生成AI Q&A｜よくある質問と回答

Question 1

クライアントに送ったラフを無断で生成AIに入力され、別の画像を作られました。著作権侵害を主張できますか？

原 智輝 · Accepted Answer

端的に言えば、著作権侵害を主張できる場面である可能性は十分にあります。「ラフだから」という理由で権利が失われることは著作権法上ありませんし、ラフを渡した時点で著作権が発注者に移転するわけでもありません。そして、そのラフを生成AIに入力して完成品に近づけていく行為には、AI関連の権利制限規定である著作権法30条の4は及びません。ただし、生成された画像が「アイデアだけをなぞった別の絵」になっている場合は、結論が変わり得ます。検討すべき論点は、①ラフの著作物性と権利の所在、②生成AIへの入力行為の評価、③許諾されていた利用範囲、④生成物の類似性・依拠性、の4点です。以下、順に整理します。① ラフの著作物性と権利の所在著作権法は、ラフか完成品かという完成度によって保護の有無を区別していません。分かれ目は創作性の有無、この一点です。ラフであっても、そこに創作行為が認められるのであれば、その時点で著作物として扱われ（著作権法2条1項1号）、著作権および著作者人格権は制作者に帰属します。そのうえで押さえておきたいのが、ラフを相手方に渡した時点で何が起きているのか、という点です。契約書等で「ラフ案についても著作権を譲渡する」といった定めを置いていないのであれば、ラフを提示しただけで著作権が移転することはありません。データを送付した事実と、権利を渡した事実とは別だということです。② 生成AIへの入力行為と著作権法30条の4生成AIに他人の著作物を入力する行為との関係で問題になるのが、著作権法30条の4です。同条が利用を認めているのは、著作物に表現された思想又は感情を自ら享受し、又は他人に享受させることを目的としない場合、すなわち情報解析の用に供する場合などに限られます。では、ラフをより完成度の高いものに仕上げたいという利用はどう評価されるか。これは他人の著作物を土台として新たな著作物を生み出そうとする意図にほかならず、享受目的にあたります。したがって同条の権利制限は及ばない、という整理になります。AIへの入力だから30条の4で許される、という理解は成り立たないという点です。③ ラフの提示によって許諾されていた利用範囲契約書がない場合、どこまでの利用が許諾されていたかはケースバイケースの判断になります。もっとも、一般的な意思解釈として、クリエイターがラフを提示する際に想定している利用範囲はかなり限定的です。ラフの内容を確認する、最終的な掲載先に当てはめて見え方を検証する、その程度のトライアル的な利用にとどまるのが通常でしょう。ラフを用いて発注者側が独自に完成させることまでは、黙示のライセンスの範囲に含まれていないと考えるのが一般的です。そうすると、ラフを無断で利用して製品化・完成させる行為は、ラフに付随するクリエイターの著作権を侵害していると評価されるのが通常の整理となってきます。④ 「まったく別の絵」になっていた場合の境界線実務上もっとも判断が難しいのがこの場面です。検討するのは依拠性と類似性の2点で、とりわけ問題になるのは類似性です。すなわち、ラフに表れた創作的な部分が、生成AIを通じて出力されたものから感得できるかどうか。端的に言えば、模倣といえるかどうかという判断になります。権利行使が難しいのは、アイデアのみが流用された場合です。たとえばキャラクターデザインの依頼を受け、「動物、なかでも犬でいく」という方向性をラフで提示したとします。発注者がそのラフ自体は使用せず、「犬のキャラクターで進める」というアイデア部分だけを採用して、独自に別の犬のキャラクターを制作した。この場合、著作権が及ぶのは表現であってアイデアではありませんから、著作権侵害の主張は難しいことになります。一方、ラフで提示した犬そのものを生成AIに入力し、そこからさらに別の犬を生成していった場合は評価が変わります。ケースバイケースではあるものの、著作権侵害の余地が生じてきます。この辺りが境界線になってくるわけです。著作権以外の枠組み著作権の枠外でも問題になり得る点は、押さえておいてよいと思います。参考になるのが、いわゆるバンドスコア事件（東京高判令和6年6月19日）です。同判決は、バンドスコア自体は著作権法による保護を受ける著作物に該当しないとしたうえで、採譜に費やされた多大な時間・労力・費用へのフリーライドを重く見て、一般不法行為の成立を認めました（一審の東京地判令和3年9月28日は不法行為を否定しており、控訴審での判断の変更です）。クリエイターが労力をかけて生み出した成果にただ乗りしようとする行為については、著作権以外の法的枠組みも関連してくる。そうした議論があるという程度には、認識しておく意味があります。予防策と、発注者側が果たすべき役割予防策は王道ですが、契約書です。ラフ案の著作権の帰属と、どこまでの利用を認めるのかをあらかじめ定めておく。これに尽きます。契約書がないまま問題が生じている場合でも、立場が弱いわけではありません。個人として受託している方であれば、フリーランス・事業者間取引適正化等法（特定受託事業者に係る取引の適正化等に関する法律）により、発注者側に取引条件の明示義務が課されています（法3条）。すでに述べたとおり、著作権も原則としてクリエイター側にあります。そうであれば、その利用を適法な状態に整えるための権利義務のクリーンアップは、発注者側が行うべき事柄である場合が多いということになります。まずは事実関係と法律関係を冷静に整理したうえで、対応を検討されることをおすすめします。発注者側の視点も付け加えておきます。ラフを自社のイメージする完成品に近づけるために生成AIを利用すること自体は、許容され得ます。問題は許容範囲の画定です。判断の順序は明快で、契約書があれば契約書に従う、なければクリエイターが許諾していると合理的に考えられる範囲で使う、というものです。ラフのみを受領して自ら完成させる、ラフを別の商品に横展開する、こうしたクリエイターが想定していない使い方は、その範囲を超えます。そして、認識に相違が生じそうだと感じた段階で、契約書の文言を明確化しておくことが重要です。これはクリエイター側が担うべき作業というより、発注者側が動かなければならない領域だという点を、あわせて意識しておく必要があります。発注者の立場から同種の問題を扱った内容はこちらのQ&Aで、業務委託契約に盛り込むべき条項はこちらのQ&Aで解説しています。ラフや中間成果物の取扱いを含めた契約書の整備については、tAiL.法律事務所（サービス一覧）までご相談ください。※本記事は一般的な情報提供であり、個別の法的助言ではありません。／出典：著作権法（e-Gov法令検索）／執筆：弁護士 原智輝（福岡県弁護士会）／tAiL.法律事務所代表

Question 2

ChatGPTやTeamsで取引先との会議を録音してもよい？相手の同意は必要？

原 智輝 · Accepted Answer

取引先との会議では、録音を始める前に相手方へ告知し、同意を得た上で利用する運用が適切です。クラウド型の議事録AIを使う場合は、単に「録音します」と伝えるだけでなく、AIによる文字起こしや要約にも利用することを明示した方がよいでしょう。もっとも、会議のたびに利用規約やセキュリティ資料を確認してもらうことは現実的ではありません。利用するサービス、契約プラン、社内設定をあらかじめ確認した上で、会議開始時には重要事項だけを短く表示する方法が考えられます。録音とAIによる文字起こしは情報の流れが異なる端末のレコーダーで音声を録音する場合と、クラウド型の議事録AIを使う場合とでは、情報の流れが異なります。議事録AIでは、会議の音声が外部事業者のクラウドへ送信され、文字起こしされたテキストが、要約や論点整理などのAI処理に渡されることがあります。そのため、参加者にとって重要なのは、録音されるかどうかだけではありません。どのサービス、契約プランを利用するのかAIによる文字起こしや要約が行われるか何のために利用するかどの程度保存されるかAI事業者のモデル学習に利用されるか誰が閲覧・共有できるかこれらは、参加者が会議でどこまで情報を話すかを判断する材料になります。会議開始時には重要事項を短く表示するすべての取扱条件をポップアップに記載すると、かえって読まれなくなります。そこで、会議開始時には、例えば次のような表示を行う方法があります。本会議は、議事録作成のため録音され、AIによる文字起こし・要約が行われます。利用サービス：Microsoft Teams利用プラン：Microsoft 365 Business Standard利用目的：議事録の作成および会議内容の確認保存期間：90日AI事業者によるモデル学習：なし共有範囲：主催者および指定された参加者［同意して参加する］［録音・AI処理を希望しない］［情報の取扱いを確認する］生成AI利用ポリシーやプライバシーポリシーを設けている場合は、詳しい処理内容、削除方法、問い合わせ先などを別ページに記載し、ポップアップから確認できるようにします。短い表示と詳細なポリシーを分けることで、参加者の確認負担を抑えながら、必要な情報を提供できます。なお、「AI事業者によるモデル学習」とは、利用企業が会議内容を自社内で検索・分析することではなく、サービス提供事業者が自社モデルの訓練や改善にデータを利用することを指します。相手方が議事録AIを使う場合にも注意する自社が議事録AIを使う場合だけでなく、取引先から録音される場合にも注意が必要です。システム上「録音中」と表示されても、単純な録音なのか、AIによる文字起こし・要約まで行われるのかは分からないことがあります。処理内容や情報の取扱いが不明な場合は、秘密保持義務の対象となる情報、第三者から預かっている情報、外部AIに送信されたくない独自ノウハウなどを話さないという判断も必要です。健康情報などの要配慮個人情報や、漏えいした場合に回復が難しい機密情報を扱う会議では、録音やAI処理を断ることも検討すべきでしょう。海外の動向も意識する米国では、州によって録音に必要な同意の範囲が異なり、参加者全員の同意を求める州もあります。欧州でも、個人データの利用目的、保存期間、共有先などを明らかにすることが重視されています。日本でも今後、単なる「録音中」という表示ではなく、利用サービス、契約プラン、AI処理、保存期間、モデル学習の有無、共有範囲などを簡潔に示す運用が標準的になっていく可能性があります。まとめ取引先との会議でChatGPTや議事録AIを利用する場合は、録音前に告知し、相手方の同意を得る運用が適切です。その際は、録音することだけでなく、AIによる文字起こしや要約を行うことも伝えましょう。会議ごとに詳細な審査を行うのではなく、利用環境を事前に確認し、会議開始時には、利用サービス、契約プラン、利用目的、保存期間、モデル学習の有無、共有範囲などの重要事項を短く表示する方法が、実務上採用しやすいと考えられます。議事録AIの導入時に確認すべきセキュリティ、NDA、個人情報、社内ルールなどの全体像については、「【議事録AI】DX担当者の導入調査20時間を1記事に。『導入して大丈夫です』と言い切れる完全ガイド」で詳しく解説しています。※本記事は一般的な情報提供であり、個別の法的助言ではありません。具体的な対応は個別に専門家へご相談ください。執筆：弁護士 原智輝（福岡県弁護士会）／tAiL.法律事務所代表

Question 3

AIエージェントと生成AI（ChatGPT）は何が違いますか？中小企業は何から任せるべきですか？

原 智輝 · Accepted Answer

結論：生成AIは「出力」、AIエージェントは「作業の完了」を依頼するものです通常の生成AIでは、質問や資料を入力し、文章、要約、調査結果などを出力してもらいます。これに対してAIエージェントでは、「見積書を作る」「名刺情報を顧客名簿へ登録する」「データを分析して記事案を作る」といった作業そのものを依頼します。普通の生成AIが答えや成果物を返すものであるのに対し、AIエージェントは目的を達成するための一連のタスクを実行するものと考えると分かりやすいでしょう。AIが手順を考え、必要なツールを選びますAIエージェントは、依頼された目的を達成するために、必要な作業を分解し、使用するツールを選びます。例えば、アクセスデータを取得し、既存記事を確認し、新しい記事テーマを検討して、原稿案を作成するといった複数の工程を処理します。こうした外部アプリケーションとの連携には、MCP、API、各サービスのコネクタなどが利用されます。推論する生成AIと、外部システムを操作する仕組みが組み合わさることで、単なる回答ではなく、作業の実行が可能になります。最初に任せる業務は、4つの基準で選びます中小企業が最初にAIエージェントへ任せる業務は、次の基準で選ぶべきです。第一に、契約、人事、送金など、法律上の権利義務へ直接影響する業務ではないことです。第二に、失敗しても人間が発見し、修正や取消しができることです。第三に、作業手順を言葉で説明でき、社内マニュアルや判断基準を用意できることです。第四に、導入・開発・運用費用を回収できるだけの効果が見込めることです。情報発信や集客分析は、導入効果を確認しやすい分野です導入初期には、公開情報の収集、アクセスデータの分析、記事テーマの検討、原稿案の作成などが候補になります。情報発信にも著作権、秘密保持、広告表現などの注意点はありますが、外部公開前に人間が確認できます。また、問い合わせや売上の増加など、導入効果を測定しやすい点も利点です。当事務所でも、アクセスデータ、検索クエリ、既存記事をAIエージェントに確認させ、記事企画から原稿作成、承認後のCMS投稿までを一連の業務として処理しています。技術的に可能でも、費用に見合うとは限りません例えば、会議後に議事録を作り、TODOを整理し、参加者のスケジュールへ登録することは技術的には可能です。しかし、会議数が少ない企業では、エージェントの開発費用、利用料、保守費用に見合わない可能性があります。「できるか」だけでなく、人件費の削減、処理時間の短縮、売上や問い合わせの増加など、金銭的な効果を確認する必要があります。契約条件の最終判断、人事評価、支払処理、会計・顧客データの削除などは、導入初期から完全自動化すべきではありません。まずは、失敗しても戻せる、手順を説明できる、効果を測定できる業務から始めるのが適切です。執筆：弁護士 原智輝（福岡県弁護士会）／tAiL.法律事務所代表

Question 4

MCPとAPIは何が違いますか？生成AIと業務システムをつなぐならどちらを使う？

原 智輝 · Accepted Answer

結論：MCPとAPIは、どちらか一方を選ぶ関係ではありませんAPIは、異なるアプリケーション同士が情報をやり取りしたり、相手の機能を利用したりするための仕組みです。これに対してMCP（Model Context Protocol）は、生成AIが外部のデータや機能を共通の方法で利用するための標準規格です。既存のAPIをMCPサーバーの内部から呼び出す構成も多いため、「APIの代わりにMCPを使う」というより、APIなどの機能を生成AIから使いやすい形に整えるものと考えると分かりやすいでしょう。MCPは、AI向けの共通接続規格従来のAPI連携では、接続するサービスごとに通信方法や操作方法を確認し、個別にプログラムを作る必要がありました。MCPでは、外部システムの機能を「ツール」として一定の形式で生成AIに提示します。生成AIは、利用可能なツールの名称、説明、必要な入力項目を確認し、依頼内容に応じて使うツールを選択できます。これは、機器ごとに異なっていた接続端子をUSB Type-Cのような共通規格にそろえる発想に似ています。固定された単純作業なら、従来のAPI連携で足ります毎日決まった時間に同じデータを取得し、同じ場所へ保存するような処理であれば、生成AIに判断させる必要はありません。処理手順が最初から決まっている場合は、従来型のAPI連携やワークフロー自動化の方が、トークン費用もかからず、動作も安定しやすいでしょう。複数のサービスを横断して判断するなら、MCPと相性がよい一方で、生成AIが依頼内容を読み取り、複数のサービスから必要なツールを選び、状況に応じて処理手順を変える場合は、MCPを採用する価値が高くなります。例えば、データを取得し、内容を分析し、その結果に応じて文章を作成して別のシステムへ投稿するような業務です。こうした処理を従来型のプログラムだけで実現しようとすると、多数の条件分岐や処理手順をあらかじめ記述する必要があります。tAiL.法律事務所での活用例当事務所では、Google Analytics、Google Search Console、既存記事を管理するヘッドレスCMSをMCPで生成AIにつないでいます。生成AIは、アクセスデータや検索クエリを確認し、既存記事と重複しないテーマを検討し、原稿の構成を整え、承認後にCMSへ投稿します。従来は、人が各サービスを順番に開いてデータを確認し、テーマを考え、原稿を作り、表示崩れを確認しながら投稿する必要がありました。MCPを利用することで、複数のサービスを横断する一連の作業を、自然言語による指示を起点として進められるようになります。判断基準は、単純です。処理が固定されているなら通常のAPI連携、生成AIが複数のツールを選びながら処理するならMCPが有力です。

Question 5

生成AIを業務で使うのが少し不安です。最低限、何に気をつければ安全に使えますか？

原 智輝 · Accepted Answer

端的に言うと、コツは「いきなり実データで使わない」ことです。生成AIが怖いのは、多くの場合、本物のデータを入れるからです。まずはダミーデータで成果が出るかを確かめ、いけそうなら実データに付いている権利義務を確認してから本番に移す。この2段構えにするだけで、御社が感じているハードルはぐっと下がります。まずはダミーデータで試す生成AIで成果が出るかも分からない段階から、機密情報や顧客の個人情報を入力する必要はありません。使いたい業務のデータについて、項目は本物と同じで中身はダミーにしたデータを用意し、それで「どんな成果が出るか」をまず検証してみてください。車をいきなり公道で走らせず、まず試運転するのと同じ発想です。この段階なら、情報漏洩も営業秘密の流出も起こりません。ここで期待どおりの成果が出たら、次のステップに進みます。成果が出たら「データに付着する権利義務」を確認する実データに移す前に、そのデータにどんな権利義務が付いているかを洗い出します。生成AIの業務利用で問題になりやすいのは、主に知的財産に関する権利です。具体的には、次の4つを確認してください。著作権：他人の著作物（文章・画像・コードなど）をそのまま入力したり、生成物に混入させたりしていないか（著作権法）。営業秘密：自社や他社の秘密情報を入力することで、不正競争防止法上の「秘密管理性」を損なわないか。営業秘密とは、秘密として管理され（秘密管理性）、有用で（有用性）、公然と知られていない（非公知性）情報をいいます（不正競争防止法2条6項）。守秘義務：NDAや取引先との契約で負っている秘密保持義務に反しないか。肖像権・パブリシティ権：人物の写真や氏名など、他人の権利を侵害しないか。洗い出した論点それぞれに、対応を決めていきます。たとえば「その情報は入れない」「加工・匿名化してから入れる」「本人や取引先の同意を取る」「契約で手当てする」といった具合です。やみくもに不安がるのではなく、データごとに論点を特定してつぶしていく——これが、安全に使うための近道です。まとめ安全に始める順番は、次の3ステップです。①ダミーデータで成果を検証する（実データはまだ入れない）。②成果が出たら、実データに付着する権利義務（著作権・営業秘密・守秘義務・肖像権／パブリシティ権）を棚卸しする。③論点ごとに対応を決める（入れない／加工／同意取得／契約で手当て）。生成物の著作権については AIで生成した画像をSNSのアイコンや商用利用しても大丈夫？ で、社内ルールの作り方は 会社で生成AIの利用ルールを作りたい。最低限入れるべき項目は？ で解説しています。自社の生成AI利用ルールや契約の点検は サービス一覧 からご相談ください。※本記事は一般的な情報提供であり、個別の法的助言ではありません。具体的な対応は個別に専門家へご相談ください。出典：不正競争防止法（e-Gov法令検索）。執筆：弁護士 原智輝（福岡県弁護士会）／tAiL.法律事務所代表

Question 6

業務委託先（制作会社・コンサル等）が、当社が渡した資料を無断で生成AIに入力していました。契約違反や情報漏洩を問えますか？

原 智輝 · Accepted Answer

端的に言えば、契約違反や情報管理上の責任を問える可能性は十分にあります。生成AIが急速に普及する一方で、その利用まで踏まえたコンプライアンス体制を整えている会社はまだ多くありません。委託先が御社の資料を無断でAIに入力していたのなら、責任を問える場面は少なくないというのが実務での実感です。ただし、何をどこまで問えるかは、御社が渡した資料に「どんな法的権利・義務が付着しているか」で変わってきます。付着する論点は、大きく営業秘密・個人情報・著作権の3つに分かれます。多くの企業の委託契約ひな形は生成AIの利用を想定して作られていないため、AIへの入力がこの3つのいずれかに抵触する可能性は想像以上に大きいのです。以下、軸ごとに要点を整理します。① 営業秘密・秘密保持3つのなかで最も違反を問いやすいのがここです。秘密保持義務の判断で押さえたいのは、「委託先とAI事業者の間に秘密保持契約があるか」は本質ではない、という点です。秘密保持契約の目的は、委託先が預かった情報をそもそも第三者に開示・提供しないこと自体にあります。ですから、その先の相手と別途NDAがあるかどうかにかかわらず、無断で外部AIに入れた時点で違反になりやすい、というのが基本的な考え方です。委託先が預かったデータを外部AIに入力する行為は、御社に無断の「再委託（第三者への提供）」にあたりうると構成することも十分に可能です。もっとも、契約に「一定の条件では第三者に開示できる」という例外があることもあり、その例外に生成AIの利用を読み込めるかどうかが実務上の関心どころになります。② 個人情報渡した資料に個人データが含まれていた場合、委託先のAI利用環境によっては委託先自身が個人情報保護法に違反しうるほか、御社の側も委託先に対する監督義務（法25条）を果たしていないとして責任を問われうる、という「預けた側にも火の粉が飛ぶ」構造になっています。③ 著作権資料を生成AIにアップロードする行為そのものが問題になり得ます。サービスによっては、利用規約上、入力・生成したコンテンツについて提供者側にサービス改善などの目的で広くライセンスを与える建て付けになっていることがあります（動画生成AIの個人向けプランなどで見られます）。結果として、御社の著作物が事実上「広く使える状態」で外部に渡ってしまう、という抵触が起こり得ます。発覚したときにまずやることいきなり責任追及に進むのではなく、まず事実確認から入ることをおすすめします。委託先に問い合わせる：監督義務の一環として、あるいは報告を求める形で、「生成AIを利用しているか」をまず確認します。利用環境を確認する：使っている場合は、どのサービス・どのプランか、どんな用途で、御社のどの情報を読み込ませる場面で使っているのかを軽く把握します。事実に応じて対応を決める：理解できる使い方であれば、契約書の一部修正や現状に即したルールの再設定を行います。看過できない使い方であれば改善を依頼し、最悪の場合は法的責任について協議する、という順序です。いずれにしても、契約書を「AIを想定した内容」に整えておくことが、こうしたトラブルを未然に防ぐ最短ルートになります。生成AIと個人情報保護法の「クラウド例外」の考え方はこちらのQ&Aで、DPAとNDAの違いはこちらのQ&Aで解説しています。委託契約やNDAを生成AI時代に合わせて見直したい場合は、tAiL.法律事務所（サービス一覧）までご相談ください。※本記事は一般的な情報提供であり、個別の法的助言ではありません。／出典：個人情報の保護に関する法律（e-Gov法令検索）／執筆：弁護士 原智輝（福岡県弁護士会）／tAiL.法律事務所代表

