秘密保持契約と生成AIへの入力

取引先から秘密保持契約に基づいて受け取った資料を、要約や翻訳、契約書レビューの下準備のために生成AIに入力してよいか。この問いには、契約、不正競争防止法、個人情報保護法、AI事業者の利用規約という主に4つのルールで答えが変わります。

本記事では、それぞれのルールで何が問題になるかを整理します。実務では判断が分かれる論点が多いため、結論を一つに絞るのではなく、判断の分岐点と、契約や社内体制で手当てできる範囲を示すことを目的にしています。なお、資料に著作物が含まれる場合の著作権法上の問題や、弁護士法・公認会計士法・税理士法が定める職務上の守秘義務、業種ごとの情報管理に関する規制は、本記事では扱いません。

参考記事: 生成AIサービス利用規約の確認事項（2026年4月14日）／個人データのクラウド環境への格納と個人情報保護法（2024年11月3日）／生成AIの著作権リスクと社内規程の設計（2025年9月16日）

検討すべき4つのルール

受け取った資料を生成AIに入力する行為については、情報の内容に応じて、相手方との秘密保持契約、営業秘密を保護する不正競争防止法、個人データの取扱いを定める個人情報保護法、そしてAI事業者との利用規約という4つのルールの一つまたは複数を検討することになります。契約と規約は当事者間の約束、2つの法律は当事者の合意にかかわらず適用される規律という違いはありますが、いずれも入力の可否を左右します。それぞれが何を問い、何を材料に判断するかを整理すると次のようになります。

4つのルールは独立ではなく重なり合います。契約上は許される入力でも、自社の営業秘密を管理の緩いサービスに入力すれば法的保護を失うおそれがあり、法令上は問題のない入力でも契約違反にはなりえます。したがって、検討は一つのルールで完結せず、入力する情報の性質と利用するサービスの契約形態を軸に、該当するルールを順に当てはめることになります。

秘密保持契約上の論点

典型的な条項と入力行為

秘密保持契約には、秘密情報の定義、目的外使用の禁止、第三者への開示禁止、開示できる範囲（役職員、弁護士等の専門家、承諾を得た業務委託先）、複製の制限、契約終了時の返還・廃棄といった条項が置かれるのが通常です。外部のAI事業者が提供する生成AIでは、入力した内容がAI事業者の環境に送信されて処理され、サービスによっては一定期間保存されます。そのため、このうち第三者への開示禁止と複製の制限の両方に触れる可能性があります。

目的外使用の禁止との関係は、これとは別に考える必要があります。受け取った資料を要約する行為は、契約で定めた検討の目的に必要なものであれば、目的の範囲内と評価されることが多いでしょう。しかし、使用が目的の範囲内であることと、その過程で第三者に開示してよいことは別の問題です。多くの秘密保持契約は、目的の範囲内であっても、第三者への開示には相手方の承諾を求めています。

サーバへの送信は開示か

入力内容がAI事業者のサーバに送信されることが、秘密保持契約にいう「開示」に当たるかどうかについては、大きく3つの見方があります。

ここでいう業務委託先は秘密保持契約上の類型であり、個人情報保護法にいう「委託」とは別の概念です。

多くの秘密保持契約は、クラウドストレージやメールサービスの利用を明示的に許容していませんが、実務上、それが第三者への開示として問題にされる場面は多くありません。生成AIがこれらと異なるのは、入力内容がモデルの学習に使われる可能性、不正利用の監視のためにAI事業者の担当者が入力内容を閲覧する可能性、そして学習された内容が出力として他の利用者に再現される可能性の3点です。この3点がどの程度排除されているかが、クラウドサービス一般と同列に扱えるかどうかの分岐点になります。

