AIサービスを始める会社が、最初に作るべき法務チェックリスト

こんにちは。LegalAgent 代表弁護士の朝戸です。

既存のSaaSプロダクトへの機能追加や社内文書検索AI、カスタマーサポート向けチャットボットの導入のほか、画像や文章の自動生成ツール、業務を代行するAIエージェントの開発など、生成AIを活用した新規事業は各分野で急速に進展しています。その開発スピードの中で、プロダクトの実装速度と法的な安全性確認をどう両立させるかが実務上の大きな課題となっています。

開発スピードを優先するあまり、法務確認を「リリース直前にまとめて行えばよい」と後回しにしてしまうと、公開直前に多くの確認作業が残ることになります。AIサービスでは個人情報保護、著作権、民事上の責任制限、AIガバナンスなどの複数の論点が同時に関わるからです。そのうえ、ユーザーがどんなデータを入力し、AIがどのような出力を返すのかを、事業者側が事前に完全に予測し尽くすことは困難です。

だからこそ、AIサービスを立ち上げる企業にとって最初に役立つのは、分厚い社内規程をいきなり作り込むことよりも、「事業のどの段階で何を確認し続けるか」を明確に定めた法務チェックリストです。

AI関連法規と行政ガイドラインの位置づけ

日本国内では、2025年に成立した「人工知能関連技術の研究開発及び活用の推進に関する法律」が同年9月に全面施行されています。この法律では、第7条において活用事業者の積極的な利活用等に関する努力義務や、国および地方公共団体の施策への協力義務などが規定されています。ただし、この推進法が存在するだけで個別サービスの適法性をすべて判断できる仕組みにはなっていません。個人情報保護法や著作権法、各業界の業法を、実際のサービス内容に応じて個別に確認しなければなりません。

一方で、総務省と経済産業省によるAI事業者ガイドラインや、経済産業省が2026年4月に公表したAI利活用における民事責任の解釈適用に関する手引きなど、AI事業者の行動指針や民事責任に関する公的な参考資料も整備されてきました。これらは法律そのものとは異なるものの、事業者がどのような管理体制や説明責任を整えるべきかを判断するうえで、実務で参考にする資料です。個別の事案への適用は、関係法令と具体的な事情に即して判断します。

AI法務の実態は、まったく新しい未知の法律を探すことにあるというよりも、AIの導入によって既存の法的論点が同時に動き出す点にあります。条文の知識を頭に入れることと同じくらい、サービス設計や開発プロセスの中に無理のない確認手順を組み込んでおくことが大切です。

提供形態に応じた自社の立場の整理

チェックリストを作成するにあたって、最初に着手すべきは自社の立ち位置の整理です。自社がAI開発者、AI提供者、AI利用者のどの立場に該当するのか、そしてその立場が機能ごとにどう分かれるかを整理します。担う立場によって、共通して課される義務に加えて、個別の確認事項が上乗せされるからです。

自前で基盤モデルを開発・学習させているのか、外部のAPIモデルを組み込んでアプリケーションを提供しているのか、あるいは社内の業務効率化ツールとして利用しているだけなのか。エンドユーザーにAIの出力結果を直接提供するのか、あるいはユーザーに代わって外部サービスへの発注や送信などの操作を自律的に行うAIエージェントなのか。AIエージェントの形態をとる場合は、操作可能な権限の範囲、人間の事前承認を挟む場面、実行ログの記録、緊急停止手順などの実務的な統制を定めておく必要があります。

外部事業者のAPIを利用してアプリケーションを構築しているだけでも、エンドユーザーから見れば自社が「AIサービスの提供者」となります。ユーザーが入力したデータが外部APIに送信されるのであれば、外部事業者の利用規約、データの保存方針、海外サーバーへの移転の有無を把握しておかなければなりません。AIが誤った回答を出力してユーザーに損害を与えた場合に備え、どこまで責任を負うのかを利用規約で明確にしておくことも検討事項となります。

他方で、AIを社内業務にのみ利用する立場であっても、顧客の秘密情報や個人データを入力するのであれば、取引先との秘密保持契約や個人情報保護法との整合性が直ちに問われます。自社で外部向けにサービスを公開していない場合でも無関係とは言い切れません。

入力データに潜むリスクと事前の確認事項

ユーザーが入力するデータは、サービス設計の初期に確認する事項です。ユーザーがプロンプトにどのような文言を入力するのか、どんなファイルをアップロードするのか、社内文書や未公開の契約書、営業秘密が入力される余地があるのか。この実態を確かめずに利用規約だけを作成しても、現実の利用場面と乖離した設計になってしまいます。

