AIサービスの利用規約とプライバシーポリシーの確認項目

AIサービス導入前に規約確認が必要な理由

AIサービスへ入力する情報は、一般的なクラウドサービスと同様に外部事業者のシステムで処理される場合があります。そのため、社内資料や顧客情報を入力する前に、サービス提供会社がデータをどのように取り扱うのか確認する必要があります。

特に生成AIでは、入力したプロンプト、アップロードしたファイル、生成された回答などがサービス上で扱われます。どのデータが保存されるのか、モデル改善に利用される可能性があるのか、管理者がどこまで制御できるのかは、サービスや契約形態によって異なります。

無料版や個人向け契約のまま業務利用しない

最初に確認したいのは、利用するサービス名だけではなく、どの契約が自社に適用されるのかです。同じサービスでも、個人向けサービスと法人向けサービスで契約条件やデータ管理機能が分かれていることがあります。

例えばOpenAIでは、ChatGPT BusinessやChatGPT Enterprise、APIなどの企業・開発者向けサービスには法人向けのサービス契約が適用されています。法人向けサービスでは、ビジネスデータをデフォルトでモデル学習に利用しない方針も公開されています。

OpenAIの法人向けサービス契約を確認する

個人情報を入力する場合は特に慎重な確認が必要

個人情報保護委員会は、個人情報取扱事業者が生成AIサービスへ個人情報を含むプロンプトを入力する場合、利用目的の範囲内であることを確認するよう注意喚起しています。また、個人データを入力する場合には、そのデータが応答生成以外の目的で取り扱われないかを確認することも重要です。

個人情報保護委員会の生成AIサービス利用に関する注意喚起を確認する

法的な取扱いはデータの内容、契約関係、サービス提供者の所在地などによって変わるため、個人情報や要配慮情報を扱う場合は、必要に応じて自社の法務担当者や専門家へ確認してください。

利用規約とプライバシーポリシーの違い

利用規約とプライバシーポリシーは似ていますが、確認する目的が異なります。さらに法人契約では、DPAやセキュリティ資料など別の文書が適用される場合があります。

利用規約だけを読んで安全性を判断するのではなく、自社が利用する契約に紐づく文書を一式確認することが重要です。

利用規約で確認したい項目

利用規約では、サービスを利用できる条件だけでなく、入力したデータや生成物の扱い、トラブル発生時の責任範囲まで確認します。特に次の項目は導入前に整理しておきたいポイントです。

契約主体と適用される規約

会社として契約しているのか、社員個人が登録しているのかを確認します。法人プランを契約していても、社員が個人アカウントから別途サービスを利用していれば、異なる規約が適用される可能性があります。

入力データと出力データの権利

プロンプト、アップロードファイル、生成結果などについて、誰がどの権利を持つのか確認します。生成物を顧客向け資料、広告、Webサイトなどへ利用する場合は、商用利用条件や第三者の権利に関する注意事項も確認してください。

禁止されている利用方法

AIサービスには、違法行為や危険行為などに加えて、特定分野での利用方法に制限が設けられている場合があります。自社が想定する業務が利用条件に反していないかを確認します。

サービス停止や契約終了の条件

アカウント停止、サービス終了、契約解除が行われる条件も確認します。業務フローにAIを組み込む場合は、突然利用できなくなった場合の代替手段も検討しておくと安全です。

責任範囲とAI出力の扱い

生成AIの回答は常に正しいとは限りません。利用規約には、出力の正確性やサービス提供者の責任範囲に関する条件が記載されていることがあります。

顧客への回答、契約判断、採用判断、財務、法務など重要な業務では、AIの回答だけで意思決定せず、人による確認工程を設けることが重要です。

プライバシーポリシーで確認したい項目

プライバシーポリシーでは、サービス提供会社がどの情報を取得し、何のために利用し、どれくらい保存するのかを確認します。AIサービスの場合は入力データの扱いまで確認してください。