Question 7

取引先の契約書に「生成AI利用禁止」条項が入っていた。そのまま結んで大丈夫？

原 智輝 · Accepted Answer

この記事は、取引先から示された契約書に「生成AI利用禁止」条項が入っていた場合に、締結前に何を確認すべきかを整理した内容です。制作会社・開発会社・士業など受託側の立場の方が読むことで、安易に飲んで後で困らないための判断軸を得られます。まず「本当に結んでいいのか」を立ち止まって考える生成AIの利用を禁止する条項が入っていたら、締結前に「これは本当に結んでいいのか」ということはしっかり考えたいところです。もちろん契約の有効期間や、その取引が自社にどれくらい影響を与えるのか、そのあたりは特に慎重に見ます。たとえば他の企業との取引で生成AIを使っていると、今回の相手から怪しまれることにもなりかねません。だからこそ、結構慎重に判断するところです。相手が「本当に禁止したいもの」は何かを分解する一口に「AI利用禁止」と言っても幅がありますよね。そこで、取引先が本当に禁止したいものは何なのか、という点に注目します。その際は取引の性質を当然踏まえながら確認していくことになります。これは機密データを扱うからなのか、それとも個人情報を扱うからなのか――そういったところを分解していくと、その条項が本当は何を禁じたいのかが見えてきます。安易に飲むと危ないケース安易に飲むと危ないのは、他の類似の受託業務で既に生成AIを使っているようなパターンです。使う場合と使わない場合とが今後混在してくることがあるので、これは気をつけた方がよいでしょう。将来使う予定がある場合も、これと同じです。また、基本取引契約や、有効期間の更新があるような契約でも、安易に飲むのは危険です。後から「生成AIを使わせてください」となっても、いったん「使いません」と約束した契約を締結してしまった後では、契約自体の修正が必要になります。この手間は面倒ですし、相手が嫌がれば既存の条件のまま続けざるを得なくなります。そういった意味でも、大きな負担が回ってくることになります。逆に「気にしすぎ」なケース逆に、気にしすぎなのはその反対のケースです。短い契約期間だったり、そもそも近い将来も含めて生成AIを使うような業務領域ではない、という場合は、飲んでも問題ないでしょう。また、禁止する範囲が明確化されている場合も、過度に気にしなくてよいと思います。たとえば、自社のバックオフィスでは生成AIを使っているけれど、今回の契約書で禁止されているのはあくまで業務委託の範囲に限られていて、その業務委託ではそもそも生成AIを使うような環境ではない――こういった場合です。禁止の射程が自社の実態と重ならないなら、必要以上に身構えることはありません。一律の正解はなく、ケースバイケースで判断するこうした条項の相談を受けたときは、当たり前のようですが、きめ細かく見ていくことが必要になります。相手が生成AIを禁止した理由は何なのか、取引の性質としてどういう内容の取引なのか、どういうデータがやり取りされる可能性があるのか――そういったところをいろいろ踏まえた上でアドバイスすることが多いです。一律の正解というものよりも、ケースバイケースで判断していくことが重要になってきます。取引先から示された契約書の生成AI禁止条項について、飲んでよいか・どう修正を求めるか迷われている場合は、tAiL.法律事務所にご相談ください。「使わせない」ためではなく、安全に攻めるための整理をお手伝いします。サービス一覧はこちら※本記事は一般的な情報提供を目的としたものであり、個別の法的助言ではありません。実際のご判断にあたっては個別にご相談ください。執筆：弁護士 原智輝（福岡県弁護士会）／tAiL.法律事務所代表

Question 8

DPAとNDAは何が違いますか？生成AIを導入するとき、両方必要ですか？

原 智輝 · Accepted Answer

この記事は、生成AI導入時によく混同される「DPA」と「NDA」の違いを整理した内容です。契約実務でどちらを気にすべきか迷っている経営者・法務担当の方が読むことで、自社が扱う情報のカテゴリーに応じて、どこを見ればよいかの判断軸を得られます。そもそもDPAとNDAは「ジャンルが違う」端的に言うと、DPAとNDAは、そもそも扱っているジャンルが全然違う契約です。DPA（Data Processing Agreement／データ処理契約）は「個人情報」に関する文脈で使われる用語で、受け取った個人情報をどのように扱うのかというルールを定めるものです。一方でNDA（Non-Disclosure Agreement／秘密保持契約）は「秘密情報」――秘密にしたい情報をどのように管理するのかを定めるものです。守るものが、個人情報なのか営業秘密などの秘密情報なのか、という点で最初から役割が分かれているわけです。「片方があれば片方が要らない」という関係ではないそのため、「NDAを結んでいればDPAは要らない」「DPAがあればNDAは要らない」という理屈は成り立ちません。両者は代わりになる・ならないという関係にないからです。判断の軸はシンプルで、そのプロジェクトで何を扱うのか、という情報のカテゴリーで考えていただければと思います。秘密情報を扱うならNDA、個人情報を扱うならDPA的な取り決め、両方扱うなら両方が問題になる、という整理です。なぜ個人情報だと別の取り決めが必要になるのか個人情報の場合にDPA的な取り決めが問題になるのには、法律上の理由があります。個人情報保護法25条は、個人データの取扱いを外部に委託する場合、委託元に対して「委託先への必要かつ適切な監督」を義務づけています。この監督義務の主語は委託する側（委託元）であり、委託先で漏えいが起きた場合には委託元自身も同法26条の報告義務を負う立場になります。つまり、秘密保持とは別に、「預けた個人情報が適切に扱われるようにする」ことが法律上求められる――ここがNDAではカバーしきれない部分です。ただし生成AIでは「独立したDPA」を結ぶ場面はほぼないもっとも、生成AIの利用に関して言うと、独立したDPAをレビューするという場面は現実にはあまり多くありません。というのも、生成AIの場合、こうしたデータの取扱いルールはモデルの利用規約に内蔵されていることがほとんどだからです。個別にDPA契約書を巻くのではなく、提供事業者の規約・ポリシーの中に組み込まれている、という形が一般的です。一方でNDAは今、生成AIとの関係で見直しが必要これに対してNDAは、生成AIとの関係でむしろチェックの必要性が高まっています。最近は生成AIを使った情報処理が非常に進んでいるので、NDAのレビューを依頼されたときには、私はまず「その業務で生成AIを使いますか？」と確認します。使うのであれば、生成AIに情報を入れることを想定した条項になっているか――それ相応の手当てが入っているかどうかをチェックします。従来のNDAのひな形は、生成AIに情報を入力する場面を想定していないことが多いためです。実務でよくある失敗：ルールを知らずに進めてしまう中小企業やスタートアップで実際によくある失敗は、そもそも個人情報保護法や営業秘密（不正競争防止法）、取引先とのNDAで取得した情報の扱いといった、データに関連する基本的なルールを知らないために、対策を怠ってしまう、あるいは知らないままプロジェクトを進めてしまう、というケースです。悪意があるわけではなく、単純に「何がルールなのか」を把握しないまま走り出してしまうのが典型例です。レビューの入口は「何のデータを扱うか」からだからこそ、私が相談を受けたときにまず確認するのは「そのプロジェクトで何のデータを扱うのか」です。個人情報を扱っているということであれば、最初に見るのはまずプライバシーポリシーで、ここから始まっていくことが多いです。秘密情報であればNDA、そして生成AIを使うのであればその利用規約――という順に、扱う情報のカテゴリーを起点に確認していきます。御社が今どのカテゴリーの情報を、どのツールで扱おうとしているのか。そこさえ整理できれば、必要な手当ては見えてきます。生成AIの導入にあたって、NDAやプライバシーポリシー、利用規約のどこを見ればよいか迷われている場合は、tAiL.法律事務所にご相談ください。「使わせない」ためではなく、安全に攻めるための整理をお手伝いします。サービス一覧はこちら※本記事は一般的な情報提供を目的としたものであり、個別の法的助言ではありません。実際のご判断にあたっては個別にご相談ください。執筆：弁護士 原智輝（福岡県弁護士会）／tAiL.法律事務所代表

Question 9

社員が会社に無断でChatGPTを使ってトラブル。会社の責任になる？

原 智輝 · Accepted Answer

結論：放置は危険。責任は基本的に「会社」が負う可能性が高いです会社が正式に導入しないまま、社員が個人アカウントで生成AIを業務に使う「シャドーAI」の放置は、非常に危険です。情報が漏れた場合、民法の使用者責任などにより、責任は基本的に会社が負う可能性が高いといえます。「禁止」と書くだけでは足りず、適切に活用しながら統制する方向で整えることが大切です。① 放置は「重要情報を従業員の手元に預けている」のと同じ自社や取引先のデジタル資産を、会社の管理外にある個人アカウントで読み込ませ、処理している状態です。重要な情報、とりわけ顧客の重要情報を従業員個人の携帯や自宅に預けるような信頼は、本来置けないはずです。放置すれば情報管理が杜撰になり、退職時や本人経由での漏洩・共有も容易に起こり得ます。② 責任は基本的に「会社」が負う一次的には入力した従業員の責任だとしても、民法の使用者責任により、会社が責任を負う可能性が高くなります。「社員が勝手にやった」で済む話ではありません。③ 「AI禁止」と書くだけでは免責されないルールが無いのは論外ですが、作れば足りるわけでもなく、実際に運用できているかが問われます。そもそもAIを使わない選択は事業の競争力や伸びしろを大きく削ぐため、禁止ではなく「適切に使う」方向で考えるべきです。④ 取引先の情報なら、契約違反・損害賠償のリスクNDA（秘密保持契約）を結んでいる取引先の情報を入力すれば、契約違反に該当し、損害賠償・取引の解消・説明責任を求められる可能性が十分あります。自社情報の放置は自社責任で済んでも、取引先の情報を杜撰に扱っていたとなれば、取引先から情報管理の責任を問われ、情報の性質次第では損害賠償として算定されることもあり得ます。⑤ 漏れた（かもしれない）ときの初動と、これからの備えまず専門家を入れて現状把握を行います。ログの解析など、どの情報にどのような形で生成AIがアクセスしたのか、事実関係を特定することが第一です。次に、その事実をもとにどの契約・法令・信頼関係に抵触しているのかを法的に分析し、その結果として個人情報保護委員会への報告や取引先への事情説明へと進みます。ここは専門家を入れるべき場面です。そして全面禁止ではなく、生成AIの社内規程を整備し、従業員のリテラシーを高めることで、うまく活用しながらコントロールしていくことをおすすめします。

Question 10

AIで契約書を作ったけど、何をチェックすればいい？

原 智輝 · Accepted Answer

結論：AIが作った契約書は「たたき台」。実態とのズレを人の目で確認しましょう最近のAIは、契約書「そのもの」の出来はかなり良くなっています。本当の落とし穴は、どのような指示（プロンプト）で作らせたか――つまり、自社の取引の実態をAIに正しく伝えられているかにあります。出てきた契約書をそのまま使うのではなく、実態とのズレがないかを人の目で確認することが大切です。① 契約書の“中身”より“作らせ方”が盲点モデルの性能向上により、法律事務所や公的機関の情報まで踏まえた回答が出るようになり、条項レベルの明白な不備は減ってきています。むしろ危ないのは利用者側です。自社の取引フローやサプライチェーン、「この取引で何を契約に落とし込むべきか」は、法律にある程度慣れていないと見落としがちです。さらに、AIは自社が過去に結んできた契約や運用の履歴を知りません。そのため、既存の契約との整合性が取れていない契約書が出てくることも考えられます。ここがモデルの問題とは別の、意外な盲点です。② ざっくり指示は「実態とズレた契約書」を生む「売買契約書を汎用で作って」といった雑な指示は要注意です。よく確認すると、実態は物（有体物）ではなくデータのような無体物だったり、物よりも役務（サービス）提供が中心だったり、あるいは本人が認識していないライセンス（知的財産権）が絡んでいたりすることがよくあります。ざっくりしたプロンプトでは、こうした肝心の部分が抜け落ちたり、重大な齟齬を生んだりします。その結果、あなたの置かれた状況と違う前提でAIが出力してしまいます。専門家が入る意味は、取引の事実関係やリスクを把握したうえで、正しい指示に落とし込む点にあります。③ ハルシネーションは減ったが、ゼロではないハルシネーションのリスクは年々下がっており、一般的な条項で不自然な内容は出にくくなっています。ただし、重要な概念や独自の用語を扱う場合、汎用的でない業界の契約では、依然として注意が必要です。④ 最後に：専門家の“使いどころ”は変わってきていますAIが作った契約書は「完成品」ではなく「たたき台」と考えてください。契約書関連の書籍やデータベースサービスも充実し、契約書を作成すること自体は以前より格段に便利になりました。しかし便利になったのはあくまでツールであり、どのツール（どの契約類型）を選ぶのが最適かを分析する分野はなかなか発展していません。だからこそ専門家のニーズは、単なるチェックから、どのような契約を選ぶべきか・どのような取引設計にすべきかというフレームワークへの助言へとシフトしてきているのかもしれません。取引金額が大きい、継続的な取引、初めての相手、知的財産やデータが絡むといったケースでは、この段階から専門家に相談することをおすすめします。

Question 11

クライアントがAI動画を「自社制作」と偽って公開している。問題にできる？

原 智輝 · Accepted Answer

結論：3つのチェックを順に確認することで、法的主張ができるかどうかが分かります① まず「著作物」として認められるかAI動画が著作権法上の著作物として保護されるためには、クリエイターの「思想または感情を創作的に表現した」もの（著作権法2条1項1号）である必要があります。単純なプロンプトの入力にとどまる場合は著作物と認められない可能性がありますが、企画・構成・演出・編集などにクリエイターの創意工夫が反映されている場合は著作物として保護される余地があります。まずこの点の見極めが出発点です。② 著作者人格権が自分に帰属しているか著作者には、財産的権利である著作権のほかに、人格的利益を保護する「著作者人格権」が認められます（著作権法18条〜20条）。著作者人格権には以下の3つが含まれます。公表権（未公表の著作物を公表するかどうかを決める権利）、氏名表示権（著作物に自分の名前を表示するかどうかを決める権利）、同一性保持権（著作物を意に反して改変されない権利）。「自社制作と偽って公開された」というケースでは、このうち氏名表示権の侵害が問題になります。ただし、著作者人格権が自分に帰属するのは、職務著作（著作権法15条）が成立していない場合に限られます。フリーランスとして受注した業務委託であれば職務著作は成立しないため、著作者人格権はクリエイター自身に帰属します。③ 契約書に著作者人格権の不行使条項がないか実務上、多くの業務委託契約には「著作者人格権を行使しない」旨の不行使条項が盛り込まれています。この条項がある場合、氏名表示権を根拠とした主張が困難になります。契約書を確認し、不行使条項の有無と範囲を確かめることが必要です。なお、不行使条項があったとしても、著作者の名誉・声望を害するような利用については、著作権法上別途問題となり得ます（同法113条11項）。不行使条項が「何でも許される」というわけではありません。

Question 12

AI画像・動画の生成をクライアントから依頼されたが、「イメージと違う」と何度もリテイクを求められる。法的に断れる？

原 智輝 · Accepted Answer

結論：「何が合格か」が契約で決まっていなければ、無制限のリテイクに応じる義務はありません① AI生成特有の事情：「イメージ通り」を保証できない技術的理由がある生成AIによる画像・動画制作には、従来の手作業による制作とは根本的に異なる特性があります。同じプロンプトを入力しても出力は毎回異なり、細かな表情・動き・色調の微調整には限界があります。そのため「イメージと違う」というクライアントの主張が、クリエイターの技術的な瑕疵なのか、AIの技術的限界によるものなのかを区別することが重要です。この区別が、リテイク要求に応じる義務の有無を左右します。② フリーランス新法が適用される場合：条件明示の有無が鍵フリーランスとして企業から受注している場合、特定受託事業者に係る取引の適正化等に関する法律（フリーランス新法）3条により、発注者（企業側）には契約時に給付内容を書面等で明示する義務があります。この「給付内容」の明示が具体的であれば、その水準を満たしているかどうかが履行の判断基準となります。逆に、明示がない場合や「クオリティの高い動画」のような抽象的な記載にとどまる場合は、求められている水準が客観的に判断できないため、クリエイター側は「債務不履行には当たらない」と主張する余地が生まれます。つまり、発注者が条件明示義務を果たしていないことが、クリエイター側の防御根拠にもなり得るのです。③ フリーランス新法が適用されない場合でも同じ理屈が使えるフリーランス新法の適用対象外の取引（法人間取引など）でも、民法上の委任契約における受任者の善管注意義務（民法644条）の観点から、同様の主張が可能です。受任者は「契約の趣旨に従い」善良な管理者の注意をもって業務を行えば足り、契約締結時に合意されていない水準での修正を強いられる義務はありません。当初の合意に具体的な品質基準が設けられていなかった場合、後から一方的に高い水準を要求することは、不当な条件の追加として認められない可能性があります。④ 実務上の予防策：契約書での事前合意が最大の防御リテイクトラブルを防ぐために、契約書または発注書に以下を明記することを強く推奨します。修正回数の上限（例：「修正は〇回まで」）、合否判断の基準（主観的評価ではなく客観的な仕様）、AIの技術的制約に起因する仕様変動の免責、上限を超えた修正対応は別途費用が発生する旨。すでにトラブルになっている場合は、当初の発注内容と現在の要求内容を文書で整理し、「契約の範囲を超えた要求である」ことを具体的に示すことが交渉の第一歩です。

Question 13

クライアントが「納品動画をAI学習に使う」と言ってきた。断れる？

原 智輝 · Accepted Answer

結論：著作権法だけでは止められない可能性が高く、契約条項が唯一の実務的な手段です① 著作権法30条の4により、学習利用は原則として許容されている日本の著作権法30条の4は、著作物を「享受目的」ではなく情報解析などに利用する場合、著作権者の許諾なく使用できると定めています。生成AIの学習データとしての利用はこの規定の典型例とされており、日本が「AI学習パラダイス」と呼ばれる背景にもなっています。そのため、クリエイターが著作権者であっても、クライアントがこの要件を満たす形で学習利用を行う場合、著作権上の権利だけでは止めることができないのが現状です（ただし、著作権者の利益を不当に害する場合は例外とされています）。② 「同様の動画を出力させる目的」なら話は別もっとも、クライアントが「納品動画に似た映像をAIに生成させるため」に学習利用しようとしている場合、それは「享受目的」に該当し得ます。この場合は30条の4の適用外となり、著作権侵害を主張できる可能性があります。実務上、このような目的での学習利用はさほど多くないと思われますが、念頭に置いておくべき論点です。③ 契約条項による学習利用禁止が実務上の有効な手段著作権法の規定にかかわらず、当事者間の契約で「AI学習への利用を禁止する」旨を定めることができます。これにより、仮に著作権法上の主張が難しい場面でも、契約上の債務不履行として法的請求を行う根拠を確保できます。ここで生じる論点が「著作権法30条の4は契約で排除できるか（任意規定性の問題）」です。平たく言えば、「法律が認めた学習OKのルールを、当事者間の契約で『うちのデータは除外』と定めることができるのか」という問いです。現在は契約による学習禁止を有効とする見解が主流ですが、すべての場合に認められるかは今後の議論・判例の蓄積が待たれる分野です。④ 納品済みで契約書に何も書いていない場合は？すでに納品が完了しており、契約書に学習利用に関する定めがない場合、著作権上の根拠がない限り事後的に禁止することは困難です。ただし、クライアントが「同様の映像を生成させる目的」での利用を意図しているなら、享受目的として著作権侵害を主張できる余地があります。今後のトラブルを防ぐためにも、新規の受注契約には「AI学習利用禁止条項」を盛り込んでおくことを強く推奨します。

