生成AIを組み込んだSaaSや業務支援サービスの企業利用が広がり、法務・情報システム部門には「このAIサービスを業務で使ってよいか」「利用規約のどこを確認すべきか」という判断が日常的に求められるようになりました。
入力したデータがAIの学習に使われないか、秘密情報や個人情報を入力してよいか、生成物の権利は誰のものか、トラブル時に提供者はどこまで責任を負うのか。確認すべきポイントは通常のSaaS契約より多岐にわたります。
経済産業省は2025年2月に「AIの利用・開発に関する契約チェックリスト」を公表しており、企業側が確認すべき契約条件の指針も整いつつあります。
本記事では、AIサービスを導入・利用する企業の立場から、利用規約・契約条件のどこを、どのような基準で確認すべきかを、公的資料に基づいて条項カテゴリごとに解説します。
- 入力データがAIの学習・サービス改善などに利用されるかを確認する
- 秘密情報・個人情報を入力する場合の条件やデータ管理を確認する
- 生成物の権利帰属や第三者の権利を侵害した場合の責任を確認する
- 免責・損害賠償上限、規約変更、契約終了後のデータ処理まで確認する
記事執筆：中澤泉（弁護士）
なぜ生成AI・AIサービスの利用規約確認が重要なのか
生成AIサービスには、通常のSaaSとは異なる特有の確認ポイントがあります。そこでまず、生成AIサービスの利用にあたり、利用規約の確認が特に重要となる3つの理由を整理します。
理由①：入力したデータがAIの学習などに利用される可能性がある
生成AIサービスでは、利用者が入力したプロンプトやデータが、モデルの学習やサービス改善に利用される場合があります。通常のSaaSであれば、預けたデータはあくまで利用者のために保管・処理されるのが一般的ですが、生成AIでは入力データそのものがサービス側の改善に使われ得る点で、情報管理の前提が変わります。
理由②：生成物が第三者の権利を侵害するリスクがある
AIが生成した文章や画像が、既存の著作物などと類似し、第三者の著作権その他の権利を侵害する可能性があります。
生成物を業務で利用する場合には、こうした権利侵害が生じたときに、誰がどの範囲で責任を負うのかを、あらかじめ利用規約で確認しておくことが重要です（詳細は第4章）。
理由③：利用規約が頻繁に変更される
AIサービスは、機能や仕様のアップデートが速く、それに伴って利用規約やデータの取扱い方針も頻繁に更新される傾向があります。
規約確認の指針になる公的資料
AIサービスの利用規約を確認する際は、いくつかの公的資料が参考になります。
まず、経済産業省の「AIの利用・開発に関する契約チェックリスト」（2025年2月公表）は、AIサービスを利用する企業が確認すべき契約条件を整理した資料です。また、総務省・経済産業省の「AI事業者ガイドライン」は、事業者が自主的に取り組むべき考え方をまとめた指針です（同ガイドラインは継続的に改訂されており、2026年3月に第1.2版が公表されています。ただし法的拘束力のない指針である点に留意が必要です）。
入力データ・プロンプトの取扱いを確認する
利用規約レビューで最初に、そして最も丁寧に確認したいのが、入力データ・プロンプトの取扱いです。ここを押さえておかないと、「何を入力してよいか」の社内ルールが決められません。
学習・サービス改善への利用の有無とオプトアウト
まず確認したいのは、入力したデータがモデルの学習やサービス改善に利用されるかどうかです。具体的には、次のような観点を規約やデータ利用ポリシーで確認します。
- モデルの学習・再学習に利用されるか
- サービス改善・品質向上を目的として利用されるか
- 学習利用の設定は、デフォルトでオンかオフか
- 利用者が学習利用を停止（オプトアウト）できるか
- オプトアウトに料金その他の条件が付くか
- API経由の利用と通常のプランとでデータの取扱いが異なるか
注意したいのは、「法人向けプランだから安心」「APIだから学習されない」といった名称やイメージだけで判断しないことです。
実際には、適用される規約やデータポリシー、管理画面の設定によって取扱いが変わり得るため、名称ではなく個々の記載と設定内容を確認することが必要です。
なお、各サービスの利用規約は変更されることがあるため、最新の内容を確認したうえで利用しましょう。
保存期間・監視目的の利用・第三者提供の有無
学習利用を停止した場合でも、それだけで安心はできません。多くのサービスでは、不正利用や悪用の監視を目的として、入力内容を一定期間保存し、必要に応じてサービス提供者やその委託先が閲覧する場合があります。
そのため、学習利用の有無に加えて、保存期間はどのくらいか、保存場所はどこか、誰がどのような目的でアクセスするのか、削除の方法はあるか、といった点を確認しておく必要があります。
