AIベンダーDDと契約審査｜導入企業・提供企業別の確認点
こんにちは。LegalAgent 代表弁護士の朝戸です。
事業部門から「業務効率化のためにこのAIツールを導入したい」という稟議が提出される。添付されている資料は料金表と機能紹介のパンフレットで、セキュリティチェックシートは従来のSaaS導入時の書式がそのまま使われている。そのため、法務としてどの項目をどの深さまで確認すればよいのか判断に迷う。AIサービスの導入審査に関する相談は、こうした日常の場面から始まることが珍しくありません。
一般的なSaaSの審査でも、データの外部送信やクラウド上での保管を確認します。しかし、生成AIや議事録作成AI、契約レビューAIなどのツールは、企業の機密情報や意思決定の核となるデータに直接接続される場面が多く見られます。利用料金や契約期間、SLAで定めるサービス水準といった形式的な条件を確認するだけでは、AIサービス特有の論点を拾いきれません。入力したデータがモデルの学習に用いられるのか、ログがどこまで記録されるのか、生成された結果の誤りに誰が責任を負うのかまで踏み込んで確認して初めて、十分な審査となります。
あわせて、AIに関する公的ガイドラインや個人情報保護法などの関連法規、利用するサービスの規約類は改定される可能性があるため、導入の都度、最新の公表情報と照らし合わせておくことが欠かせません。
審査前に社内で固めるべき前提条件
ベンダーに質問状を送付したり規約を細かく読み込んだりする前に、まずは利用する自社側の利用条件を明確にしておく必要があります。社内の前提が固まっていなければ、ベンダーからの回答を評価する物差しが存在せず、提出された資料を受け取るだけで終わってしまいます。
事前に確認しておくべき項目は次の五点です。
- 入力予定のデータに含まれる秘密情報、個人情報、第三者の著作物の有無
- 生成された出力を利用する担当者、適用する業務、利用を許容する範囲
- 外部送信、学習利用、ログ保管、再利用の有無を契約と社内規程で説明できるか
- サービスの利用規約、プライバシーポリシー、自社の社内規程、個別契約の前提が一致しているか
- AIの回答をそのまま採用せず、最終判断を行う担当者と確認の手順が定まっているか
AIベンダーデューデリジェンスの着眼点
AIベンダーデューデリジェンスとは、AIサービスの導入や販売に先立ち、サービス提供者の技術水準、データの管理体制、提示される契約条件を確認する手続きを指します。一般的なソフトウェアの審査と異なり、AIサービスではモデルの特性や学習へのデータ利用、生成物の権利関係まで確認の対象が広がります。たとえば一口に「議事録AI」と称されるサービスであっても、音声データを一時的に処理して破棄する仕組みなのか、サービス改善のために保管するのか、外部の大規模言語モデルへデータを送信しているのか、海外サーバーで処理を行っているのか、ベンダー側の管理者がログを直接閲覧できるのかによって、負うべきリスクは大きく異なります。契約書レビューAIでも、契約本文をモデル学習から除外しているのか、統計データとして再利用するのか、顧客ごとにナレッジを分離しているのかで評価は変わります。「議事録ツール」「審査ツール」といった製品の呼称に加え、具体的なデータの流れ（データフロー）を個別に確認します。
この確認作業は法務担当者だけで完結できるものではありません。技術的なデータフローの確認には情報システム部門やセキュリティ担当の知見が、業務上の必要性や影響度の評価には事業部門の視点が必要になります。金融、医療、人事・労務といった高リスクな領域で利用する場合には、個人情報保護の担当部署や経営層も含め、業務の重要度に応じた深度で確認を行う形が現実的です。
契約審査における責任分界とデータフロー
AIベンダー契約の審査が問題となりやすいのは、AIが単にデータを保管する場所にとどまらず、企業の判断プロセスそのものに関与してくるためです。AIが誤った顧客向け回答を作成して損害が生じた場合、ベンダーはどこまで免責されるのか。社員が誤って機密データを入力してしまった場合、ベンダー側でデータの削除に対応する手順があるのか。事前告知なしのモデル変更によって出力の精度が著しく低下した場合、利用企業側に契約解除の道は残されているのか。これらの事態への対処が契約書で明確に定められていなければ、適用法や合意内容を確認しながら、事故後に対応を協議する負担が増えます。サービス停止時にSLAがどう適用されるかも確認します。
さらに、AIツールの背後には複数の事業者が介在している点にも留意します。アプリケーション提供企業、基盤モデルの開発企業、ホスティングを行うクラウド事業者が連携している場合、契約書の本文を読むだけではデータが最終的にどこへ流れているのかを把握しきれません。契約条項に加えて、セキュリティホワイトペーパー、管理画面の設定項目、委託先（サブプロセッサ）の一覧を突き合わせ、合意内容と実際のデータ処理が矛盾していないかを照合します。