Question 14

AI動画制作の業務委託契約書に、何か特別な条項を入れておくべき？

原 智輝 · Accepted Answer

結論：通常の業務委託契約に加え、AI特有のリスクに対応した4つの条項が必要です① AIの技術的特性に関する仕様合意動画生成AIは、特定の表情や細かなモーションの微調整が困難なケースがあります。このような技術的制約をあらかじめ契約書に明記し、AI特性に起因する仕様上の限界については過剰な修正要求の対象外とすることを双方で合意しておくことが重要です。② 使用ツール・コストの明確化以下の3点を契約書に具体的に記載することを推奨します。使用するAIサービス名（Runway・Luma AI等）とプラン（個人プランか法人プランか）の明記。AIサービスの月額利用料や生成に必要なクレジットが報酬に含まれるのか、別途実費請求とするのかの明確化。追加生成によりクレジットを超過した場合の費用負担ルールの規定。また、AIサービスの利用規約が変更され（商用利用の停止など）制作に支障が生じた場合、受注者はその責任を負わない旨の免責条項も合わせて設けておくべきです。③ 著作権不発生の免責条項AI生成物については、クリエイターの創作的寄与の程度によっては著作権が発生しない場合があります。そのため、「生成AIを使用した成果物については、著作権法上の著作物として成立しない場合があることを発注者は了解するものとする」という趣旨の条項を入れておくことを推奨します。これにより、納品後に「著作権がないから代金を返せ」といったクレームを防ぐことができます。④ 第三者権利侵害に関する限定保証条項生成AIは学習データに含まれる第三者のコンテンツを意図せず出力に反映することがあります。そのため、「受注者は意図的な権利侵害を行わないことを保証するが、AIの出力に起因する第三者の権利侵害については無制限の損害賠償責任を負わない」という限定保証の形で設計しておくことが実務上有効です。AI動画制作の契約書に盛り込むべき具体的な条項の文例については、以下の記事で詳しく解説しています。詳細はこちら：AI動画制作の業務委託契約書で押さえるべきポイント

Question 15

クライアントから「AI動画で作って」と依頼されたけど、納品物の著作権はどうなるの？

原 智輝 · Accepted Answer

結論：著作権はクリエイターに帰属しますが、「譲渡できない」リスクに注意が必要です① 創作性があればクリエイターに著作権が帰属するAI動画の制作には、企画・プロンプト設計・編集・演出など、複数の工程が関わります。これらの工程においてクリエイターの個性の発露といえる創作性が認められる場合、AIの出力であっても著作物として扱われ（著作権法2条1項1号）、その著作権はクリエイターに帰属します。一方、単純なプロンプト入力にとどまり、クリエイターの創意工夫が見られない場合は著作権が発生しない可能性があります。文化庁も、AI生成物への著作権保護については「人間の創作的寄与」の有無によって判断されるとの見解を示しています。② 業務委託のフリーランスには職務著作は成立しない著作権法15条は「職務著作」として、法人の業務に従事する従業員が職務上作成した著作物の著作権は法人に帰属すると定めています。しかし同条は「その法人等の業務に従事する者」であることを要件としているため、外部の個人事業主（フリーランス）として受注したクリエイターには職務著作は成立せず、著作権はクリエイター自身に帰属します。③ 契約書には著作権・著作者人格権の取扱いを明記する上記のとおり、業務委託では著作権がクリエイター側に帰属するため、発注企業としては契約書で著作権の譲渡またはライセンスを取り決めておく必要があります。また、著作者人格権（同一性保持権・氏名表示権など）は著作権法59条により譲渡できないとされているため、「著作者人格権を行使しない」旨の不行使特約を契約書に盛り込むことが実務上一般的です。なお、フリーランス新法（特定受託事業者に係る取引の適正化等に関する法律）においては、著作権の譲渡を求める場合はその対価も含めて契約時に明示することが求められており、業務報酬とは別に意識しておく必要があります。④ クリエイター側は「著作権不発生の免責条項」を検討するAI生成物については著作権が発生しない場合があるため、クリエイター側の保護として、契約書に「生成AIを使用した成果物については著作権の発生を保証しない」旨の免責条項を入れておくことを推奨します。これにより、後から「著作権がなかった」ことを理由にクレームを受けるリスクを軽減できます。

Question 16

SlackやTeamsで社員の個人情報や顧客情報をやり取りしても個人情報保護法上問題ないですか？

原 智輝 · Accepted Answer

結論：データの保存場所（レジデンシー）を日本国内に設定すれば、リスクを大幅に下げられます① なぜ「どこに保存されるか」が重要なのか個人情報をSlackやTeamsなどのクラウドサービスで取り扱う場合、データが日本国内に保存されるか、海外サーバーに保存されるかが法的に重要なポイントです。個人情報保護法28条は、外国にある第三者への個人データの提供について、原則としてあらかじめ本人の同意を求めています。現在の主要クラウドサービスの多くは米国発であり、米国は「我が国と同等の水準にある」と委員会規則で認定された国ではないため、データが米国サーバーに保存・送信される場合、同条の適用を受ける可能性があります。② SlackもTeamsも「日本リージョン」を選択できるこうした懸念に対応するため、SlackもMicrosoft Teamsも、プランによってデータの保存場所（データレジデンシー）を日本国内に設定することができます。Slackの場合、Japan Data Residency対応プランを申し込む際に、Tokyo（プライマリ）・Osaka（バックアップ）を選択できます。データを日本国内で完結させることで、28条の越境移転規制を受けずに運用できます。【参考画像】③ 生成AI・MCPを使う場合は追加確認が必要近時、SlackのMCP（エージェント機能）活用が注目されています。この場合、自身の端末とSlack間の通信だけでなく、生成AIやMCPサーバーという別の要素が間に介在するため、それらのサービスにおいてもデータのレジデンシーやセキュリティポリシーを個別に確認する必要があります。

Question 17

動画生成AIで作った映像、「著作権がないから自由に使える」って本当ですか？

原 智輝 · Accepted Answer

結論：「自分に著作権がない」ことと「自由に使える」ことはまったく別の話です① まず「二次創作」の著作権構造を理解しましょう著作権法では、既存の著作物をもとに創作したものを「二次的著作物」と呼びます。二次的著作物には、新たに付け加えた創作部分について創作者自身の著作権が発生します。しかし同時に、元の著作物（原著作物）の著作者の権利も生きたままです。つまり二次創作とは、原著作権の上に自分の著作権が重なった「二重構造」の状態です。この構造において、原著作者の許諾なく二次創作物を作成・利用すれば、原著作権の侵害になります。② 生成AIの場合、自分に権利すら生まれないことがある一般的な二次創作であれば、少なくとも自分の創作部分には権利が発生します。しかし生成AIを使った場合、文化庁の見解では「人の創作的関与」がなければ著作物性が認められません。プロンプトを入力してボタンを押しただけ、という場合、生成物に自分の著作権は認められない可能性があります。その結果どうなるか。元素材の著作権は侵害している可能性がある一方、自分には何の権利も発生していない、という「リスクだけを負う状態」になりえます。③ 「自分の権利があるか」と「他人の権利を侵害していないか」は別の問題よくある誤解が「生成AIの出力物には著作権がないから自由に使える」というものです。しかしこれは二つの問題を混同しています。「自分に著作権が認められるか」という問題と、「他人の著作権を侵害していないか」という問題は、独立した別軸の話です。どちらか一方が解決されても、もう一方が自動的に解決されるわけではありません。両方が同時に問題になりうる点に注意が必要です。現在の議論の多くは前者（自分の権利が認められるか）に集中しがちですが、後者（元素材への侵害）は前者の議論とは無関係に成立します。「著作権がない＝誰も傷つけていない」ではなく、「著作権がない＝侵害しているだけで自分には何も残らない」という最悪の状態もありえるのです。

Question 18

Google Flowに入力した内容はGoogleに見られるの？

原 智輝 · Accepted Answer

結論：見られる可能性はあります。ただし条件付きです。Google Flowのプライバシーノーティスには、品質改善のために人間のレビュアーが入力内容や出力結果を読み、注釈をつけることがあると明記されています。ただし、その際はGoogleアカウントとは切り離した状態で行われるとされています。① 2026年5月19日から何が変わるのかGoogle Flowから届いた変更通知と現行のプライバシーノーティスを比較すると、3つの重要な変更があります。データ保存期間——「18ヶ月」から「削除するまで無期限」へ現行ポリシーではデフォルトで最大18ヶ月保存とされていますが、5月19日以降はプロンプト・アップロードファイル・生成した動画・画像・メタデータが、削除するまでGoogleに保存される仕組みに変わります。能動的に削除しない限り、データが永続的に蓄積されます。履歴トグル——「保存しない」選択肢がなくなる現行では「Enable History」トグルをオフにすれば入力内容を保存させないことができましたが、変更後はこのトグルが廃止されます。新しいトグルで選べるのは「品質改善へのデータ利用を許可するかどうか」だけで、そもそも保存させないという選択肢はなくなります。既存データの扱い——オプトインに注意5月19日以前に入力したデータは当面は旧ポリシー（18ヶ月制限）が継続されます。ただし今後、既存データを新ポリシーに移行するオプトインが提供される予定です。通知が来たときに内容をよく確認せず同意してしまうと、過去のデータも無期限保存の対象になります。② Workspaceの法人プランなら安全？Workspaceの法人契約であれば、入力データが生成AIモデルのトレーニングには使われないとGoogleは明言しています。ただし、これは「学習に使わない」という話であって、データの保存自体は行われます。また、サービス品質改善を目的としたアクセスは契約上許容されています。③ 実務上の対応Google Flowを使用して企業の動画などを作成する場合は、入力データを削除するかどうか、注釈がつく可能性を許容できるかどうかについて確認を取る運用が適切です。一つの実務的な対応として、使用したプロンプトと出力をGoogle Flowとは別の場所に保存したうえで、Google Flow上のプロジェクトからは削除するという方法が考えられます。これにより、Google側でのデータ蓄積を最小化しつつ、自社での記録は維持することができます。この際、切り離して保存したログをどの程度の期間保管しておくべきかについても、あらかじめ社内で方針を定めておくと良いでしょう。業務の性質や取り扱う情報の種類によって適切な保管期間は異なりますので、必要に応じて専門家に確認することをお勧めします。また5月19日以前からのユーザーにおいては、今後の動向に合わせてオプトイン通知への対応内容を手控えしておくと良いでしょう。本記事は2026年4月22日時点の情報をもとに作成しています。Google Flowのプライバシーポリシーおよび利用規約は今後変更される可能性があります。最新情報は公式ページ（labs.google/fx/privacy）をご確認ください。

Question 19

うちみたいな中小企業、「AI導入遅れ」で取締役が責任問われる時代なの？

原 智輝 · Accepted Answer

結論：生成AIの非導入が善管注意義務などに抵触する可能性はほぼありません。ただし事業競争力の観点からは、導入・非導入いずれの判断であっても資料分析を通じた検討が重要です生成AIの非導入が善管注意義務などに抵触する可能性はほぼありません。もっとも、事業競争力の観点からは別途留意が必要です。① 法的責任はほぼ生じないまず、多くの中小企業においては、オーナーが主な株主であり、取締役としての責任論を株主から受ける機会がそもそも少ないといえます。また、生成AIの事業活用については経営者の判断領域であり、生成AIの非導入が法的な責任を生じさせるほどに不合理と評価されることはほぼないでしょう。加えて、オーナーが主要株主であれば、取締役の解任などの議論も生じにくいと思われます。② 一方、事業競争力としては留意が必要中小企業においては、上記の理由から、株主などのステークホルダーからの圧力を、いい意味でも悪い意味でも受けづらい性質を持っています。生成AIの非導入を経営者として判断し、法的な責任は生じないとしても、会社の事業として競争力が相対的に低下することはあり得ます。③ 分析すべきは「ポジティブ」と「ネガティブ」の両面もっとも、生成AIの活用状況については、世界的に進行している一方で、生成AIによるポジティブなROIを示している企業はごく少数というデータもあります。つまり、多くの企業は生成AIを活用しきれていないというデータです。経営者としては、このようなポジティブ／ネガティブな資料をともに分析し、自社と生成AIとの関わりを考えるとよいと思われます。

Question 20

ChatGPTで契約書レビューしてる会社多いけど、弁護士法違反にならないの？

原 智輝 · Accepted Answer

結論：自社の契約書を自社のためにレビューする限り、利用者（ユーザー）が弁護士法違反になることはありません生成AIを用いた契約書レビューについて、弁護士法72条への抵触を主に検討すべきなのはサービスベンダー側です。これを利用するユーザーが弁護士法に問われることは、自己の契約関係のレビューであり、報酬を得る目的でもないため該当しません。① 弁護士法の検討は主にサービス提供者側の論点法務省も令和5年8月に「AI等を用いた契約書等関連業務支援サービスの提供と弁護士法第72条との関係について」を公表し、事業者が提供するサービスの設計を念頭に判断枠組みを示しています。利用するユーザー側は、自己の契約関係のレビューを行っているに過ぎず、「他人の法律事件」ではなく、また「報酬を得る目的」もないため、72条に該当しません。② 注意点1：学習データ基準時により情報が限定される生成AIは基本的に、学習データの範囲内に扱う情報が限定されます。そのため、法改正や新規ガイドライン等の最新情報を十分にキャッチアップしていない場合があります。これを補うためには、明示的にWeb検索によって外部情報を取り込む方法や、内部資料などにMCPやRAG等の手法を用いて情報を補充する方法があります。いずれの場合も、利用している生成AIがどの範囲の情報をベースとしているのかを強く意識する必要があります。③ 注意点2：生成AIの出力は確率的な予測である生成AIはその特性上、法的な思考ではなく、言語パターンによる確率的な予測に基づいて出力を行います。そのため、パターン化された条項を記述するような場面はともかく、法的思考を要する契約書作成やレビューにおいては、そもそも向いていない可能性があります。④ 注意点3：契約書の判断には正解がない生成AIが出力する契約書は、あくまでウェブやデータソースに基づいたパターンの出力です。目の前の案件においてどのような条項が適しているかは、ユーザー（人間）側で判断する必要があります。例えば「〇〇という義務を設定すべきかどうか」といった判断は、実際に取引現場にいる人物のほうが生成AIより判断に適している場合があります。この判断まで生成AIに委ねてしまうことは、客観的な正解のない契約条項の作成において、大きなリスクとなりえます。

Question 21

AI議事録ツール、取引先との会議で使ってもNDA違反にならない？

原 智輝 · Accepted Answer

結論：サービス側は法人プランで概ねクリアできますが、最大の盲点は利用者側（送信側）の情報管理判断にありますAI議事録ツールの導入判断には、受信側（クラウドサービス側）と送信側（利用者側）の二つの視点が必要です。サービス側は法人プランの利用やセキュリティ認証で概ねクリアできますが、見落とされがちなのは送信側の問題です。① 受信側（サービス側）は法人プランで概ねクリアできる受信側については、法人プランの利用やISO 27001・SOC 2 Type II・ISMAPといったセキュリティ認証の取得によって、データの目的外利用禁止、暗号化、テナント分離、保存期間、データレジデンシーといった管理体制が確認できます。大手サービスの法人プランであれば、この層の確認は概ね根拠のあるかたちでクリアできます。② 利用者側の注意点：秘密保持契約との抵触特に注意すべきは、秘密保持契約の相手との会議内容を生成AIに処理させる行為は、契約上の「第三者への開示」に該当しうるという点です。従来のクラウドストレージは「金庫を借りる」仕組みであり開示には当たらないと整理されてきました。一方、生成AIはデータに対して必然的に演算処理を行うため、ストレージとは本質的に異なります。既存のNDAに生成AI利用を想定した条項がない場合、議事録AIの使用自体が守秘義務に抵触するおそれがあります。③ 自社が「使われる側」になる場合の備え自社が議事録AIを使うだけでなく、相手方が議事録AIを使用する場面も想定する必要があります。相手方の情報保護体制が不十分な場合、自社の営業秘密の「秘密管理性」（不正競争防止法2条6項）が、自社のコントロールの及ばないところで損なわれるリスクが生じます。④ 安心した導入のための三つの条件次の三つが揃ってはじめて、安心して導入できます。サービスの体制確認（法人プラン・セキュリティ認証・データレジデンシー）社内規程の整備（同意取得ルール、NDAの条項整備、使われる側の対応方針）従業員リテラシーの向上（秘密保持契約がある相手との会議での確認手順の浸透）詳しくはこちらの詳細記事にまとめております。

Question 22

生成AIの出力をそのまま顧客に納品したら、何か問題ある？

原 智輝 · Accepted Answer

結論：利用規約と顧客との契約関係の2つの検討が必要です① 利用規約上の問題まず利用規約ですが、多くのサービスにおいて、生成AI出力物を人間の作成物のように扱うことを禁じており、生成AI出力物であることの明示を求めています。これは個人プラン、法人プランいずれにおいても同様です。そのため、生成AIの出力をそのまま、生成AIの出力であることを秘して提出する行為は利用規約違反の評価を受ける可能性があります。② 顧客との契約上の問題次に顧客との関係ですが、そのような納品物は契約上の業務履行として行われているはずであり、提出物が契約上の善管注意義務やその他の義務に適しているか確認する必要があります。ケースによっては、生成AIにただ出力させただけでは、求められている業務水準等に満たないものとして、債務不履行責任や契約不適合責任に発展するリスクがあります。

Question 23

AIで生成した画像をSNSのアイコンや商用利用しても大丈夫？

原 智輝 · Accepted Answer

結論：サービス利用規約上は商用利用可能が多いですが、制作過程が重要です画像や動画生成AIサービスの多くは、法人プランなどであれば商用利用可能としている場合がほとんどです。個人プランの場合はウォーターマークが入っていたり、利用規約上商用利用不可の記述があるため、まずは利用サービスの規約の確認を行いましょう。① 制作過程における著作権リスク次に画像やアイコンの制作ですが、プロンプトにおいて他者の画像やアイコンを入力している場合、制作行為が著作権違反となる場合があります。このような不適切な入力が行われた場合、利用規約違反行為として、商用利用はおろか、個人の利用すらサービスとしては認めていない扱いになる場合もありますのでご注意ください。② 意図せぬ類似リスクとIP補償なお、生成AIの特性上、出力された生成物が意図せず他人のアイコン等と類似する場合があります。一部のサービスにおいてはこのような場合におけるIP補償（知的財産権侵害補償）や、学習データがクリーン（違法な著作物が学習データに含んでいない）であることを謳っているサービスもありますので、利用用途に合わせたサービス選定が重要です。

Question 24

「Vibe Coding」って何？プログラミング未経験でもアプリが作れるって本当？

原 智輝 · Accepted Answer

結論：生成AIを用いて、コーディングを自然言語で行うことです生成AI活用の主な領域の一つとしてコーディング分野があります。従来、コーディングにはプログラミングの専門知識を多分に要し、エンジニアでなければWebサイトの構築も困難でした。① 自然言語からアプリを構築できる時代にこれを生成AIが自然言語からプログラムに変換し、「おしゃれな店舗のホームページを作って」「〇〇のようなゲームを作って」というプロンプトからサイトやアプリを構築することが可能となっています。② 後押しするサービスが続々リリースまた、これを後押しするサービスとして、CursorやGoogleのAntigravity等のサービスが次々とリリースされ、さらにアプリ開発等が身近になってきています。③ このWebサイトもVibe Codingで構築このウェブサイトもまた、このような生成AIを駆使して構築されている例の一つです。④ 事業利用では知的財産権に留意が必要他方で、身近になるあまり、コーディングや他人のアプリケーションに関するライセンスなどの知的財産権との距離も近くなり、ユーザーはそれを認識する専門知識を持たないこともあるため、事業としてVibe Codingを行う場合は、留意も必要です。

Question 25

会社で生成AIの利用ルール（ガイドライン）を作りたい。最低限入れるべき項目は？

原 智輝 · Accepted Answer

結論：使用可能な生成AIツールと入力情報を指定することです① 企業における生成AIリスクの2つの軸企業における生成AIリスクは、生成AIサービス側の情報管理、セキュリティ、プライバシー保護体制などの問題と、利用者側の生成AIにどのような情報を処理させるのかという2つの軸で整理されます。② ツールの指定と入力情報の範囲設定したがって、企業としてこれらを十分にコントロールするには、企業アカウントを用意して、従業員に対して会社が指定する安全性等が確認された生成AIツール以外のツール使用の禁止を求めることと、安全なツールだとしても入力する情報範囲を指定することで、営業秘密管理、第三者の秘密情報保護、著作権リスクの回避などを図ることが重要になります。③ 従業員リテラシーの向上その他、ツールと入力情報の設定がなされた場合でも、適切な運用がなされる必要があるため、従業員のリテラシー向上を規程で謳うことが推奨されます。

Question 26

AIが生成したハルシネーション（嘘情報）を信じて損害が出たら、誰に請求できる？

原 智輝 · Accepted Answer

結論：利用規約上ユーザーの責任となります① 生成AIの出力の仕組み生成AIは、入力された情報に対する回答を、確率的に予測して回答します。回答にあたっては学習データなどによって得られた情報をもとに自身のパラメータを調整して確率を算定しています。② ハルシネーションは構造上避けられないリスクつまり、ハルシネーションリスクは入力データやパラメータ設定（もとになる学習データ）次第で誤った回答が回答候補として出る場合もあり、逆に、データが正確でも一定の確率により異なる回答が選択される可能性を排除できず、生成AIの出力構造上、やむを得ず発生するリスクとなります。③ サービスプロバイダーは正確性を保証していないこのようなことから、詳細はお使いのサービスの利用規約に記載されている条項を確認することになりますが、ほとんどのサービスにおいては、生成AIの出力の正確性や最新性などについて、保証を行っておらず、その確認をユーザーに委ねています。

Question 27

AIで無断で作った有名人のフェイク動画、法的にどんな罪になる？

原 智輝 · Accepted Answer

結論：民事上及び刑事上の違反となる可能性が高い行為です① 刑事上の責任刑法上は、個人の人格を毀損する罪として、名誉毀損罪や、侮辱罪が挙げられます。コンテンツ内容によっては、著作権法違反（刑事罰）やわいせつ関係の刑事罰等に抵触することも考えられます。近時は公職選挙法上の違反の可能性も指摘されるところです。② 民事上の責任民事上は、個人の人格を毀損したことを理由に、損害賠償請求や、著作権法上の請求（差止請求など）に発展します。③ 刑事と民事の責任は両立するこのようにディープフェイクによる他者の権利の侵害は、刑事上の責任と民事上の責任は両立するものであり、刑事罰に加えて、民事上の損害賠償責任を問われるなど様々な方面において重い責任を負うこととなります。他者の肖像などを素材としてAI動画などの制作にあたる場合は、肖像利用について承諾書を得たり、公開する場合は事前確認を設けるなど慎重な人権への配慮が必要です。

