目次
システム開発を外部に委託するとき、相手の会社が生成AIをどう使うかを、契約で決めていますか。2026年の夏、私たちは数日のあいだに2社から立て続けにこれを求められました。しかも求められたのは「AIを使うな」ではありません。どこまで使うのかを書いて示せ、でした。どちらも最終的に契約の条項になりました。この記事では、受託する側として実際にその取り決めを作った立場から、発注する側が何を決めておけばよいのかを5つの項目に整理します。あわせて、この手の取り決めで必ず揉める一行と、紙に書いただけでは守られない場所についてもお話しします。
「御社はAIを使いますか」と聞かれるようになった
数年前まで、開発委託の秘密保持契約に生成AIの話は出てきませんでした。それが変わりました。一方は、先方が用意された秘密保持契約に、秘密情報を入力する可能性のあるAIサービスの一覧を提出するという条項が最初から入っていました。もう一方は、メールで「使用されるAIツールについて教えてください」と質問があり、そこから業務委託契約にAI利用の条項が新設されました。数日のあいだに2件です。偶然というより、発注する側の関心がそこに移ったのだと考えています。
ここで大事なのは、どちらも「AIの使用禁止」を求めていないということです。求められたのは説明でした。何を使い、何を入れず、入れたものはどう扱われるのか。禁止すれば話は早いのに、そうしなかった。裏を返せば、発注側もAIを使わない開発会社を選ぶことが得だとは思っていないということです。
私たちはこの流れを歓迎しています。曖昧なまま進めるより、先に決めたほうがお互いに動きやすいからです。ただ、いざ決めようとすると、何をどう書けばよいのかは意外に整理されていません。
決めるのは「使うか、使わないか」ではなく、5つの項目
「AIを使いますか」という質問には、実は答えようがありません。使う場面によって、リスクがまったく違うからです。ソースコードを読ませるのと、顧客の個人情報を読ませるのは、同じ「使う」でも別の話です。ですから決めるべきは使うかどうかではなく、次の5つです。
- どのサービスを使うか——サービス名だけでなく、提供している事業者と、その事業者がどの国の会社かまで書かせる
- 何を入力しないか——ここが実務の中心です。あとで詳しく書きます
- 学習に使われないか——「大丈夫です」ではなく、事業者が公表している内容を根拠として示させる
- どのプランで使うか——個人の契約か、会社が一括して管理する契約か。ここは聞かれることが少ないのに、実は影響が大きい
- 使うサービスを増やすときの手順——これが無いと、ツールを1つ増やすたびに契約を結び直すことになります
1つめについて補足します。同じ名前のサービスでも、使い方の形（画面から使うのか、開発者向けの接続経由で使うのか）によって、入力したデータの扱いが違うことがあります。「そのサービスの、どの形で使うのか」まで踏み込んで書いておくと、後の解釈違いを防げます。
3つめの「学習に使われないか」は、聞き方にコツがあります。「学習に使われませんか」と聞くと、たいてい「使われません」と返ってきます。そこで止めず、何を根拠にそう言えるのかを示してもらう。事業者が公表していることなら確認できますし、公表されていないことを約束されたら、それは危ない兆候です。
4つめの「どのプランで使うか」は、まだあまり聞かれていない項目ですが、私たちはここがいちばん実質的だと考えています。同じサービスでも、担当者が個人で契約しているのか、会社が法人として契約して一括管理しているのかで、安全性はまったく違います。個人契約のままだと、誰がどのアカウントで何を入れたのかを会社側が把握できません。データを学習に使わせない設定を会社として全員に効かせることもできませんし、担当者が辞めたときにアカウントごと手の届かない場所へ行きます。会社が中央で管理できる状態になっていないなら、方針を何枚書いても実効性がありません。「法人契約ですか。管理は誰がしていますか」の2問で確かめられます。
「何を入力しないか」の線引きを、先に引く
5項目のうち、実際の仕事に効いてくるのは2つめの「何を入力しないか」です。私たちの運用はこうしています。AIに渡してよいのはソースコード・設計・構成情報・ログといった、システムの構造を表すものまで。渡さないのは本番のデータ・個人情報・本番環境の認証情報です。
この線引きには理由があります。構造を表す情報はAIに読ませる価値が非常に大きい一方、本番のデータは、読ませて得られるものが小さく、失うものが大きいからです。他社が作った既存システムを引き継ぐとき、私たちはAIでソースコードを解析します。だから対応できる言語の幅も広がりました。しかしそこで扱っているのはコードと構成であって、中に入っているデータではありません。
一番揉めるのは「個人情報は入力しません」の一行
ここが本題です。この手の取り決めで、いちばん危ないのは断言してしまうことです。
「個人情報は一切AIに入力しません」と書くのは、気持ちのよい約束です。発注側は安心しますし、受注側も書きやすい。ところが実務でこれをやると、約束した側が自分で破ります。
たとえば、特定のデータだけで起きる不具合の調査です。原因を突き止めるには、その現物のデータで再現させるしかありません。そこで実データを預かる。この瞬間、「一切入力しない」と書いてしまった側は、調査を進めた瞬間に契約違反になるという立場に置かれます。逃げ道は、違反を承知でやるか、調査を止めるかの二択しかありません。どちらも発注側にとって最悪です。
