AI議事録ツールと守秘義務｜NDA対象会議の録音・入力で起きる整理漏れ
こんにちは！Legal Agent代表弁護士の朝戸です。
AI議事録ツールを全社導入した会社では、NDAを締結している相手方との商談や打合せの議事録が、そのツール経由で外部のサーバーに保存されるリスクがあります。導入時に「議事録作成を効率化する」ことだけを決め、会議がNDAの対象になるか、相手方の秘密情報をツールに入力してよいかを事前に整理していないと、このリスクを見落とすことがあります。
議事録AIは録音・文字起こし・要約を自動化する道具ですが、そこに他社の秘密情報が乗る以上、社内の生産性ツールという扱いだけでは済みません。相手方との会議を録音・AI処理してよいかという入口の問題、NDA上の秘密情報を入力することが契約違反にならないかという解釈の問題、ツールの利用規約が入力データをどう扱っているかという確認の問題、社内でどの会議・どの情報を対象にするかという線引きの問題が、それぞれ別の論点として存在します。
相手方との会議を録音・AI処理することの適法性
自分も参加している会議を録音する行為自体は、当事者間の会話の録音として一般に可能と解されています。無断録音でも直ちに違法になるわけではなく、証拠としても扱われてきた経緯があります。ただし、非公開の会議で参加者間に守秘義務が課され、録音しない前提が明確にされている場合には、無断での録音が違法と評価される可能性があるとされており、会議の性質によって結論が変わり得る点には注意が要ります。
AI議事録ツールの利用で追加的に問題になるのは、録音した内容をそのままAIサービスに送信し、文字起こし・要約・保存まで自動で行わせる点です。相手方は「会議の内容が録音される」ことと「録音データが外部のAIサービスに送信され処理・保存される」ことを、別の事実として認識していない可能性があります。取引先との商談やNDA対象の打合せでAI議事録ツールを使う場合には、会議の冒頭で録音とAIツールの利用を告知し、必要であれば相手方の同意を得ておくことが安全な対応になります。告知なしに議事録データが外部に残っていたことが相手方に発覚すると、録音の適法性そのものよりも、告知しなかったことに対する不信感が先に立ちます。
NDA上の秘密情報をAIツールに入力することは第三者開示か
NDAを締結している会社との会議で得た秘密情報を、議事録AIツールに入力する行為が、NDA上の「第三者開示」の禁止に抵触するかどうかは、契約の文言と実態によって評価が分かれる論点です。
第三者開示に当たると解する立場は、AIツールの提供事業者が契約当事者ではない以上、そこにデータを送信して処理させる行為は秘密情報を契約外の第三者に渡す行為であり、開示に当たるという理解に立ちます。入力先のAIサービスが自社契約の外部にある限り、社内の業務効率化目的であっても、開示の該当性は否定しにくいことになります。
一方、第三者開示に当たらないと解する余地がある立場は、AIツールが入力データを取り扱わない設計になっている場合、そもそも情報が外部の第三者の手に渡っていないという理解に立ちます。個人情報保護法の分野でも、クラウドサービスの利用について、個人情報保護委員会は「当該外部事業者が個人データを取り扱うこととなっているかどうか」を判断基準とし、契約条項で外部事業者が個人データを取り扱わない旨が定められ、かつ適切なアクセス制御が行われている場合には第三者提供にも委託にも該当しないという整理を示しています。NDAの解釈でも、ツール側の設計・契約条件次第で開示の評価が変わり得るという考え方は成り立ちます。
どちらの立場を取るにせよ、NDAの文言自体を確認する必要があります。「秘密保持義務を負う第三者への開示」を例外として許容する条項が入っているNDAであれば、AIツールの提供事業者に契約上の秘密保持義務を負わせる契約条件になっているかどうかが、開示の可否を左右します。逆に、例外規定がなく第三者開示を一律に禁止するNDAであれば、AIツールへの入力は原則として違反のリスクを抱えることになり、相手方の事前の書面同意を得るか、その会議ではAI議事録ツールを使わない運用にするか、いずれかの判断が必要です。秘密情報の定義や第三者開示の範囲がそもそもどう規定されているかは、秘密保持条項とは？NDA以外の契約書でも確認すべきレビュー実務で扱った条項ごとの確認点と合わせて読むと、自社のNDAのどこを見るべきかがつかみやすくなります。
ツール側の利用規約で確認すべき点
NDA上の評価がツールの設計・契約条件に左右される以上、導入前にツールの利用規約を確認する作業は避けられません。確認すべき点は主に三つです。
入力データの学習利用の有無です。入力データがAIモデルの改善・学習に利用されるかどうかは、利用するツールのプラン、契約条件、設定によって変わります。学習利用が制限されているかどうかはプランと設定次第で結論が変わるため、契約している具体的なプランの規約で確認します。
