AI法・AI事業者ガイドライン対応のチェックポイント｜企業法務が見るべき実務論点
こんにちは。LegalAgent 代表弁護士の朝戸です。
日本のAI法は、企業に細かな禁止行為と罰則を並べて課すタイプの法律ではありません。国の基本方針、推進体制、適正性確保の考え方を示す性格の法律だと理解されています。この性格が、企業実務での扱いにくさの原因になっています。条文を読んでも、自社が明日から何をすべきかが直接には出てこないからです。
生成AIの社内利用やAIサービスの提供を検討する企業から、「AI法で何をしなければならないのか」「AI事業者ガイドラインはどこまで社内ルールに落とすべきか」という相談を受ける機会が増えました。その際にお伝えしているのは、AI法やAI事業者ガイドラインは法務部が一度読んで終わる資料ではなく、どのAIを、どの業務で、どのデータに接続し、どのような出力を社内外で使うのかを決める、企業全体の管理設計に関わるテーマだということです。
検討の入口で確認すべきことは、突き詰めると五点に集約されます。AIに入る情報に秘密情報・個人情報・第三者の著作物が含まれるか。出力を誰が、どの業務で、どの範囲まで使うのか。外部送信・学習利用・ログ保存・再利用の扱いを契約や社内ルールで説明できるか。利用規約、プライバシーポリシー、社内ポリシー、ベンダー契約が同じ前提で揃っているか。そして、AIの回答をそのまま採用せず、最終判断者とレビュー手順が決まっているか。この五点を自社の言葉で説明できる状態を作る作業が、AI法・AI事業者ガイドライン対応の中身だと考えています。
AI法とAI事業者ガイドラインの性格
ここでいうAI法対応とは、AI関連技術の研究開発及び活用を推進する法律や関連施策を踏まえ、自社のAI利用・AI提供をどのように統制するかを決める作業を指します。「AI法にこの条文があるからこの書面を作る」という一対一の対応関係は成立しにくく、AI法、AI事業者ガイドライン、各省庁の公表資料、既存の個別法、契約関係をあわせて見ながら、自社のAIガバナンスを組み立てることになります。
前提として、日本のAI関連制度は、個人情報保護法、著作権法、不正競争防止法、下請法、景品表示法、金融・医療・労務などの業法、契約上の秘密保持義務と重なり合っています。AI法だけを見ても、実務上のリスクは把握しきれません。加えて、AI事業者ガイドラインは改訂される可能性があるため、導入時点と運用時点のそれぞれで、最新の公的ガイダンス、法令、業界ルール、利用するAIサービスの規約を確認する必要があります。
AI事業者ガイドラインは、AI開発者、AI提供者、AI利用者という立場に応じて、リスク管理、透明性、説明責任、安全性、セキュリティ、プライバシー、権利利益への配慮、人間の関与、体制整備などを論点にしています。注意したいのは、自社が一つの立場に固定されるわけではない点です。社内で生成AIツールを使うだけならAI利用者に見えますが、自社サービスにAI機能を組み込んで顧客に提供すれば、AI提供者に近い立場が加わります。独自モデルの開発、既存モデルの追加学習、RAGのための社内データベース構築まで進めば、AI開発者に近い責任も検討対象になります。
つまり、AI法・AI事業者ガイドライン対応は、抽象的な倫理方針を掲げる作業ではありません。倫理方針だけでは、現場の誰も自分の業務との接点を判断できないからです。自社のAI利用場面を棚卸しし、立場ごとの責任を確かめ、情報管理、契約、社内承認、ログ、監査、事故対応まで具体的な運用に落とすところまで含めて、初めて対応と呼べます。
別々に管理していたリスクが一つの画面に集まる
AI対応を法務のテーマとして扱うべき理由は、生成AIの利用が、これまで別々の部署・別のルールで管理されていたリスクを、一つの業務画面の上に集めてしまうからです。
契約書をAIに読ませれば、秘密保持義務、個人情報、営業秘密、著作権、委託先管理、ログ管理が同時に問題になります。採用や人事評価にAIを使えば、個人情報に加えて、公平性、説明可能性、労務管理、社内規程との整合性が問われます。顧客対応のチャットボットであれば、誤回答、表示規制、利用規約、記録保存、クレーム対応が絡みます。従来であれば契約審査、労務、広報がそれぞれの手順で見ていた問題が、AIツールの導入判断一つに凝縮されるわけです。
これを「AIは便利だから使ってよい」という判断だけで進めると、後から問題が見つかったときに、誰が承認したのか、どのデータを入れたのか、どの出力を使ったのか、なぜその判断をしたのかを説明できなくなります。
しかも、AIは部門ごとに自然発生的に入り込みます。営業部門が議事録作成AIを使い、開発部門がコード生成AIを使い、人事部門が求人票作成AIを使い、法務部門が契約レビューAIを使う。個々の導入はそれぞれ合理的でも、全社として見ると、どのAIサービスにどの情報が流れているのかを誰も把握していない状態になりやすいのです。
対外的な説明も同じ構図です。顧客から「AIを使っているのか」「当社のデータは学習に使われるのか」「個人情報はどこに保存されるのか」と聞かれたとき、営業担当者ごとに回答が違う状態は避けなければなりません。外部への説明と内部の運用が一致していて、初めてAI利用について責任を持って答えられます。
棚卸しから事故対応までの確認手順
出発点は、自社のAI利用場面の棚卸しです。どの部署が、どのAIサービスを、どの業務で、どの情報を入力して、どの成果物に使っているのかを一覧にします。公式に導入したツールだけでは足りません。個人アカウント、無料ツール、ブラウザ拡張、議事録作成ツール、画像生成ツール、コード補完ツールまで含めて拾わないと、リスクの大きい利用ほど一覧から漏れます。