入力内容がモデル学習に利用されるか

最も重要な確認項目の一つです。入力した文章やファイル、生成結果がモデルの学習やサービス改善に利用されるかを確認します。

この条件はサービス名だけでは判断できません。例えばGoogle WorkspaceのGeminiでは、Workspace向けのデータ保護方針が公開されています。Microsoft 365 Copilotでも、法人向け環境におけるプロンプト、回答、Microsoft Graphから参照したデータの取扱いについて公式情報が公開されています。

Google Workspaceの生成AIプライバシー情報を確認する
Microsoft 365 Copilotのデータ・プライバシー情報を確認する

保存期間と削除方法

入力したデータや会話履歴がどれくらい保存されるのか、管理者または利用者が削除できるのかを確認します。アカウントを削除した場合や契約を終了した場合に、データがいつ削除されるかも確認項目です。

第三者提供と再委託先

サービス提供会社だけでなく、インフラ事業者や外部サービスなどの再委託先がデータ処理に関与する場合があります。法人利用では、サブプロセッサーや再委託先に関する情報が別ページで公開されていることもあります。

データが処理・保存される国や地域

個人データを扱う場合は、データがどの国や地域で処理される可能性があるかも確認します。海外の事業者やサーバーを利用することだけで直ちに問題になるとは限りませんが、契約形態やデータ処理の実態によって確認すべき事項が変わります。

セキュリティ対策

保存データや通信の暗号化、アクセス管理、多要素認証、監査ログ、管理者権限などを確認します。プライバシーポリシーだけで十分な情報が得られない場合は、セキュリティページやTrust Centerなども確認してください。

企業向けAIサービス確認チェックリスト

規約を最初から最後まで読むだけでは、重要な条件を見落としやすくなります。実務では確認項目を固定し、候補サービスごとに同じ基準で比較すると判断しやすくなります。

AIサービス導入前の確認手順

すべてのAIサービスを法務部門だけで確認する運用では、導入までに時間がかかる可能性があります。まず利用目的と扱う情報を整理し、リスクに応じて必要な担当者へ確認を依頼する流れにすると運用しやすくなります。

1. 利用目的を決める
   文章作成、議事録整理、顧客対応、社内文書検索など、どの業務で利用するのかを明確にします。
2. 入力する可能性がある情報を整理する
   公開情報、社内情報、機密情報、個人情報など、AIへ渡す可能性があるデータを分類します。
3. 適用される契約と規約を確認する
   法人契約、個人契約、APIなど、実際の利用方法に適用される利用規約やプライバシーポリシーを確認します。
4. チェックリストでリスクを確認する
   学習利用、保存、第三者提供、国外移転、管理機能、出力物の扱いなどを確認します。
5. 必要な担当者が判断する
   情報システム、法務、個人情報保護担当者、利用部門など、リスクに応じて確認者を決めます。
6. 利用ルールへ落とし込む
   利用可能なサービス、アカウント、入力禁止情報、人による確認が必要な業務を明文化します。
7. 規約変更を定期的に確認する
   AIサービスは機能や規約が更新されるため、導入時の確認だけで終わらせず、定期的に見直します。

モデルケース

例えば営業部門が生成AIで提案メールを作成したい場合、企業名や公開済みの商品情報だけを使うのであれば比較的運用しやすくなります。一方、顧客担当者の個人情報、未公開の商談情報、契約内容などを入力する場合は、より慎重な確認が必要です。

この場合、AIサービス自体を全面的に禁止するのではなく、公開情報のみ利用可能、顧客情報は匿名化後に利用可能、特定情報は入力禁止など、情報の種類によってルールを分ける方法があります。

まとめ

AIサービスを安全に業務へ導入するためには、サービスの知名度や機能だけではなく、自社が利用する契約に適用される利用規約とプライバシーポリシーを確認する必要があります。

導入を検討している企業は、次の順番で整理すると判断しやすくなります。

• 利用するAIサービスと契約形態を特定する
• 入力する可能性がある情報を機密度別に整理する
• 学習利用、保存期間、第三者提供、国外移転などを確認する
• 出力物の権利や人による確認が必要な業務を決める
• 確認結果を社員向けの利用ルールとチェックリストへ落とし込む

すべてのAI利用を禁止するのではなく、自社の業務と情報の重要度に合わせて利用条件を明確にすることで、安全性と活用の両立を目指しやすくなります。