2026.11.12
AI契約条項を実務で設計する完全ガイド
IT関連
AI契約条項は、生成AIを業務や開発に使う企業が、データ・知的財産・責任の境界を合意するための約束です。導入スピードを優先して既存契約を流用すると、後から利用範囲や成果物の帰属を巡る争いが起こり得ます。
AIを使う取引では、委託者と開発ベンダーだけでなく、基盤モデルやクラウドを提供する事業者も関係します。三者以上の利用条件が重なるため、契約書、社内規程、サービス規約を別々に確認するのではなく、一つの統制として整合させることが重要です。
本記事では、利用可否、入力データ、学習済みモデル、ライセンス、障害時の責任、終了時の削除までを実務順に解説します。調達・法務・情報セキュリティ・現場が同じ判断基準を持てるよう、交渉時の優先順位と運用方法も示します。
AI契約条項で最初に決めるべき利用範囲
許可・禁止・事前承認を分けて定義する
結論として、AI利用の可否は「全面禁止」か「自由利用」の二択にせず、許可対象・禁止対象・個別承認対象へ分けて定義します。たとえば一般公開情報の要約と、顧客情報を含む文書の入力では、求められる保護水準が明確に異なります。
条項には対象となるAIサービス、利用者、業務目的、利用地域、外部APIの使用可否を記載します。委託先が再委託先や外部ツールを使う場合も、誰がどの条件で承認するのかを明文化し、口頭での例外運用を残さないことが大切です。
実務では、契約締結前の利用審査と契約後の利用管理を接続させます。審査基準そのものはAI利用審査の進め方も参照し、承認済みツール一覧と契約上の許可範囲が食い違わない状態を維持しましょう。
- 利用者の範囲：社員、委託先、再委託先、顧客
- 利用目的：要約、検索、開発支援、顧客向け生成
- 例外手続：承認者、申請方法、記録の保存先
期待値と性能保証の線引きを行う
AIの出力精度を無条件に保証する契約は現実的ではありません。したがって、AI契約条項ではできないことを先に示し、人による確認責任と受入基準を定めることが、利用者と提供者双方の期待値を整える出発点になります。
性能を約束する必要がある場合は、「正確であること」ではなく、評価データ、測定方法、合格水準、再テスト方法を具体化します。誤回答、偏り、応答遅延、モデル更新後の精度変化についても、検知後の連絡と改善協議の流れを決めておきます。
責任制限は、免責文言だけで終わらせません。利用者の確認を必須にする画面設計、重要判断における人の承認、誤出力を通報する窓口まで含めると、条項が日常運用に機能するルールへ変わります。
- 評価指標と測定データの固定
- 人による最終確認の対象業務
- 不具合の報告期限と改善協議
損害賠償と障害対応を取引構造に合わせる
障害時の責任は、原因を持つ当事者へ合理的に配分することが基本です。委託者の不適切な入力、ベンダーの実装不備、外部AIサービスの停止を区別し、通知、復旧、代替措置、損害賠償の対象を分けて定めます。
賠償上限を契約金額の10%とするだけでは、重大な情報漏えいや第三者請求に対応できない場合があります。直接損害・間接損害の定義、秘密保持違反の扱い、保険の有無を確認し、案件の重要度に応じて例外を協議します。
特にAIサービスの仕様変更や停止は、開発ベンダーだけで完全には制御できません。代替モデルへの切替、手作業への戻し、顧客への説明を誰が主導するかを決めれば、サービスレベルの議論を実行可能な約束にできます。
- 障害原因ごとの一次対応者
- 外部サービス停止時の代替手段
- 第三者請求時の通知と防御協力
AI利用規約と社内ポリシーを分けて整える
サービス規約と社内ルールは役割が異なる
AI利用規約は、AI提供者と利用者の関係を定める文書です。一方、社内ポリシーは社員や委託先が何を入力でき、どの業務で使えるかを統制します。両者を混同せず、外部契約と内部統制を二層で設計する必要があります。
提供者のAI利用規約には、入力内容の保存、学習利用、出力の権利、免責、サービス変更が書かれています。社内ルールは、それらを確認した上で、自社が許容するデータ分類と承認ツールを具体的に示す文書として作成します。
利用規約が改定されたら、法務だけでなく情報セキュリティと業務部門が影響を評価します。改定履歴を保存し、利用中のAPIや連携アプリに変更が及ぶ場合には、契約条件と運用手順を同時に更新することが重要です。
- 外部規約：提供者と利用者の権利義務
