法人向けの生成AIツールの選び方：契約と設定で確かめること

生成AIのツールは種類が多く、機能や性能の違いに目が向きがちです。しかし、全社で使い始めた後に困りやすいのは、情報の扱いやアカウントの管理のほうです。この記事では、特定の製品によらず、選ぶときと契約のときに確かめる項目を整理します。

選ぶ前に、何を決めておけばよいですか？

ツールを比べる前に、次の3点を社内で決めておくと、比べる軸がぶれにくくなります。

• 使う業務と入力する情報：文章の下書き、議事録の要約、社内資料の検索など、何に使うか。そのときに入力する情報に、個人情報や取引先の秘密情報が含まれるか。
• 使う人の範囲：一部の部署から始めるか、全社員か。業務委託先も使うか。
• 社内のルール：入力してよい情報の区分や、出力の確かめ方。利用ルールがまだない場合は、あわせて作ります（「生成AIの利用ルールの作り方」参照）。

何を確かめればよいですか？

確かめる項目を、4つの観点に分けて整理します。

① 入力した情報の学習への利用

• 入力した情報が、提供者のAIの学習に使われるか。使われない設定にできるか。設定は利用者ごとか、会社全体で管理できるか。
• 契約の種類（無料版・個人向け・法人向けなど）によって扱いが違うか。

個人情報保護委員会は、事業者が個人データを含む指示を入力する場合には、サービスの提供者がその個人データを機械学習に利用しないことなどを十分に確かめるよう求めています。IPAの「情報セキュリティ10大脅威 2026」の解説書も、外部のサービスを使うときに、入力したデータを学習の対象から外す設定を徹底することを対策に挙げています。

② データの保存と取扱い

• 入力した内容や生成した内容が、どこに、どのくらいの期間、何の目的で保存されるか。
• 提供者の担当者が内容を見る場合があるか。それはどんなときか。
• 会社の側で削除できるか。解約したときにデータはどうなるか。
• データを保存するサーバや提供者が、どの国にあるか。

個人情報を扱う可能性がある場合は、提供者が個人データを取り扱う立場になるかも確かめます。個人情報保護委員会のQ&Aは、クラウドサービスの利用が第三者提供や委託に当たるかは、提供者が個人データを取り扱うこととなっているかで判断するとしています（Q7-53）。外国の事業者のサービスを使う場合の考え方も示されています（Q10-25）。詳しくは「生成AIと個人情報の扱い」をご覧ください。

③ アカウントの管理

• 会社のアカウントとして管理できるか。管理者が利用者の追加・停止、設定の変更を行えるか。
• 社内の認証の仕組みとつなげて、一度のログインで使えるようにできるか（シングルサインオン）。
• 多要素認証を使えるか。
• 退職や異動のときに、すぐに利用を止められるか。
• 利用の記録（ログ）を、会社の側で確かめられるか。

IPAの解説書は、個人のアカウントでの業務利用を制限すること、多要素認証を徹底すること、利用状況を把握して会社が管理していないAIサービスの利用を見つけることを挙げています。会社のアカウントで管理できることは、会社が把握していないAIの利用（シャドーAI）を減らすことにもつながります。

社内のファイルや業務システムと連携する機能を使う場合は、元の資料の閲覧権限がAIの答えにも引き継がれるかを確かめます（「社内の資料をAIで探せるようにする」参照）。

④ 規約と契約の条件

• 利用規約で、禁止されている使い方や、入力してはいけない情報が定められているか。
• 生成した内容の扱い（利用してよい範囲など）がどう定められているか。
• 規約が変わるときに、通知があるか。
• 料金の体系（利用者の数・使った量など）と、上限の設定ができるか。
• 障害のときの連絡や、問い合わせの窓口があるか。

総務省・経済産業省の「AI事業者ガイドライン」は、AIを業務で使う「AI利用者」の取り組みとして、提供者が定めた利用上の留意点やサービス規約を守ること、提供者から渡された文書を適切に保管し活用することを挙げています。IPAの解説書も、契約のときに約款を確かめることを挙げています。

著作権の観点では、文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」が、利用する前に、サービスの仕組みや特性、使われている学習済みモデルの情報、利用規約を確かめておくことが望ましいとしています。規約で他人の著作物の入力を禁止・制限している場合もあるため、規約に従って使います（「生成AIと著作権」参照）。

どう比べればよいですか？

確認項目を、そのまま比べるための表にすると便利です。

「使ってよい条件」を満たすかを先に確かめ、満たすものの中で使いやすさと費用を比べる順番にすると、機能の多さに引きずられずに選べます。一つのツールに業務を集めすぎると、後から乗り換えにくくなる（ベンダーロックイン）こともあるため、データを取り出せるかも確かめておきます。

どんな手順で導入すればよいですか？

① 使う業務と入力する情報を決めます。 業務を絞ると、確かめる項目も絞れます。

② 候補を選び、確認項目を埋めます。 提供者の公開資料、規約、データの扱いをまとめた文書で確かめ、わからない点は問い合わせます。

③ 法務・情報システム・使う部署で確かめます。 規約と契約は法務の担当者、アカウントと設定は情報システムの担当者、使いやすさは使う部署が見ると、抜けが少なくなります。

④ 小さく試します。 一部の部署で、実際の業務に近い形で試し、効果と課題を確かめます。試す目的と、続けるかやめるかの条件を先に決めておくと判断しやすくなります（「PoCの進め方」参照）。

⑤ 設定を決めて、承認したツールの一覧に載せます。 学習への利用の設定、利用者の範囲、管理者を決め、利用ルールの別紙（承認済みツールの一覧）に書きます。

⑥ 定期的に見直します。 サービスの仕様や規約は変わります。確かめる担当と時期を決めておきます。中小企業向けには、IPAの「中小企業の情報セキュリティ対策ガイドライン」の付録に、クラウドサービスを安全に使うための手引きがあります。

チェックリスト

• 使う業務、入力する情報、使う人の範囲を決めている
• 入力した情報が学習に使われるか、使われない設定を会社全体で管理できるかを確かめている
• 保存の期間・場所・目的と、削除の方法を確かめている
• 提供者やサーバがどの国にあるか、個人データの扱いがどうなるかを確かめている
• 会社のアカウントとして管理でき、多要素認証を使えることを確かめている
• 退職や異動のときに、すぐに利用を止められることを確かめている
• 利用規約の禁止事項と、生成した内容の扱いを確かめている
• 規約の変更の通知と、料金の上限の設定を確かめている
• 法務・情報システム・使う部署で、それぞれ確かめている
• 承認したツールと設定を一覧にし、見直しの担当と時期を決めている