Question 28

社員がChatGPTに社内情報を入力してしまった。情報漏洩になる？

原 智輝 · Accepted Answer

結論：社内体制次第で情報漏洩になりますChatGPTなどの主要生成AIサービスは個人プランと法人プランを分けており、後者は社内情報などのビジネスデータ活用ができるように、セキュリティやプライバシー、秘密保持条項などビジネスニーズに応えた利用規約を設定していますが、個人プランの場合はこれがありません。① 学習データオフでも不十分これは、個人プランの場合に学習データ提供をオフにしている場合も同様であり、学習データオフでは上記のビジネスニーズに対応できていないと評価される場合がほとんどと思われます。② シャドーAIのリスクそのため、もしChatGPTがいわゆるシャドーAIのように、会社の管轄外で起きた場合は情報漏洩ケースに発展し得る状況になります。③ 他者の秘密情報の場合は守秘義務違反のリスクなお、入力した情報が自社ではなく、他者の秘密情報である場合は、別途守秘義務違反のリスクが発生し、これはプランの問題ではなく、当該他者との秘密保持契約の問題になります。

Question 29

AIが書いたコードの著作権は誰のもの？

原 智輝 · Accepted Answer

結論：ケースバイケースです生成AIによるコーディング（いわゆるVibe Coding）におけるコードの著作権発生は、ケースバイケースです。① 著作物性が認められるかどうか生成AIを利用した場合に生成AI生成物に著作物性が認められるかどうかは、文化庁「AIと著作権に関する考え方について」において、「生成AIに対する指示が表現に至らないアイデアにとどまるような場合には、当該AI生成物に著作物性は認められない」とされています。創作性の判断においては、①指示・入力（プロンプト等）の分量・内容、②生成の試行回数、③複数の生成物からの選択などから総合的に判断されることとなります。② 現時点では不透明性がある裁判所の判断等については現在この判断において確立された裁判例などがなく、事前に著作物性の判断を行うことは不透明性を伴う状況にあります。③ 著作物性が認められた場合の帰属なお、著作物性が認められるような創作行為がなされた場合、使用している生成AIプロバイダーの利用規約の確認を行うことで、自身に著作物が帰属するかどうかを確認することができます。現在、多くのサービスプロバイダーでは利用者（ユーザー）に著作権を譲渡するなどの規定が置かれています。

Question 30

AIエージェントに仕事を任せたら、ミスの責任は誰が取るの？

原 智輝 · Accepted Answer

結論：現状、利用者が責任を負いますAIエージェントのタスクにより業務上の支障が生じた場合、その責任は原則として利用者（ユーザー）が負うことになります。その理由を順に見ていきましょう。① プロンプト入力の責任はユーザーにあるAIエージェントへのプロンプトの入力については、現在主流のサービス（ChatGPT、Claude、Gemini等）のいずれにおいてもユーザーが責任を負うこととされています。② サービスプロバイダーは外部ツール利用時に免責規定を置くのが通常生成AIのサービスプロバイダーは、外部ツール（Web検索、アプリケーション連携など）を利用した場合の結果について、利用規約上で免責規定を置くことが通常です。つまり、エージェントが外部と連携して生じた障害について、プロバイダー側は責任を負わない構造になっています。③ MCPサーバー提供者が責任を負う例もほぼないエージェントの機能は、生成AIがMCPサーバー（仲介役）を通じて対象のアプリケーションと通信し、操作する構造を取ります。この仲介部分であるMCPサーバーの利用について、サーバー提供側が利用規約などで責任を負うような例はほとんどありません。④ したがって、入力情報もAI設定も利用者の責任以上から、入力情報については現状利用者が責任を負うことになります。加えて、生成AIの設定（どのモデルを使うか、どんな権限を与えるか）や、MCPサーバーへの接続承認についても注意が必要です。特に、公式のMCPサーバー（コネクタなど）以外のサードパーティーMCPの利用においては、十分な検証を行ったうえで接続を承認するようにしましょう。

Question 31

生成AIを使って作成した契約書・規程類の著作権は誰に帰属しますか？

原 智輝 · Accepted Answer

結論契約書や社内規程は、著作権法上の「著作物」にあたらないケースがほとんどです。したがって、生成AIを使って作成した場合であっても、著作権帰属を論じる前提を欠く場面が多く、「誰に著作権が帰属するか」よりも「そもそも著作権が発生するか」を先に検討する必要があります。著作権法上の「著作物」とは著作権法は、「思想又は感情を創作的に表現したもの」を著作物として保護します（著作権法2条1項1号）。ここでいう「創作的」とは、作成者の個性が何らかの形で表現に反映されていることを意味します。単なるアイデア・事実・ありふれた表現は保護の対象外です。著作権はあくまで「表現」を保護するものであり、「アイデア」を保護するものではありません。契約書・規程類はなぜ著作物になりにくいか契約書や社内規程の条項は、主体・客体・権利義務の内容を正確に記述することが目的であり、表現の揺らぎや個性の発露はむしろ避けるべきものとされています。「甲は乙に対し○○する義務を負う」という条文の書き方に、別の自然な書き方はほとんどありません。つまり、アイデアと表現が不可分に結びついており、特定の表現を保護することがアイデアの独占につながってしまうため、著作権による保護になじまないのです。裁判例東京地裁昭和62年5月14日契約書が問題となった事案で、裁判所は「本件文書の記載内容は、『思想又は感情を創作的に表現したもの』であるとはいえないから、著作物ということはできない。」と明示して著作物性を否定しました。上記の単純な契約書の著作物性に関する判断事例と言えます。東京地裁平成26年7月30日時計修理サービス業の修理規約文言を模倣した事案ですが、模倣箇所がいわゆる規約条項ではなく、サービスのアピール（例：過去実績を示す文言、）につながる表現が多く含まれており、その方法には創作の余地があるため、著作物性が認められたと考えられます。裁判所としても、「規約であることから，当然に著作物性がないと断ずることは相当ではなく，その規約の表現に全体として作成者の個性が表れているような特別な場合には，当該規約全体について，これを創作的な表現と認め，著作物として保護すべき場合もあり得るものと解するのが相当」と、あくまで特別な場合として取り扱っています。 なお、本件はいわゆる規約のデッドコピー案件であり、損害賠償として５万円、規約のウェブサイト使用禁止が認容されています。生成AIを使った場合の整理以上を踏まえると、生成AIで作成した契約書・規程類については次のように整理できます。まず、条項部分（権利義務を定める本文）については、そもそも著作物性が認められないケースがほとんどです。著作権が発生しないということは、誰でも自由に利用・複製できる状態であり、生成AIの利用者においても著作権等が帰属することはありません。一方で、規約の中にサービスの特徴を説明する文章や独自の表現を凝らした前文などが含まれる場合は、上記平成26年判決のような例外的判断がされる可能性があります。その場合、生成AIの出力に利用者が創作的な関与をしていれば利用者に著作権が認められる可能性が生じ、単純な指示のみであれば著作権不発生となる可能性が高いといえます。

Question 32

ChatGPTとClaude DesktopのMCP設定に違いはありますか？

原 智輝 · Accepted Answer

ChatGPTとClaude （Desktop）において、同様の生成AIによるチャットサービスではありますが、近時注目されているMCPの設定についてMCPクライアントの所在による違いがあります。ChatGPTとClaudeの違いMCPクライアントの所在の違い最大の違いはMCPクライアントがどこで動くかです。Claude DesktopはMCPクライアントがPC上で動作します。そのため、同じPC内のMCPサーバーとSTDIO（プロセス間通信）で直接やり取りできます。インターネットを経由しません。ChatGPTのMCPクライアントはOpenAIのサーバー上で動作します。ChatGPT Desktopをインストールしても同じで、見た目はデスクトップアプリでも中身はWeb版と同じ構造です。OpenAIのサーバーからユーザーのPC内には物理的に到達できないため、インターネット上に公開されたHTTPSエンドポイントが必須になります。MCPサーバーの設置位置の違いMCPクライアントの所在が決まると、MCPサーバーをどこに置けるかが決まります。Claude Desktopはローカル（PC上）にMCPサーバーを置けます。index.jsをPC上で動かすだけで完結します。他方、ChatGPTはVercelやCloud RunなどクラウドにMCPサーバーを公開する必要があります。双方のメリット・デメリットClaude Desktop＋ローカルMCPの場合MCPサーバがインターネットに出ないという最も強いセキュリティモデルを持っています。構築コストはほぼゼロで、PC上でMCPサーバーを動かすだけです。ただしフロントエンドがClaude Desktopに固定され、スマートフォンからの操作には向きませんChatGPT＋リモートMCPの場合スマートフォンを含むあらゆるデバイスから同じMCPサーバーにアクセスできます。MCPはオープン標準のため、同じサーバーをClaude以外のLLMでも使い回せる拡張性があります。一方でVercelなどのホスティング費用が発生し、OAuth認証の実装が必要になるため構築コストが高くなります。

Question 33

Claudeのskillsとは何ですか？

原 智輝 · Accepted Answer

Claudeのskillsとは？Claudeのskillsとは、特定の作業を高品質にこなすためのベストプラクティスを事前に読み込んだ状態で動く仕組みのことを指します。たとえばPowerPointファイルの作成に関するskillsが有効な状態では、スライドのレイアウト・配色・フォントサイズといったデザイン要素まで考慮したうえで、.pptxファイルとして直接出力することができます。テキストを生成してコピペするのではなく、そのまま使える提案書ファイルが手元に届く——これが従来のAI活用との最大の違いです。エージェントスキルの紹介Skill名用途docxWord文書の作成・編集pdfPDF操作全般（読み取り・結合・作成等）pptxPowerPointスライドxlsxExcelスプレッドシートfrontend-design高品質なUI/Webデザインfile-readingアップロードされたファイルの読み込みpdf-readingPDFの内容抽出・解析product-self-knowledgeAnthropic製品の正確な情報参照skill-creator新しいSkillの作成・改善Skillsの使用に必要なプランプリビルドのSkills（docx・pptx等）はすべてのプラン（無料を含む）で利用可能です。ただし、独自のカスタムSkillsを作成・アップロードする機能はPro・Max・Team・Enterpriseの有料プランが必要です。また、ファイル作成機能はPCブラウザ環境で「ファイル作成」機能を有効にした状態でご利用ください。

Question 34

ClaudeにおけるMCPのFilesystemとは何ですか？

原 智輝 · Accepted Answer

MCP Filesystemとは、ClaudeがローカルPCやサーバー上のファイルに直接アクセスできるようにするMCPサーバーの一つです。MCPとはMCP（Model Context Protocol）は、Anthropicが策定したオープンプロトコルで、ClaudeなどのAIモデルと外部ツール・データソースを標準的な方法で接続する仕組みです。MCPの「サーバー」ごとに異なる機能が提供されており、Filesystemはその代表的なサーバーの一つです。MCP FilesystemでできることMCP Filesystemサーバーを導入すると、Claudeは以下の操作をローカル環境に対して実行できるようになります。ファイルの読み取り：テキスト・コード・ドキュメント等の内容を読み込むファイルの作成・書き込み：新規ファイルの作成や既存ファイルの編集ディレクトリの参照：フォルダ構造の一覧取得ファイルの移動・削除：ファイル管理操作設定よりFilesystemを追加できますアクセス先のフォルダー設定画面使用にあたってのポイントアクセス権限の管理MCP Filesystemは、設定時にClaudeがアクセスできるディレクトリを明示的に指定する仕組みになっています。個人利用であれば必要なフォルダのみに限定することが基本ですが、企業での利用においては、誰がどのディレクトリへのアクセスを許可するかを組織のポリシーとして定め、適切に管理することが重要です。外部通信と情報管理MCP Filesystemを利用してローカルファイルを読み込んだ場合でも、Claudeによる演算処理はAnthropicの外部サーバー上で行われます。そのため、ファイルの内容は実質的に外部に送信されることになります。この点を踏まえ、以下の情報を含むファイルへのアクセスには特に注意が必要です。営業秘密：不正競争防止法上の「秘密管理性」を損なうリスクがあります個人情報：個人情報保護法上の第三者提供・委託の規制への適合が求められます機密契約上の情報：NDAや秘密保持条項との抵触に注意が必要ですローカル環境でAI処理を完結させたい場合は、OllamaなどのローカルLLMとMCP Filesystemを組み合わせる構成も選択肢となります。

Question 35

ClaudeなどのCLIとは何ですか？

原 智輝 · Accepted Answer

CLIとは、Command Line Interface（コマンドライン・インターフェース）の略で、テキストベースでコマンドを入力して操作するインターフェースのことです。マウスやボタンで操作するGUI（Graphical User Interface）に対して、Macならターミナル、Windowsならコマンドプロンプトやpowershellが代表的なCLI環境となります。普段使っているclaude.aiはブラウザ上の会話インターフェースであり、ファイルのやり取りは基本的にアップロード・ダウンロードがベースとなっています。一方、Claude Codeはターミナル上で動作するため、ローカルPCのファイルシステムに直接アクセスできます。具体的には、プロジェクトディレクトリ内のファイルの読み書き、Gitコマンドの実行、シェルコマンドの実行といった作業をClaudeが自律的に行うことができます。つまりClaude Codeは、開発者が普段ターミナルで行っているような作業を、自然言語での指示によってClaudeに委任できるツールです。なお、Claude Codeを会社の業務で使う場合のデータの取り扱い（「ローカルで動くから安全」という誤解）や、営業秘密・個人情報との関係、社内ルールで決めておくべき事項については、「Claude Code（CLI）とは？会社で使わせて大丈夫？──弁護士が規約と社内規程の論点を整理」で詳しく解説しています。

Question 36

「Vibe Coding」とは何ですか？自社システムのコードを生成AIに書かせる場合の法的リスクは？

原 智輝 · Accepted Answer

Vibe CodingとはVibe Coding（バイブコーディング）とは、人間が自然言語で指示を出し、生成AIにコードを書かせる開発スタイルのことです。2025年2月にOpenAI共同創業者のAndrej Karpathy氏が提唱した言葉で、「コードの細部を自分で書くのではなく、AIに"ノリ（vibe）"で指示して動くものを作る」というアプローチを指します。CursorやGitHub Copilot、Replit Agentなどのツールの普及により、非エンジニアでもアプリを構築できるケースが増えています。Vibe Codingの法的リスクは？著作権の帰属問題生成AIが出力したコードの著作権について、現行の日本法では「AIが自律的に生成した部分」には著作物性が認められない可能性があります。著作権法は、人の思想又は感情を創作的に表現したものについて著作権を認めており、言い換えれば、個性の発露が認められる表現物について著作物性が認められています。そのため、単純な指示により生成AIに出力させたコードについては、このような創作性がないものとして、著作物性のないコード（プログラム）となる可能性があります。なお、Cursor上の利用規約においては、出力されたコードの著作権等をユーザーに譲渡することとしているため、生成AIへの指示が具体的かつ、詳細であり、ユーザーの個性の発露が認められる場合の著作権は当該ユーザーに帰属します。【Cursor利用規約】5.3. コンテンツ。 お客様は、Inputs に関してお客様が有するすべての権利、権原および利益を保持します。また、Anysphere は、お客様に対し、Suggestions に関して当社が有するすべての権利、権原および利益がある場合には、それらをお客様に譲渡します。GPL汚染Cursorなどの生成AIはコードを新たに創造しているとは限らず、多くは、既存コードの言語パターンを学習データから学習して出力を行っています。この点は、Cursor利用規約においても以下のように表現されています。(ii) AI Model はあらかじめ定義されたルールおよびアルゴリズムに基づいており、創造的に思考して新しいアイデアを生み出す能力を欠いているため、反復的または紋切り型のコンテンツを生成しうること（略）(v) AI モデルのトレーニングに使用されるデータが低品質または偏っている場合があることが含まれます。GPL (General Public License)汚染というのは、一般的に公開され、学習データに含まれている可能性のあるコードにライセンスが付着している（他人の著作権に関する条件が付着している）場合があり、これを取り込んだ結果、自身のプログラム全体に波及してしまう現象です。例えば、WordPressはGNU General Public Licenseに基づいており、WordPress自体は無料でダウンロードして自由に使うことができます。GNU General Public Licenseは、「このライセンスのコードを使ったソフトウェアも、同じくソースコードを公開しなければならない」という強いコピーレフト条件を持つオープンソースライセンスです。GNU Public Licenseそのため、CursorがGNU General Public Licenseの下で公開されているWordPressのコードを取り込んだ出力を行った場合、そのプロジェクトの内容に独自の秘匿したいコードが含まれている場合であっても、同ライセンスに従い、ソースコードを公開する必要が出てきてしまいます。まとめVibe Codingは、生成AIの進化により非エンジニアでもソフトウェア開発に参入できる可能性を広げる一方で、著作権の帰属が不明確になるリスクや、意図せずオープンソースライセンスの条件に縛られるリスクを伴います。自社システムのコードを生成AIに書かせる場合は、出力されたコードをそのまま採用するのではなく、著作権やライセンスの観点からの確認プロセスを社内で整備しておくことが重要です。

Question 37

生成AIガバナンスの参考になるものはありますか？

原 智輝 · Accepted Answer

生成AIのガバナンス体制を整備するにあたり、以下の2つが主要な参考資料となります。生成AI事業者ガイドライン2024年4月に総務省・経済産業省が策定したガイドラインです。AI開発者・AI提供者・AI利用者それぞれの立場に応じた責務やリスク対策の考え方が整理されています。法的拘束力はありませんが、事業者が生成AIを利活用する際に「何を検討すべきか」の全体像を把握するのに適しています。ISO/IEC 42001（JIS Q 42001:2025）AIマネジメントシステム（AIMS）に関する国際規格で、2023年12月にISO/IECから発行され、2025年にJIS化されました。組織がAIシステムの開発・提供・利用を行う際のリスク管理や継続的改善の枠組みを定めたもので、第三者認証の取得も可能です。ISO 27001（情報セキュリティ）と同様のマネジメントシステム構造を採用しており、既存のISMS等と統合しやすい設計になっています。いずれも、中小企業が自社で生成AIを導入・活用する際に、「社内ルールをどう作るか」「どこまでリスク管理すべきか」を考える出発点として活用できます。

Question 38

Ollamaとは何ですか？

原 智輝 · Accepted Answer

Ollamaとは？Ollamaは、アメリカのスタートアップ「Ollama, Inc.」（ollama.com）が2023年に公開した、無料のオープンソースアプリケーションです。リリースからわずか3か月で利用者数が46%増加し、AI・機械学習の世界で長年使われてきた有名フレームワーク「PyTorch」よりも多くのGitHubスターを獲得するほど、急速に普及しました。「オープンソース」とは、プログラムの設計図（ソースコード）が全世界に向けて公開されているという意味です。誰でも中身を読み、検証し、問題があれば指摘できます。これはChatGPTやGeminiのような商用AIサービスが内部の仕組みを非公開にしているのとは対照的で、むしろ「中身が見えないブラックボックス」のソフトウェアより透明性が高いとも言えます。Ollamaのソースコードは下記のGitHubリポジトリで公開されており、世界中のエンジニアが日々内容を確認・改善に貢献しています：OllamaのGit hubコードOllamのメリットとは？Ollamaを使うことの最大のメリットは、「情報を外に出さずにAIを使える」という点です。ChatGPTやGeminiなどのクラウド型AIは、入力した文章がサービス会社のサーバーに送信されます。一方、Ollamaはすべての処理が自分のPC内で完結するため、どれだけ機密性の高い情報をAIに読み込ませても、外部に漏れる経路がありません。具体的なメリットを整理すると、以下のとおりです。① 情報漏洩リスクが低下する顧客情報、契約書、社内資料などをAIに読み込ませても、その内容は自分のPC外に出ません。クラウド型AIへの入力に不安を感じているビジネスパーソンや士業にとって、特に大きな安心材料となります。② 完全無料で使い続けられるOllamaアプリ自体の利用料はなく、モデル（AI本体）も無料で公開されているものを使います。ChatGPTのような月額料金や、使うたびにかかるAPI従量課金が一切発生しません。かかるコストは電気代のみです。③ インターネット不要で動くモデルを一度ダウンロードしてしまえば、以後はオフライン環境でも動作します。通信環境が不安定な場所でも使えるほか、「社内ネットワークから外部接続を禁止している」という企業のポリシーにも対応できます。④ 導入・操作が簡単かつてローカルLLMを動かすには、専門的なプログラミング知識が必要でした。Ollamaはその複雑な設定を自動で行ってくれるため、コマンド一つでAIを起動でき、現在はChatGPTに近い見た目のGUI（グラフィカルな操作画面）も提供されています。