業務に沿った詳細な審査項目
審査を具体的に進める際は、業務の流れに沿って項目を確認していきます。まず、入力データの性質と学習利用の有無です。秘密情報や顧客から預かったデータを入力する場合、顧客との契約における再委託条項や目的外利用の制限に抵触しないかを確かめます。個人データの第三者提供や外国への提供に関する要件も、データの取扱いに応じて別に確認します。とりわけ学習利用の有無は極めて重要な確認項目です。「データは学習に使用しない」という営業担当者の説明があったとしても、契約書の文言や管理画面の初期設定と一致しているかまで確認します。営業時の説明と契約条項の記載にずれがある場合、単にどちらか一方が当然に優先すると決めつけるのではなく、契約上の優先関係を確認し、重要な合意事項を契約に明記して食い違いを解消します。「匿名化処理を行っている」「法人向けプランである」という呼称だけで、法的な課題がすべて解消されるわけではありません。
次に、データの保存期間と削除の手順です。入力データ、出力結果、プロンプトのログ、バックアップデータがどこに、いつまで保管され、管理者の操作によって即時に削除できるのかを確認します。契約終了に伴うデータの返還や破棄に要する日数も押さえておきます。
セキュリティに関しては、認証機能やアクセス権限の管理、データセンターの設置国を確認するとともに、プロンプトインジェクションへの耐性、権限外のデータ参照防止、意図しない外部送信の制御、ベンダー管理者の権限濫用防止策なども確認の視野に入れます。
出力の扱いについては、正確性の非保証条項の範囲、利用者に課される確認義務、第三者からの権利侵害主張に対する補償条項、禁止用途、出力の権利の扱い、商用利用の可否を確認します。AIの出力には誤りが含まれる可能性があることを前提に、業務手順のどの段階に人間のチェックを配置するかを契約審査と並行して決めておきます。
また、モデルの変更や利用規約の改定、料金変更に関する事前通知期間と解約権や他サービスへのデータ移行方法を確認しておくことも大切です。正式導入前のPoC（概念実証）やトライアルの段階でも、本契約とはデータ利用条件が異なる場合があるため、投入可能なデータの制限や匿名化の要否、終了後のデータ消去、検証成果物の権利帰属をあらかじめ取り決めておきます。価格や利便性だけでなく、学習利用の有無やセキュリティ水準、事故時の通知条件を同一の比較表に並べて社内稟議にかけることで、部門間の認識のずれを防ぐことができます。
導入企業と提供企業の立場の違い
AIツールを自社に導入する企業としては、入力データの保全と特定のサービスへの過度な業務依存の回避が主たる関心事となります。出力の誤りが対外的な信用失墜につながりかねない業務においては、人間による検証体制と、万一の障害時に備えた代替手段を準備しておく必要があります。自社の顧客に対する秘密保持義務や国外移転の制限に違反しないかという視点も忘れてはなりません。
一方、AIサービスを顧客へ提供する企業としては、出力の完全性を保証できない限界を提示し、利用者の責任範囲を契約上で明確にすることが中心的な課題となります。機能や安全性を過度に誇張して販売すれば、トラブル発生時に契約違反や不法行為の責任を追及される要因になります。また、自社が採用している基盤モデルやクラウド事業者の利用条件と、自社が顧客に約束する条件との間に差がないかを確認します。学習利用や権利侵害補償、責任の限度額について、基盤モデル等の条件よりも自社の約束が広い場合、その差を自社で負担できるかも判断します。
双方が共通して意識すべきなのは、AIサービスに関する契約を一度締結して終わりにしないことです。規約やモデルの変更が行われやすい分野である以上、定期的な契約更新時や利用部門の拡大時には、改めてデータフローと利用条件を再確認する運用を維持することが望まれます。
契約と使い方を突き合わせる
AIは、利用規約、セキュリティ資料、サブプロセッサ一覧を読み、入力データや学習利用、国外移転の確認事項を拾う作業に使えます。ただし、契約だけを渡しても、利用する部署や入力情報、出力の公開範囲に合った判断はできません。現在の規約や管理画面を人が確かめ、誰が利用を承認し、出力を確認し、事故時に説明するかまで業務の流れに沿って決めます。
AIサービスの導入審査は、個別のツールに関する単発の検討にとどまらず、社内の業務フローや取引先との契約関係の全体を見直す契機となります。LegalAgentでは、継続的な取引関係の構築やM&A時の契約調査を含め、次の専門分野から支援を提供しています。
このテーマに関連するサービス