DPAとNDAは何が違いますか？生成AIを導入するとき、両方必要ですか？
この記事は、生成AI導入時によく混同される「DPA」と「NDA」の違いを整理した内容です。契約実務でどちらを気にすべきか迷っている経営者・法務担当の方が読むことで、自社が扱う情報のカテゴリーに応じて、どこを見ればよいかの判断軸を得られます。
そもそもDPAとNDAは「ジャンルが違う」
端的に言うと、DPAとNDAは、そもそも扱っているジャンルが全然違う契約です。DPA（Data Processing Agreement／データ処理契約）は「個人情報」に関する文脈で使われる用語で、受け取った個人情報をどのように扱うのかというルールを定めるものです。一方でNDA（Non-Disclosure Agreement／秘密保持契約）は「秘密情報」――秘密にしたい情報をどのように管理するのかを定めるものです。守るものが、個人情報なのか営業秘密などの秘密情報なのか、という点で最初から役割が分かれているわけです。
「片方があれば片方が要らない」という関係ではない
そのため、「NDAを結んでいればDPAは要らない」「DPAがあればNDAは要らない」という理屈は成り立ちません。両者は代わりになる・ならないという関係にないからです。判断の軸はシンプルで、そのプロジェクトで何を扱うのか、という情報のカテゴリーで考えていただければと思います。秘密情報を扱うならNDA、個人情報を扱うならDPA的な取り決め、両方扱うなら両方が問題になる、という整理です。
なぜ個人情報だと別の取り決めが必要になるのか
個人情報の場合にDPA的な取り決めが問題になるのには、法律上の理由があります。個人情報保護法25条は、個人データの取扱いを外部に委託する場合、委託元に対して「委託先への必要かつ適切な監督」を義務づけています。この監督義務の主語は委託する側（委託元）であり、委託先で漏えいが起きた場合には委託元自身も同法26条の報告義務を負う立場になります。つまり、秘密保持とは別に、「預けた個人情報が適切に扱われるようにする」ことが法律上求められる――ここがNDAではカバーしきれない部分です。
ただし生成AIでは「独立したDPA」を結ぶ場面はほぼない
もっとも、生成AIの利用に関して言うと、独立したDPAをレビューするという場面は現実にはあまり多くありません。というのも、生成AIの場合、こうしたデータの取扱いルールはモデルの利用規約に内蔵されていることがほとんどだからです。個別にDPA契約書を巻くのではなく、提供事業者の規約・ポリシーの中に組み込まれている、という形が一般的です。
一方でNDAは今、生成AIとの関係で見直しが必要
これに対してNDAは、生成AIとの関係でむしろチェックの必要性が高まっています。最近は生成AIを使った情報処理が非常に進んでいるので、NDAのレビューを依頼されたときには、私はまず「その業務で生成AIを使いますか？」と確認します。使うのであれば、生成AIに情報を入れることを想定した条項になっているか――それ相応の手当てが入っているかどうかをチェックします。従来のNDAのひな形は、生成AIに情報を入力する場面を想定していないことが多いためです。
実務でよくある失敗：ルールを知らずに進めてしまう
中小企業やスタートアップで実際によくある失敗は、そもそも個人情報保護法や営業秘密（不正競争防止法）、取引先とのNDAで取得した情報の扱いといった、データに関連する基本的なルールを知らないために、対策を怠ってしまう、あるいは知らないままプロジェクトを進めてしまう、というケースです。悪意があるわけではなく、単純に「何がルールなのか」を把握しないまま走り出してしまうのが典型例です。
レビューの入口は「何のデータを扱うか」から
だからこそ、私が相談を受けたときにまず確認するのは「そのプロジェクトで何のデータを扱うのか」です。個人情報を扱っているということであれば、最初に見るのはまずプライバシーポリシーで、ここから始まっていくことが多いです。秘密情報であればNDA、そして生成AIを使うのであればその利用規約――という順に、扱う情報のカテゴリーを起点に確認していきます。御社が今どのカテゴリーの情報を、どのツールで扱おうとしているのか。そこさえ整理できれば、必要な手当ては見えてきます。
生成AIの導入にあたって、NDAやプライバシーポリシー、利用規約のどこを見ればよいか迷われている場合は、tAiL.法律事務所にご相談ください。「使わせない」ためではなく、安全に攻めるための整理をお手伝いします。サービス一覧はこちら
※本記事は一般的な情報提供を目的としたものであり、個別の法的助言ではありません。実際のご判断にあたっては個別にご相談ください。
執筆：弁護士 原智輝（福岡県弁護士会）／tAiL.法律事務所代表