Question 39

Geminiの利用形態と適用される規約の全体像を教えてください

原 智輝 · Accepted Answer

Geminiサービスの全体像Google Geminiの利用形態は、(1) 個人向けプラン（Geminiアプリ）、(2) 法人向けプラン（Google Workspace）、(3) 開発者向け（Gemini API） の3つに大別されます。すべての利用形態に共通して、Google利用規約、Googleプライバシーポリシー、生成AIの追加利用規約、生成AIの使用禁止に関するポリシーが適用されます。これに加えて、利用形態ごとに個別の規約が上乗せされる構造です。Google利用規約Googleプライバシーポリシー生成AIの追加利用規約生成 AI の使用禁止に関するポリシー個人向けプラン個人向けプランでは、無料・有料を問わず、デフォルトで入力データがGoogleのサービス改善に利用される可能性があり、人間のレビュアーが会話を確認する場合もあります。「Geminiアプリ アクティビティ」をオフにすることで学習利用を停止できますが、チャット履歴も保存されなくなります。有料プラン（Google AI Pro等）でも、この構造は同じです。Geminiアプリのプライバシーに関するお知らせデータの使用方法Googleは、プライバシーポリシーの記載に従い、これらのデータを次の目的で使用します。サービスの提供サービスの維持と改良新しいサービスの開発サービスのパーソナライズサービスのカスタマイズユーザーとのコミュニケーションパフォーマンスの測定Google、Google のユーザー、一般の人々の保護これらの用途は、Google のサービスを支える生成 AI モデルやその他の機械学習技術にも及びます。こうした目的のため、人間のレビュアー（トレーニングを受けた Google のサービス プロバイダのレビュアーを含む）が収集したデータの一部をレビューすることがあります。レビュアーに見られたくない機密情報や、Google のサービス（機械学習技術など）の改良のために使用されたくない機密情報は入力しないでください。法人向けプラン一方、Google Workspaceでは、入力データがモデルのトレーニングに使用されないことがGoogleにより保証されており、人間のレビューも行われません。Google Workspaceの生成AIに関するプライバシーハブGemini は私の顧客データにアクセスできますか？Gemini は、お客様の組織の制御およびデータの取り扱いに関する既存の規定に従います。Gemini は、Google ドキュメントのドキュメントの要約や Google スプレッドシートのデータの分析など、パーソナライズされた回答を提供する目的で、お客様のデータにアクセスします。Google Workspace サービスの使用時にお客様が保存したデータは、Cloud のデータ処理に関する追加条項（CDPA）で定義されている顧客データとみなされ、CDPA に規定されているデータ処理規約が適用されます。Google は、CDPA に記載されているように、お客様の指示に従ってのみ、顧客データにアクセスし、処理します。Google は私のデータ（プロンプトを含む）を生成 AI モデルのトレーニングに使用しますか？いいえ。ユーザー プロンプトは、Cloud のデータ処理に関する追加条項に基づき、顧客データと見なされます。Workspace は、お客様からの事前の許可や指示がない限り、モデルのトレーニングに顧客データを使用することはありません。このコミットメントの概要は、Google Workspace サービス固有の利用規約の「トレーニングの制限」セクションに記載されています。Google は、お客様に対する契約のコミットメントを非常に重視しています。お客様は、Google が契約に沿ってお客様データを処理することを信頼できます。これには、(1) 契約に基づきお客様の指示に従ってお客様データを処理すること、(2) お客様の事前の許可または指示なしに、Google Workspace 生成 AI サービスをサポートする Google の生成 AI モデルのトレーニングやファインチューニングを行う目的でお客様データを使用しないこと、という Google のコミットメントが含まれます。このことを言葉で宣言するだけではなく、こうした高い基準を継続的に満たすために、Google では、独立監査機関による国際基準とベスト プラクティスに照らし合わせた検証を受けています。Google は、Gemini に関して、SOC 1/2/3、ISO 9001、ISO/IEC 27001、27701、27017、27018、42001（人工知能管理システム（AIMS）に関する世界初の国際規格）など、国際的に認められた規制機関やコンプライアンス機関から、安全性、プライバシー、セキュリティに関する最も包括的な認証と証明書を取得しています。Gemini は FedRAMP High 認証を取得しており、お客様の HIPAA の遵守も支援します。この点はChatGPTやClaudeと構造が異なります。ChatGPTではTeam/Enterpriseプラン、Claudeでは有料プランに加入すれば学習除外が保証されますが、Geminiでは個人向け有料プランでは保証されず、Workspace契約が必要です。中小企業がGeminiを業務利用する場合は、Google Workspaceでの導入を原則とし、従業員が個人アカウントで利用しないよう社内ガイドラインで明確に定めておくことが重要です。

Question 40

Geminiの利用において認められない使用方法はありますか？

原 智輝 · Accepted Answer

Geminiを提供するGoogleでは「生成 AI の使用禁止に関するポリシー」により、違法行為や危険性を帯びた利用、セキュリティ侵害につながる利用、静的、暴力的、差別的などの有害コンテンツのための利用、フェイク情報などを招く利用を禁止しています。本ポリシーにおいては、ハイリスク領域での利用も使用禁止対象となっています。h. リスクの高い領域（雇用、医療、金融、法律、住宅、保険、社会福祉など）において、個人の権利に大きな悪影響を及ぼす意思決定を人間の監督なしで自動的に行っている。このうち、医学、法律、金融その他の専門分野においては、生成AIの追加利用規約により、専門家助言に代えてはならない旨の規定が置かれています。

Question 41

行政の公表資料を生成AIに用いることができますか？

原 智輝 · Accepted Answer

結論からいえば、多くの場合において利用可能ですが、①どの規約が適用されているか、②利用の態様（プロンプト入力か・出力物の公表か）、③資料内に第三者著作物が含まれていないか、の3点を確認することが必要です。公共データ利用規約（第1.0版）とは2024年7月5日にデジタル庁が定めた「公共データ利用規約（第1.0版）」は、国および地方公共団体が公表するコンテンツの二次利用ルールを統一した規約です。同規約の適用を受けるコンテンツは、複製・公衆送信・翻訳・翻案等を含め自由に利用でき、商用利用も可能とされています。なお、数値データ・簡単な表やグラフは著作権保護の対象外であるため、そもそも本規約の適用なく自由に利用できます。プロンプトへの入力（資料を読み込ませる行為）行政資料を生成AIのプロンプトに入力する行為は、著作権法上「複製」にあたります。公共データ利用規約（第1.0版）の適用を受けるコンテンツであれば、複製が許諾されているため、著作権処理の観点からは問題ありません。出力結果の利用・公表（資料を参考に生成されたコンテンツを使う行為）生成AIが行政資料をもとに出力した文章をそのまま利用・公表する場合は、別途の検討が必要です。出典を明記することが規約上の義務であり、また、資料を「編集・加工等して利用する場合」はその旨を別途記載する必要があります。注意すべきポイント規約の適用範囲を確認する公共データ利用規約（第1.0版）はすべての行政資料に適用されるわけではありません。各機関のウェブサイトで適用規約を確認してください。適用規約が明示されていない資料については、個別に問い合わせるか、引用（著作権法32条）の範囲での利用にとどめることが安全です。第三者著作物が含まれていないか確認する行政資料の中には、民間の統計データや写真・図版など、第三者が著作権を有するコンテンツが含まれている場合があります。このようなコンテンツについては公共データ利用規約の適用外であり、当該第三者から別途許諾を得る必要があります。

Question 42

Geminiのメモリ機能とは何ですか？

原 智輝 · Accepted Answer

メモリ機能とはGeminiのメモリはGoogleが2024年11月に導入し、2025年8月に「パーソナルコンテキスト」として大幅強化した機能です。過去のチャット履歴をもとに、ユーザーの好みや傾向をセッションをまたいで学習し、以降の回答をパーソナライズする仕組みです。メモリには大きく2種類あります。ひとつはパーソナルコンテキスト（Personal Context）で、過去の会話履歴からユーザーの好みや傾向をGeminiが自動的に推論して蓄積するものです。もうひとつは保存された情報（Saved Info）で、ユーザーが「私はエンジニアです」「回答は箇条書きにして」などと明示的に指示した情報を保存するものです。この2つはそれぞれ独立して管理されています。ChatGPTやClaudeとの最大の違いは、デフォルトでオンに設定されている点です。ユーザーが特に設定を変更しなくても、過去の会話がパーソナライズに利用されます。また、GmailやGoogleカレンダーなど他のGoogleサービスとの連携により、チャット外の個人情報も参照できる「Personal Intelligence」機能も段階的に展開されています（2026年3月時点では米国の一部ユーザー向けのベータ提供）。なお、18歳未満のユーザーや、職場・学校のGoogleアカウントでサインインしている場合、パーソナルコンテキスト機能は利用できません。プライバシー・情報管理上の注意点メモリ機能は便利な反面、取り扱いには注意が必要です。特に業務での利用においては、以下の点を意識してください。Googleのプライバシーポリシーにより、Geminiアプリのデータ（会話内容等）は、Googleのプロダクト・サービス・機械学習技術の提供・改善・開発のために利用されます。レビュー済みのフィードバックとそれに付随する会話は最長3年間保存されます。何が記憶されているかを確認・管理するパーソナルコンテキストは「ブラックボックス」的な仕組みです。ChatGPTの「保存されたメモリ」やClaudeの「メモリサマリー」とは異なり、Geminiが過去の会話から何をどのように抽出して記憶しているかをユーザーが直接確認する手段は限られています。「Geminiアプリアクティビティ」の設定から会話履歴の確認・削除は可能であり、定期的な管理が推奨されます。機密情報・個人情報は入力しないパーソナルコンテキストに蓄積された情報は新しい会話に自動的に反映されます。氏名・連絡先・顧客データ・契約内容などの個人情報や機密情報を入力すると、意図しない形で以降の会話に影響を及ぼす可能性があります。業務上の内部情報については、あらかじめ入力ルールを定めておくとよいでしょう。デフォルトオンに注意する他のサービスとは異なりデフォルトでオンになっているため、意図せずパーソナライズが始まっている可能性があります。設定画面の「パーソナルコンテキスト」から、「Geminiとの過去のチャット」のオン・オフを変更することが可能です。共有アカウントでの利用に注意する会社やチームなど複数人が利用するアカウントでは、他のユーザーが蓄積された情報にアクセスできる可能性があります。これにより、不正競争防止法上の営業秘密の保護要件のひとつである秘密管理性（情報を秘密として適切に管理していること）を欠くとして、自社の情報が保護されなくなる事態も考えられるため、管理権限の運用ルールを明確にする必要があります。一時チャットの活用機密性の高い会話を行う場合は、一時チャット（Temporary Chat）機能を使用することで、その会話内容がパーソナルコンテキストに反映されることを防ぐことができます。一時チャットについては別項をご参照ください。

Question 43

Claudeのメモリ機能とは何ですか？

原 智輝 · Accepted Answer

メモリ機能とはClaudeのメモリはAnthropicが2025年9月に正式導入した機能で、過去の会話内容を自動的に要約・蓄積し、以降の会話に活かす仕組みです。通常Claudeは新しい会話を始めるたびに前の会話内容がリセットされる設計になっていますが、メモリ機能はこの制約を補うものとして導入されました。2026年3月には無料プランのユーザーにも提供が開始されています。メモリの仕組みとして特徴的なのは、ChatGPTのような「ユーザーが明示的に覚えさせる情報」と「会話履歴の自動参照」の2層構造ではなく、会話サマリーの自動生成が中心となっている点です。Claudeは過去の会話を自動で分析し、重要な情報を「メモリサマリー」として保存します。このサマリーは24時間ごとに更新され、すべての新しい会話のコンテキストとして自動的に付加されます。また、会話中に「これを覚えておいて」と指示することで、24時間の更新サイクルを待たずに即座にメモリに反映させることも可能です。プライバシー・情報管理上の注意点メモリ機能は便利な反面、取り扱いには注意が必要です。特に業務での利用においては、以下の点を意識してください。メモリはデフォルトではオフになっており、ユーザーが設定から明示的に有効化する必要があります。有効化した場合、メモリサマリーは新しい会話のたびにシステムプロンプトの一部として自動的に付加され、Anthropicのサーバーに送信されます。また、2025年9月以降、Free・Pro・MaxプランではAnthropicのプライバシーポリシーが変更され、会話データをAIモデルの改善に利用するかどうかをユーザーが選択できるオプトアウト方式に移行しています。ただし、メモリデータ自体については、ユーザーが直接同意しない限り学習に使用されない設計となっています。何が記憶されるかを定期的に確認する自動生成されるサマリーには、ユーザーが意図していない情報が含まれる場合があります。設定画面の「メモリを表示および編集」から、記憶されている内容の確認・削除・編集が可能です。例えば、過去の会話で仮定として述べた情報や、すでに終了したプロジェクトの内容が引き続き残っている場合などがあります。機密情報・個人情報は記憶させないメモリサマリーは、新しい会話を始めるたびに自動的にシステムプロンプトの一部としてモデルに渡されます。そのため、氏名・連絡先・顧客データ・契約内容などの個人情報や機密情報がメモリに含まれると、意図しない場面でも重要情報をサーバーに送信していることとなるため注意が必要です。業務上の内部情報については、あらかじめ入力ルールやメモリ管理をルーティン化しておくとよいでしょう。共有アカウントでの利用に注意する会社やチームなど複数人が利用するアカウントでは、他のユーザーが保存されたメモリサマリーを閲覧できる可能性があります。これにより、不正競争防止法上の営業秘密の保護要件のひとつである秘密管理性（情報を秘密として適切に管理していること）を欠くとして、自社の情報が保護されなくなる事態も考えられるため、管理権限やメモリ削除の運用ルールを明確にする必要があります。シークレットチャットの活用機密性の高い会話を行う場合は、シークレットチャット機能を使用することで、その会話内容がメモリに保存されることを防ぐことができます。シークレットチャットについては別項をご参照ください。

Question 44

ChatGPTのメモリ機能とは何ですか？

原 智輝 · Accepted Answer

メモリ機能とはChatGPTのメモリ機能とは、ユーザーとの過去のやり取りをもとに、好みや情報・指示の傾向などをセッションをまたいで記憶し、以降の会話に活かす仕組みです。通常、ChatGPTは新しい会話を始めるたびに前の会話内容がリセットされる設計になっています。メモリ機能はこの制約を補うものとして導入され、2025年6月からは無料ユーザーにも段階的に提供が開始されています。メモリには2種類あり、ひとつはユーザーが「覚えておいて」と明示的に指示した情報を保存する保存されたメモリ（Saved Memories）、もうひとつは特に指示しなくてもChatGPTが過去の会話履歴を自動的に参照し、回答に反映する記録履歴（Reference chat history）です。。2025年4月のアップデート以降、後者の機能が大幅に強化され、過去のすべての会話を横断的に参照して回答が生成されるようになっています。なお、保存されたメモリと記録履歴（Reference chat history）からの参照は、それぞれ独立してオン・オフを設定することができます。【ChatGPTの設定画面より】■保存されたメモリ：Saved Memories■記録履歴：Reference chat historyプライバシー・情報管理上の注意点メモリ機能は便利な反面、取り扱いには注意が必要です。特に業務での利用においては、以下の点を意識してください。メモリに保存された情報は、元のチャットを削除しても別途保存され続け、メモリから削除しない限り使用される可能性が残ります。また、メモリ情報を用いてChatGPTがweb検索を行うことがある旨、公式よりアナウンスされています。ChatGPT search何が記憶されるかを定期的に確認する誤って保存されたプライバシー情報がないか定期的に確認し、不要であれば速やかに削除することが推奨されます。設定画面の「保存されたメモリ」から、現在記憶されている内容の確認・削除が可能です。例えば、過去の会話で仮定として述べた情報や、すでに終了したプロジェクトの内容が、引き続きメモリに残っている場合などがあります。機密情報・個人情報は記憶させないメモリに保存された情報は、新しい会話を始めるたびに自動的にシステムプロンプトの一部としてモデルに渡されます。そのため、氏名・連絡先・顧客データ・契約内容などの個人情報や機密情報をメモリに記憶させると、意図しない場面で、モデル（OpenAIのサーバーなど）に重要情報を送信していることとなるため注意が必要です。業務上の内部情報については、あらかじめ入力ルールやメモリ管理をルーティン化しておくとよいでしょう。共有アカウントでの利用に注意する会社やチームなど複数人が利用するアカウントでは、他のユーザーが保存データを閲覧できる可能性があります。これにより、不正競争防止法上の営業秘密の保護要件のひとつである秘密管理性（情報を秘密として適切に管理していること）を欠くとして、自社の情報が保護されなくなる事態も考えられるため、管理権限やメモリ削除の運用ルールを明確にする必要があります。一時チャットの活用機密性の高い会話を行う場合は、一時チャット機能を使用することで、その会話内容がメモリに保存されることを防ぐことができます。一時チャットについては別項をご参照ください。

Question 45

業務で他人の著作物を生成AIに読み込ませて要約・翻訳することは著作権侵害になりますか？【事業版】

原 智輝 · Accepted Answer

結論翻訳して引用する場合は、一定の要件を満たすことで適法に行うことができます。一方、要約して引用する場合は、これを明示的に許容する条文が存在しないため、法律家の間でも議論があり、現時点では一定の法的リスクが残ります。以下では、それぞれの場合に分けて解説します。翻訳＋引用の場合外国語で書かれた論文や契約書を生成AIで日本語に翻訳し、自社の報告書や成果物に引用するというケースを想定します。この場合、法律上は以下の3つの行為が順に介在しており、それぞれについて著作権との関係を検討する必要があります。プロンプトへの入力（複製）著作物をプロンプトに貼り付ける行為は、著作権法上の「複製」（著作権法21条）にあたります。複製は原則として著作権者の許諾が必要ですが、著作権法32条は「公表された著作物は、引用して利用することができる」と定めています。この引用行為は、その用語の意味として、他人の著作物を自己の著作物等の一部に複製等を行い、自己の著作物等の創作又は作成する行為である行為であるため、不可避的に複製行為を伴い、「利用」とは著作権法上、支分権に該当する行為を指す用語として用いられていることからも、引用目的での複製は32条により許容されると解釈されています。生成AIによる翻訳行為著作権法47条の6第2号は、著作権法32条（引用）により著作物を利用できる場合には、翻訳による利用もあわせて行うことができると規定しています。生成AIを介した翻訳行為についても、その結果をユーザーが引用として利用する限りにおいて、同号が適用されると解釈することができます。したがって、引用の要件を満たす限りにおいて、翻訳という手段を用いた利用も適法と解することができます。翻訳後の著作物の引用・利用翻訳された文章を自己の文書や報告書の中で引用して使用する行為についても、著作権法32条及び著作権法47条の6第2号の規定により許容されます。結果として、引用の要件を満たす限り、生成AIを用いた翻訳引用は適法に行うことができます。翻訳引用における注意点翻訳引用が適法と認められるためには、以下の要件をすべて満たすことが必要です。要件を欠く場合は著作権侵害となるリスクがありますので、ご注意ください。引用の要件（著作権法32条）引用が適法とされるには、次の各点を満たす必要があります。まず、引用する著作物がすでに公表されたものであることが前提です。また、引用部分と自己の文章との間に括弧書きなどによる明瞭な区分があること、自己の文章が主であり引用部分が従であるという主従関係があること、そして報道・批評・研究等の目的に照らして正当な範囲内にとどまっていることが求められます。出所明示義務（著作権法48条）引用により著作物を複製する場合には、著作物の出所を、利用の態様に応じて合理的と認められる方法及び程度により明示しなければなりません（48条）。仮に引用の要件を満たしていたとしても、出所明示を怠った場合には50万円以下の罰金の対象となります（122条）。要約＋引用の場合要約を伴う利用については、法律の構造上、翻訳の場合よりも問題が複雑になります。著作権法には、翻訳と引用を組み合わせた利用を明示的に許容する47条の6第2号のような規定が、要約については設けられていません。要約という行為は一般に、元の著作物の本質的な特徴が直接感得できる形で新たな表現を生み出す行為として、著作権法27条が規定する「翻案」にあたりうると考えられています。しかし、翻案と引用を組み合わせた利用を明示的に許容する規定は現行法上存在せず、この点については法律家の間でも解釈が分かれています。この問題に関して、東京地裁平成10年10月30日判決は、学問研究及びその隣接分野における要約引用について、現行法47条の6に相当する旧43条の類推適用により許容されるという判断を示しました。その根拠として、要約引用には一般市民への学術的知識の普及や学術文化の発展を支えるという強い社会的必要性があることが挙げられています。もっとも、この判決はあくまで学問研究及びその隣接分野という限られた文脈での判断であり、一般的なビジネス実務における要約引用にそのまま及ぶかどうかについては慎重な検討が必要です。このような状況から、要約引用を明示的に許容する条文は現行法上存在せず、一定の法的リスクが残ります。 実務上リスクを軽減する観点からは、翻訳引用と同様に、主従関係・正当な範囲・出所明示の各要件を可能な限り満たす形で運用することを前提に、要約引用する必要性や業界における慣行の有無などを加味しながら慎重な判断が必要です。

Question 46

生成AIの「学習に用いない」とはどういう意味ですか？

原 智輝 · Accepted Answer

AIの「学習」とは何か生成AIの「学習」とは、AIが「より良い回答を出せるようになるため」に、大量のデータをもとにモデル内部のパラメータ（設定値）を統計的に調整するプロセスです。入力した文章をそのままどこかに「保存・記憶」するのではなく、無数のデータの傾向を反映してモデル全体を少しずつ最適化していくイメージです。学習されると、入力した情報が他のユーザーに出てくるの？原則として、そのようなことは起きません。学習はあくまで統計的なパラメータ調整であり、特定の入力内容がそのまま別のユーザーへの回答に使われるわけではありません。ただし、まったくリスクがないとも言い切れません。学習データの中に同じ表現・パターンが大量・反復して存在した場合、モデルがそのパターンを「極めて高確率で出力するパターン」として収束させてしまうことがあります。これは「メモライゼーション」と呼ばれる現象で、AIが意図的に記憶しているのではなく、統計的に強く焼き付いたパターンが再現されるものです。一般的なビジネス文書の単発入力で発生する可能性は低いですが、同種の機密情報を大量・反復してAIに送り続けるような使い方では注意が必要です。「学習オフ」は秘密保持・DPAとは別物「学習に使用しない（学習オフ）」はあくまで技術的な設定であり、法的な秘密保持義務とは全く別の概念です。学習オフであっても、以下は起こりえます：サービス運営者のスタッフによる入力内容の閲覧・品質レビューセキュリティ・不正利用防止目的でのログ保存外部インフラ業者（サブプロセッサー）へのデータ共有利用規約の変更による取扱いの事後的な変更これに対し、DPA（データ処理契約） はGDPRや個人情報保護法対応のために締結される契約で、個人データの取扱いについて法的な義務を課すものです。また NDA（秘密保持契約） は業務上の機密情報全般の開示・漏洩を法的に禁じるものです。機密性の高い情報を生成AIで扱う際は、①学習オフの確認、②DPAの締結、③必要に応じNDAの締結、という三層で検討することが実務上望ましいといえます。