契約文言の確認点

受領した資料を生成AIに入力する前に確認する契約上の要素は、次のとおりです。

秘密保持契約に業務委託先への開示を認める条項がなく、相手方の承諾も得ていない場合には、外部の生成AIへの入力は控えるか、承諾を得てから行うのが堅実な運用です。

なお、役職員が会社に差し入れる秘密保持誓約は、会社が取引先に負う義務を社内に落とし込むものです。誓約書の文言だけで入力の可否を判断するのではなく、社内の生成AI利用規程と一体で考えることになります。

不正競争防止法上の論点

営業秘密の要件と受領者の義務

受け取った資料が相手方の営業秘密に当たる場合、契約とは別に不正競争防止法の問題が生じます。営業秘密は次のように定義されています。

秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの

出典: 不正競争防止法第2条第6項

営業秘密を示された受領者について、同法は、不正の利益を得る目的又は保有者に損害を加える目的で、その営業秘密を使用し、又は開示する行為を不正競争としています（第2条第1項第7号）。通常の業務目的で資料を要約するために生成AIに入力する行為が、直ちにこの目的要件を満たすわけではありません。ただし、契約違反の有無と不正競争の成否は別の問題であり、いずれか一方が否定されても他方が否定されるわけではありません。

営業秘密管理指針の見解

経済産業省の営業秘密管理指針は、2025年3月に改訂され、テレワークや派遣労働の広がり、クラウド技術を前提とした情報管理の進展を踏まえた記述が加わりました。外部のクラウドに営業秘密を保管する場合について、指針は、秘密として管理されていれば秘密管理性が失われるわけではなく、階層制限に基づくアクセス制御などの措置が考えられるとしています。

生成AIについては、秘密管理性の判断単位に関する注記の中で次のように述べています。

管理単位Cで秘密管理されている情報αを生成AIに利用していた場合であって、その後、管理単位Cで当該生成AIから当該情報αがAI生成物として生成・出力されることがあったとしても、当該情報αが管理単位Cで秘密管理されているのであれば、管理単位Cで当該情報αが生成・出力されたことの一事をもって、管理単位Cにおける秘密管理性が否定されることはないと考えられる。

出典: 経済産業省「営業秘密管理指針」（令和7年3月改訂）17頁から18頁

この注記には脚注が付いており、当該情報が生成AI提供事業者等の企業外の第三者に提供される場合には、提供の態様その他の事情により、秘密管理性が否定される場合もあり得るとされています。生成AIの利用だけで秘密管理性が失われるわけではなく、AI事業者に対する秘密管理意思の表示や契約上の守秘義務、アクセス制御といった具体的な事情によって判断されるという整理です。受領者が秘密保持契約に反して無断で入力したからといって、直ちに開示者側の秘密管理性が否定されるわけではなく、秘密保持契約の存在はむしろ開示者の秘密管理意思を示す事情になります。他方、入力を通じて情報が広く外部に流出すれば、秘密管理性にとどまらず非公知性が失われるおそれがあります。秘密保持契約に生成AIに関する条項を置くことは、契約違反の有無を明確にするとともに、開示者の秘密管理意思を示し、受領者による不適切な外部提供を防ぐうえで有用です。

個人情報保護法上の論点

個人情報保護委員会の注意喚起

受け取った資料に個人データが含まれる場合、契約や営業秘密とは別に、個人情報保護法の検討が加わります。個人情報保護委員会は2023年6月2日、生成AIサービスの利用に関して次の注意喚起を行っています。

① 個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合には、特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること。

② 個人情報取扱事業者が、あらかじめ本人の同意を得ることなく生成AIサービスに個人データを含むプロンプトを入力し、当該個人データが当該プロンプトに対する応答結果の出力以外の目的で取り扱われる場合、当該個人情報取扱事業者は個人情報保護法の規定に違反することとなる可能性がある。そのため、このようなプロンプトの入力を行う場合には、当該生成AIサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること。

出典: 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日）

注意喚起は、入力が利用目的の範囲内であることと、入力した個人データが応答結果の出力以外の目的で取り扱われないことの2点を求めています。後者については、機械学習への利用に限らず、サービス改善や不正利用の監視など、応答の生成以外の目的で取り扱われるかどうかを確認することになります。