次に、自社の立場をサービス単位で確かめます。社内で使うだけのAI利用者なのか、顧客にAI機能を提供するAI提供者なのか、モデルやデータセットを開発・調整するAI開発者なのか。立場が変われば、確認すべき契約条項、利用者への説明、品質管理、ログ保存、事故対応の範囲が変わります。
入力データの管理では、秘密情報、個人情報、要配慮個人情報、顧客から預かった情報、未公表の決算情報、ソースコードや契約書、M&A資料などをAIに入力してよいのかを決めます。禁止情報を列挙するだけで止めず、例外的に入力できる場合の承認手続まで定めておくべきです。例外の道がないと、現場は黙って使うか、必要な利用まで諦めるかの二択に追い込まれます。
出力結果については、AIが作成した文章、画像、コード、契約修正文案、顧客回答、広告文、採用評価コメントを、そのまま社外に出してよいのかを決めます。人間の確認をどこに置くのか、高リスク用途で二重確認を要求するのか、誤りがあった場合に誰が責任を持つのか、というところまで決めて初めて運用になります。
ベンダー契約では、入力データの学習利用、保存期間、削除方法、サブプロセッサ、国外移転、セキュリティ、監査、障害時対応、規約変更、モデル変更、出力結果の権利関係を確認します。AIサービスは仕様や規約が変わることがあるため、導入時に一度確認して終わりにせず、更新時にも見直す運用が要ります。
社内体制としては、AI利用の承認権限、リスク分類、教育、問い合わせ窓口、インシデント報告、定期監査を設けます。法務部門だけで完結させると、技術面と情報管理面の確認が形式的になりがちです。情報システム部門、セキュリティ部門、個人情報保護担当、事業部門、経営層が関与する形が望ましいと考えます。
最後に、最新情報の確認手順です。AI法、AI事業者ガイドライン、個人情報保護委員会、文化庁、公正取引委員会、業界団体、利用するAIサービスの規約は、いずれも更新される可能性があります。社内ポリシーに「必要に応じて最新の公的情報を確認する」と書くだけでは、誰も確認しません。誰が、どの頻度で、どの情報源を見るのかまで決めて、初めて手順として機能します。
開発者・提供者・利用者、それぞれの急所
AI開発者の立場では、学習データ、評価データ、モデルの安全性、バイアス、脆弱性に加えて、著作権、個人情報、営業秘密が問題になります。データの取得経路が不明確なままモデルを作ると、後から顧客や投資家に説明を求められた場面で答えに詰まります。開発段階のうちに、データの由来、利用許諾、除外すべきデータ、評価方法、リリース前テストを記録しておくべき理由はここにあります。
AI提供者の立場では、利用者への説明と責任分界が中心です。自社サービスのAI機能に何ができて何を保証しないのか、利用者が入力してはいけない情報は何か、出力結果をどう確認すべきか。利用規約、プライバシーポリシー、サービス説明資料、管理画面の表示が矛盾していると、クレームを受けた際にどの説明が正しかったのかを自社でも特定できず、対応が長引きます。
AI利用者の立場では、入力情報と出力利用がリスクの中心になります。社員が便利さを優先して、契約書、顧客情報、個人情報、未公表資料を外部AIに入力してしまう。AIの出力を事実確認しないまま顧客回答、広告、契約文案、社内評価に使ってしまう。どちらも、誤情報の流通や権利侵害として表面化する可能性があります。
同じAIサービスでも、立場によって契約上の要求は逆向きになります。提供者としては、出力の完全性を保証しない条項や利用者の確認義務を置きたい。利用者としては、セキュリティ、学習利用の禁止、事故時の補償、サービス停止時の対応を確認したい。開発者としては、データ提供者との契約、共同開発先との権利帰属、第三者モデルの利用条件を固めたい。企業法務では、自社の立場を一つに決めつけず、取引ごと、サービスごと、データフローごとに役割を見直す必要があります。
AIにガイドライン対応をレビューさせるときの落とし穴
生成AIは、AI利用規程、AIサービス利用規約、データ処理契約、セキュリティ資料、プライバシーポリシーのレビューに使えます。条項の抜け漏れ、入力データの扱い、学習利用、ログ保存、サブプロセッサ、国外移転、責任制限、出力結果の権利関係を短時間で洗い出せます。
一つ目の落とし穴は、出力が一般論に寄りやすいことです。AI事業者ガイドライン上の用語を並べた回答は、それらしく見えても、実際の業務には接続していません。自社がどのAIサービスを、どの部署で、どの情報に使うのかを入力しない限り、その会社に必要な修正案は出てきません。
二つ目の落とし穴は、AIが最新の法令・ガイドライン・サービス規約を正確に把握しているとは限らないことです。AI法、AI事業者ガイドライン、個人情報保護法関連の注意喚起、著作権法の考え方、競争政策に関する議論は更新される可能性があります。AIの回答は出発点として使い、現在の公式情報は企業側で確認する必要があります。
LegalAgentでは、AI関連文書を見る際、「ガイドラインに沿っているか」に加えて、現場で使えるかを確認します。禁止事項が広すぎて誰も守れない規程になっていないか。利用部門に任せすぎて、重要情報が外部サービスに流れる設計になっていないか。契約書と社内ポリシーと顧客向け説明が一致しているか。この整合性の確認は、文書の見栄えを整えるより先に済ませておくべき作業だと考えています。
関連する支援メニュー
AIガバナンスの整備は、規程の起草だけで完結するものではなく、日常の契約審査や法務相談と地続きの仕事です。LegalAgentでは、次のサービスでこの領域を支援しています。