保存場所です。データが国内のサーバーに保存されるのか、海外のサーバーに保存されるのかによって、越境移転に関する社内の管理方針や、相手方との契約上の制約との整合性が変わってきます。
保存期間です。録音データ・文字起こしデータ・要約データがどのくらいの期間保持され、削除の申請をした場合にどこまで削除されるのかを確認しておかないと、NDAで定めた秘密情報の返還・廃棄義務を履行できているのか判断できません。
これら三点は、公式な利用規約・データ処理に関する説明資料で確認し、営業担当者の口頭説明だけに依拠しないことが実務上望ましく、規約改定に備えて契約更新のタイミングで再確認する運用にしておくと安全です。
個人情報保護法上の整理
会議の録音データには、参加者の氏名や発言内容から特定の個人を識別できる情報が含まれることが通常であり、個人情報保護法上の個人情報に該当し得ます。個人情報保護委員会のガイドラインでも、氏名が含まれる等の理由により特定の個人を識別できる音声録音情報は個人情報に当たるとされています。
この録音データが個人情報データベース等を構成する個人データに当たる場合、AI議事録ツールに送信して処理させる行為は、ツール提供事業者への「委託」として整理できるかどうかが論点になります。委託に該当する場合は第三者提供の同意は不要になりますが、委託元には委託先が安全管理を図るよう必要かつ適切な監督を行う義務が生じます。他方、ツール提供事業者が契約条件上、入力データを取り扱わないことになっており、かつ適切なアクセス制御が講じられている場合には、委員会の整理に沿えば、第三者提供にも委託にも該当しないと考えられる余地があります。自社が導入するツールがどちらの設計かは、前段で確認した利用規約の内容によって決まります。
社内規程での線引き
契約解釈と個人情報保護法の整理を踏まえたうえで最後に必要になるのが、社内でどの会議を録音対象とし、どの情報を入力してよいかという線引きです。契約条項やツール規約を確認しただけでは、現場の担当者は個別の会議ごとに判断できません。
録音してよい会議の範囲を決めるには、NDAを締結している相手方との会議か、社内会議か、公開情報のみを扱う会議かを区別し、NDA対象の会議については相手方への告知又は同意取得を前提条件とする運用にしておく必要があります。入れてよい情報の範囲についても、技術情報・価格情報・取引条件のように秘密性が高い情報を扱う会議では、承認済みの法人プランのツールに限定し、無料プランや個人契約のツールでの録音を禁止するといった線引きが実務的です。
社内規程に落とし込む際は、次の三点を最低限盛り込むことが、翌日から現場が判断できる基準になります。第一に、NDA対象の会議であることが分かった時点で、議事録AIツールの使用可否を担当者が自己判断せず、法務又は情報システム部門に確認する手順を定めること。第二に、承認済みツールの一覧と、各ツールの学習利用・保存場所・保存期間を一枚にまとめた資料を用意し、担当者がその場で参照できるようにすること。第三に、相手方への告知文言のひな形を用意し、会議冒頭で読み上げる運用にしておくことです。この三点が決まっていれば、担当者は会議の前に「この会議はNDA対象か」「対象なら承認済みツールか」「相手方への告知は済んでいるか」の順に確認するだけで判断できます。この運用ルールを、AIツール全般の入力可否や承認フローを定める全社的な生成AI利用ポリシーの一部として位置づけておくと、議事録AIだけが特別扱いになるのを避けられます。生成AI利用ポリシーの作り方｜社内ルール・情報管理・責任分界のチェックポイントでは、こうしたポリシー全体の設計手順を扱っています。
士業・専門職の守秘義務との関係
取引先の弁護士、税理士、社会保険労務士などの士業・専門職が同席する会議では、契約上の秘密保持義務に加えて、各士業に固有の守秘義務が関係してきます。専門職側が自らの守秘義務を理由に、AI議事録ツールでの録音・処理に応じない、又は特定の条件を求めることは十分にあり得ます。この場合は自社の議事録AI運用を一律に押し通さず、専門職側の求める条件を確認し、対応できないときは当該会議に限ってツールの利用を控える判断が必要です。
議事録AIツールの全社導入は業務効率化の観点で合理的な判断ですが、NDA対象の会議、相手方の秘密情報、個人情報を含む録音データという三つの要素が重なる場面では、告知・契約解釈・規約確認・社内規程という四段階の整理を経ないと、想定していなかった外部保存や契約違反のリスクを抱え込みます。導入を決めた段階で、この四段階を誰がいつ確認するのかを決めておくことが、全社展開の実務上の前提になります。
議事録AIの導入可否や利用規約の確認、社内規程の整備でお困りの際は、生成AIに関する法的相談対応でご相談を承っています。録音データに個人情報が含まれる場合の取扱いや、委託先の監督体制の構築については、個人情報保護・データ保護でも対応しています。