなりません。個人利用や社内利用を前提としたライセンスの資料を一般向けサービスのデータベースへ組み込むと、著作権侵害とは別に契約違反の問題が生じます。対外提供では、契約条件の確認や出力結果に関する責任分担まで確認します。利用者との間で免責や補償を合意していたとしても、それによって第三者の著作権が消滅したり侵害行為が適法化されたりすることはありません。
RAGの導入を検討する担当者が最初に行うべき実務は、投入予定の資料を「自社作成」「購入資料」「Web由来」「他社提供」の4種類に仕分ける作業です。この整理を省いて「社内ナレッジを丸ごと読み込ませる」という構想から入ってしまうと、後から購入書籍や他社資料の扱いだけを切り出して見直す作業が発生し、二度手間になります。仕分けの後は、購入資料とウェブ資料について利用規約とライセンス条件を確認し、他社提供資料については受領時の契約書に秘密保持条項や目的外利用の制限がないかを点検します。検索結果を要約して出力するのか、原文をどこまでの分量で表示させるのかという出力設計も、開発担当者と法務担当者が早い段階から共同で決めておく必要があります。軽微利用の評価は出力の分量や表示の精度に左右されるため、システムの出力仕様そのものが法的評価に直結します。将来的に対外サービスとして提供する計画があるなら、社内限定の試験運用の段階から、データ提供元のライセンス条件を社外提供にも対応できる内容へ切り替えられるかを確認しておくことが望ましいです。後から切り替えようとして購入時のライセンスが社内利用限定だったと判明すると、追加の許諾取得や対象資料の除外など、設計・運用の変更が必要になることがあります。
こうした社内ナレッジの取り扱いは、情報管理の設計とあわせて検討することで手戻りを防ぎやすくなります。知識マネジメントの整理や生成AIと著作権・学習データの整理も参考にしてください。