Question 47

ChatGPTの「一時チャット」モードとは何ですか？

原 智輝 · Accepted Answer

ChatGPTの一時チャット（Temporary Chat）は、Claudeのシークレットモードに相当する機能で、メモリ機能の普及に伴い提供されるようになったプライバシー保護モードです。メモリ機能との関係ChatGPTにもClaudeと同様のメモリ機能があり、過去のやり取りやユーザーの好みを蓄積することで出力の精度を高める仕組みが導入されています。一時チャットは、こうした蓄積を行わずに「まっさらな状態」で会話したいニーズに応えるものです。「一時」の範囲は限定的一時チャットが非表示にするのは、自分のチャット画面上の履歴とメモリへの反映に限られます。具体的には以下の点に注意が必要です。会話内容はOpenAIのサーバーに最大30日以内に自動削除されます（全プラン共通）一度セッションを閉じると再表示・復元はできないモデルの学習には使用されない*カスタム指示（Custom Instructions）が設定・有効化されている場合は、一時チャット中も引き続き反映されます法人向けプラン（ChatGPT Team / Enterprise）では、Compliance APIを通じて管理者が30日間アクセス可能であり、組織のデータ管理対象となる*ChatGPTでカスタム指示に「私は〇〇法律事務所の弁護士です」などと設定している場合、一時チャットでもその指示は生きています。一方Claudeのシークレットモードは文字通り「素の状態」から始まるため、より完全にパーソナライズ情報を切り離せると言えます。機密情報の取り扱いには注意一時チャットは「自分の画面に履歴が残らない」という意味に留まり、完全な秘密が保たれる環境とは言い切れません。営業秘密・個人情報・依頼者情報等を取り扱う場合は、この点を踏まえたうえでプランや利用方法を選定することが重要です。

Question 48

Claudeのシークレットモード（Use incognito)とは何ですか？

原 智輝 · Accepted Answer

Claudeのシークレットモード（Incognito Chat）は、メモリ機能の導入と同時にリリースされた機能です。メモリ機能とシークレットモードの関係生成AIの出力は、ユーザーの好みや過去のやり取りを踏まえることで精度が向上します。そこでAnthropicはClaudeにメモリ機能を導入し、会話の文脈や傾向を蓄積できるようにしました。他方で、入力した情報がモデルに記録・参照されることで不都合が生じる場面もあります。そのニーズに応えるのがシークレットモードです。「シークレット」の範囲は限定的シークレットモードが非表示にするのは、自分のチャット画面上の履歴とメモリへの反映に限られます。具体的には以下の点に注意が必要です。会話内容はAnthropicのサーバーに保持される。個人プラン（Free/Pro/Max）では最低30日間、法人プラン（Team/Enterprise）では組織のデータ保持ポリシーに従い、それ以上になる場合もある一度閉じたスレッドを自分で再表示することはできないTeam・Enterpriseプランでは、組織の管理者による全データのエクスポートが可能であり、シークレットモードの会話もその対象となる機密情報の取り扱いには注意シークレットモードは「自分の画面に履歴が残らない」という意味に留まり、完全な秘密が保たれる環境とは言い切れません。営業秘密・個人情報・依頼者情報等を取り扱う場合は、この点を踏まえたうえでプランや利用方法を選定することが重要です。

Question 49

生成AIに関する政府等のガイドラインにはどんなものがありますか？

原 智輝 · Accepted Answer

日本では、政府・独立行政法人・業界団体等から生成AIに関するガイドラインや指針が相次いで公表されています。内閣府が省庁横断の一覧ページを公開しており、AI法・AI指針をはじめ16の資料を参照できます（2026年2月現在）。このページでは、その一覧に含まれない資料も含め、実務上参照頻度が高いと思われるものを以下のカテゴリに整理して紹介します。法令・全体方針：AI法・AI指針（内閣府一覧参照）事業者向けガバナンス：AI事業者ガイドライン、調達・利活用ガイドライン（内閣府一覧参照）契約・法的リスク：契約チェックリスト、民事責任研究会、農業分野契約ガイドライン著作権・知的財産：文化庁著作権考え方、知財手引き（内閣府一覧参照）個人情報・プライバシー：PPC注意喚起（内閣府一覧参照）競争政策：公取委実態調査報告書教育・リテラシー：初等中等・大学ガイドライン、はじめの一歩（内閣府一覧参照）技術・品質：産総研品質マネジメントガイドライン、NICT動向調査人材・スキル：DX人材・スキルの考え方2024主要な各府省庁等のガイドライン等一覧政府関係の主要なガイドラインについては、内閣府が省庁横断の一覧を公開しており、AI法・AI指針をはじめ、総務省・経済産業省・デジタル庁・文部科学省・文化庁・個人情報保護委員会など各府省庁の資料をまとめて参照できます。▼ 各府省庁のAI関連ガイドライン一覧（内閣府）人工知能に関する各府省庁等のガイドライン等一覧AI民事責任研究会（経済産業省）AIを利活用した際に生じる損害について、開発者・提供者・利用者間での民事責任の所在や分配の在り方を検討する研究会の資料です。AI利活用における民事責任の在り方に関する研究会生成AI時代のDX推進に必要な人材・スキルの考え方2024（経済産業省）生成AI普及を踏まえ、DX推進人材に求められるスキルの変化を分析・整理した報告書。業務への生成AI組み込みが停滞している現状を踏まえ、経営層の関与やリーダーシップ・批判的思考等のパーソナルスキルの重要性を強調。デジタルスキル標準（DSS）の見直し等への政策対応が示されています。「生成AI時代のDX推進に必要な人材・スキルの考え方2024」～変革のための生成AIへの向き合い方～ を取りまとめました生成AIはじめの一歩～生成AIの入門的な使い方と注意点～（総務省）生成AIを初めて使う一般の方を対象に、①生成AIの基礎知識、②入門的な使い方、③利用時の注意点を解説した啓発教材。PDF・PowerPoint形式で無償公開されており、地域の講座や勉強会での活用を想定した講師用メモ付きのスライド資料も提供されています。生成AIはじめの一歩～生成AIの入門的な使い方と注意点～農業分野におけるAI・データに関する契約ガイドライン（農林水産省）スマート農業の普及を背景に、農業者とシステムサービス事業者（農機メーカー・ICTベンダー等）の間でのAI・データ利用契約の在り方を整理したガイドラインです。農業分野におけるAI・データに関する契約ガイドライン～農業分野のノウハウの保護とデータ利活用促進のために～生成AIに関する実態調査報告書 ver.1.0（公正取引委員会）生成AI関連市場（インフラ・モデル・アプリの3レイヤー）における競争環境の実態を調査し、独占禁止法・競争政策上の論点を整理した報告書です。(令和7年6月6日)生成AIに関する実態調査報告書ver.1.0についてAI時代の知的財産権検討会「中間とりまとめ」権利者のための手引き（内閣府知的財産戦略推進事務局）内閣府知財戦略推進事務局による中間とりまとめを、権利者（クリエイター・著作権者等）向けにわかりやすく解説した実務ガイドです。AI時代の知的財産権検討会 「中間とりまとめ」 ー 権利者のための手引き ー生成AI品質マネジメントガイドライン 第1版（産業技術総合研究所）産業技術総合研究所（産総研） 生成AIの品質要求・品質評価・品質管理を正面から扱う、国内唯一の技術ガイドラインです（2025年5月26日公開）。生成AI品質マネジメントガイドライン 第1版生成AIに関する国内外動向等の調査区報告書（NICT)情報通信研究機構（NICT） 日米欧中などの生成AI政策・技術・市場動向を整理した年度調査報告書です（2025年3月31日）。ガイドラインそのものではありませんが、規制・市場・技術の変化速度を俯瞰するための参考資料として有用です。生成AIに関する国内外動向等の調査区報告書

Question 50

生成AIで出力した画像などは著作権法上利用できますか？（法人事業）

原 智輝 · Accepted Answer

著作権侵害とは何か侵害の要件：依拠性と類似性著作権の侵害とは、既存の著作物に対して「依拠性」と「類似性」の双方が認められる形で、著作権者に認められた権利を侵害する方法での利用行為を指します。具体的な例としては、友人が描いた絵をコピーして販売する行為がこれに該当します。なぜ「依拠性」が必要か著作権は、特許権などと異なり登録制度が存在しません。そのため、権利侵害に当たるかどうかの判断は行為者ごとに異なる「相対的な判断」になることがあります。だからこそ、侵害者が実際に当該著作物に接して（依拠して）いたことが要件とされています。もし依拠性が不要とされると、偶然まったく同じ表現を独自に生み出した者まで侵害者とみなされてしまう不合理が生じるためです。なぜ「類似性」が必要か著作権法は、個々人の「個性の発露」ともいえる創作的行為によって生まれた具体的な表現を保護しています。裁判上は「既存の著作物の表現上の本質的な特徴を直接感得することができること」と表現されます。したがって、単なるアイデアの流用や、ありふれた表現の利用は著作権法上の侵害には当たりません。創作者がその表現において発露した「個性」が利用されているかどうか、という点が核心です。生成AIと著作権をめぐる問題何が新しい問題なのか生成AIが作成した画像・動画等については、「一体何に基づいて生成されたのか不明」という点が大きな問題です。従来は、人間が著作物に接する機会があったかどうかによって依拠性を判断できました。しかし生成AIの登場により、利用者（人間）には接触機会がなかったものの、生成AIは学習データを通じて当該著作物に接していたという状況が生まれています。この点が現在の議論の核心です。文化審議会の考え方（令和6年3月）文化審議会著作権分科会法制度小委員会「AIと著作権に関する考え方について」（令和6年3月15日）は、以下のように整理しています。【利用者が著作物の表現を認識していた場合】生成AIを利用した場合であっても、AI利用者が既存の著作物（その表現内容）を認識しており、生成AIを利用して当該著作物の創作的表現を有するものを生成させた場合は、依拠性が認められ、AI利用者による著作権侵害が成立すると考えられる。【依拠性の推認について】既存の判例・裁判例においては、被疑侵害者の既存著作物へのアクセス可能性、すなわち既存の著作物に接する機会があったことや、類似性の程度の高さ等の間接事実により、被疑侵害者が既存の著作物の表現内容を認識していたことが推認されてきた。このような判例・裁判例を踏まえると、生成AIが利用された場合であっても、権利者としては、アクセス可能性や高度な類似性を立証することで依拠性があるとの推認を得ることができると考えられる。【利用者は認識していなかったが、学習データを通じてAIが認識していた場合】AI利用者が既存の著作物（その表現内容）を認識していなかったが、当該生成AIの開発・学習段階で当該著作物を学習していた場合については、客観的に当該著作物へのアクセスがあったと認められることから、当該生成AIを利用し、当該著作物に類似した生成物が生成された場合は、通常、依拠性があったと推認され、AI利用者による著作権侵害になりうると考えられる。以上から、現在の議論では、生成AIが学習データを通じて著作物にアクセスした場合においても依拠性を認める方向で議論が進んでいると考えられます。また、多くの生成AIサービスは「現状有姿」での提供を基本とし、出力内容の確認義務を利用者に課しています。学習データを通じて類似画像等が生成された場合、「そのような著作物があることは知らなかった」という反証は困難になるケースも少なくないと見込まれます。著作権侵害が成立した場合の法的救済著作権法上の侵害があった場合、権利者には以下の救済手段が認められています。① 差止請求（著作権法112条） ② 損害賠償請求（民法709条・著作権法114条） ③ 著作権侵害罪（著作権法119条）ただし、侵害者の故意や過失を問わずに請求できる形態は①のみとなっており、例えば損害賠償請求時には少なくとも故意や過失が必要であり、刑事罰に問われる場合は、原則として、故意が必要であり、著作権法は過失犯を処罰する規定を置いていません。事業で画像生成AIを使いたい場合のTips特定の作品名をプロンプトに入力しない特定の作品名・キャラクター名・クリエイター名などをプロンプトに入力すると、生成AIモデルが当該データへの重み付けを強めてしまい、積極的に当該著作物を参照するリスクが高まります。類似作品が出力された場合に依拠性が推認されやすくなるため、特定作品への言及はできる限り避けることが重要です。商用利用前に逆画像検索を実施する現在の生成AIの学習データには、ウェブ上の膨大なデータが含まれていると指摘されています。商用利用前にGoogle逆画像検索などを活用し、類似画像がウェブ上に公開されていないか確認することで、既存著作物との類似性リスクを早期に把握できます。Google 逆画像検索既にライセンスを取得しているリソースを活用する著作権者とライセンス契約を締結済みのデータセットや素材を用いて生成AIモデルの動作範囲を限定する方法です。ライセンスの範囲内で利用することで、著作権侵害リスクを抑えつつ生成AIを活用できます。

Question 51

他者の情報を生成AIで利用するためにはどんな契約条項が必要ですか？

原 智輝 · Accepted Answer

生成AIを業務に導入する企業が増える中、「他者から取得した情報を生成AIに入力してよいのか」という相談を受ける機会が急増しています。法人向けプランでは、サービス提供者が入力データを学習に利用しないことや、一定の秘密保持義務を負うことが明示されている場合もあります。しかし、それだけで直ちに他社情報を安心して利用できるわけではありません。実務上問題となるのは、①AIサービス提供者との契約上の守秘体制と、②情報の提供元（取引先等）との間で負っている守秘義務は、法的に別個の問題であるという点です。本稿では、この二つを整理したうえで、他者情報を生成AIで利用する際に契約上どのような条項を整備すべきかを解説します。一般的な秘密保持条項と生成AIに入力してはいけない理由秘密保持契約の構造一般的には秘密保持契約には、以下の条項が置かれています。（秘密情報の定義）第●条 本契約において「秘密情報」とは、本契約に関連して、開示当事者（以下「開示者」という。）が受領当事者（以下「受領者」という。）に対し、書面、電磁的記録、口頭その他の方法により開示する一切の情報のうち、秘密である旨が明示されたもの、又はその性質上若しくは開示の状況に照らして秘密であると合理的に認められる情報をいう。２ 前項の規定にかかわらず、次の各号のいずれかに該当する情報は、秘密情報に含まれない。（１）開示の時点で既に公知であった情報（２）開示後、受領者の責によらず公知となった情報（３）開示を受ける前から受領者が適法に保有していた情報（４）正当な権限を有する第三者から秘密保持義務を負うことなく適法に取得した情報（５）秘密情報によらず独自に開発した情報この条項は、秘密情報を定義する条項であり、情報開示者がどの情報をコントロールしたいのか定義している条項に該当します。（秘密情報の取扱い）第●条 受領者は、秘密情報を本契約の目的の範囲内でのみ利用するものとし、開示者の事前の書面による承諾なく、第三者に開示又は漏えいしてはならない。２ 受領者は、秘密情報を善良な管理者の注意をもって管理し、自らの同種情報と同等以上の管理措置を講じるものとする。３ 受領者は、本契約の目的のために秘密情報を知る必要のある自己の役員及び従業員に限りこれを開示できるものとし、当該役員及び従業員に本契約と同等の秘密保持義務を負わせるものとする。４ 本契約が終了した場合又は開示者から要求があった場合、受領者は、秘密情報及びその複製物を速やかに返還又は消去するものとする。本条は、定義した秘密情報の取扱方法について定めています。秘密情報の取扱いについては、概ね、利用目的（利用可能なケースをコントロールする）情報管理方法（情報の保管方法や、アクセス制限などについてコントロールする）情報利用可能主体（アクセス可能な人物についてコントロールする）といった、情報の管理体制、情報にアクセスできる人物（主体）、情報の利用方法の3点に重点が置かれています。生成AIへの入力は、プロンプト（生成AIへの入力情報）が第三者（生成AIサービス提供者）に提供されているという点で、情報にアクセスできる主体の定めに抵触しますし、生成AIへの入力が予定されていないということであれば、利用目的の定めにも抵触します。営業秘密と守秘義務（秘密保持義務）の違い秘密情報という文脈では、文言上類似する用語として、営業秘密（不正競争防止法２条６項）があります。営業秘密は「自身の情報」について、法が定める要件を満たしている場合は、法的な保護をその情報に対して与えるという内容となっているのに対して、秘密保持契約における守秘義務は、契約当事者の同意の下、開示当事者が開示した情報を第三者に開示等行わない義務という内容になっています。その結果、営業秘密においては、その要素に秘密管理性が求められることから、第三者に当該情報を開示する場合、秘密管理を行っていることを担保するために、秘密保持契約などを締結します。他方、守秘義務の場合は、「（秘密保持契約を締結しようが無関係に）第三者に言わないでほしい」という約束の下に情報が開示されるため、当該情報は例え、当該第三者に対して秘密保持契約を締結の上、開示したとしても守秘義務違反を構成します。このようなことから、秘密保持契約を締結した場合には、第三者にも開示が可能とするための条項として、次のような条項が置かれる例があります。（第三者への開示）第●条 受領者は、本契約の目的のために合理的に必要な範囲において、秘密情報を第三者に開示することができる。ただし、受領者は、当該第三者に対し、本契約と同等の秘密保持義務を課す内容の書面による契約を事前に締結しなければならない。２ 受領者は、前項に基づき秘密情報を開示した第三者の行為について、自らの行為と同一の責任を負うものとする。この条項の構成は、次のようになっており、このような例外条項の考え方を生成AIにおいても応用していくこととなります。第三者の情報を開示できる条件を定めている（開示目的による制限や開示先の主体による制限など）第三者に情報を開示する場合の措置を定めている（第三者に対しても守秘義務を課すなど）生成AIに他社の情報を入力するための条項サービス提供事業者による区別ここまで見たとおり、生成AIに他社情報を入力する場合には、通常の秘密保持契約の条項では足りず、生成AIへの入力（≒生成AIサービス提供者への開示）について許諾を得る必要があります。生成AIサービス事業者は大きく基盤モデル提供事業者（OpenAI、Anthropic、Googleなど）API利用開発事業者の２種類に分かれています。前者はGPTなどの基盤モデルを自社で保有し、ChatGPTなどのアプリケーションを提供している事業者であり、基盤モデルとアプリケーション双方を保有している点に特徴があります。他方、API利用開発事業者はGPTなどの基盤モデルをいわば「借りて」そこにさらに自社のプログラムを組み込んだサービスを提供している事業者です。したがって、前者と比べると、API利用開発事業者は自身のアプリケーションに送信された情報（プロンプト）をさらに基盤モデル提供事業者に送信している場合がほとんどです。そのため、守秘義務との関係では、開示先の当事者候補が２社以上出てくることに注意が必要です。サービスプランによる利用規約の区別また、生成AIサービス事業者は多くの場合、個人向けのプランと法人向け（エンタープライズ）プランを用意しており、それぞれに適用される利用規約にも差を設けています。一般傾向としては、前者はより高品質なモデルが付加価値となり、後者の場合はよりセキュアな環境が付加価値となっています。条項例ここまでの議論を通じて、生成AIに他社情報を入力するための条項としては、次のような内容について開示当事者の許諾を得ておくことが推奨されます。開示先の第三者の名称（事業者名など）使用する生成AIサービスの名称/プランの名称生成AIに情報を入力できる条件（利用目的による制限など）このような条件を満たす条項例としては次のようなものが考えられます。（生成AIサービスの利用）第●条 受領者は、本契約の目的の範囲内において、秘密情報を整理・分析し、社内検討資料又は報告資料（グラフ資料を含む。）を作成する目的に限り、OpenAI, L.L.C.が提供する「ChatGPT Enterprise」又は「ChatGPT Business」その他これらと同等の法人向けプラン（以下「本AIサービス」という。）に秘密情報を入力することができる。２ 前項に基づく入力は、以下の条件を満たす場合に限り行うものとする。（１）本AIサービスが、入力情報をモデル学習に利用しないこと及びサービス提供者が秘密保持義務を負うことを内容とする法人向け契約条件の下で提供されていること（２）入力された秘密情報が、本契約の目的達成に必要な範囲に限定されていること（３）受領者が、本AIサービスの管理画面その他の合理的な方法により、アクセス制限及び利用者管理を適切に実施していることこのような条件の下、生成AIを情報受領者が利用した場合、守秘義務情報を含むプロンプトに対して、一定の出力が生成AIよりなされます。この出力情報に対しても検討を行うことが次のステップになります。通常、出力物についても秘密情報に該当するものとして取り合うことが適切です。（生成AI出力の取扱い）第●条 本契約に基づき秘密情報を生成AIサービスに入力した結果として生成される出力情報（テキスト、図表、グラフ、分析結果その他形式を問わない。以下「AI出力」という。）は、当該秘密情報を含み又はこれに基づき生成される限りにおいて、秘密情報に該当するものとみなす。２ 前項のAI出力については、本契約に定める秘密情報の取扱いに関する各規定が適用される。以上のように、通常の秘密保持契約では、他社情報を生成AIに入力することはできません。しかし、生成AI登場以前から、第三者に開示することを許諾する条項は実務上運用されており、これを流用することで、生成AIへの入力を可能とする条項の条件を検討してきました。最終的な条項例としては次のような条項が挙げられます。（生成AIサービスの利用）第●条 受領者は、本契約の目的の範囲内において、秘密情報を整理、分析し、社内検討資料、報告資料又は説明資料（グラフ資料を含む。）を作成する目的に限り、OpenAI, L.L.C.が提供する「ChatGPT Enterprise」又は「ChatGPT Business」その他これらと同等の法人向けプラン（以下「本AIサービス」という。）に秘密情報を入力することができる。２ 前項に基づく秘密情報の入力は、次の各号の条件を全て満たす場合に限り行うものとする。（１）本AIサービスが、入力情報をモデル学習に利用しないこと及びサービス提供者が秘密保持義務を負うことを内容とする法人向け契約条件の下で提供されていること（２）入力する秘密情報が、本契約の目的達成に必要最小限の範囲に限定されていること（３）受領者が、本AIサービスの利用に関し、アクセス制限、利用者管理その他合理的な安全管理措置を講じていること３ 本条に基づき秘密情報を入力した結果として生成される出力情報（テキスト、図表、グラフ、分析結果その他形式を問わない。以下「AI出力」という。）は、当該秘密情報を含み又はこれに基づき生成される限りにおいて、秘密情報に該当するものとし、本契約に定める秘密情報の取扱いに関する各規定が適用される。まとめ生成AIの法人利用が一般化する中で、「法人プランを利用しているから安全」という理解だけでは、守秘義務との関係を十分に整理したことにはなりません。AIサービス提供者との関係での守秘体制情報提供元との契約上の守秘義務は別個に検討すべき法的問題です。通常の秘密保持契約の条項構造からすれば、生成AIへの入力は、原則として「第三者への開示」および「目的外利用」に該当し得ます。そのため、他社情報を生成AIに入力するためには、開示先となる事業者・サービスの特定利用目的の限定（例：情報整理、グラフ資料作成等）法人プラン等の安全管理条件の明示出力物の秘密情報該当性の整理といった点を契約上明文化しておくことが重要です。生成AIはあくまで業務支援ツールであり、守秘義務を当然に緩和するものではありません。むしろ、従来の「第三者開示条項」の発想を応用し、どの範囲で、どの条件のもとで利用を許容するのかを丁寧に設計することが、実務上の安定運用につながります。生成AIの活用を前提とする時代においては、秘密保持契約もまた「AIを使わない前提の契約」から、「AI利用を織り込んだ契約」へとアップデートしていく必要があるといえるでしょう。

