AI議事録ツールと守秘義務｜NDA対象会議の録音・入力で起きる整理漏れ
こんにちは。LegalAgent 代表弁護士の朝戸です。
社内でAI議事録ツールを導入すると、会議の文字起こしや要約が一気に手軽になります。一方で、NDA（秘密保持契約）を結んでいる取引先との商談や打ち合わせでこのツールを使うと、相手方の秘密情報が意図せず外部サーバーへ保存されてしまうリスクが生じます。社内の業務効率化だけを目的に導入を進め、秘密情報の取り扱いや事前の合意について確認を怠ると、契約違反や信頼関係の毀損につながりかねません。
議事録AIは録音から要約までをこなす便利な道具ですが、他社の秘密情報を扱う以上、外部AIサービスへの送信を伴う場合は、その提供先と処理内容を確認します。相手方との会議を録音・AI処理してよいかという適法性の確認、NDAに定められた秘密情報を外部ツールに入力する行為が契約に反しないかという判断、ツールの利用規約におけるデータの取り扱い状況、そして社内でどの会議や情報を対象とするかという運用基準は、それぞれ切り分けて考えることが大切です。
会議の録音・AI処理に関する適法性と事前説明
会議を録音する場面では、録音する行為、外部サービスへのデータ送信、そして録音後の利用という三つの段階に分けて適法性を検討します。個人情報保護委員会のQ&Aでは、通話内容が個人情報に該当する場合の利用目的の通知・公表義務と、録音している事実を伝える義務を区別し、個人情報保護法の上では録音の告知義務までは課していないと説明しています。しかし、この説明があるからといって、秘密保持や録音禁止の合意、人格的利益への配慮は別途確認します。会議の性質や情報の取得・利用のあり方に合わせて、個別に確認しておきたいところです。
AI議事録ツールの利用で特に気を配るべき点は、録音した音声がそのまま外部のAIサービスに送信され、文字起こしや要約、データ保存まで自動で行われる点です。取引先の担当者は、会議が録音されている事実と、そのデータが外部のクラウドAIへ送られて保存される事実を同じように捉えていないことがあります。NDAの対象となる商談や打ち合わせでツールを使う際は、録音やツールの自動接続が始まる前に、録音を行うことや外部AIで処理・保存される旨を相手方に説明します。契約や法令上同意が必要とされる場面では、正当な権限を持つ相手方から適切な方法で同意を得ておきます。同席している参加者がその場でうなずいたからといって、会社の秘密情報を社外へ開示する権限まで与えられたとは判断できません。事前の説明がないまま外部サーバーに議事録データが残っていたことが後から分かると、録音そのものの適法性以上に、事前の説明を欠いていたことに対する不信感が先行してしまいます。
AIツールへの入力とNDA上の第三者開示
NDAを結んでいる相手方との会議で得た秘密情報をAI議事録ツールに入力する行為が、NDAの「第三者開示の禁止」に触れるかどうかは、契約の文言やツールの動作実態によって判断が分かれます。
第三者開示に当たると考える立場では、AIツールの提供事業者が相手方とのNDAの契約当事者ではない以上、事業者のシステムへデータを送信して処理させる行為は、秘密情報を契約外の第三者に渡す開示行為そのものであると捉えます。自社とツール提供事業者の間で利用契約を結んでいたとしても、それだけで相手方とのNDAが定める第三者開示の例外として認められるとは限りません。
これに対し、第三者開示に当たらないと解釈する余地があるとする立場では、提供事業者が入力データを閲覧・利用できない仕組みや契約条件を根拠に、当該NDAにおける開示の範囲を限定的に解釈します。独立した目的での利用がないだけで、開示に当たらないと決まるわけではありません。個人情報保護法の分野では、クラウドサービスの利用について、個人情報保護委員会のQ&Aが「当該外部事業者が個人データを取り扱うこととなっているかどうか」を判断基準としています。契約条項で外部事業者が個人データを取り扱わないと定められ、適切なアクセス制御が行われている場合は、第三者提供にも委託にも該当しないという整理です。ただし、これは個人情報保護法における整理にとどまります。NDAにおける秘密情報の開示や外部保存の制限には契約ごとの固有の条件があり、この解釈をそのまま当てはめて開示に当たらないと結論づけることはできません。また、音声から文字起こしや要約を作成するサービスは、人の目に触れない設定や学習に使わない合意があるからといって、事業者がデータを「取り扱っていない」とは整理できません。
どちらの解釈を前提とする場合でも、基本となるのはNDA自体の文言です。「秘密保持義務を負う第三者への開示」を例外として認める規定があるなら、AI事業者に同等の秘密保持義務を課しているかどうかに加え、開示を認める第三者の範囲、利用目的の制限、事前の通知や同意の手続き、再委託先に対する義務付けの有無を確認します。一方、例外規定がなく第三者への開示を一律に禁じているNDAであれば、AIツールへの入力は契約違反となるリスクを抱えます。この場合は相手方から契約に即した形式で事前の承諾を得るか、その会議ではツールの使用を見送る判断をします。秘密情報の定義や第三者開示の規定ぶりについては、秘密保持条項とは？NDA以外の契約書でも確認すべきレビュー実務で整理している条項ごとの確認点とあわせて確認すると、自社の契約書のどの箇所に注意すべきかがよく分かります。
ツール利用規約の確認事項
NDAとの整合性がツールの仕様や契約条件によって左右される以上、ツールを導入する前に利用規約を確認する作業は欠かせません。具体的には次の三つの観点が中心になります。
第一に入力データの学習利用の有無です。入力した音声やテキストがAIモデルの改善や学習に使われるかどうかは、契約プランや設定によって異なります。学習への利用を遮断できるかどうかは契約内容次第で結論が変わるため、実際に契約するプランの規約を確認します。
