生成AIの利用・契約で失敗しないために！経済産業省が公開した「AIの利用・開発に関する契約チェックリスト」の活用法と実務対応

2022年後半から始まった生成AIブームは、企業の業務のあり方を根本的に変えようとしています。経済産業省は、生成AIの普及を始めとする近年の市場環境の変化を踏まえ、当事者間の適切な利益及びリスクの分配、ひいてはAIの利活用を促すことを目的として、我が国の事業者が使いやすい形式の「AIの利用・開発に関する契約チェックリスト」を取りまとめました

「AIの利用・開発に関する契約チェックリスト」を取りまとめました （METI/経済産業省）。

このチェックリストは、AI技術を用いたサービスの普及に伴い、契約上のリスクを見落としがちな企業が増えている現状を受けて策定されました。特に事業活動においてAI技術を用いたサービスの利活用を検討する事業者の増加が顕著である一方で、AIの技術や法務に必ずしも習熟していない事業者が導入を検討するケースも増えています。

本記事では、AI開発会社、AIを導入したい企業の経営者や担当者の皆様に向けて、このチェックリストの内容を詳しく解説し、実務での活用方法をご紹介します。

チェックリストの策定方針

本チェックリストは、以下の方針に基づいて策定されています：

1. 基礎知識の提供：AI技術を用いたサービスの利用者が、データの利用範囲や契約上の利点について十分な検討を行うために必要な基礎的知識を提供
2. 具体的なチェックポイントの記載：提供されるデータの不適切な利用等を避けられるよう、契約時にチェックすべきポイントを具体的に記載
3. 幅広い利用者への対応：AI利活用の契約実務に有益な参考資料として、多様な読者層を想定

AI関連サービスの類型

チェックリストでは、AI関連サービスを以下の3つの類型に分類しています：

【類型1：汎用的AIサービス利用型】 事業者（AI利用者）が、AI開発者・AI提供者が提供する汎用的AIサービスを利用するケース。例えば、ChatGPTのような生成AIサービスの利用が該当します。

【類型2：カスタマイズ型】 事業者（AI利用者）が、AI提供者が事業者向けに改良・調整したAIサービス（カスタマイズサービス）を利用するケース。例えば、自社業務に特化したAIチャットボットサービスの開発・提供が該当します。

【類型3：新規開発型】 事業者（AI利用者）が、AI開発者・AI提供者と提携して独自のAIシステムを開発・利用するケース。例えば、製造業における品質管理システムの共同開発が該当します。

チェックリストの構成と内容

基本的な考え方

チェックリストは、AI関連サービスの利用に際して、ユーザがベンダに対し「インプット」を提供し、ベンダがサービス内容に応じた「アウトプット」を出力・提供する場面を想定しています。

• インプット：プロンプト、学習用の生データ等
• アウトプット：分析結果・コンテンツ等のAI生成物、AIシステム等の成果物等

インプットに関するチェックリスト

インプットに関するチェックリストは、「ベンダによるインプットのサービス提供目的以外の利用が認められているか」「ベンダがインプットを管理する義務を負うか」「ベンダがインプットに関して、知的財産権等一定の権利を取得するか」などがあります。

インプットに関するチェックポイントで主だったものは、以下の通りです。契約書などを作成、チェックするときは以下のことが記載されているかを検討しましょう。

A-1 特定（定義）

インプットの定義を明確にすることで、契約による学習データなどで利用する情報の範囲を確定します。インプットの定義に合致しない場合、ベンダがインプットを自由に利用できる可能性があるため重要です。

A-2 ベンダへの提供

ユーザがベンダに対してインプットを提供する義務の有無及びその内容を定める条項です。提供義務、保証・情報提供義務が主な検討対象となります。

A-3 使用・利用

ベンダによるインプットの利用に関する条項で、利用目的、利用条件、管理・セキュリティ、保持期間・消去について検討が必要です。ユーザからすると自社の重要な情報ですので、それをどこまでベンダ側に利用させるのかは、慎重な判断が必要です。

A-4 外部提供

ベンダがインプットを第三者に提供することができるかどうかに関する条項です。ユーザへの提供義務と第三者提供条件を確認する必要があります。ユーザーとしては、自社の情報をベンダ側以外の第三者に提供を許すことは慎重になるべきでしょう。

A-5 権利帰属

インプットの権利がベンダに移転するか否かを定める条項です。一般的には、ユーザがベンダに対しインプットの権利を移転する必要が生じる場面は限定的ですので、権利がベンダ側に移転するといった条項には注意が必要です。

A-6 インプット処理成果

インプットの処理成果のうち、アウトプット以外のもので契約上規律の対象とするものの取扱いに関する条項です。

アウトプットに関するチェックリスト

アウトプットに関するチェックリストは、「ベンダがアウトプットを完成する義務を負うか」「ユーザがアウトプットを第三者に対し提供できるか」「ユーザがアウトプットに関して、知的財産権等、一定の権利を取得するか」などがあります。アウトプットの条項に関して、気を付けるべき点は以下の通りです。