- 社内ポリシー：入力可能情報と利用手順
- 個別契約：案件固有の責任と成果物条件
シャドウAIを契約と教育で減らす
AI利用規約を整えても、承認されていないツールの利用を放置すれば統制は崩れます。企業従業員の40～60%が業務で承認されていないAIツールを使用していると推定されています。この現実を前提に、禁止だけでなく安全な代替手段を示します。
2025年に実施された企業従業員を対象とした調査では、58%がIT部門または上司の承認を得ていない業務に少なくとも1つのAIツールを使用したと回答した。そのうち34%は、顧客データを消費者向けAIツールに入力していた。
利用者には、公開情報、社内情報、機密情報、個人情報の区分を例示します。違反を見つけた場合は、発見後24時間以内に情報セキュリティ部門へ報告する運用とし、責任追及より先に被害拡大の防止と証拠保全を優先します。
- 承認済みAIの利用目的と利用条件
- 入力禁止情報の具体例
- 違反・誤入力時の即時報告先
生成物の利用前確認を必須にする
生成物は、もっともらしい誤りや第三者権利との類似を含む可能性があります。そのため、AI利用規約と個別契約には、利用者が事実確認、権利確認、専門家確認を行った上で利用するという責任分担を入れるべきです。
社外公開、顧客提案、採用判断、医療・法務・金融など影響の大きい場面では、二者確認や承認記録を求めます。プロンプトインジェクションやディープフェイクなどの禁止行為も定義し、検出した場合の利用停止を明確にします。
利用教育は一度で終わらせず、改定や事故の傾向に合わせて実施します。適切な承認フローと研修を組み合わせた組織では、6か月以内にシャドウAIインシデントを最大70%削減したと報告しているため、契約条項を教育設計へ接続する価値があります。
- 公開前の事実・権利・安全性確認
- 高リスク業務における二者承認
- 違反時の停止、通報、再発防止
AIデータ契約で入力から削除までを統制する
データの類型と利用目的を固定する
AIデータ契約では、データそのものを所有するという抽象論より、誰が何の目的で、どの期間、どこまで利用できるかを定義することが重要です。データ提供型、データ創出型、データ共用型（プラットフォーム型）の3つで、必要な条項は変わります。
経済産業省のAI・データ契約ガイドラインは2018年6月に初版が公表され、現在の最新版は2019年12月の1.1版です。データ提供者、開発者、利用者の立場を分け、提供範囲、目的外利用、第三者提供、再利用を契約で整理します。
データ一覧には、項目名、取得経路、更新頻度、欠損、ラベル、個人情報の有無を記録します。品質の保証範囲と受入基準を先に合意すれば、学習結果が期待に届かない場合も、データ不備と実装不備を切り分けて協議できます。
- データの定義と提供方法
- 利用目的・利用地域・利用期間
- 第三者提供と目的外利用の禁止
学習・追加学習・派生モデルを区別する
AIデータ契約で最も見落とされやすいのは、提供データが学習済みモデルに残る問題です。初期学習だけでなく、追加学習、ファインチューニング、蒸留、派生モデル生成を許可するのか、明示的に選択しなければなりません。
開発の流れはアセスメント、PoC、開発、追加学習の4段階に分けて契約できます。PoCで得た知見を本開発に持ち込めるか、採用されなかったモデルをベンダーが汎用化できるかは、段階移行時に再確認します。
モデルの再利用を限定的に認める場合でも、顧客データの再現や逆推定を防ぐ技術的・契約的措置が必要です。データとモデルを削除する条件、削除証明書の提出、バックアップからの消去時期を、終了条項へ具体的に組み込みます。
- 初期学習と追加学習の許諾範囲
- 蒸留・派生モデルの可否
- 終了後の削除証明とバックアップ対応
個人情報と秘密情報を別々に扱う
個人情報と営業秘密は、どちらも重要ですが保護根拠と管理方法が異なります。AIデータ契約では、個人情報の取扱者、委託先監督、国外移転を定める一方、秘密情報はアクセス権、目的外利用、持出し禁止を中心に定義します。
内容更新日: 2026-10-01の契約関連資料も参照し、制度や提供サービスの更新を定期確認しましょう。2026-10-01 更新の文書であっても、自社案件のデータ分類、利用目的、委託構造にそのまま適合するとは限りません。