あわせて、入力データが外部の事業者やサブプロセッサに提供されないか、外部のモデルへ自動的に送信される仕組みがないか、その連携先はどこかも確認しておきたいポイントです。
規約と実際の設定・プライバシーポリシーの整合性
規約の本文だけを読んでも、データが実際にどう扱われているかまではわかりません。利用規約に加えて、プライバシーポリシー、データ処理に関する条項、APIに関するデータ利用方針、そして管理画面上の学習オフ設定などを、あわせて確認することが大切です。
規約本文だけでは「学習に利用しない」と読めても、別の設定では学習利用がオン（データが学習に使われる状態）になっている、あるいは別のポリシーで例外が定められている、というケースも考えられます。
確認した内容は、次のような観点で記録・整理しておくと、規約変更時の見直しにも役立ちます。
| 確認項目 | 規約・ポリシーのどこを見るか | 確認できないときの対応 |
|---|---|---|
| 学習利用 | 利用規約・データ利用ポリシーの「学習」「モデル改善」に関する条項、管理画面の学習オフ設定 | 機密情報等を入力しない、またはサービス提供者に照会する |
| サービス改善利用 | 「品質向上」「サービス改善」目的の記載、対象データの範囲 | 利用目的・対象データ・オプトアウトの可否を確認する |
| 監視目的の保存 | 不正利用・悪用防止に関する記載、保存期間、アクセスできる主体 | 保存期間とアクセス条件を確認する |
| 第三者提供・外部送信 | サブプロセッサ一覧、外部モデルへの送信、連携先に関する記載 | 提供先と利用目的を確認する |
| オプトアウト可否 | オプトアウトの方法、対象プラン、料金・条件の有無 | 既定の設定内容と変更手順を確認・記録する |
| 規約と実態の整合 | プライバシーポリシー・データ処理条項と管理画面上の設定内容 | 設定画面を記録し、変更があった場合に管理できるようにする |
秘密情報・個人情報のデータ管理を確認する
入力データの取扱いを確認したら、次に「そもそもどの情報を入力してよいか」を、秘密情報と個人情報の観点から整理します。
秘密保持契約（NDA）・営業秘密との整合性
他社から預かった秘密情報や自社の営業秘密をプロンプトに入力する際は、特に注意が必要です。利用規約上、入力データがAIモデルの学習やサービス改善などに利用される場合、秘密保持契約（NDA）の内容によっては、秘密保持義務や目的外利用の禁止に抵触するおそれがあります。
また、不正競争防止法上の「営業秘密」として保護を受けるためには、情報が秘密として管理されていること（秘密管理性）が要件の一つとなります。そのため、生成AIサービスへの入力についても、秘密情報をどのように取り扱うかを社内で適切に管理することが重要です。従業員が特段のルールなく秘密情報をAIサービスへ入力できる状態は、秘密管理性の観点からも望ましくありません。
したがって、生成AIを業務で利用する場合には、入力してよい情報・入力してはいけない情報の範囲を明確にしたうえで、利用者のアクセス権限、利用申請、従業員への教育、利用ログの管理などの社内ルールを整備することが重要です。
個人データの入力と第三者提供・委託の整理
生成AIサービスに個人データを入力する場合、まず確認すべきなのは、その入力が個人情報保護法上の「第三者提供」に当たるかどうかです。第三者提供に当たる場合には、原則として本人の同意など、同法上の要件を満たす必要があります。
この点について、個人情報保護委員会も、生成AIサービスへの個人データの入力に関して具体的な注意喚起を行っています。個人情報取扱事業者が本人の同意を得ずに個人データを含むプロンプトを生成AIサービスに入力する場合には、その個人データが応答結果の出力以外の目的で取り扱われないことなどを十分に確認する必要があるとしています。たとえば、入力した個人データがサービス提供者による機械学習やサービス改善などに利用される場合には、第三者提供に関する規制との関係が問題になります。
もっとも、生成AIサービスに個人データを入力したからといって、常に第三者提供に当たるわけではありません。サービス提供者が入力された個人データを取り扱う場合でも、その取扱いが利用企業から受託した業務の範囲内にとどまるのであれば、「委託」として整理できる場合があります。この場合、個人情報保護法上の第三者提供には当たりません。
また、サービス提供者が契約上も実態上も個人データを取り扱わず、適切なアクセス制御が講じられている場合には、いわゆる「クラウド例外」として、そもそも個人データの「提供」に当たらないと整理できる場合があります。