第二にデータの保存場所です。データが国内サーバーに保管されるのか、海外サーバーに送信されるのかによって、越境移転に関する自社の方針や相手方との契約上の制約との折り合いが変わります。
第三にデータの保存期間です。録音データや文字起こし、要約データがサーバー上にどの程度の期間残り、削除を依頼した際にどこまで消去されるかを確認しておかないと、NDAに定められた秘密情報の返還や廃棄義務を果たせているか見極められません。
これら三点に加えて、サービス運営者や再委託先によるアクセス権限、データの独立利用の可否、共有リンクの初期設定、削除後のバックアップデータの取り扱いも確認します。営業担当者の説明を受けたうえで、公式の利用規約やセキュリティ説明資料と実際の設定画面を突き合わせて確認し、規約改定に備えて契約更新時にも改めて確かめる運用にしておくと安心です。
個人情報保護法における委託と提供の整理
会議の録音データには、出席者の氏名や発言内容など特定の個人を識別できる情報が含まれることがあり、個人情報保護法上の個人情報に該当し得ます。個人情報保護委員会のガイドラインでも、氏名などが含まれ特定の個人を識別できる音声データは個人情報に当たるとされています。
この録音データが個人情報データベース等を構成する個人データに当たる場合、AI議事録ツールに送信して処理させる行為が、ツール提供事業者への「委託」に位置づけられるかが議論になります。利用目的の達成に必要な範囲内で行う国内委託であれば、法27条が定める第三者提供の本人同意は原則として不要です。ただし、委託元として委託先に対する必要かつ適切な安全管理の監督義務を負います。一方、契約上ツール事業者がデータを取り扱わない定めになっており、適切なアクセス制御が施されている場合は、委員会の整理に沿って第三者提供にも委託にも該当しないと判断できる余地があります。もっとも、事業者が自社の学習などのためにデータを利用する場合は、委託という名目を使ってこの例外を主張することはできません。利用規約だけでなく、実際の設定やデータ処理の仕組みを確認します。また外国の事業者にデータを提供する場合は、委託であっても法28条の外国第三者提供の要件を個別に検討します。サーバーの所在地が海外にあることと、提供先の法人が外国にあることは別の論点として区別します。第三者提供に当たらない場合であっても、自社の安全管理措置は引き続き必要です。
社内規程での運用ルールと確認手順
契約の解釈や個人情報保護法の整理を把握した上で、実務として最後に整えるべきなのが、社内でどの会議を録音し、どの情報をツールに入力してよいかという運用基準です。契約条項やツールの規約を確認しただけでは、現場の担当者が個別の商談ごとに判断するのは困難です。
録音を認める会議の範囲を定める際は、NDAを結んでいる相手方との会議、社内の打ち合わせ、公開情報だけを扱う会議などを区分し、NDA対象の会議では事前の説明と必要な同意取得を前提とするルールを定めます。入力してよい情報の範囲についても、技術情報や価格条件といった機密性の高い内容を扱う会議では、承認済みの法人向けプランに限定し、無料プランや個人アカウントでの録音を禁止する社内ルールを定めます。ただし、法人向けプランや有料契約を利用していること自体が、NDAへの適合を保証するものではない点に留意しておきます。
現場の運用に落とし込む際は、次の三つの仕組みを整えておくと判断に迷いません。第一に、NDA対象の会議と判明した時点でツールの使用可否を現場だけで判断せず、法務や情報システム部門に相談する窓口を定めておくこと。第二に、社内で利用を認めたツールの一覧を作成し、学習利用の有無や保存場所、保存期間をまとめた一覧表を現場で参照できるようにすること。第三に、取引先へ事前説明するための告知文の文例を整え、接続前に提示できる体制を作っておくことです。会議の前には、NDAの入力条件に合っているか、承認されたツールが指定の設定で使われているか、事前の説明と、必要な場合の権限者からの同意を終えているかを確認します。また、会議の途中で事前の想定にない秘密情報が議題に上がった場合に、その場で録音やAI処理を一時停止できる手順も定めておきます。こうした運用ルールを、会社全体の生成AI利用ルールの一部として位置づけておけば、議事録AIだけが例外扱いになる事態を避けられます。生成AI利用ポリシーの作り方｜社内ルール・情報管理・責任分界のチェックポイントでは、こうした社内ルールの設計手順を説明しています。
士業・専門職の守秘義務への配慮
打ち合わせに取引先側の弁護士や公認会計士、税理士、社会保険労務士などの専門職が同席する場合、契約上の守秘義務に加えて、各資格に定められた固有の守秘義務が関係してきます。専門職が自身の守秘義務を理由に、録音や外部処理を控えるよう求めたり、利用条件を示したりする場合も考えられます。このような場面では自社の社内ルールとあわせて、相手方が求める条件を確認し、折り合えない場合はその会議でのツール利用を控える判断をします。
議事録AIツールを全社で導入する際、NDAの対象会議、相手方の秘密情報、個人情報を含む録音データという三つの要素が重なる場面では、事前告知、契約解釈、規約確認、社内ルールの四つの段階を順に整理しないと、予期せぬ外部保存や契約違反のリスクが生じます。ツールの導入を決めた段階で、この四つの段階を誰がどのように確認するかを決めておくことが、安全な活用の土台になります。
議事録AIの導入可否や利用規約の確認、社内規程の整備でお困りの際は、生成AIに関する法的相談対応でご相談を承っています。録音データに個人情報が含まれる場合の取扱いや、委託先の監督体制の構築については、個人情報保護・データ保護でも対応しています。