漏えい時の通知、ログ保全、調査協力、本人・顧客への連絡担当を決めることも不可欠です。技術的対策だけでは足りないため、AIデータ漏洩を防ぐための原因分析・予防策・発生時対応と合わせて、契約と事故対応計画を確認してください。
- 個人情報と秘密情報の定義
- 越境移転・再委託の事前承認
- 漏えい時の通知、調査、証拠保全
調達仕様とライセンスでベンダーを見極める
AI調達仕様書は要件を検証可能にする
AI調達仕様書では、求める機能だけでなく、データ処理、接続先、性能評価、保守、終了時の移行までを検証可能な要件にします。曖昧な「高精度」「安全」ではなく、対象データ、テスト方法、報告形式、受入条件を記載することが要点です。
特に生成AIでは、基盤モデル名、モデル更新の通知方法、APIの仕様変更、利用上限、ログ取得の可否を確認します。これらが未定義のままでは、ベンダーが提供する機能と、利用部門が想定する業務品質に隔たりが生じます。
AI調達仕様書には、契約終了後のデータ返還、エクスポート形式、移行支援、削除証明も含めます。導入時に出口戦略を決めておくことで、特定サービスに固定されるリスクを抑え、次の選定や再交渉を進めやすくなります。
- 評価データと受入テストの方法
- モデル・API変更時の通知条件
- 終了後のデータ移行と削除条件
AIライセンス管理で権利の連鎖を確認する
AIライセンス管理は、ソフトウェアの利用数を数える作業ではありません。基盤モデル、API、OSS、学習済みモデル、データセット、生成物について、誰がどの範囲で使えるかを追跡し、契約上の義務を運用へ反映する活動です。
ベンダーが利用する第三者サービスやOSSの条件は、顧客契約にも影響します。商用利用、再配布、改変、表示義務、ソースコード開示の条件を確認し、顧客に提供する成果物へ不適切な制約が混入しないようにします。
AIライセンス管理の台帳には、契約名、対象モデル、用途、利用者、期限、データ学習への利用可否、更新担当を残します。法務だけが管理するのではなく、開発・調達・情報セキュリティが変更を共有できる仕組みが必要です。
- 基盤モデル・API・OSSの利用条件
- 成果物の商用利用と再配布条件
- 更新期限と担当者を記した台帳
AIベンダー比較は価格以外の条件で行う
AIベンダー比較では、初期費用や機能一覧だけで決めず、データ学習の有無、保存場所、再委託、補償、監査協力、終了時の移行を同じ基準で比べます。評価項目を契約条項に対応づけることで、選定後の認識違いを減らせます。
比較時には、標準規約から変更できる範囲も確認します。データを学習に使わない選択肢、顧客専用環境、監査報告書、障害通知、責任上限などは、調達規模や扱う情報によって交渉優先度が変わります。
AIベンダー比較の結果は、採点表だけでなく、採用理由と残存リスクとして記録します。採用後にモデル提供者や再委託先が変わる場合にも、当初の評価前提との差分を確認し、追加承認の要否を判断できます。
- 学習利用・保存・再委託の条件
- 補償、監査、障害通知の水準
- 終了時のデータ移行と代替可能性
AI監査対応と供給網の変更管理を実装する
AI監査対応は証跡を先に設計する
AI監査対応を実効性あるものにするには、監査の直前に資料を集めるのではなく、利用開始時から証跡を残します。契約書、利用承認、データ一覧、アクセスログ、出力確認、インシデント記録を結び付ければ、説明責任を果たしやすくなります。
監査権は、相手方の業務を過度に妨げない形で設計します。監査頻度、事前通知、対象範囲、第三者監査報告書での代替、是正計画の提出期限を定めると、機密保持と検証可能性のバランスを取れます。
EUのAI法（2026年施行）のように、規制動向が契約条件へ影響する場面もあります。AI監査対応では、適用法令の変更を通知し、影響評価と追加措置を協議する変更管理条項を置くことが有効です。
- 利用承認から出力確認までの証跡
- 監査の頻度、範囲、代替資料
- 規制変更時の通知と協議
AIサプライチェーンの責任を見える化する
AIサプライチェーンでは、顧客、導入ベンダー、クラウド、基盤モデル提供者、データ提供者、再委託先が連なります。自社が直接契約していない事業者も含め、データがどこを通り、誰が変更できるかを可視化することが第一歩です。
契約には、再委託の事前承認または通知、再委託先への同等義務、国外処理、セキュリティ事故の連絡経路を定めます。特にモデル提供者の変更やクラウド移行は、データ処理条件が変わる可能性があるため、重要変更として扱います。
