秘密保持契約がある資料を生成AIに入力できるか｜NDAと利用規約の確認手順

監修: 和氣 良浩（弁護士法人ブライト 代表弁護士・大阪弁護士会）

「法人向けプランだから入力してよい」「学習に使われない設定だから問題ない」。この二つは、AIサービス側の確認としては大切です。しかし、取引先から受け取った資料には、もう一つ確認すべき入口があります。取引先とのNDAや基本契約で、その情報を何のために、誰に、どのような方法で取り扱うと約束したかです。

生成AIへの入力を判断するときは、AIの機能だけを見るのではなく、①取引先との契約、②入力先サービスの契約・設定、③自社の実際の運用を並べて確認します。本記事は、NDA一般の必須条項を網羅するものではありません。一般的なNDAの構造は秘密保持契約（NDA）の作成・確認ポイントを、個人情報を含む場合の検討は生成AIに顧客情報を入力してよいかをご覧ください。

結論｜「学習不使用」は確認項目の一つにすぎない

取引先資料を生成AIへ入力できるかは、サービスが学習に使うかだけでは決まりません。少なくとも次の三つを照合する必要があります。

学習に使われないことは、「第三者が一切取り扱わない」「保存されない」「契約目的内である」「取引先の承諾が不要」という意味ではありません。反対に、生成AIへ入力したという一事だけで、直ちにNDA違反と決まるわけでもありません。契約文言、サービスの処理、入力内容、利用目的を具体的に見ます。

最初に確認するのは、資料ではなく契約のつながり

NDAだけでなく基本契約・発注書も並べる

秘密保持の約束はNDA一通で完結しないことがあります。業務委託基本契約、個別発注書、セキュリティチェックシート、データ取扱特約にも、利用方法や委託先に関する条件が置かれます。後に締結した契約が優先する条項や、個別契約が基本契約に優先する条項もあります。

そこで、AI利用の判断前に「この案件に効く文書」を一式にします。NDAだけを開いて「AI禁止と書いていないから使える」と読むのは早計です。契約にAIという言葉がなくても、目的外利用や第三者提供、外部サービス利用の条項が判断に影響します。

情報を受け取った目的を一文で書く

たとえば、取引先から資料を受け取った目的が「提案可否の検討」なのか、「契約書レビュー」なのか、「成果物の制作」なのかで、許される処理の範囲は変わり得ます。「業務効率化のため」という自社側の目的だけでは足りません。

AIへ入力する作業を、契約上の目的に置き換えて説明できるか確認します。「会議録から当社が担当するタスクを抽出する」「相手方契約書と自社ひな形の差分候補を作る」のように具体化すると、契約目的との距離を検討しやすくなります。

NDAで確認する六つのポイント

1. 秘密情報の範囲

秘密表示のある文書だけが対象か、口頭説明や電子データを含む一切の情報か。資料の全部が秘密情報なのか、一部だけかを確認します。会社名や氏名を消しても、案件名、製品仕様、価格、取引条件から相手を推測でき、契約上の秘密情報が残ることがあります。匿名化は有効な対策になり得ますが、名称を消しただけで契約上の秘密性が当然になくなるわけではありません。

2. 利用目的

「本件検討のためにのみ使用する」といった目的限定がある場合、AI処理がその目的を遂行する手段として含まれるかを検討します。入力データをAIサービスの改善や別のモデル開発に使わせることは、自社が回答を得る処理とは別の目的になり得ます。個人情報保護委員会も、個人データについて、応答の出力以外の目的で取り扱われる場合には法令違反となる可能性があるため、機械学習に利用しないこと等を十分に確認するよう注意喚起しています（生成AIサービスの利用に関する注意喚起等）。これは個人情報に関する注意喚起ですが、契約確認でも「何に使われるか」を分ける視点が重要です。

3. 第三者への開示

AIサービス運営者へデータを送ることが、契約上の第三者開示に当たるかを確認します。「秘密保持義務を負う役職員と専門家に限り開示できる」という条項では、クラウドやAI事業者が列挙されていないことがあります。他方で、業務上必要な委託先への開示を認め、同等の義務を課すよう定める契約もあります。条項の言葉と実際のサービス提供関係を対応させます。

4. 委託・再委託

サービスの契約相手だけでなく、インフラ、保守、モニタリング等の委託先が処理に関わる場合があります。契約が再委託に事前承諾を求めているなら、AIサービス利用がその対象かを確認します。取引先から受領したセキュリティ質問票に「外部クラウドを使わない」と回答していないかも見落とせません。

5. 保管場所・アクセス・保存期間

入力がどの地域に保存されるか、運営者の担当者がどの条件でアクセスできるか、履歴をオフにできるか、削除後にバックアップへ残るかを確認します。「学習不使用」と「保存しない」は別の条件です。法人プランでも、障害対応や不正利用監視のため一定期間保持される設計はあり得ます。最新の規約、プライバシー資料、データ処理契約を、プラン名と確認日とともに記録します。