第三者提供、委託、クラウド例外

個人データを第三者に提供するには本人の同意が必要ですが（個人情報保護法第27条第1項）、利用目的の達成に必要な範囲内で個人データの取扱いを委託することに伴って提供される場合は、第三者に当たりません（同条第5項第1号）。委託であれば、委託先の監督義務が生じます（第25条）。

これとは別に、クラウドサービス事業者が個人データを取り扱わないこととなっている場合には、そもそも提供に当たらないとする整理があります。個人情報保護委員会のガイドラインQ&A7-53は、契約条項によって事業者がサーバに保存された個人データを取り扱わない旨が定められ、適切にアクセス制御が行われている場合を、その例として挙げています。この整理の詳細は個人データのクラウド環境への格納と個人情報保護法で扱っています。

生成AIにこの整理を当てはめると、AI事業者が入力内容を「取り扱わない」といえるかどうかが問題になります。ストレージと異なり、生成AIは応答を生成するために入力内容を処理するからです。

この点について見解は確立していません。一つは、応答を生成するために入力内容を分析する以上はAI事業者が取り扱っているといえ、クラウド例外は使えないという見方です。もう一つは、入力内容が応答の生成のためにのみ処理され、学習やサービス改善、不正利用の監視といったAI事業者の独自の目的に利用されないことが契約上も技術上も担保されていれば、提供に当たらないと解する余地があるという見方です。現時点で、一般的な生成AIサービスについて個人情報保護委員会がクラウド例外の適用を認めた例はなく、学習利用を設定で外したことや人が通常は閲覧しないことだけで適用が決まるわけではありません。不確実性を引き受ける必要がなければ、委託として構成し、委託先の選定と契約の締結、そして取扱状況の把握という監督を行うのが堅実です。

保存場所と改正法案

入力した内容がどの国で保存され、処理されるかも確認事項です。個人情報保護委員会は2025年2月3日、DeepSeekに関する情報提供として、同社のサービスで取得された個人情報を含むデータが中華人民共和国のサーバに保存され、同国の法令が適用されることを示しました。

もっとも、サーバが外国にあることだけで外国にある第三者への提供（個人情報保護法第28条）に当たるわけではなく、個人情報保護委員会のガイドラインQ&A（12-3、12-4）によれば、判断の軸は保存先の国だけではなく、AI事業者やその再委託先が入力内容を取り扱うかどうかと、それらの所在です。外国の事業者であっても、日本国内で個人情報データベース等を事業の用に供していると認められる場合は「外国にある第三者」に当たりません。該当する場合には、本人の同意、我が国と同等の水準にある国に所在すること、基準に適合する体制の整備のいずれかを検討し、提供に当たらない場合でも、外国で取り扱う以上はその国の制度を把握したうえで安全管理措置を講じる必要があります。

個人情報保護法の改正法案は2026年4月7日に閣議決定され、第221回特別国会に提出されています（個人情報保護委員会の発表）。法案には、データ処理等の委託を受けた事業者について、委託された個人データ等の適正な取扱いに係る義務を見直す内容が含まれています。個人データの取扱いを実質的に第三者に依存する場面が広がっていることが背景にあり、AI事業者を委託先として位置づける整理にも影響しうる項目です。

AI事業者の規約とガイドライン

総務省と経済産業省のAI事業者ガイドライン（第1.2版）は、AI利用者に求める事項として、AIシステム・サービスに個人情報を不適切に入力することがないよう注意を払うこと、機密情報等を不適切に入力することがないよう注意を払うことを挙げています。ガイドラインに法的な拘束力はなく、何が「不適切」かも一律には定めていません。適用される法令、秘密保持契約、サービスの規約や仕様、情報の性質、社内規程を踏まえて、利用者が具体化することになります。