ただし、「学習に利用しない」とされているだけで、当然に委託やクラウド例外に当たるわけではありません。利用規約やデータ処理条項、サービス提供者によるデータへのアクセスの有無・方法などを確認し、委託として整理できるのか、またはクラウド例外に該当するのかを個別に判断することが重要です。
国外移転・委託先（サブプロセッサ）の確認
生成AIサービスの提供者が海外の事業者である場合や、海外のサーバー・委託先を利用している場合には、データがどの国・地域で処理・保存されるのかを確認することが重要です。あわせて、サブプロセッサの名称・役割や、その変更時の通知方法も確認しておきましょう。
個人データを国外の事業者などに提供する場合、個人情報保護法第28条により、原則として本人の同意が必要です。その際、移転先の外国の制度や提供先が講じる保護措置などの情報提供も求められます。
もっとも、移転先の国・地域自体が一定の保護水準にあると認められている場合や、提供先との契約などによって適切な個人データの取扱体制が確保されている場合には、原則とは異なる取扱いとなります。
本人の同意が必要か、例外的な取扱いが認められるかは、移転先や提供先の状況を踏まえて個別に確認する必要があります。
AI生成物の知的財産権・利用条件・第三者権利侵害時の責任
ここまでは、生成AIサービスに入力するデータについて確認してきました。次に確認したいのが、AIから出力される生成物の扱いです。生成物を業務で利用する場合には、誰にどのような権利が帰属するのか、第三者の権利を侵害した場合に誰が責任を負うのかを確認しておく必要があります。
生成物の権利帰属と利用条件
利用規約では、生成物（出力結果）の権利を利用者に帰属させる定めが置かれていることが多い一方、商用利用の制限、生成AIを利用した旨の表示義務、第三者への提供制限などが設けられている場合があります。そのため、権利が誰に帰属するかだけでなく、どのような条件で利用できるのかまで確認することが重要です。
なお、規約上、生成物の権利が利用者に帰属するとされていても、その生成物に著作権法上の著作物性が認められるかは別の問題です。著作物性の有無は、生成の過程や内容などに応じて個別に判断されます。
生成物が第三者の権利を侵害した場合の責任
生成AIサービスの利用規約上、生成物が第三者の権利を侵害していないかは、原則として利用者側で確認するとされていることが多いです。生成物を業務で利用する場合には、特に次の点を確認しておきましょう。
- 提供者が「生成物は第三者の権利を侵害していない」と保証しているか（非侵害保証）
- 権利侵害が生じた場合の補償（インデムニティ）があるか。また、その条件・上限・除外事由はどうなっているか
- クレームが発生した場合の通知や防御への協力などの手続が定められているか
近時は、一定の条件のもとで著作権侵害に伴う損害を補償するサービスもあります。ただし、補償の範囲や条件はサービスによって異なるため、「補償あり」という表示だけでなく、その内容まで確認することが重要です。
保証・免責・損害賠償上限などの責任条項
生成AIサービスの利用規約には、出力内容の正確性に関する保証の有無、サービス停止時の免責、損害賠償責任の範囲や上限などが定められています。そのため、トラブルが生じた場合に、提供者がどこまで責任を負うのかを確認しておくことが重要です。
性能保証と免責の範囲
生成AIは、事実と異なる内容（ハルシネーション）を出力することがあります。そのため、多くの利用規約では、出力の正確性・完全性や特定目的への適合性を保証しない旨が定められています。
こうした保証・免責の内容を確認したうえで、重要な業務では出力をそのまま利用せず、人による確認を業務フローに組み込むことが重要です。必要に応じて、生成物の根拠や正確性を確認する運用も整えておきましょう。
損害賠償上限と例外
責任条項に損害賠償額の上限が定められていないかも重要な確認ポイントです。たとえば、直近一定期間に支払った利用料を上限とするなど、提供者の賠償責任が限定されている場合があります。
あわせて、その上限が適用されない場合があるかも確認しましょう。秘密保持義務違反や個人情報の漏えい、第三者の知的財産権侵害などについて別の取扱いが定められていることがあります。また、故意や重大な過失がある場合には上限の適用が制限される可能性もあります。
規約変更・契約終了・社内運用の確認
生成AIサービスは、利用規約や機能、データの取扱いが変更されることがあります。そのため、規約変更への対応や契約終了時のデータの取扱い、社内での継続的な利用管理まで見据えておくことが重要です。
規約変更への備え
サービスの利用規約が変更される場合に備えて、変更の通知方法や効力発生日、重要な変更があった場合に解約・利用停止ができるかを確認しておくことが重要です。