B-1 特定（定義）

アウトプットの定義を明確にし、ユーザのサービス利用目的を十分にカバーしているかを確認します。

B-2 ユーザへの提供

ベンダがアウトプットを完成させる義務、提供義務、保証・情報提供義務について検討します。

B-3 使用・利用

ユーザによるアウトプットの利用目的、利用条件、管理・セキュリティ・消去体制を定める条項です。

B-4 外部提供

ユーザがアウトプットを第三者に提供することができるかどうかに関する条項です。

B-5 権利帰属

アウトプットの権利がユーザに移転するかどうかを定める条項です。

B-6 アウトプット処理成果

アウトプットの処理成果の取扱いに関する条項です。

利用型契約と開発型契約

チェックリストでは、「利用型契約」と「開発型契約」に整理し、検討すべき契約条件を示しています。利用型契約とは、AIシステムの開発を伴わない既存のAIサービス（ChatgptやGemini）を利用する契約類型であり、生成AIサービスに代表される幅広い利用者への汎用的AIサービスの提供を想定しています。

一方、開発型契約では、何らかのソフトウェア、データベース、モジュールやシステムの開発を伴う契約類型となり、汎用的AIサービスをカスタマイズするケースと、新規開発が伴うケースの二つを想定しています

AI関連サービスについては、インプットの利用目的により以下のように分類され、それぞれ異なるリスクが存在します：

汎用的なAI学習目的に利用される場合

自社が提供したインプットが学習等、第三者も利用するAIサービス改良のために用いられる場合です。以下のリスクが想定されます：

個人情報保護法違反のリスク

• インプットの提供が個人データの第三者提供に該当し、本人同意が必要な場合
• 委託として整理できず第三者提供に該当する場合の法的リスク

自社の機微情報流出のリスク

• AI関連サービスの技術特性により、第三者からのアクセスやプロンプト等を通じてインプット内容が漏洩する可能性
• 営業秘密に該当する情報については、公知となった場合の要保護性が失われて、営業秘密にならずに、不正競争防止法によって、当該データが守られなくなってしまう

秘密保持義務等違反のリスク

• 第三者との契約で負う秘密保持義務等の外部提供禁止義務に抵触する可能性

知的財産権等の権利利益侵害のリスク

• 第三者が知的財産権又は法的に保護された権利利益を有する情報の提供による権利侵害の可能性

契約締結時の判断要素

チェックリストを踏まえてどのように対応するかは、以下の要素を総合的に考慮して判断する必要があります：

• ベンダにより提供されるAI関連サービスの内容
• 契約の形態（利用規約又は個別契約）
• 契約文言を受け入れることによるリスク
• 契約上の各義務の履行可能性
• AIの利用目的に照らした代替サービス及び代替手段の有無
• 契約交渉に必要な労力
• 契約外（実運用等）の方法によるリスク低減の可否

開発型契約の特別な留意点

契約の性質決定

開発型契約が準委任契約か請負契約かを明確にする必要があります。準委任契約は委任事務の遂行が目的であり、請負契約は仕事の完成を目的とする契約です。準委任契約では、ベンダは善管注意義務（民法644条）を負うのみですが、請負契約では、仕事の完成義務を負うため、仕事を完成しない限り契約上の義務を履行したことにはなりません 。

AIシステム開発の特殊性

AIモデルは学習データに基づく帰納的な手法で開発されるため、学習データそのものに精度の限界が内包されてしまっている可能性があります。そのため、完成義務や性能保証を設定するのが難しいといえます。また、AIシステムはAIモデル単体ではなく、複数の要素（データ、アルゴリズム、インフラなど）で構成されるため、開発の範囲や仕様を明確にする必要があります。

権利帰属の整理

開発型契約では、開発された成果物に関する知的財産権が問題となります。フォアグラウンドIP（開発によって生まれた知的財産）とバックグラウンドIP（開発とは無関係に各当事者が元々有している知的財産）を区別し、アウトプットの取扱いを事前に明確する必要があります。

個人情報保護法への対応

第三者提供規制と越境移転規制

AI関連サービスの利用に伴い、ユーザからベンダに対し提供するインプットに個人データが含まれる場合、個人情報保護法の第三者提供規制の遵守が必要になります。また、AI関連サービスの提供には海外ベンダが関与している事例が多く見られるため、ベンダが外国に所在するときには、さらに越境移転規制の遵守が必要となります。

委託としての整理

ベンダに対する個人データの「提供」が、利用者の利用目的の達成に必要な範囲内において個人データの取扱いを「委託」すること（個情法27条5項1号）に伴って行われる場合には、当該「提供」についてあらかじめ本人の同意を得る必要はありません。

ただし、この場合ベンダ（委託先）は、委託された業務以外に、委託に伴ってユーザ（委託元）から提供された個人データを取扱うことはできません。

外国にある第三者への提供

ベンダが外国にある第三者である場合、次に定める場合を除き、あらかじめ「外国にある第三者への個人データの提供を認める」旨の本人の同意を得る必要があります：

1. その外国が個人の権利利益を保護する上で我が国と同等の水準にあると認められる制度を有している外国である場合
2. 基準適合体制を整備している場合
3. 個人情報保護法27条1項各号に定める場合

まとめ

経済産業省が公開した「AIの利用・開発に関する契約チェックリスト」は、AI技術の普及に伴い複雑化する契約リスクに対処するための実用的なガイドラインです。

企業がAI技術を安全かつ効果的に活用するためには、このチェックリストを活用して以下の点を確実に実施することが重要です。

1. インプットとアウトプットの取扱いを明確化する
2. 利用目的に応じたリスク評価を行う
3. 個人情報保護法等の適用法令を遵守する
4. 適切なセキュリティ水準を確保する
5. 継続的な監視体制を構築する

AI技術は今後も急速に発展し続けることが予想されます。企業は本チェックリストを参考に、自社の状況に応じた適切な契約戦略を構築し、AIの恩恵を最大限に活用しながらリスクを最小限に抑える体制を整備することが求められています。