入力データに関しては、以下の項目をチェックリストとして点検することをお勧めします。

• 個人情報が入力される可能性の有無
• 要配慮個人情報や機微なデータが混入する懸念
• 顧客企業の営業秘密や秘密保持義務の対象となる情報の混入可能性
• 第三者が著作権を有する文章・画像・コード等が入力される可能性
• 入力データの外部AI事業者や提携先への送信の有無
• 入力データが外部モデルの追加学習に利用される設定の有無
• 入力プロンプトおよびログデータの保存期間と保管体制
• 入力を禁止する情報の利用規約および入力画面上での明確な表示
• 法人向けサービスにおける管理者が従業員の利用を統制・制限できる機能の有無

特に法人向けBtoBサービスでは、顧客企業の従業員が社内の重要資料を安易にアップロードしてしまう場面が起こり得ます。プロダクトの利便性を高めれば高めるほど、入力データの適切な管理がリスク管理の要となってきます。

この論点は、規約に「個人情報を入力してはならない」と一行記載するだけでは十分な対策になり得ません。画面のUIが積極的なファイルアップロードを促す構成になっていれば、規約の文言だけで入力を防ぐことは困難だからです。画面上の警告表示や入力制限、契約上の説明を組み合わせて設計を進めておかなければなりません。

学習データおよび生成出力と著作権法

AIサービスを構築するうえでは、機械学習に用いるデータや検索拡張生成（RAG）で参照させるデータの権利関係も正面から扱わなければなりません。日本の著作権法には情報解析を円滑にするための権利制限規定が設けられていますが、あらゆるデータ利用が無条件に許容される結論には結びつきません。文化庁のAIと著作権に関する資料でも、AIの開発・学習段階と、生成・利用段階とを明確に分けた法的検討の重要性が示されています。

学習等の利用について許諾に代えて著作権法30条の4に依拠する場合は、著作物に表現された思想や感情の享受を目的としないこと、必要な限度内の利用であること、著作権者の利益を不当に害しないことの各要件を満たしているかを確認します。自社でモデルのファインチューニングや追加学習を行う場合は、学習データの収集元や利用規約を確認し、ウェブスクレイピングや外部API経由で取得するのであれば、相手先サイトの利用条件に抵触しないかを確かめます。社内文書や外部資料を検索して回答を生成させるRAG構成を採用する場合は、参照元の文書を複製・公衆送信・表示する適法な権限があるかという、学習とは別個の権利確認を行わなければなりません。

生成・利用段階においては、生成された出力結果が既存の著作物と類似してしまうリスクをどう抑えるかという技術的・運用の工夫と、ユーザーが第三者の著作物をプロンプトに入力した場合の責任分担をどう契約で切り分けるかという問題が生じます。表現が類似しているという一事のみで直ちに侵害と判断されるとは限らないものの、既存著作物の創作的表現との類似性と依拠性が認められれば、著作権侵害が成立し得ます。その際も、許諾や権利制限規定の適用を確認します。侵害申告を受け付ける窓口、問題のある出力の削除対応、再発防止の手順をあらかじめ決めておくと、いざ申告を受けた際にも落ち着いた対応が可能になります。

AIサービスの規約において「出力結果の権利はすべてユーザーに帰属する」と記載する例が散見されます。しかし、生成物に著作物性が認められるか否かは人間の創作的意図や創作的寄与の度合いによって左右されますし、出力結果に第三者の権利を侵害する表現が含まれている懸念もあります。契約条項によって権利の帰属を定めたとしても、存在しない著作権を新たに発生させたり、第三者が有する権利を消滅させたりする効力は持ちません。権利の帰属条項と、事業者・利用者間の責任分担条項とは切り離して整理することが大切です。

出力結果の誤りと民事上の責任管理

AIサービスには、もっともらしい誤りを出力するハルシネーションの問題がつきまといます。法律、医療、会計、金融など、利用者の重大な意思決定に直結する領域では、AIの出力を鵜呑みにしたことによって生じる損害が大きくなりかねません。AIが補助的な参考情報を提供するにとどまるのか、それとも人間の判断を代替する水準として提供されるのかによって、事業者が負うべき注意義務や責任の度合いも変化します。

経済産業省の手引きにおいても、AIのブラックボックス性や自律的な挙動を踏まえたうえで、現行法に基づく民事上の過失責任や不法行為責任の考え方が示されています。AIだから責任を免れると考えるよりも、システム設計と事前説明、運用体制を具体的に検討することになります。

実務上の対応は、サービス内におけるAI出力の位置づけを明確にすることから始まります。出力をあくまで補助的な下書きや検索結果として位置づけるのか、業務判断の核として利用させるのかを定めます。そのうえで、人間の確認（Human in the loop）をどの業務工程に組み込むか、出力の正確性・最新性・適法性の限界についてユーザーへどのように説明するか、専門職の判断を要する場面でいかなる注意文を掲示するかを取り決めます。運用面では、誤った回答が出た際の問い合わせ受付、修正・サービス一時停止、報告のフローを準備し、紛争発生時に当時の挙動を事後検証できるよう個人データや秘密情報の取扱いに配慮し、必要なログと保存期間を決めます。

