生成AIの社内ガイドラインの策定について

はじめに

　「社員が業務でChatGPT等の生成AIを使い始めているようだが、社内にルールがない」。ここ1年、顧問先のIT企業から特に多くいただくご相談です。生成AIの業務利用には情報漏えいや著作権侵害のリスクが指摘される一方、一律に禁止すれば業務効率や採用競争力の面で機会損失が生じます。重要なのは、禁止か放任かの二択ではなく、自社の実情に即した利用ルール（社内ガイドライン）を定めることです。本稿では、社内ガイドラインに定めるべき基本的な項目と、実務上の留意点を解説します。

　現時点の日本には、生成AIの利用そのものを直接規制する法律はありません。2025年に成立した、いわゆるAI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）も、EUのAI規則のような規制法ではなく、罰則を持たない振興法としての性格のものです。もっとも、同法は2025年9月1日に全面施行され、事業者にも国の施策への協力に関する努力義務が定められました。また、2026年3月31日には総務省・経済産業省が「AI事業者ガイドライン（第1.2版）」を公表し、自律的に動作する「AIエージェント」のリスクを踏まえて、リスクの程度に応じて人間の判断を介在させる仕組みの整備を求めています。

　これらはいずれも直ちに罰則を伴うものではありません。しかし、個人情報保護法や不正競争防止法、著作権法といった既存の法律は、生成AIの利用場面にも当然に適用されます。加えて、取引先から受けるセキュリティチェックシートに「生成AIの利用ルールの有無」を問う項目が見られるようになっており、社内ルールの整備は、法令対応にとどまらず取引実務の観点からも求められつつあります。

　まず定めるべきは入力情報のルールです。ここで重要なのは、同じ情報でも、入力先のサービスの契約条件によって法的評価が変わるという点です。「個人情報は一切入力禁止」といった一律のルールは、一見安全なようで、実務の実態に合わず形骸化しがちです。

① 個人データ——プランごとの「学習不利用」とDPAの確認が出発点

　個人情報保護委員会は2023年6月の「生成AIサービスの利用に関する注意喚起等」において、あらかじめ本人の同意を得ることなく個人データを生成AIサービスに入力し、応答の取得以外の目的（機械学習等）で利用させることは、個人情報保護法に抵触するおそれがある旨を指摘しています。

もっとも、これは「生成AIに個人データを入力すること」自体を一律に問題視するものではありません。ポイントは、入力した個人データが事業者側でどう取り扱われるかであり、これはサービスやプランごとに異なります。個人向けの無料プランでは入力内容が既定で学習に利用されるものがある一方、法人向けプランやAPI利用では、既定で学習に利用しない旨が規約に定められていることが多く、さらにDPA（Data Processing Agreement。個人データの取扱条件を定める契約）を締結できるサービスもあります。

　法的には、入力データが学習に利用されず、応答の生成のみに用いられる場合、個人データの取扱いの「委託」（個人情報保護法27条5項1号）と整理して、本人の同意なく入力できる余地があります。この場合、自社には委託先の監督義務（同法25条）が生じるため、DPAや利用規約の内容がその裏付けとなります。また、事業者側が入力データをそもそも取り扱わない仕組み（保存やアクセスの制限）が確保されている場合には、「提供」自体に当たらないとの整理（いわゆるクラウド例外）もあり得ますが、多くのサービスでは不正利用監視のための一定期間の保存や担当者によるレビューが留保されており、この整理を採れるかは規約を踏まえた慎重な検討が必要です。さらに、提供元が外国にある事業者の場合は、越境移転規制（同法28条）として、本人の同意または基準適合体制の整備（DPA等による相当措置の確保と本人への情報提供）の検討も必要になります。

　実務的には、「個人データの入力は、会社が指定する、学習不利用が確保されDPAを締結したサービスに限り、業務上必要な範囲で認める。それ以外のサービスへの入力は禁止する」という二段構えの定め方が現実的でしょう。

② 営業秘密—秘密管理性を損なわない運用の徹底

　不正競争防止法上の営業秘密として保護を受けるには、秘密管理性・有用性・非公知性の3要件を満たす必要があります。社外のAIサービスへ無限定に入力する運用は、秘密として管理されているとの評価（秘密管理性）を自ら損なうおそれがあり、入力内容が学習に利用され不特定の出力に反映され得る状態になれば、非公知性の観点からも問題が生じかねません。他方、学習に利用されず秘密保持条項のある法人向けサービスに、アクセス権限を限定した運用で入力するのであれば、保護が直ちに失われるものではないと考えられます。ここでも、規約のデータ利用条項・秘密保持条項の確認が前提となります。