AIサプライチェーンを管理する担当者は、契約担当だけでは足りません。調達が取引先を把握し、開発が技術構成を説明し、セキュリティがリスク評価を担うことで、供給網全体の責任分界を実務に落とし込めます。
- 直接・間接の提供者を含む構成図
- 再委託・国外処理の統制
- 重要変更時の通知と再評価
契約後の定期見直しを運用に組み込む
契約は締結時点で完成するものではありません。モデル更新、API変更、利用部門の拡大、データ種類の追加があれば、当初のAI契約条項が現状に合うかを確認し、必要に応じて変更契約や利用承認を行います。
見直しでは、利用目的、入力データ、学習利用、再委託先、出力の利用先、事故件数、未解決の是正措置を確認します。四半期ごとのレビューのサイクルを設けると、規約改定や運用逸脱を早期に拾いやすくなります。
AI監査対応とAIサプライチェーンの見直し結果は、経営層にも共有します。未解決リスクを費用、法的影響、事業停止の可能性に翻訳すれば、追加予算や契約再交渉について、部門横断で優先順位を付けられます。
- モデル・規約・構成変更の検知
- 四半期ごとの証跡とリスク確認
- 経営層への残存リスク報告
まとめ
AI契約条項は、AI導入を止めるための制約ではなく、データ利用、成果物、責任、変更を予測可能にするための共通言語です。利用規約、データ契約、調達仕様、監査記録をつなげ、取引先任せにしない運用を構築しましょう。
要点
- AI利用の許可・禁止・個別承認を分け、対象と目的を明記する。
- AIデータ契約では、学習、追加学習、派生モデル、終了後の削除まで定める。
- AI調達仕様書とAIライセンス管理を連動させ、第三者サービスの条件も確認する。
- AI監査対応は、契約締結後のログ、承認、変更管理を継続して初めて機能する。
- AIサプライチェーン全体の再委託先・モデル提供者・クラウドを可視化する。
まずは利用中のAIサービスを棚卸しし、入力データ、学習利用、成果物の権利、障害時の責任、終了時の削除という5項目を契約書と規約で照合してください。差分が見つかった場合は、法務・調達・開発・情報セキュリティで優先順位を付けて是正しましょう。
よくある質問
Q1. AI契約条項で最低限確認すべき項目は何ですか？
利用範囲、入力データ、学習利用、成果物の権利、性能と確認責任、障害時の責任、再委託、終了後の削除を最低限確認します。既存の秘密保持契約や開発契約との整合も必要です。
Q2. AI利用規約だけで社内利用を統制できますか？
できません。AI利用規約は主に提供者と利用者の関係を定めます。社員が入力できる情報、承認済みツール、報告手順は、別途社内ポリシーと教育で定める必要があります。
Q3. AIデータ契約で派生モデルはどう扱うべきですか？
初期学習、追加学習、蒸留、派生モデル生成を区別し、それぞれの可否と利用範囲を明記します。提供データが再現・逆推定されないこと、終了後の削除方法も併せて定めます。
Q4. AIベンダー比較で重視すべき契約条件は何ですか？
価格や機能に加え、入力データの学習利用、保存場所、再委託、監査協力、補償、モデル変更通知、終了時のデータ移行を比較します。自社の扱う情報と業務影響に応じて優先順位を決めましょう。
Q5. AI監査対応ではどのような記録を残しますか？
契約書、利用承認、データ分類、アクセスログ、生成物の確認記録、モデルや規約の変更履歴、インシデント対応記録を保存します。これらを案件単位で追跡できる状態にすることが重要です。
参考文献・出典
[本文へスキップ](#main-content) [](/) GLOSSARY # AI利用規約 各AIサービスが定める利用条件（商用可否・学習利用など）。AI検索対策時に企業が確認すべき点。…
ai-lab.koukoku.jp
[本文へスキップ](#main) [Googleで始める](/auth/login “Googleで始める”) [法人のAI導入相談（無料）法人相談（無料）](/consult) # AI・データ契約ガイドライン (経産省モデル契約)読み: えーあいでーたけいやくがいどらいん 2026-10-01 更新…
aipicks.jp
[ログイン](https://app.mysign.jp/login) [ヘルプセンター](https://help.mysign.jp/) [お知らせ](/news) [![電子契約システム…
mysign.jp