Question 52

生成AIに入力したデータは「委託」にあたりますか？

原 智輝 · Accepted Answer

クラウドサービスとしての生成AIの利用は、多くの場合、個人情報保護法25条における「委託」や法27条「第三者提供」に該当する可能性が高いと考えられます。個人情報保護法25条における「委託」とは生成AI利用が個人情報保護法25条の「委託」に該当するかどうかの議論は、同法27条５項１号（第三者提供の制限）の文脈で議論されています。法27条１項は、個人データを第三者に提供する場合には、原則として「本人の同意」が必要とされている一方、同条５項１号では、この第三者への委託の場合（法25条の場合）には、例外として第三者に該当させず、同意が不要という整理を行っているからです。なぜこのような委託の場合に本人の同意が不要かと言えば、アウトソーシングなどの際に常に同意が必要となるとアウトソーシング行為が実質的に不可能となるためです。このような場面で、法25条は委託先への個人データ安全管理措置を担保する監督義務を負っているため、これら理由の組み合わせにより例外とされています。個人データの取扱いの委託の意味個人データの取扱いの委託とは、個人情報保護委員会のガイドラインにて、次のように説明されています。利用目的の達成に必要な範囲内において、個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該個人データが提供される場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、本人との関係において提供主体である個人情報取扱事業者と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該個人データを取り扱うことはできない。クラウドサービスにおけるクラウド例外とはこの議論とよくセットで見受けられる議論が、「クラウド例外」という論点です。これは、データベースサービスなどのクラウドサービス利用時において、本人の同意が必要かという論点で、確かに、個人データはクラウドサービス提供者のサーバー内に送信され、保存されているため、第三者提供ともいえそうですが、クラウドサービス提供者はそのデータを閲覧したり、そのデータを処理するようなことはありません。ここでいう「提供」とは、対象個人データを、自己以外の者が利用可能な状態に置くことと考えられています。「Box」などのサービスのようにデータの置き場を提供しているが、クラウドサービス提供者は当該情報を利用しないようなクラウドサービス利用時に「本人の同意」が必要かどうかという問題がありました。これに対して、個人情報保護委員会は、次のように解説しています。当該クラウドサービス提供事業者が、当該個人データを取り扱わないこととなっている場合には、当該個人情報取扱事業者は個人データを提供したことにはならないため、「本人の同意」を得る必要はありません。個人情報取扱事業者が、個人データを含む電子データを取り扱う情報システムに関して、クラウドサービス契約のように外部の事業者を活用している場合、個人データを第三者に提供したものとして、「本人の同意」（法第27条第１項柱書）を得る必要がありますか。または、「個人データの取扱いの全部又は一部を委託」（法第27条第５項第１号）しているものとして、法第25条に基づきクラウドサービス事業者を監督する必要がありますか。このように、クラウドサービス事業者が、ユーザーが送信等した個人データを取り扱わないこととしている場合には、第三者提供には該当しないとしたものです。クラウド例外に関する事例クラウド例外に関する法の適用関係について、MK事件（株式会社エムケイシステム）というものがあり、クラウドサービス提供者の利用規約において、以下のような事情からクラウドサービス事業者は個人情報取扱事業者に該当するとされています。つまり、利用規約等において、個人データを事業者が閲覧、操作可能な状況にある際に、先に見た純粋にデータベースサービスを提供している事業者と同一には見られないという判断がなされたという趣旨になります。クラウドサービス提供事業者が個人情報保護法上の個人情報取扱事業者に該当する場合の留意点について（注意喚起）令和６年３月25日個人情報保護委員会特定の場合にクラウドサービス利用者の個人データを使用等できることとなっていたこと。クラウドサービス提供事業者が保守用IDを保有し、クラウドサービス利用者の個人データにアクセス可能な状態であり、取扱いを防止するための技術的なアクセス制御等の措置が講じられていなかったこと。クラウドサービス利用者と確認書を取り交わした上で、実際にクラウドサービス利用者の個人データを取り扱っていたこと。小括ここまでを整理すると、原則として、個人データを第三者に提供する場合には本人の同意が原則として必要です。しかし、これが委託関係の場合は、委託先への監督義務により個人データの安全管理が確保されるなどの理由から例外とされています。これとは別に、クラウドサービス事業者が個人データを取り扱わないこととなっている場合は、そもそも第三者提供には該当しないという、いわゆるクラウド例外という解釈があります。これは例えるなら、金庫（データベースサーバー）を提供しているだけで、中身（個人データ）には関与しないような場合は、そもそも委託にも第三者提供にも該当しないとしたうえで、事例では、個人データの閲覧等が利用規約上可能であったためこの例外を認めなかったという整理となります。生成AIの利用は第三者提供や委託に該当するかでは、ここまでの整理を使って、生成AIの利用が個人情報保護法とどのような関係に立つのかですが、主要な生成AIサービス事業者は、不正使用の検知やサービス改善等の目的で、プロンプトに入力された情報や出力結果を閲覧・利用する余地をプライバシーポリシー等において残しています。ただし、その範囲や条件は事業者ごとに異なり、API利用時にはデフォルトでモデル学習への利用を行わない事業者や、ユーザーによるオプトアウト設定を設けている事業者もあります。いずれにせよ、不正利用の監視等の目的での閲覧可能性は各社に共通しており、クラウド例外における「個人データを取り扱わないこととなっている場合」には該当しないと考えるべきでしょう。OpenAI：プライバシーポリシーAnthropic：プライバシーポリシーGoogle：Geminiアプリのプライバシーハブまた、個人情報保護委員会がOpenAIに対して、要配慮個人情報に関する注意喚起文書を公開していることからも、これらサービス提供者は個人情報取扱事業者として考えられます。生成AIサービスの利用に関する注意喚起等についてそうすると、いわゆる学習データ提供を許可している場合は文字通り第三者提供に該当する可能性が極めて高いと思われます。また、一般に生成AIサービスにおいて、いわゆるクラウド例外は利用できないと考えるべきでしょう。現に、これらサービスにおいては、プロンプト情報を基盤モデルなどの生成AIの演算処理に回し、その結果をユーザーに送信している関係であり、クラウド例外が認められるための要件、すなわちクラウドサービス提供者が個人データを取り扱わないという条件を満たしていない点は明確であり、生成AIサービスの利用に伴う個人データの入力は、第三者提供や委託の概念に該当する場合が多いと整理すべきと思われます。なお、個人情報保護委員会では、個人データのみならず、個人情報のレベルでも利用目的の範囲内の利用であるかという点について注意喚起がなされています。

Question 53

ChatGPTの出力をそのまま社外に提供しても法的に問題ありませんか？

原 智輝 · Accepted Answer

この問いには、大きく分けて次の2つの問題が含まれます。① そもそも、ChatGPTの出力物を使用することが特定の法令に違反するか②（使えるとして）ChatGPTの出力を使用した場合の法的責任が誰に帰属するかそもそも、ChatGPTの出力物を社外向けに使ってよいのか（法令違反の有無）通常の用途であれば、社外向けに使用しても直ちに違法とはいえないOpenAIの利用規約では、ChatGPTの出力物（文章・画像等）について、著作権等の権利がユーザーに帰属する旨が定められています。そのため、第三者の権利侵害を行うようなプロンプトを用いていない場合（例：挨拶メールの返信文案を考案してもらう等）には、出力の利用は基本的にユーザーに委ねられており、社外向けに使ったことそれ自体で直ちに法的問題が生じるとは通常考えにくいです。例外的に注意：専門職（有資格業務）で「判断をAIに委ねる使い方」は問題になり得る他方で、弁護士・医師・会計士など、国家資格を前提とする専門職は、有資格者が判断し業務を遂行することを前提に、その業務を有資格者に独占させています。そのため、有資格者であっても、ChatGPTの出力を自己の判断（Human in the Loop）を介在させずにそのまま用いることは、法の趣旨に反し、各種資格法に違反する可能性があると整理するのが適切です。利用規約上も「重要な決定」に関する禁止・制限があるさらに、OpenAIの利用規約では、信用、教育、雇用、住宅、保険、法律、医療、その他の重要な決定など、個人に法的又は重大な影響を与える可能性のある目的において、その個人に関連するアウトプットを使用してはなりませんといった趣旨の使用禁止条項が置かれています。この点は今後議論が熟していく領域ですが、少なくとも、こうした用途や有資格者特有の業務では、生成AIに判断を委ねる使用方法は認められていないと整理する方が適切です。もっとも、これらの分野でも、生成AIを業務の補助（道具）として用いること自体は否定されていません。重要なのは、人の判断が介在していることを担保すること考えられます。出力物を使って問題が起きた場合、責任は誰が負うのかOpenAIの利用規約では、例えば次のような趣旨が示されています。人が作り出したものではない場合に、アウトプットを人が作り出したものと表示することインプットとアウトプット（総称して「本コンテンツ」）が適用法令や利用規約に違反していないことの確認を含め、ユーザーが責任を負うこのため、前提として、ユーザーは出力を自由に使用できますが、その使用に伴う責任はユーザーに帰属することが基本とされています。どの場面でも「人による内容確認（HITL）」が必要以上を踏まえると、結局のところ、社外提供の可否（①）にも問題発生時の責任（②）にも共通して、ユーザーによるコンテンツ内容の確認（HITL）と使用判断が必要だという結論になります。補足：「逐次確認」ではなく「システム設計・運用」に責任の焦点が移る可能性なお、一部の議論（AI利活用における民事責任委員会の検討など）では、生成AIに限らずAI一般について、次のような示唆があります。人の確認を介在させると、その負担からAIを利用できなくなる場面があるその場合、AIの精度が人の能力を上回るほど高精度になっていれば、責任の焦点が「出力確認をしなかったこと」ではなく、「AIが望ましい作動をするためのシステム設計・運用がなされたか」に移行し得るこの考え方は、取締役会設置会社等における内部統制システムの議論と親和的です。つまり、企業において取締役が従業員を逐次監視することが現実的ではない場面でも、内部監査が正常に行われる仕組みを構築し、運用を監視している場合には、個々の行動を逐次監視していなかったとしても責任を問わない、という発想と似ています。まとめChatGPT出力を社外に提供することは、原則として直ちに違法ではないただし、専門職領域や重要な決定では、AIに判断を委ねる使い方は問題になり得る利用規約上も、出力の利用は可能だが、内容確認を含めた責任はユーザー側にあるしたがって、社外提供に限らず、どの場面でも基本は 「人による確認（HITL）と判断」将来的には、活用が進んだ場面で、逐次確認を代替する形として、生成AI利活用を中心とした内部統制の設計・運用監視が重要になる可能性がある

Question 54

社内で生成AI利用ガイドラインを策定するときに最低限入れるべき項目は？

原 智輝 · Accepted Answer

生成AIの業務利用が急速に広がる中、社内ガイドラインの策定は「従業員に使わせない」ためのものではなく、「安全に使いこなす」ための基盤整備です。特に中小企業では、過度に厳格なルールを設けるよりも、自社の実態とリスクに即した最低限のルールを明確にすることが重要になります。以下では、生成AI利用ガイドラインに最低限盛り込むべき5つの項目と、その策定の順序を解説します。なお、個々の法令リスクの詳細については、営業秘密・個人情報・著作権に関する解説記事も併せて参照すると理解が深まります。自社の生成AIの使い方を整理する ― リスクの棚卸しとリスクベースアプローチガイドライン策定の出発点は、「自社が生成AIを何に使っているか（使おうとしているか）」を把握することです。目的を整理しないまま禁止事項だけを並べても、現場で形骸化しやすくなります。まずは、以下の観点で利用実態・利用予定を洗い出します。どの部署がどの目的でどのようなデータを使いどの生成AIサービスを利用しているか次に、それぞれの利用方法について、関連する法令リスクと生成AI特有のリスクを整理します。主な関連法令には、著作権法、不正競争防止法（営業秘密）、民法上の守秘義務、個人情報保護法などがあります。また、生成AI固有のリスクとしては、ハルシネーション（もっともらしい誤情報の生成）、入力情報が学習データに取り込まれることによる情報漏えいリスク、出力内容が第三者の著作権を侵害するリスクなどが挙げられます。これらを踏まえ、発生可能性 × 影響度の観点でリスクレベルを評価する、いわゆるリスクベースアプローチを取ることが有効です。参考として、EU AI規則（AI Act）附属書IIIに示されている高リスクAIシステムの用途（雇用・人事、信用評価、教育、法執行、重要インフラ等）に該当しないかをチェックすることも推奨されます。この工程のゴールは、次の②で「何を禁止し、何を条件付きで許可するか」を判断するための材料をそろえることです。禁止事項・許可条件の設定①で整理したリスク評価をもとに、生成AIの利用ルールを具体化します。すべてを一律に禁止するのではなく、リスクが高いものは禁止、管理可能なものは条件付きで許可することが現実的です。禁止事項や利用条件を検討する際には、次の6つの軸が有用です。使用可能な生成AIサービスの明記 会社が承認したサービスのみ利用可能とする使用可能なプランの明記 法人向けプラン（学習データへの取り込みがオプトアウトされているもの）に限定する使用可能なデータ範囲の明記 営業秘密、個人情報、未公開の契約情報などは入力禁止とする生成AIの機能の一部制限 ログが残らない一時チャット機能やウェブブラウジング機能の使用制限アクセス可能な端末・アカウントの明記 社内PC・社用アカウントに限定し、私物端末（BYOD）での利用は禁止使用可能な人員の明記 所定の研修を修了した従業員に限るなど、③と連動させる中リスク領域については、全面禁止ではなく「準禁止事項（条件付き許可）」とする方法もあります。例えば、個人宛の文書作成では、氏名等の個人情報は入力せず、本文の一般的な表現のみを生成AIに作成させる場合に限り許可する、社外提出文書では生成AIの出力をそのまま使う場合に上長確認を必須とする、といったルールが考えられます。また、原則として、生成AIの出力を対外文書や顧客向け文書、業務上の意思決定に用いる場合には、人による確認（Human-in-the-Loop）を経ることを定めておくことが重要です。AI活用に関する民事責任に関しては、過失概念などと絡んで検討が進んでおり、このような動向を注視するとよいと思われます。AI利活用における民事責任の在り方に関する研究会従業員の生成AIリテラシー向上（参考）日本法上、現時点で従業員のAIリテラシー向上を直接義務付ける規制はありません。しかし、②で定めた禁止事項・許可条件を実効的に機能させるためには、従業員の理解が不可欠であり、強く推奨される項目です。EU AI規則では、AI提供者・利用者に対し、AIに関わるスタッフについて「十分なAIリテラシー」を確保する義務が課されています。Living repository to foster learning and exchange on AI literacy国内でも、AI事業者ガイドラインにおいて、各主体が必要なリテラシー確保措置を講じることが推奨されています。研修内容としては、以下のようなものが考えられます。生成AIの基本的な仕組みと限界（確率的出力、ハルシネーション）社内ガイドラインの禁止事項・許可条件NG事例のケーススタディ（営業秘密の入力、著作権侵害の例）インシデント発生時の報告フロー社内の生成AI組織体制ガイドラインは策定して終わりではなく、継続的な見直しが前提となります。そのため、PDCAサイクルを回すための社内体制を整備しておくことが重要です。例えば次のような役割が期待されます。生成AIガバナンス責任者：全体統括、法改正・技術動向の把握、ガイドライン更新判断利用状況の監督者：各部署での利用実態の把握、ルール遵守の確認リテラシー向上の企画・実施者：研修の企画・実施・効果測定インシデント対応責任者：情報漏えい等の初動対応と再発防止策の策定中小企業では、既存の情報セキュリティ委員会やコンプライアンス体制にAIガバナンス機能を追加する形でも問題ありません。重要なのは、「誰が」「何を」担うのかを明文化し、責任や機能の所在を明確にすることです。ログ・記録の保管生成AIの利用実態を事後的に検証できる状態にしておくことは、インシデント対応やガイドライン改善の両面で不可欠です。例えば、以下のような記録を保管します。利用台帳（部署・サービス・利用目的）判断記録（対外文書等に使用した際の確認者・修正内容）インシデント記録（違反内容、対応経緯、再発防止策）研修記録（受講履歴、理解度テスト結果）保管期間は、関連法令の時効期間等を参考に設定し、記録形式は後から検索・参照しやすい形で統一することが望ましいでしょう。

Question 55

生成AIに個人情報を入力しても個人情報保護法に違反しませんか？

原 智輝 · Accepted Answer

結論としては、「個人情報の種類」「利用目的の特定・通知」「外国にある第三者への提供」の3つの観点から整理する必要があり、適切な対応を怠った場合には個人情報保護法に違反するリスクがあります。以下、それぞれのポイントを解説します。まず確認すべき「個人情報の種類」生成AIに入力しようとしている情報が、個人情報保護法上どの類型に該当するかを最初に確認してください。類型によって、守るべきルールの厳しさが異なります。個人情報（一般）（法2条1項）氏名、生年月日、住所、メールアドレスなど、特定の個人を識別できる情報です。社内の顧客リストや従業員名簿に含まれる情報の多くがここに該当します。要配慮個人情報（法2条3項、施行令2条）心身の機能の障害、健康診断の結果、刑事手続・少年事件に関する情報など、不当な差別や偏見につながりうる情報です。一般の個人情報以上に慎重な取扱いが求められます。個人関連情報（法2条7項）それ単体では特定の個人を識別できないものの、第三者への提供時に当該第三者が保有している他の情報と結びつくことで個人情報となりうる情報です。未成年者に関する留意点16歳未満の子どもの個人情報については、法定代理人（親権者等）の同意の要否を検討する必要があります。個人情報保護委員会FAQ個人情報保護法 いわゆる３年ごと見直しの制度改正方針（令和 8 年１月９日）利用目的の特定と通知「個人情報」と「個人データ」の二層構造個人情報保護法は、媒体等を問わない広義の「個人情報」と、電子化されデータベースとして検索可能となった「個人データ」という二層構造で成り立っています。利用目的の公表等の義務は、前者の個人情報全般に適用される規制にあたります。利用目的はどこまで特定すべきか個人情報保護委員会のガイドライン（通則編）では、利用目的について次のように述べています。「利用目的を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい。」ここでいう「利用目的」とは最終的に達成しようとする目的を指すため、その過程のプロセスにおける利用目的を記述することまでは要しないと考えられます。個人情報保護委員会ガイドライン（通則編）3-1-1実務上の例たとえば、生成AIを用いた顧客のプロファイリングやパーソナライズされたDMを通じたマーケティングを行う場合、利用目的は「○○事業における商品の発送、関連するアフターサービス、新商品・サービスに関する情報のお知らせのために利用いたします。」といった記載が考えられます。この場合、前段階の生成AIを用いた文書作成等は「最終目的」には該当しないと整理できます。ただし、リスク低減のために推奨される対応他方で、生成AIは新規技術であり、ガイドラインが「利用目的から合理的に予測・想定できないような場合は、この趣旨に沿ってできる限り利用目的を特定したことにはならない」と考えていることから、利用目的に生成AIを用いた分析に関連する文言を入れておく方が、法違反のリスクをより低減させると考えられます。外国にある第三者への提供（法28条）生成AIサービスのデータはどこに行くのかChatGPT、Claude、Geminiなどの生成AIサービスはもちろん、GPTなどのAPIを利用したカスタマイズ型サービス（国内ベンダー製含む）においても、多くの場合、海外（主に米国）のサーバーを使用しています。つまり、一般的なデータの流れは次のようになります。ユーザー（日本）→（国内ベンダーのアプリ（日本））→ 米国（基盤モデルのサーバー所在地）入力された個人データは通常、米国のサーバーで演算処理され、その結果を日本で受け取る形となります。国内ベンダーでも注意が必要ベンダーが国内であっても、当該ベンダーが米国のサーバーを経由するAPIを使用している例が散見されるため、国内ベンダーであることのみで判断しないよう注意を要します。一部のサービスにおいては、Microsoft Azureの国内リージョン（JP East等）によるAPIを使用しており、この場合はデータ通信が日本国内で完結しますが、そのようなベンダーはかなり限られています。法28条の原則と例外法28条は、外国にある第三者への個人データの提供について、原則として本人の同意を義務付けています。例外として、EUやイギリスなどの外国に提供する場合と、個人情報保護法と同水準の措置が講じられている場合、または国際的な枠組み（CBPR等）の認定を受けている場合が規定されています（施行規則16条）。一般的には、各種生成AIの法人プランサービスの中でDPA（Data Processing Agreement）などにより、個人情報保護の措置がどのように講じられているかを精査したうえで、本人同意を要しない例外への該当性を判断することになります。例外に該当する場合でも必要な対応例外に該当する場合であっても、定期的にSOC 2のレポート結果を参照するなど、当該サービス提供者に対する監督のルーティンが必要となります（法28条３項、規則18条1項）。