③ 取引先からの受領情報—NDAの確認なしに入力しない

　秘密保持契約（NDA）に違反した場合、相手方に対する債務不履行責任の問題となり、損害賠償にとどまらず取引関係そのものを失うリスクがあります。生成AIサービスへの入力がNDA上の「第三者への開示」に当たるか、委託先・クラウドサービスへの開示を許容する条項があるかは契約ごとに異なり、自社の判断のみで整理できる問題ではありません。近時は、NDA自体に生成AIへの入力の可否を明記する例も現れています。受託開発を行う企業では、顧客から預かるソースコードや仕様書の取扱いをこの項目で明確にし、契約上の手当てがない場合には入力しない扱いとするのが穏当です。

　著作権との関係では、文化庁「AIと著作権に関する考え方について」（2024年3月）が、AI開発・学習段階（著作権法30条の4により原則として許諾不要）と生成・利用段階を分けて整理しています。社内ガイドラインで問題になるのは主に後者で、AI生成物であっても、既存の著作物との類似性および依拠性が認められれば、通常の著作物と同様に著作権侵害（差止め・損害賠償等の対象）が成立し得ます。注意すべきは依拠性の判断で、同考え方では、利用者が既存の著作物を知らなくても、それが当該AIの学習データに含まれていた場合には依拠性が認められ得るとされています。つまり「知らなかった」では足りないのです。

　また、権利侵害とは逆方向のリスクとして、人間の創作的寄与のない単純な生成物には著作権が発生しないと整理されている点にも留意が必要です。生成AIで作成したコンテンツを納品物として提供する企業では、成果物について顧客に権利を保証できない、あるいは第三者の模倣を排除できないという事態が生じ得ます。

　実務上は、(1)特定の作家名・作品名を指定した生成を行わない、(2)対外的に公表する成果物（広告、Webサイト、納品物等）に用いる場合は既存著作物との類似を確認する、(3)生成AIを利用した旨と生成過程の記録を残す、の3点をルール化することが考えられます。文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月）が、立場ごとの具体的な確認項目を示しており参考になります。

　利用サービスを限定しない運用はリスクが大きい一方、過度に制限すれば、従業員が私物端末や個人アカウントで会社の管理外の利用を始める、いわゆるシャドーIT化を招きかねません。会社が契約したサービスを指定したうえで、少なくとも次の点を規約・契約で確認しておくべきです。

また、生成AIを取り巻く環境の変化は速く、サービス側の規約や仕様も頻繁に変わります。ルール自体の見直し時期（半年〜1年ごと）をガイドラインに明記するとともに、指定サービスの規約変更を確認する担当を決めておくことが望ましいでしょう。

　第一に、ひな形の流用です。公開されているテンプレートには、自社がどのサービスをどの業務で利用するのか、どの契約条件を確認済みなのかが反映されておらず、そのままでは現場で機能しないことが少なくありません。第二に、全面禁止です。禁止された環境ほど、統制の及ばないところで利用が広がる傾向があります。第三に、策定して終わりにしてしまうことです。配布のみで周知を欠いたルールは機能せず、簡潔なものでよいので社内研修とあわせて導入することが肝要です。

　筆者自身、契約書レビューの下調べや文書作成の補助など、生成AIを日常的に業務で利用しています。従来であれば関連資料の確認から始めていて、場合によっては数時間かかっていた作業も、まずたたき台が数分で手元に届き、人間は「確認と判断」に集中できるようになりました。その経験からも、生成AIのリスク管理の要点は、利用しない理由を並べることではなく、契約条件の確認を踏まえて安心して利用できる範囲を明確に線引きすることにあると考えています。適切な線引きができている企業ほど、生成AIの活用が円滑に進んでいるというのが実感です。

　生成AIの社内ガイドラインは、特に以下の5項目を自社の実態に即して具体化することが重要です。

※本記事は一般的な情報提供であり、個別の法的助言ではありません。具体的な事案については個別にご相談ください。