あわせて、社内で定期的に規約を確認する担当者を決め、利用中のプランや学習利用の設定、規約の変更履歴などを記録しておくと、契約条件の変更にも対応しやすくなります。
契約終了時のデータ削除・持ち出し
契約終了やアカウント削除の際には、入力データ、プロンプト履歴、生成物、ログなどがどのように扱われるかを確認しておく必要があります。
具体的には、データがいつ・どのように削除されるのか、削除を確認できるか、必要なデータを事前にエクスポートできるかといった点です。契約終了後も不要なデータが残ったり、必要なデータを取り出せなくなったりしないよう、あらかじめ確認しておきましょう。
規約確認とあわせて整備したい社内運用
利用規約を確認するだけでは、現場での誤入力や権限管理の不備まで防ぐことはできません。生成AIを安全に利用するには、規約の確認とあわせて社内運用を整備することが重要です。
具体的には、入力してはいけない情報のルール、利用申請・承認のフロー、アカウントやアクセス権限の管理、利用者への教育、ログの記録、出力内容の確認手順などを定めておくことが考えられます。規約が変更された場合には、必要に応じてこれらの運用も見直しましょう。
次章では、ここまでの確認ポイントを、導入前に使えるチェックリストとして整理します。
7. 法人利用前の確認事項チェックリスト（総まとめ）
ここまでの確認ポイントを、導入時にチェックしやすいよう一覧にまとめました。検討しているサービスに当てはめながら、順に確認してみましょう。
| カテゴリ | 主な確認項目 |
|---|---|
| ① 利用目的 | 社内利用か、自社サービスへの組込みか、商用利用が認められているか |
| ② 入力データ | 学習・サービス改善・監視への利用、保存期間、入力してはいけない情報 |
| ③ データ処理・国外移転 | サービス提供者・外部委託先、処理・保存される地域、国外移転の有無 |
| ④ 個人情報・セキュリティ | 第三者提供・委託の整理、本人同意の要否、安全管理措置 |
| ⑤ 生成物 | 権利帰属、商用利用、生成AI利用の表示義務、第三者提供の制限 |
| ⑥ 品質・責任 | 正確性に関する保証・免責、非侵害保証、補償、損害賠償上限とその例外 |
| ⑦ 契約管理 | 準拠法・管轄、規約変更の通知・効力、契約終了時のデータ削除・エクスポート |
| ⑧ 社内運用 | 利用申請・承認、権限管理、利用者教育、ログの記録、出力内容の確認手順 |
こうした確認は、法務部や情報システム部などの関係部門が連携し、利用規約やプライバシーポリシー、各種設定を一元的に管理しながら継続的に行うことが重要です。
なお、ここまで挙げてきた確認ポイントは、生成AI専用のサービスだけに当てはまるものではありません。近年は、電子契約サービスのような既存の業務サービスでも、AIやMCP（Model Context Protocol）との連携が進んでいるためです。
たとえばGMOサインは、2026年6月にMCPサーバーの提供を発表し、2026年秋ごろの一般提供を予定していると公表しています。こうしたAI連携機能を業務に取り入れる場合にも、入力データの取扱いや生成物の利用条件、責任範囲、社内運用など、本記事で挙げたポイントを同様に確認する必要があります。
※提供時期や機能は変更される可能性があるため、利用時には最新の公表情報をご確認ください。
まとめ
生成AIサービスを業務で使う際は、「法人向けプランだから」「利用規約に学習に利用しないと書かれているから」という理由だけで安心するのは禁物です。
入力データが誰によって、どのような目的で、どの程度の期間、どの地域で取り扱われるのかをはじめ、秘密情報・個人情報の取扱い、生成物の権利や利用条件、第三者の権利を侵害した場合の責任、免責・損害賠償上限、規約変更や契約終了時のデータの取扱いまで、利用規約や関連するポリシーで確認することが重要です。
また、利用規約は変更されることがあるため、導入時に確認して終わりではなく、社内の利用ルールやアカウント管理とあわせて継続的に見直す体制を整えておきましょう。経済産業省などが公表する資料も参考にしながら、自社の利用目的やリスクに応じた確認体制を整えることが大切です。個別の契約条件の判断や交渉が必要な場合には、弁護士などの専門家への相談も検討するとよいでしょう。
執筆：中澤泉（弁護士）
2015年に中央大学法科大学院を修了し、2016年に弁護士資格を取得。弁護士事務所にて債務整理や交通事故、離婚、相続など幅広い案件を担当。その後、大手メーカーでのインハウスローヤーを経て、現在は弁護士として主に企業法務に携わる。その傍らでライターとしても活動し、2025年に合同会社ことりうみを設立。同社にて法律記事の執筆・監修を手がけている。専門性と読みやすさを両立したコンテンツ制作が強み。
