AIサービスを契約する前に、経産省のチェックリストで確認したいこと

AIサービスに申し込む前、あるいはAI機能の開発を発注する前に読むべき条項は2種類です。自社が渡すデータ（インプット）を、学習も含めて相手がどう使えるか。出てきたもの（アウトプット）の権利が誰にあるか。経済産業省が2025年2月18日に公表した「AIの利用・開発に関する契約チェックリスト」は、この2つを具体的なチェックポイントに分けて示しています。

無料で読めて、AIの法務に詳しくない人を想定して書かれています。それでも44ページあります。ここでは、法務に回す前に事業側の担当者が押さえておきたい部分をまとめます。

誰のための資料か

想定読者は2つです。1つは社内法務や顧問弁護士で、条文レベルで検討する人。もう1つはビジネス部門の担当者で、契約の項目立ては理解できるものの、条文を自分で書くのは難しい人です。

多くの会社でAIツールを選んでいるのは、後者です。チェックリストは、その人が早い段階で論点に気づき、法務と相談できるように作られています。クリックで同意して後から気づく、という流れを避けるための資料です。

用語はAI事業者ガイドラインの「AI開発者」「AI提供者」「AI利用者」に沿っていて、チェックリストの中ではサービスを提供する側を「ベンダ」、使う側を「ユーザ」と呼びます。

AIの取引は3つの型に分かれる

本文では、AIの取引を3つの類型に整理しています。

1. 汎用的AIサービス利用型。既存のサービスをそのまま使う形です。例として、小売事業者が顧客の購入履歴を大規模言語モデルのサービスにプロンプトとして渡し、嗜好の分析を求めるケースが挙げられています。
2. カスタマイズ型。別の会社が提供する基盤モデルの上に、ベンダが自社向けの機能を作り込む形です。自社の商品に特化したチャットボットなどがこれに当たります。
3. 新規開発型。開発事業者と組んで独自のAIシステムを作る形です。自社の製品データを使った異常検知などです。

制作会社に「サイトやアプリにAIを入れてほしい」と頼むと、多くは類型2になります。ここには、チェックリストが図で説明している落とし穴があります。カスタマイズ型のベンダは、自社に対してはサービスの提供者ですが、基盤モデルの会社に対してはユーザです。ベンダが自社のデータについて約束できる内容は、ベンダ自身が基盤モデルの会社と結んだ条件を超えられません。その条件か、少なくとも自社のデータが通るプランの設定を見せてもらってください。

インプット側：渡すもの

インプットについては、定義、提供、使用・利用、外部提供、権利帰属の順にチェックポイントが並びます。特に大事なのは3つです。

1つ目は定義です。渡した情報がインプットの定義に当てはまらない場合、法令による制限がない限り、ベンダが自由に利用できる可能性があるとチェックリストは注意しています。同じデータが、ある条項では「フィードバック」や「ノウハウ」、別の条項では「インプット」と呼ばれていたら、読み直す価値があります。

2つ目は学習への利用です。理由がはっきり書かれています。一度AIモデルに取り込まれた情報の除去は一般的に難しく、後から是正するのも難しい。だから不必要な情報はできるだけインプットに含めないことが基本方針で、そのための社内体制と周知が重要だとしています。

3つ目は個人データです。ベンダが自己の目的で利用できる場合、個人情報保護法上の委託として整理できず、第三者提供として本人の同意が必要になる可能性があります。2023年に個人情報保護委員会が示した線と同じです。詳しくは個人情報保護委員会の2つの注意点で書きました。

アウトプット側：受け取るもの

アウトプットで一番大事なチェックポイントは、権利が自社に移転するのか、移転するならどんな条件か、です。移転しない場合は、利用方法が限られることを理解した上で使うよう書かれています。

文章、画像、コードなど、公開したり販売したりするものには直接関わります。そもそもAI生成物に著作権が生じるのかは別の論点で、生成AIを使ったロゴやデザインの著作権で扱っています。

あえて扱っていない条項

チェックリストは、データの適切な利用とリスク分配の観点で特に留意すべき条項を取り上げたと説明しています。保証・補償、責任限定、解除、準拠法・紛争解決は対象外ですが、十分に検討することが望ましいとも書いています。

また、内容は国内法に準拠しています。海外のAIサービスの多くは外国法を準拠法にしているため、同じ条項でも効き方が変わることがあります。

契約後に変わる規約

4.6節は、多くのチームが見落とすところです。利用規約に基づくサービスは、規約が定期的に変わります。利用規約が民法上の定型約款に当たる場合、変更が合理的で、変更する旨、変更後の内容、効力発生時期を事前に周知すれば、ユーザの個別の同意なしに変更できます（民法548条の4）。

つまり、社内の誰かがベンダの規約ページを担当し、定期的に確認する必要があります。学習の設定やデータの保存期間の変更は、ウェブサイト上のお知らせとして届くと見落としやすいからです。

何か起きたときのログ

セキュリティの節では、自社の利用ログだけでなく、AIサービスとその基盤に対する管理者権限や開発者権限を含む認証ログ、アクセスログ、操作ログの保存をベンダに求めることも挙げています。漏えいが起きたとき、何があったのかを追えるかどうかはこのログ次第です。

政府が自らのAI調達で求めていること

デジタル庁は2026年6月12日、府省庁が生成AIを調達・利活用するためのガイドラインDS-920を決定しました。府省庁は「調達チェックシート」を参照して要求事項を仕様書に盛り込みます。観点は、納入事業者のAIガバナンス、インプットとアウトプットとデータの取り扱い、偽誤情報の出力防止を含む品質、AIによる出力であることの表示、個人情報と知的財産の保護、セキュリティ、説明可能性です。合理的な範囲で、学習に使われたデータや学習方法の情報を取得するよう努めることも求めています。

このガイドラインが縛るのは府省庁で、民間企業ではありません。それでも、借りるリストとしてはよくできています。府省庁に答えられるベンダなら、自社にも答えられるはずです。

最初の打ち合わせに持っていくもの

A4一枚に5行だけ書いて持っていくことを勧めます。下にある基盤モデルの提供元。契約するプランでインプットが学習に使われるか。データの保存場所と期間。アウトプットの権利の帰属。そして、規約の変更を自社で誰が見るか。ベンダがその場で埋められるなら、その後の契約確認はずっと短くなります。