弁護士法人ＰＲＯの弁護士 柏木太郎です。

　昨今は生成ＡＩの発展が目覚ましく、仕事や日常生活でも使用する場面も増えているのではないでしょうか。
　生成ＡＩは、文書作成や資料の要約など、業務の効率化に役立ちます。

　一方、利用方法によっては、個人情報の不適切な提供、秘密保持義務違反、著作権侵害などの問題が生じます。
　企業には、 取り扱う情報や利用目的に応じたルールづくりが求められます。

　２０２６年３月には「ＡＩ事業者ガイドライン第１.２版」が公表されました。
　同ガイドラインは、それ自体が一律の法的義務を課すものではありませんが、企業の管理体制を検討する参考になります。

　 個人情報保護法や著作権法、取引先との契約上の義務を確認し、具体的な運用に落とし込むことが重要です。

　

１．利用するサービスと契約条件を確認する

　まず、会社として利用を認めるサービス、契約プラン、アカウントを定めます。
　同じサービスでも、契約や設定によって入力情報の利用目的、保存期間、第三者への提供条件などが異なるためです。

　導入時には、利用規約等を確認し、学習利用の有無だけでなく、サービス提供者による閲覧、再委託、データの保存・削除、事故時の対応も点検します。
　「学習に利用されない」という条件だけで、あらゆる情報を入力できるわけではありません。

　利用可能な業務も明確にし、一般的な文章の推敲と、顧客情報や重要契約の分析とでは、承認・確認の方法を分けるとよいでしょう。
　個人アカウントによる業務利用についても、許容範囲を定めて周知します。

　

２．個人情報の入力は利用目的と提供関係を確認する

　個人情報を生成ＡＩに入力する場合は、特定した利用目的を達成するために必要な範囲内かを確認します。

　顧客名簿などの「個人データ」については、サービス提供者への入力が、取扱いの委託に当たるのか、本人同意等が必要な第三者提供に当たるのかを、契約内容と実際の取扱いに即して検討する必要があります。

　本人の同意なく入力した個人データが回答生成以外の目的で取り扱われる場合、法違反となるおそれがあるため、機械学習に利用されないこと等の確認が必要になる可能性があります。

　入力が常に違法となるわけではありませんが、学習利用を停止すれば確認が完了するわけでもありません。
　委託として整理できる場合にも、委託先の監督等が問題になります。

　また、外国の事業者への提供では、委託であっても、外国にある第三者への提供に関する規律を別途確認する必要があります。
　実務上は、入力する情報を必要な範囲に絞り、氏名や連絡先を削除する方法が有効です。

　ただし、他の情報との容易な照合により個人を識別できる場合もあるため、氏名を置き換えただけで個人情報に該当しなくなるとは限りません。

　

３．秘密保持義務に沿って入力範囲を定める

　個人情報に該当しなくても、取引先の技術資料、未公表の事業計画、契約条件などには、秘密保持義務が及ぶ場合があります。

　取引先との契約で、外部への開示、利用目的、再委託などがどう定められているかを確認し、必要に応じて承諾を得ます。
　サービス提供者が秘密保持義務を負う契約であっても、それだけで取引先との契約上の制限が解消されるわけではありません。

　社内では、情報を「入力可能」「事前承認が必要」「入力禁止」に分類し、具体例を示すことが有効です。
　ファイル添付や外部システムとの連携によって、意図しない情報まで送信されないかも確認しましょう。

　

４．生成結果の正確性と権利関係を確認する

　生成ＡＩの回答には誤りが含まれるため、社外提出資料や重要な意思決定に用いる場合は、根拠資料との照合を行う運用が必要です。
　 数値、固有名詞、引用元、契約条件などの確認項目を定め、重要案件では上司や専門部署の確認を受ける仕組みが考えられます。

　著作権については、生成物と既存の著作物との類似性・依拠性などを踏まえて判断します。

　文化庁の整理では、創作的表現の共通性と、既存の著作物に基づいて生成された関係が認められ、許諾や権利制限規定の適用等がなければ、侵害となり得ます。
　単に作風やアイデアが似ていることだけで、直ちに侵害となるわけではありません。

　広告やウェブサイトに使用する場合は、既存作品との共通点を確認し、 疑義があれば利用を保留して相談する手順を設けます。
　サービスの規約上、商用利用が認められていても、第三者の権利を侵害しないことまで保証されるとは限りません。

　また、顧客との契約でＡＩ利用の制限や事前承諾が定められている場合は、これに従う必要があります。
　利用規約と顧客との契約を、それぞれ確認しましょう。

　

５．事故対応とルールの見直しを仕組み化する

　誤入力や不適切な公開が生じた場合に備え、報告窓口と対応責任者を定めます。
　発生時には、入力内容、日時、利用サービス、共有範囲等を確認し、必要な記録を確保したうえで、削除依頼や公開停止、影響範囲の調査を進めます。

　個人データの漏えい等が生じた場合は、事案が法定の報告対象に該当するかを判断し、該当するときは個人情報保護委員会への報告や本人通知等を行います。　　
　取引先への連絡についても、契約上の通知義務を確認します。

　ルールは作成して終わりではありません。
　業務に即した研修や相談窓口を設け、利用条件や機能の変更に応じて更新します。

　法務、情報システム、利用部門が連携し、入力から出力の利用、事故対応までを管理することが、安全な業務活用につながります。

---