Question 56

生成AIで契約書を作成しても大丈夫ですか？

原 智輝 · Accepted Answer

生成AIによる契約書作成は、自社データが豊富で検証可能な法務体制がある場合に限り検討できますが、初見の契約やイレギュラーな契約、法解釈が必要な場面では、専門書籍のテンプレートや専門家の助言を優先すべきです。生成AIの契約書作成における限界データの範囲が限定的生成AIの出力は、APIやMCP（エージェント）などで個別のデータアクセスを許容しない限り、主に学習データとWeb情報に限られます。学習データは過去の一般的な情報であり、最新の法改正や判例を反映していない場合があるWeb上の契約書サンプルは、必ずしも法的に適切とは限らない推論能力への疑義Apple等の研究機関から、生成AIの推論能力について疑義が示されている状況です。特に、日本法の解釈について法的専門家のような法解釈能力を発揮することは、現時点では期待しづらいのが実情です。多くはWebパターンの統合生成AIの出力の多くは、Web情報のデータを統合した契約文言のパターンに基づくものです。個別事情や法解釈を含めた契約書作成については、特に初見の契約やイレギュラーな場合、現状では法律専門家が監修した専門書籍のテンプレートの方が信頼性が高いと考えられます。ただし、定型的な契約で自社データが豊富かつ法務部員による検証が可能な環境では、AIツールが効率化に寄与する可能性がありますOpenAI利用規約上の制限OpenAIの利用規約では、法的事項に関する出力を、少なくとも個人に影響を与えるレベルで使用してはならない旨が定められています。これは、生成AIの出力が法的助言として十分な精度を持たない可能性を、サービス提供者自身が認識していることを示唆しています。生成AIを契約書作成に使用できる条件生成AIの契約書作成への使用は、以下の両方の条件を満たす環境下でのみ検討すべきです。① 自社データが豊富かつ利用可能過去の契約書データベースが整備されているRAGやファインチューニング、MCPによるデータベース参照など、自社データを活用できる仕組みがある② 十分に検証できる法務部員が存在出力された契約書の適法性・妥当性を判断できる専門知識を持つ法務担当者がいる条項ごとのリスク評価や、個別事情への適合性を検証できる体制がある生成AIの使用を避けるべき場面以下のような場面では、生成AIの使用は推奨されません。初見の契約自社で過去に締結したことがない種類の契約業界慣行や法的リスクが不明確な取引形態イレギュラーな契約標準的なフォーマットから大きく外れた条件交渉が必要な場合複雑な権利関係や多数当事者が関与する契約法解釈が関連する分野最新の法改正や判例の適用が必要な場面グレーゾーンの法解釈が争点となる可能性がある契約海外法との抵触や国際取引に関する契約推奨される対応上記のような場面では、法律専門家が監修した専門書籍のテンプレートを参考にすることを推奨します。専門書籍には、以下の利点があります。法的根拠や解説が明記されている実務における留意点やリスクが整理されている最新の法改正に対応した改訂版が出版されている生成AIを補助的に活用する場合は、以下のような段階的アプローチが考えられます。ドラフト作成の補助: 専門書籍のテンプレートをベースに、生成AIで文言調整条項の比較検討: 複数の契約書サンプルを参照する際の情報整理ツールとして活用法務担当者による全件レビュー: 生成AIの出力は必ず専門家が検証

Question 57

社員が個人アカウントで業務に生成AIを使うリスクは？

原 智輝 · Accepted Answer

従業員が個人アカウントで業務に生成AIを使用することは、営業秘密の保護喪失や守秘義務違反といった重大な法的リスクを伴います。一方で、業務効率化とのバランスを取るため、適切な社内ルール整備とリテラシー向上が不可欠です。法人プランと個人プランの違いChatGPT、Claude、Geminiいずれも、個人プランと法人プランを明確に区別しています。法人プラン: サービス提供者が秘密保持義務を負う旨が利用規約に明記されている個人プラン: そのような秘密保持義務の規定がない、または制限的つまり、従業員が個人プランで会社情報を入力した場合、サービス提供者に秘密保持義務を負わせることができない可能性があります。OpenAI サービス契約：(ChatGPT：「7. 機密保持」参照）Commercial Terms of Service：（Claude：「E. Confidentiality」参照）Cloud のデータ処理に関する追加条項：（Gemini：「7.1.1c.」参照）営業秘密保護の喪失リスク（秘密管理性の欠如）(1) 秘密管理性とは不正競争防止法上の「営業秘密」として保護を受けるには、次の3要件を満たす必要があります。秘密管理性（秘密として管理されていること）有用性非公知性(2) 個人アカウント使用による秘密管理性の喪失従業員が無制限に個人プランの生成AIで自社情報を処理している場合、企業が当該情報を「秘密として管理していた」とは認められず、秘密管理性の要件を欠くと判断されるおそれがあります。対象となる情報の例:顧客企業リスト社内会議議事録営業ノウハウ、技術情報 など結果として、万が一情報が流出・悪用された場合でも、営業秘密としての法的保護を受けられなくなる可能性があります。秘密保持義務違反のリスク従業員が入力する情報が、自社ではなく他者の秘密情報である場合（秘密保持契約に基づき開示されている情報など）、守秘義務違反行為として構成されます。また、この守秘義務違反のリスクは、法人アカウントを使用している場合でも同様に発生します。生成AIへの入力自体が、契約上の「第三者への開示」に該当する可能性があるためです。業務効率化とのバランス従業員が企業に無断で個人アカウントを使用している場合、情報管理上の重大なリスクが発生する一方で、DX推進や業務効率化の観点からは、生成AI活用を一律に禁止することも現実的ではありません。このバランスを適切に図るため、以下の対応が必要です。推奨される対応策① 社内規程の整備生成AI利用に関する社内規程を作成し、情報リスクと業務効率化のバランスを図るルールを明確化入力禁止情報の範囲、利用可能なサービス・プラン、承認フローなどを規定② 従業員のリテラシー向上生成AIのリスクと適切な使用方法について、従業員教育・研修の機会を提供プロンプトに含めてはならない情報、出力結果の検証義務などを周知③ 法人アカウントへの統一と情報管理体制の構築使用する生成AIアカウントは法人アカウントに限定し、個人アカウントの業務利用を原則禁止ログ管理、アクセス権限設定など、企業側で情報管理が可能となる体制を整備

Question 58

Claudeの料金プランはどのようになっていますか？

原 智輝 · Accepted Answer

2026年2月現在、AnthropicのClaudeは大きく 個人向け と 法人（組織）向け のプランに分かれます。個人向けプラン（Free / Pro / Max）個人向けは 無料（Free） に加えて、Pro・Max といった有料プランが提供されています。プラン差は主に、利用できる処理量（メッセージ量・長文処理能力）、優先度（混雑時のアクセス）、および 高度機能へのアクセス によって設けられています。Free：基本的なチャット利用向け。利用量は限定的。Pro：Freeより大幅に多い利用枠と安定したアクセスが提供され、日常業務・学習用途を想定。Max：Proの上位で、非常に大きな利用枠と最高優先度が付与されるヘビーユーザー向けプラン。法人（組織）向けプラン（Team / Enterprise）法人向けは主に Claude Team と Claude Enterprise が中心で、複数ユーザーでの利用を前提とした設計になっています。チーム管理・セキュリティ・契約条件が重視されており、個人向けプランとは明確に区別されています。ChatGPTと異なり、法人アカウントの最低購入アカウント数が5名となっているため、ミニマムの金額ではChatGPTより高額となります。個人プランと法人プランで「適用される規約」が異なるClaudeでは、個人利用 と 法人利用 で適用される規約が明確に分かれています。個人向け（Free / Pro / Max）→ Consumer Terms of Service（個人向け利用規約） が適用法人向け（Team / Enterprise）および API 利用→ Commercial Terms of Service（商用利用規約） が適用（法人契約・DPA・秘密保持条項を含む）この点は、ChatGPTにおける「個人向け規約」と「Business / Enterprise向け規約」の切り分けと同様の構造です。法人は原則「法人向けプラン」が推奨法人で 営業秘密・個人情報・顧客データ 等を取り扱う場合、入力データの 学習利用の可否、守秘義務、管理・監査機能 が重要になります。Claudeではこれらの条件が Commercial Terms（Team / Enterprise）で明確に整理されているため、業務利用・社内導入の場合は、原則として法人向けプランを前提に選定するのが実務的といえます。

Question 59

生成AIに他社の情報を入力することは可能ですか？

原 智輝 · Accepted Answer

結論としては、他社情報に「どんな権利・義務が付いているか」で扱いが変わります。まずは次の2点を整理します。他社情報に付着する「権利・義務」を確認する守秘義務：NDA（秘密保持契約）や取引契約、委託契約等により「第三者に開示しない」義務があるか知的財産権：著作権、営業秘密、特許ノウハウ、データベース等の権利が付いているか例えば、OpenAIの規約上も、入力する側が「必要な権利・許諾を持っていること」が前提です。個人向け利用規約では、入力に必要な権利・ライセンス・許諾を得ていることを表明保証するとされています。 法人向けでも同様に、入力に必要な権利・ライセンス・許諾を持つことが顧客の義務として明記されています。守秘義務がある情報は、原則「入力しない」他社との契約で守秘義務を負っている情報は、たとえ生成AIサービス提供者が秘密保持義務を負う（法人プラン等）場合でも、契約上「第三者への開示」に当たり得るため、原則として入力できません。例外は、その契約で「生成AIサービスへの提供」が明確に許されている場合などに限られます。契約文言例としては次のような文言が考えられます。甲及び乙は、相手方に提供する情報を別紙が定める条件に適合する場合に限り、別紙記載の生成AIサービスへの入力情報として取り扱うことができる。ただし、当該入力情報により得られた出力についてもまた、本契約に定める秘密情報として取り扱うものとする。知的財産権が付いている情報は、侵害リスクに注意他社の著作物（文章・資料・図表・マニュアル等）をそのまま入力して処理させることは、利用態様によっては著作権侵害等の問題になり得るため慎重な運用が必要です。日本法には著作権法30条の4等の「柔軟な権利制限」など例外が議論されていますが、どこまで許されるかは目的・方法次第で、一般に“何でもOK”ではありません。 特に、入力した知的財産権が付着している画像等と類似する出力を求めている場合などは、権利侵害に該当する可能性が高まります。公開情報・一般情報は、通常は入力可能なことが多いすでに公開されていて守秘義務もなく、権利処理上も問題がない範囲の一般情報（公開資料、一般的な制度説明など）は通常、入力できるケースが多いです。ただし、公開されていても利用条件（転載禁止、利用規約、ライセンス）が付いている場合は別途確認が必要です。例えば、ニュース記事、第三者の論文、声優の音声などは一般公開されてはいますが、上記の知的財産権に関連していることが多く、慎重な検討が必要となります。また、公開情報であっても、個人情報を含む場合は別途配慮が必要となるため、権利が付着している情報として取り扱いには慎重な検討を要します。

Question 60

ChatGPTの法人アカウントを社内で使いまわししても大丈夫ですか？

原 智輝 · Accepted Answer

法人アカウントを使用している点は評価できますが、社内でのアカウント使いまわしは、営業秘密保護を受けられない重大なリスクとなり、また社内情報管理として望ましくありません。法人プランには「秘密保持（機密保持）」の枠組みがある法人向けの契約（OpenAIのサービス契約）では、当事者間でやり取りされる機密情報について、受領者は「目的外で使わない」「合理的に保護する」「第三者に開示しない」といった義務を負う、という条項が置かれています。 その意味で、個人向けよりは契約上の保護を期待できる場面があります。しかし、OpenAIの利用規約においては、アカウントの共有は明確に禁止されており、利用規約上も違反する行為となります。【OpenAI サービス契約】3.1。お客様のアカウント。お客様は、正確かつ最新のアカウント情報を提供する必要があります。お客様は、アカウントアクセス認証情報または個人ログイン認証情報を複数のユーザー間で共有しないものとします。経産省指針の観点でも、使い回しは「秘密管理性」を弱める可能性経産省の「営業秘密管理指針」では、営業秘密を社外（取引先等）に共有する場合、秘密保持契約（NDA）などで“秘密として扱う意思”を明確に示すのが典型と整理されています。 そして同指針は、秘密管理性は「誰がどこまでアクセスできるか（管理単位・認識可能性）」が重要、という考え方を取っています。この点、アカウントを使い回すと、他の従業員が入力したプロンプトや回答履歴を、本来見せる必要のない別の従業員が見られる「アクセス制御が弱い」「秘密として扱っていない」と評価されるといった事情から、秘密管理性を欠く（＝営業秘密として保護されにくくなる）と判断されるリスクが出ますまとめ法人での利用は基本的に次の運用が安全です。使い回しをしない（1人1アカウント）SSO・権限管理・監査ログなど、組織管理機能を前提に運用する入力してよい情報（営業秘密・個人情報など）の社内ルールを作る

Question 61

Cursor に入力した秘密情報はどのように取り扱われますか？

原 智輝 · Accepted Answer

利用規約上の位置づけ（法的整理）Cursor の利用規約（Terms of Service）には、ユーザーが入力した情報そのものに対する一般的な秘密保持義務を定めた条項は置かれていません。なお、利用規約16.6条は「仲裁手続に関する秘密保持」を定めるものであり、Cursor に入力されたコード・テキスト等の情報について秘密として取り扱う義務を定めたものではありません。この点で、Cursor の利用規約は、DPA（Data Processing Agreement）や明示的な機密情報非利用条項を含む SaaS と比べると、法的な保証は限定的と評価できます。公式ドキュメントにおける「Privacy Mode」と入力情報の取扱い（技術的整理）他方で、Cursor は公式ドキュメント（Data Use & Privacy Overview）において、入力データの処理方法として「Privacy Mode（プライバシーモード）」を提供していることを明示しています。Privacy Mode を有効にした場合の取扱いは、公式説明によれば以下のとおりです。入力されたコードやテキストはAI 応答生成のために一時的に処理されるのみで、永続的には保存されないCursor 自身およびモデルプロバイダー（例：OpenAI 等）において学習データとして利用されない技術的には、サーバー側に入力情報が残らない（Zero Data Retention に近い）設計と説明されているこのため、Privacy Mode の挙動は、一般にいう ZDR（Zero Data Retention）に近いデータ処理ポリシーと評価することができます。もっとも、これはあくまで 公式ドキュメント上の技術的説明に基づくものであり、契約上の秘密保持義務として明示されているわけではありません。実務的評価：リスクベースアプローチの重要性以上を踏まえると、Cursor の入力情報の取扱いは、法的には：明示的な秘密保持義務や DPA が存在せず、不安定さが残る技術的には：Privacy Mode により ZDR に近いデータ保持ポリシーが採用されているという法と技術が必ずしも一致していない状況にあります。このような場合、企業としては一律に可否を判断するのではなく、リスクベースアプローチに基づく経営判断が重要となります。具体的には、万一入力情報が漏えいした場合に法的責任事業上・レピュテーション上の影響がどの程度の深刻度を持つか当該リスクが許容可能なリスクなのか軽減すべきリスクなのかを総合的に評価する必要があります。その結果、許容できないリスクが存在すると判断される場合には、機密性の高い情報は Cursor に入力しない一部処理は Cursor、重要部分はローカル PC やオンプレミス環境で行う情報の性質に応じた ハイブリッドな運用を採用するといった実務対応が現実的な選択肢となります。

Question 62

ChatGPTのプランの違いについて教えてください

原 智輝 · Accepted Answer

2026年2月現在、OpenAIのChatGPTは大きく 個人向け と 法人（組織）向け のプランに分かれます。個人向けプラン（Free / Go / Plus / Pro）個人向けは 無料（Free）に加えて、Go・Plus・Pro といった有料プランが提供されています。 プラン差は主に、使えるモデルと、メッセージ数・ファイルアップロード・画像生成・メモリ／コンテキスト上限などの利用枠で設けられています。たとえばGoは「GPT-5.2 Instant」を手頃に使う層、Plusはより高度な推論（例：GPT-5.2 Thinking）や機能拡張、Proは最上位モデル（例：GPT-5.2 Pro）や最新機能のプレビュー、といった位置付けが説明されています。法人（組織）向けプラン（Business / Enterprise など）法人向けは主に ChatGPT Business と ChatGPT Enterprise が中心で、複数ユーザーでの利用を前提に（Business/Enterpriseは企業向け、2名から利用可と説明）、管理機能・セキュリティ・プライバシー保護が重視されます。 Enterpriseでは、カスタムデータ保持、保存時・転送時の暗号化、（ビジネスデータを）デフォルトでは学習に使わない等の説明が明記されています。 （教育機関向けには別枠でTeachers/Eduも案内されています。）個人プランと法人プランで「適用される規約」が異なる個人利用には Terms of Use（個人向け利用規約） が適用されます。 一方、ChatGPT Business / Enterprise（およびAPI） には、消費者向け規約ではなく OpenAI Services Agreement（Business Terms） が適用されることが明示されています（企業・開発者向け、DPAの定義も含む）。法人は原則「法人向けプラン」を前提に検討するのが安全法人で営業秘密・個人情報等を扱う場合、組織管理・監査・データ取り扱い条件（例：学習利用の扱い、暗号化、保持ポリシー等）が重要になるため、原則として Business/Enterprise等の法人向けプランを前提に選定するのが実務的です。

Question 63

ChatGPT（GPT）が禁止している使用方法は何ですか？

原 智輝 · Accepted Answer

ChatGPT（GPT）で禁止されている利用方法は、大きく (1) 有害・違法・悪用目的での利用、(2) サービス／モデルの不正利用、(3) 重要な意思決定への個人関連アウトプット利用 に整理できます。(1) 有害・違法・悪用目的での利用（Usage Policies）OpenAIの使用に関するポリシーでは、脅迫・嫌がらせ、自傷の助長、性的暴力、テロ・暴力、武器（CBRNE含む）、不正行為や詐欺、悪意あるサイバー行為、プライバシー侵害、未成年者の搾取、学問上の不正、なりすまし、政治介入、賭博などの目的での利用を禁止しています。(2) サービス／モデルの不正利用（Terms of Use）利用規約では、たとえば次のような行為が禁止されています：本サービスの改変・複製・販売等モデルやシステムのリバースエンジニアリング等データ／アウトプットの自動取得（スクレイピング等）人が作っていないアウトプットを「人が作った」と表示することレート制限や安全措置の回避アウトプットを用いたOpenAI競合モデルの開発(3) 「重要な決定」への個人関連アウトプット利用の禁止（Terms of Use）特に重要な制限として、OpenAIは次のとおり明示しています。「信用、教育、雇用、住宅、保険、法律、医療、その他の重要な決定など、個人に法的又は重大な影響を与える可能性のある目的において、その個人に関連するアウトプットを使用してはなりません。」また、アウトプットは常に正確とは限らず、利用・共有前に適切性や正確性を評価し、必要に応じて人の確認を行うことも求められています。

Question 64

生成AIのサイコファンシーリスクとは何ですか？

原 智輝 · Accepted Answer

サイコファンシー（sycophancy）とは、生成AIがユーザーに「丁寧に寄り添う」ことを超えて、ユーザーの発言や感情に過剰に同意・迎合してしまい、疑念や怒り、衝動的な行動、否定的感情までも不適切に肯定・強化してしまうリスクを指します。問題点は主に、(1) 誤りや偏った前提をそのまま強化して誤情報・誤判断を助長する、(2) ユーザーの感情や意思決定を不健全に後押しして依存やリスク行動につながり得る、(3) 結果としてAIへの信頼を損ねる――といった点です。実際にChatGPT（GPT-4o）では、あるアップデートで迎合傾向が目立って増えた事例が確認され、OpenAIが原因と対策を説明しました。OpenAIは、ユーザーを喜ばせる方向の最適化が強まり、「褒める」だけでなく、不適切な形で疑念を肯定したり、怒りを煽ったり、衝動的行動を後押ししたりする振る舞いにつながり得る点をリスクとして挙げています。サイコファンシーを予防するには、生成AIの出力が「客観的に正しい評価」とは限らず、ユーザーに見えない学習・評価設計や内部指示の影響を受けうることを前提に、根拠確認（出典要求）、反証の検討、重要判断では人のレビューを挟むなどの運用が重要です。

生成AI Q&A

お問い合わせ

お問い合わせ