6. 返還・削除と監査対応

NDA終了時に複製物を返還・削除する義務がある場合、AIサービス側でどこまで削除できるかが問題になります。会話履歴を画面から消すことと、サービス提供者の保管領域やバックアップから消えることは同じではありません。削除証明や監査協力を約束している場合、自社がその約束を履行できるサービスかを事前に確認します。

AIサービス側で残すべき確認記録

規約は変わります。「以前読んだ」「担当者が大丈夫と言った」だけでは、後から判断過程を説明しにくくなります。最低限、次の記録を一つの確認票にします。

• サービス名、プラン名、契約主体、利用アカウントの管理者
• 利用規約、データ処理条件、プライバシー資料のURLと確認日
• 入力内容が学習・サービス改善等に利用されるか
• 保存期間、保存地域、人によるアクセス条件、削除方法
• プラグイン、検索連携、外部コネクタへデータが渡る条件
• 入力を許可する情報区分と禁止する情報区分
• 承認者、次回見直し日、規約改定を把握する担当

総務省・経済産業省のAI事業者ガイドライン第1.2版も、AI利用者を含む各主体にリスクベースの取組とAIガバナンスを求めています。現場が毎回長い規約を読む運用では続きません。会社として承認済みのサービス・プラン・用途を一覧にし、例外だけを責任者へ上げる形が現実的です。

判断がつかないときの進め方

条項が曖昧なまま実データを入力する必要はありません。まず架空データや十分に抽象化したデータで作業方法を検証します。その間に、契約相手へ外部AIサービスの利用可否を確認する、追加合意を作る、処理先を自社管理環境に変える、入力対象を限定する、といった選択肢を比較します。

取引先の承諾を得る場合も「AIを使ってよいですか」だけでは範囲が不明です。利用目的、サービス、プラン、入力する情報、保存・学習条件、委託先、削除方法を示し、何について合意したかを残します。承諾があれば個人情報保護法その他の確認がすべて不要になるわけではありません。

契約を横断して確認したい二つの空欄

業務委託契約に「秘密情報を守る」とだけあり、対象の定義が見当たらない場合は、別紙、NDA、発注書まで横断して確認します。定義がないことを入力自由の根拠にせず、対象資料の種類とAIで処理する目的を明らかにして、契約上の扱いを確認する必要があります。

提出物を相手方がいつ確認し、どの時点で業務が完了するかという条件も点検します。検収前のデータ、修正依頼中のデータ、終了後に保管するデータでは必要な扱いが異なります。AI側の保存・削除条件を、業務の完了や返還・削除の条件と照らし合わせます。

法務ドックで契約と運用のずれを確認する

生成AIの利用可否は、NDA一通の赤入れだけでは解決しないことがあります。営業は顧客資料を要約し、制作部門は画像を生成し、採用部門は応募書類を整理するなど、用途ごとに入力情報と契約が違うからです。

弁護士法人ブライトの法務ドックでは、利用中のサービス、入力情報、契約、社内規程、承認フローを並べ、どこに確認漏れがあるかを整理します。大阪を中心に、法務部がない会社の「外部法務部」として、顧問先141社以上の企業法務に対応してきました。企業法務部の弁護士歴平均14年以上のチームが、契約と現場運用をつなぐ確認を支援します。

自社のNDAとAI利用条件を一度に確認したい場合は、企業法務のお問い合わせから、利用サービス名、用途、入力予定の情報、関係する契約書の有無をお知らせください。

診断後の規程・書式・運用手順の整備と再点検は、ご希望に応じて範囲を定め、診断とは区別して個別にお見積りします。

よくある質問

学習に使われない法人プランなら、顧客資料を入力できますか

学習不使用は重要な確認項目ですが、それだけで入力可能とは決まりません。NDAの利用目的、第三者開示・委託条件、保存・削除条件、個人情報の有無を合わせて確認します。

会社名と氏名を消せばNDAの問題はなくなりますか

名称を消すことはリスク低減になりますが、案件内容や価格、技術情報自体が秘密情報である場合や、他の情報と組み合わせて相手を特定できる場合があります。契約上の秘密情報の定義に照らして判断します。

取引先から承諾をもらうとき、何を伝えるべきですか

少なくとも、利用目的、サービスとプラン、入力情報の範囲、保存・学習等の取扱い、外部委託、削除方法を具体化します。口頭で済ませず、合意した範囲が後から分かる形に残すことが大切です。

NDAにAI利用の記載がなければ、自由に使えますか

AIという語がなくても、目的外利用、第三者開示、再委託、保管場所、返還・削除の条項が関係します。禁止の明記がないことだけで結論を出さず、契約全体と実際の処理を照合します。

大阪の中小企業でも、単発で契約とAI設定を確認できますか

弁護士法人ブライトでは、契約書と実際の利用方法を確認し、必要な論点を整理するご相談に対応しています。個別の対応範囲や費用は、資料と状況を確認した上でご案内します。

※本記事は一般的な情報提供を目的としています。個別の契約上・法令上の評価は、契約文言、入力情報、利用サービスの条件等により異なります。

あわせて確認したいテーマ

• 顧客情報の入力
• 社員の無断利用
• 社内規程の整備
• 成果物の社外利用
• 入力してしまったとき