ですから正しい書き方はこうです。「発注者の承諾を得た場合を除き、入力しない」。禁止を緩めているように見えますが、実質は逆です。例外を作るための手続きを先に決めておくという意味だからです。承諾なしに例外は作れない、が明文になります。
ひとつ細かい話をすると、ここで「書面による承諾」と書かないほうがよいと考えています。いまは確認をメールやチャットで取ることのほうが多いのに、契約に「書面」と書いてしまうと、後から「紙の書面をもらっていない」という争点を自分で作ることになります。必要なのは紙であることではなく、いつ誰が承諾したのかが後から辿れることです。「記録に残る形で」まで決めておけば足ります。
発注する側から見ても、こう書いてある契約のほうが安全です。断言してある契約は、破られたときに気づけません。手続きが書いてある契約は、例外が発生するときに必ず自分のところへ相談が来ます。
使わないものを、一覧に書かない
もうひとつ、書き方の落とし穴があります。「使うかもしれないもの」を並べてしまうことです。
一覧を作るとなると、つい網羅したくなります。社内で承認されているツールを全部書く、将来使う可能性があるものも入れておく。これをやると、後から効いてきます。「このツールは管理者側で利用状況を確認できますよね」と聞かれて、実はそのプランで契約していない。設定したことがない。時間がかかる。使っていないものについて、できるかどうか分からない約束をしてしまうわけです。
ですから一覧に書くのは、その仕事で実際に使うものだけにします。使わないものは、使わないと書けばよい。そして必要になったときのために、5つめの「増やすときの手順」を用意しておきます。
危ないのは方針ではなく、日々の手順のほう
ここまでは契約の話でした。しかし実際に事故が起きるとしたら、それは契約書の外です。
不具合を調査するとき、多くの開発現場の標準手順は「本番のデータをローカルに落として再現する」です。これは昔から変わりません。そして今、そのローカル環境ではAIを使うエディタが動いています。つまり、方針を守るつもりでいても、意図せず入ってしまう経路が日常業務の中にあるということです。
ですから紙で方針を決めるだけでは足りません。必要なのは2つです。ひとつは、渡してよいものと渡さないものの線引きを、作業する人全員が同じ言葉で言えること。もうひとつは、本番データを預かる日に、その日の作業前に周知することです。方針を書いた紙があること自体が守りになるわけではなく、預かるタイミングで手を止めて確認する、という運用だけが守りになります。
発注する側がこれを確かめる方法はあります。「不具合の調査で本番データを扱うとき、どういう手順になりますか」と聞いてみることです。方針書を読み上げるだけの答えが返ってきたら、そこは紙しかない可能性があります。
発注する側の確認リスト
委託先を選ぶとき、あるいは既存の委託先に確認するときに使える形にまとめます。
- 使うAIサービスの一覧があるか。事業者名と、どの国の会社かまで書かれているか
- 入力しないものが具体的に書かれているか（「適切に管理します」で終わっていないか）
- 「学習に使われない」の根拠を示せるか
- 法人として契約し、会社が一括管理しているか（担当者の個人契約のままになっていないか）
- 使うサービスを増やすときの手順が決まっているか
- 本番データを扱う日の実際の作業手順を説明できるか
もうひとつ。「弊社はAIを使っていません」という回答を、どう受け取るかという問題があります。これは安心の材料にはなりません。使わない会社が危ないという意味ではなく、使う・使わないは、それ自体では品質にも安全性にも直結しないからです。判断の材料になるのは、線引きを自分の言葉で書けるかどうかです。書けない会社は、使っていても使っていなくても、聞かれたときに答えが出てきません。
まとめ
開発を委託するときのAI利用について、お伝えしたかったことをまとめます。
- 発注側が契約の場でAI利用を確認し始めている。求められているのは禁止ではなく説明
- 決めるのは使うかどうかではなく5項目——どのサービスか／何を入力しないか／学習に使われないか／どのプランで使うか／増やすときの手順
- 渡してよいのは構造の情報（コード・設計・ログ）まで。本番データ・個人情報・本番の認証情報は渡さない
- 「一切入力しません」と断言しない。「承諾を得た場合を除き」と書き、例外の手続きを先に決める。「書面」とは書かない（記録に残る形であれば足りる）
- 使わないものを一覧に書かない。できない約束を自分から作らない
- 事故が起きるのは契約書の外。本番データを預かる日の運用まで決めて、はじめて守りになる
私たちは、既存システムの解析や設計の把握にAIを使っています。だから引き継げる範囲が広がりましたし、開発の期間も短くなりました。生成AIを業務システムに組み込む開発も承っています。そのうえで、お客様のデータについては上に書いた線引きで運用しています。AIをどう使うかと、預かったものをどう守るかは、両立させるべきものだと考えています。
契約全般の考え方については「システム開発の契約で注意すべきポイントは？」に、AIに対する私たちの立場そのものについては「アクシアのAIに対する考え方」に書いています。
「委託先にどう聞けばいいか分からない」「いま結んでいる契約でこの点が抜けている気がする」——そうしたご相談だけでも構いません。私たちが実際にどういう取り決めで仕事をしているかも、お話しできます。お気軽にお声がけください。