M&Aのデューデリジェンスで、AIとデータの活用状況を確かめる観点

自社の「戦略」の準備度は？10問・約3分で確かめる（無料・登録不要）

デューデリジェンス（DD）は、M&Aの前に対象の会社の状態を調べることです。財務・法務・ITの仕組みが中心でしたが、AIの利用が広がり、AIとデータの使い方も確かめる対象になってきました。譲り受ける側が確かめるときの観点と進め方を整理します。譲り渡す側の準備にも使えます。

なぜAIとデータを確かめるのですか？

• リスクの面：社員が会社の把握していないAIツールに顧客の情報を入力していた、AIのサービスの規約が事業の使い方と合っていない、といった問題は、統合した後に表に出ることがあります。
• 価値の面：データが整い、AIを業務に組み込めている会社は、統合した後に取り組みを広げやすくなります。反対に、AIを使っているように見えても、特定の社員だけが使い方を知っている場合は、その人が辞めると続かないことがあります。

経済産業省の「デジタルガバナンス・コード3.0」は、データの活用や連携を経営に欠かせないものと位置づけています。AIとデータの状態は、事業の継続性と統合の後の計画の両方に関わるため、早い段階で確かめておく意味があります。

M&Aの進め方の全体は、中小企業庁の「中小M&Aガイドライン（第3版）」が参考になります。ITやシステム全体を調べる「ITデューデリジェンス」の中に、AIとデータの観点を組み込む形が考えられます。

何を確かめればよいですか？

次の6つの観点で確かめると、漏れが少なくなります。

① 利用の一覧：会社が把握していない利用にも目を向けます

社員が個人のアカウントで業務に使っていないかも、聞き取りで確かめます。会社が把握していない利用（シャドーAI）では、入力された情報の扱いを会社として確かめられていません。

② 契約と規約：事業の使い方と合っているかを見ます

AI事業者ガイドラインは、AIを使う会社が、提供者が定めた利用上の注意を守り、想定された範囲で使うことを基本とし、提供者から受け取った文書の保管や規約の順守も挙げています。

• 入力したデータが、サービスの提供者の学習に使われる設定になっていないか
• 事業での使い方（社外への提供、商用での利用など）が規約で認められているか
• 個人向けのプランを業務に使っていないか
• 統合した後に、契約を引き継げるか、名義の変更ができるか

③ データの権利と個人情報：使い方が約束の範囲内かを見ます

• 取引先から預かったデータを、契約で認められていない使い方でAIに使っていないか
• 顧客の個人情報を、プライバシーポリシーで示した利用目的の範囲内で使っているか
• 外国にあるサービスに個人データを渡している場合、その扱いを確かめているか

④ セキュリティと管理

AIツールのアカウントが退職者のまま残っていないか、利用の記録を残しているか、AIに関わる事故や情報の漏えいがなかったかを確かめます。

⑤ 属人化：続けられる体制かを見ます

AIの仕組みを社内の1人が作り、その人しか直し方を知らない場合、統合の後に続けられないことがあります。手順書の有無と、外部の委託先との契約を確かめます。

⑥ 効果の根拠：数字の測り方を見ます

「AIで作業時間が半分になった」といった説明があれば、いつ、何を、どう測ったのかを確かめます。根拠がはっきりしない数字は、そのまま評価に使わず、統合した後に確かめる項目として扱います。

どんな手順で進めればよいですか？

① 確かめる範囲を決めます。 取引の規模やAIの使われ方に合わせて、6つの観点のどこを深く見るかを決めます。

② 資料を依頼します。 上の表を手がかりに、依頼する資料の一覧を作ります。秘密保持の契約を結んだうえで依頼します。

③ 聞き取りをします。 資料でわからない使い方を、経営者、情報システムの担当、使っている社員に聞きます。

④ 論点を整理します。 見つかったことを、大きさと直しやすさで分けます。

⑤ 扱いを決めます。 論点ごとに、価格や契約の条件の交渉の材料にするもの、統合した後の計画で直すもの、取引そのものを見直すきっかけにするものに分けます。契約の条件にどう反映するかは、弁護士などの専門家と相談して決めます。

統合した後の進め方は「M&A後の統合（PMI）とAI活用」、AIとITがM&Aでどう見られるかは「AIと企業価値」もご覧ください。

個人データを含む資料を受け取るときは、何に気をつけますか？

個人情報保護法第27条第5項第2号は、合併その他の事由による事業の承継に伴って個人データが提供される場合、その提供先を第三者にあたらないものとしています。個人情報保護委員会のガイドライン（通則編）3-6-3は、この扱いを説明したうえで、承継した後も、承継の前の利用目的の範囲内で使う必要があるとしています。

同じ箇所では、事業の承継の契約を結ぶより前の交渉の段階で、相手の会社から調査を受けて自社の個人データを提供する場合も、この号にあたるとしています。この場合、本人の同意やオプトアウトの手続きなしに提供できますが、データの利用目的と扱い方、漏えいなどが起きた場合の措置、交渉が不調に終わった場合の措置など、相手の会社に安全管理の措置を守らせるために必要な契約を結ばなければならないとされています。

交渉の段階の提供は、こうした契約が前提です。実務では次の点を確かめておくと安心です。

• 秘密保持の契約で、受け取った情報の利用目的、扱い方、返却や削除の方法を決めておく
• 個人データは、調査の目的に必要な範囲に絞って受け取る（名前を伏せた形で足りるか検討する）
• 受け取った資料を外部のAIツールで分析する場合は、その扱いが契約で認められているかを確かめる

個人データの扱いは事案によって判断が分かれることがあるため、詳しくは弁護士などの専門家にご確認ください。

譲り渡す側は、何を準備すればよいですか？

AIとデータの状態を整理しておくと、相手に安心して検討してもらえます。

• 使っているAIツール・サービスと契約の一覧を作る
• 利用ルールと、入力してよい情報の範囲を文書にする
• 仕組みの手順書を整え、特定の人に頼らない状態にする
• 効果を説明するなら、測り方と記録を残しておく

詳しくは「会社を譲る前に整えたいAIとデータ」をご覧ください。

チェックリスト

• 確かめる範囲（6つの観点のどこを深く見るか）を決めている
• AIツール・サービスの一覧と、会社が把握していない利用の有無を確かめた
• 契約・規約で、入力したデータの扱いと事業での使い方を確かめた
• AIに使うデータの権利と、個人情報の利用目的の範囲を確かめた
• アカウントと権限の管理、利用の記録、事故の有無を確かめた
• 仕組みを担う人と手順書の有無を確かめた
• 効果として示された数字の根拠を確かめた
• 個人データを含む資料の扱いを、秘密保持の契約で決めている
• 見つかった論点を、交渉・統合後の計画・取引の見直しに分けた