AIの委託先・サービスの確認リスト

ガイド「AI事業者ガイドラインの読み方：AIを使う会社がやること」と「生成AIの利用ルールの作り方（ひな形つき）」で触れている、ツールの承認の目安を確かめるためのWordのファイルです。確認の項目ごとに「はい・いいえ・確認中」と、根拠にした資料の名前と条項を書きます。開発を委託する場合の追加の項目も入れています。

使い方

① 基本情報を書きます。 確認する相手、サービス・委託の内容、使う部署と目的、扱う情報の区分、契約の種類を書きます。

② 公開されている資料を集めます。 利用規約、プライバシーポリシー、セキュリティの資料、法人向けの契約書の案などを集めます。

③ 項目ごとに確かめます。 「情報の扱い」から「契約の終了時のデータ」までの項目に、はい・いいえ・確認中を付け、根拠の資料と条項を書きます。

④ わからない点を質問します。 資料に書かれていない点は、相手の会社に質問して回答を記録します。

⑤ 開発を委託する場合は、追加の項目も確かめます。 成果物の権利、当社のデータの扱い、品質の確かめ方、保守の範囲を確かめます。

⑥ 判断を記録します。 「いいえ」「確認中」の項目への対応を書き、使う・条件付きで使う・使わない・確認を続けるのいずれかを選びます。次の確認日も決めます。

中身（見出し）

記入例

架空の会社「株式会社〇〇」が、社内の問い合わせに答える仕組みに使うAIのサービスを確かめる場合の例です。

• 扱う情報の区分： 条件付き（就業規則・社内の手続きの資料。個人の情報は入れない）
• 3. 学習への利用： 「学習に使われない設定ができる」は「はい」。根拠は法人向けの利用規約の該当の条項。既定の設定は「使われない」であることも確かめた。
• 4. 保存場所と保存期間： 「保存の期間と削除の方法が示されている」は「確認中」。相手の会社に質問し、回答を待っている。
• 9. 判断： 条件付きで使う。条件は「入力する情報を就業規則と社内の手続きの資料に限る」「保存の期間の回答を得てから全社に広げる」。次の確認日は契約の更新の前。

使うときの注意

• 自社の規程・契約に合わせて直してください。 確認の項目は一般的な例です。扱う情報や業務に合わせて足したり減らしたりしてお使いください。取引先から預かった情報を扱う場合は、取引先との契約の条件も確かめます。
• 個人情報を扱う場合は、法令の確認が必要です。 個人データの取扱いを委託する場合、個人情報保護法では、委託先で安全管理が図られるよう必要かつ適切な監督を行うことが求められています（第25条）。外国の事業者に個人データを扱わせる場合の扱いは、個人情報保護委員会のガイドライン（通則編・外国にある第三者への提供編）などで確かめ、弁護士などの専門家に確かめていただくと安心です。
• 確かめた日と根拠を残してください。 利用規約や設定は変わることがあります。確かめた日と資料の名前・条項を残し、契約の更新の前などに見直します。
• ほかのひな形と合わせて使えます。 承認したツールは「生成AIの利用ルール（生成AIの利用ルール（ひな形））」の別紙に、扱う情報の区分は「入力してはいけない情報の一覧（入力してはいけない情報の一覧）」に合わせて書くと、社内の判断がそろいます。
• 公的な資料の最新版を確かめてください。 総務省・経済産業省の「AI事業者ガイドライン」や、個人情報保護委員会の「生成AIサービスの利用に関する注意喚起等について」などの資料は更新されることがあります。
• このひな形は参考のための資料で、監査・評価・認証に代わるものではありません。特定の製品・サービス・会社をお勧めするものでもありません。