利用規約の免責条項だけであらゆる法的責任を免れようとする構成はお勧めできません。消費者契約法をはじめとする強行法規によって免責が無効化される懸念があるだけでなく、実際にトラブルが発生した際の企業信用の失墜を防ぐ役には立たないからです。サービスの画面設計、利用前の注意喚起、社内での審査フローと連動させながら、引き受けるリスクの範囲を現実的に管理していくことが大切です。

個人情報の外部送信と継続的な点検運用

AIサービスでは個人情報保護法への適合性も頻繁に議論されます。ユーザーが個人情報をプロンプトに入力する場合、自社の利用目的の範囲内であるか、外部のAI事業者やクラウドサーバーへ送信する行為が業務委託に当たるのか第三者提供に当たるのか、外国にある第三者への提供に該当しないか、安全管理措置が講じられているか、漏えい事故が起きた際の報告や本人通知の準備があるか、といった点検が必要です。

特に外部のAPIを利用する場合、「外部のモデルを呼び出しているだけだから自社には関係がない」と判断する姿勢は通用しません。利用者のデータを預かってサービスを提供する以上、自社としてデータの取り扱いをどう説明し、どう管理しているかが確認を要します。

個人情報保護委員会の通則ガイドラインに従い、個人情報の利用目的の特定と、個人データの安全管理措置・委託先に対する監督体制を点検します。外国にある受託者へ個人データを提供するケースも個人情報保護法28条の対象となり得るため、法令上の除外への該当性、相当措置を継続的に実施する体制の有無や、事前の情報提供を伴う本人同意の取得といった根拠を確かめます。単にAPI設定で学習利用をオフにしたからといって、個人データの外部提供という評価が直ちに消えるわけではありません。

AIサービスのプライバシーポリシーを点検する際は、以下の項目を整理の起点とします。

• AI機能の提供を通じて取得・処理する個人情報の項目
• 具体的に特定された利用目的の記載
• 外部AI事業者、クラウド基盤、解析ツールへの委託および第三者提供の区分
• 外国にある第三者へのデータ移転の有無および法的根拠
• プロンプト、ログデータ、添付ファイルの保存期間と管理手順
• 入力されたデータのAIモデル学習への利用の有無
• 本人からの開示・訂正・利用停止等の請求に対する受付体制
• 万一の個人データ漏えい等が発生した際の社内報告および当局対応フロー

AIプロダクトは、モデルの変更や新機能の追加によってデータの送信先や取得項目が容易に変化します。そのため、初回リリース時の一度の確認だけで済ませず、機能追加や外部APIの変更のたびにチェックリストへ立ち返る仕組みを用意しておく必要があります。

利用規約による利用ルールの設計

AIサービスの利用規約では、通常のSaaSと比べても、利用者の具体的な使われ方を想定した条項設計が大切となります。禁止行為として、法令違反や権利侵害、マルウェアの生成、公序良俗に反する用途などをあらかじめ具体的に定めておきます。また、入力データや出力結果について、事業者がサービス改善や保守の範囲でどこまで利用できるか、ユーザーによる成果物の商用利用を認めるか、第三者の権利を侵害した場合の責任分担をどう配分するかを定めます。

法人向けサービスであれば、管理者が従業員の利用履歴を確認できる権限、規約違反があった場合のアカウント即時停止措置、従業員の不正利用に関する法人としての責任範囲をあらかじめ明確にしておきます。

利用規約を単に自社の免責を並べ立てる文書にとどめず、ユーザーと事業者との間で安心できる利用環境を共有するための合意文書として作成することが大切です。

判断の記録と担当者

AI法務チェックリストの意義は、法務が開発にブレーキをかけることにとどまりません。新機能を公開してよいか、外部APIを切り替えてよいか、法人向けと個人向けで規約を分けるかといった判断を、経営陣、開発チーム、ビジネスチームが同じ前提で議論し、意思決定の履歴を残すためのツールです。判断の根拠を残しておくことで、将来の法人顧客からのセキュリティチェックや規制当局からの照会にも判断の根拠を示して回答しやすくなります。

LegalAgentでは、生成AIと企業法務に精通した弁護士が連携し、契約書や利用規約の作成にとどまらず、プロダクトの機能設計やデータフロー、社内運用まで見据えた法務支援を行っています。外部弁護士が社内法務に近い形でプロダクトの意思決定に関与する体制づくりについては、法務アウトソーシングにてご案内しています。