学習に使われないことだけでは足りず、規約では次のような点もあわせて確認することになります。

同じ社名のサービスでも、個人向けの契約と法人向けの契約とでは、これらの扱いが異なるのが通常です。契約形態別の整理と、規約の根拠が契約条項にあるか方針の説明ページにあるかの違いは、生成AIサービス利用規約の確認事項で扱っています。規約は頻繁に改定されるため、確認した版と日付を記録しておく運用が前提になります。

実務上の整理

入力する情報の性質と、利用するサービスの契約形態を軸に、確認事項を整理すると次のようになります。

表3は傾向であり、「個人向け」「法人向け」は法律上の区分ではありません。同じ事業者でも、個人向けの有料プラン、法人向けのワークスペース、APIで扱いが異なります。個人向けのサービスであっても、会社の業務目的でAI事業者に処理を委ねているなら、個人情報保護法上の委託に当たりえます。問題は委託に当たるかどうかよりも、会社が委託先の監督（第25条）を実効的に行えるかどうかです。個人向けの契約では、学習利用が既定になっていることに加えて、会社が契約の当事者になっているかが明確でなく、法人向けのデータ処理契約や管理者による設定の固定、利用状況の監査、退職者のアカウント管理といった仕組みが用意されていないことが多く、委託先を選定し、契約で取扱いの方法を定め、取扱状況を把握するという監督の体制を構成しにくくなります。

ただし、誰が契約の当事者になるかは規約と契約の経緯によって決まり、個人向けのプランであることだけからは決まりません。学習に利用しない設定が維持され、AI事業者の規約に秘密保持の定めがあり、会社としてその内容を確認して記録しているのであれば、個人向けの契約でも監督の実効性を確保できる場合があります。逆に、法人向けの契約であっても、保持期間や人による閲覧、再委託の扱いは契約ごとに異なります。

また、個人情報保護法上の委託に当たることと、秘密保持契約上そのAI事業者への開示が許されることは別の問題です。法律上は委託として整理できても、秘密保持契約が業務委託先への開示を認めていなければ、契約違反になりえます。

秘密保持契約に生成AI条項を置く

秘密保持契約の側で手当てするなら、選択肢は3つです。生成AIへの入力を禁止する、相手方の事前承諾を条件とする、一定の条件を満たすサービスに限って許容する、のいずれかです。条件付きで許容する場合、条項に盛り込む要素は次のとおりです。

開示する側は、自社の営業秘密の秘密管理性を保つ観点から、少なくとも独自の目的での利用の禁止は条項に入れておくことになります。受け取る側は、業務で生成AIを使う前提があるなら、契約締結の段階で条件付きの許容を提案しておくほうが、後から個別に承諾を求めるよりも運用しやすくなります。

社内規程と誓約への落とし込み

秘密保持誓約は、会社が取引先に負う義務を役職員に引き継ぐものです。誓約書に生成AIの利用を直接書くよりも、社内の生成AI利用規程で、情報の区分と契約形態の組み合わせごとに入力の可否を定め、誓約書はその規程の遵守を約束する形にするほうが、契約の改定やサービスの変更に追随しやすくなります。規程の設計は生成AIの著作権リスクと社内規程の設計で扱っています。あわせて、案件、情報の区分、利用したサービスと契約形態、承認者、入力日時といった記録を残しておくと、相手方から問い合わせを受けた際の説明に使えます。資料の内容そのものを記録に複製すると記録が新たな秘密情報の保管場所になるため、記録は必要な項目にとどめます。

ロジットパートナーズ法律会計事務所のサービス

当事務所では、契約書作成・レビューにおいて、秘密保持契約の作成やレビューのほか、生成AIの利用を前提とした条項の設計に対応しています。社内の生成AI利用規程や誓約書の整備、情報の区分に応じた入力ルールの策定も、あわせて扱います（AIガバナンス構築）。個人データを含む資料の取扱いについては、個人情報保護法上の整理もあわせて検討します（法務コンサルティング）。