取引先にAI利用を開示すべきか｜契約書で確認する4つの順番

なぜ「言うべきか」に迷うのか

AIの使い方が社内のあちこちに広がり、「どこまでが報告対象か」の線引きが曖昧になっていることが、取引先に伝えるべきかどうか迷う理由です。

• 社内の議事録要約に使っているだけなのに、伝えるべきか判断できない
• 取引先からの依頼メールの下書きにAIを使っているが、これは「AI利用」にあたるのか分からない
• 取引先から預かったデータをAIに入力しているが、契約書のどこを見ればよいか分からない
• 一度も聞かれたことがないので、聞かれたときにどう答えるか決めていない

このモヤモヤの原因は、「AIを使っているかどうか」と「取引先に関係のあるデータを外部のAIに渡しているかどうか」を一緒に考えていることにあります。この2つは分けて判断すると、線引きがはっきりします。

取引先に伝えたほうがよい場面、伝えなくてよい場面

AI利用を取引先に伝えるかどうかは、「入力するデータが誰のものか」で分けて考えると判断しやすくなります。

自社の中だけで完結する使い方は、基本的に自社の裁量で判断できます。取引先の情報が一歩でも外部のAIツールに渡る場面では、契約書の確認が先になります。

契約書・秘密保持契約(NDA)で確認すべきこと

取引先と交わしている秘密保持契約(NDA)や業務委託契約には、「秘密情報を第三者に開示する場合は、書面により相手方の事前承諾を得なければならない」という趣旨の条文が入っている契約書があります。経済産業省「秘密情報の保護ハンドブック」(最終改訂:令和6年2月)の参考資料2「各種契約書等の参考例」に収録されている秘密保持契約書のひな形にも、第三者への開示に書面での事前承諾を要する条項が置かれています(出典:経済産業省「秘密情報の保護ハンドブック」参考資料2「各種契約書等の参考例」 https://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/handbook/reference2.pdf )。AIツールへの入力がこの「第三者提供」にあたるかどうかは、契約書の文言と、使っているAIツールの仕組みによって判断が分かれます。

確認する順番は次のとおりです。

1. 契約書に「第三者への開示・提供」を禁じる条文があるか確認する
2. その条文に、AIツールのような「外部のサービスへの入力」が含まれる書き方になっているか確認する(生成AIが広まる前に作られた契約書は、AI利用を想定していない書き方になっている場合がある)
3. 使っているAIツールが、入力内容を学習データに使う設定になっていないか確認する(2026年9月時点で、ChatGPT Enterprise・ChatGPT Business(2025年8月29日にChatGPT Teamから改称)・ChatGPT Eduや、Claude Team・Claude Enterpriseなどの商用プラン(Anthropicはこれらを「Claude for Work」と総称)は、運営元の公式説明上、既定で入力・出力をモデルの学習に使わない扱いになっている。出典:OpenAI「Enterprise privacy at OpenAI」 https://openai.com/enterprise-privacy/ 、Anthropic Privacy Center「Is my data used for model training?」 https://privacy.claude.com/en/articles/7996868-is-my-data-used-for-model-training 。個人向けの無料・有料プランは既定が異なる場合があるため、使っているプランを確認する)
4. 判断がつかない場合は、契約書を交わした相手(取引先の担当者、または自社の顧問弁護士)に確認する

契約書の条文がAI利用を想定していない古い書式である場合、「第三者提供にあたるかどうか」の解釈自体が分かれることがあります。【各自確認:自社が結んでいる個別の契約書について、第三者への開示・提供の条文がAIツールへの入力に及ぶかどうか。契約書の該当条文を取り出し、判断が難しい場合は顧問弁護士か、契約の相手方の担当者に確認】

個人情報や機密情報をAIに入力する場合の注意点

取引先から預かったデータの中に、取引先の顧客の個人情報が含まれている場合は、契約書の確認に加えてもう一段階、注意が必要です。

• 個人情報保護委員会は「生成AIサービスの利用に関する注意喚起等」(令和5年6月2日)で、個人情報取扱事業者向けの注意点を2つ示しています。(1)生成AIサービスに個人情報を含むプロンプトを入力する場合は、特定した利用目的を達成するために必要な範囲内であることを十分に確認すること。(2)あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合は、個人情報保護法に違反する可能性がある。そのため、サービス提供事業者が個人データを機械学習に利用しないこと等を十分に確認すること。この2点です(出典:個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」令和5年6月2日 https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/ )。個人情報保護法第27条は、本人の同意なく個人データを第三者に提供することを原則として禁じており、同条第5項第1号は、利用目的の達成に必要な範囲で取扱いを委託する場合の提供は「第三者」への提供にあたらないと定めています(出典:e-Gov法令検索「個人情報の保護に関する法律」)。注意喚起の文面には第27条や委託への言及はなく、AIへの入力がどちらにあたるかを示した公的な統一見解は確認できませんでした。AIサービス提供事業者が入力データを自社の学習に使うかどうかなど、個別の事情で判断が分かれます。【各自確認:自社が使っているAIツールの提供事業者が、入力した個人データを学習に使うか。ツールの利用規約・データ取扱いの説明ページで確認し、迷う場合は弁護士へ】
• 入力先のAIツールが、入力内容を自社のサーバー内だけで処理する設定になっているか、外部の学習データに使われる設定になっているかを確認する
• 取引先との契約に「個人情報の取扱いに関する覚書」が別途ある場合は、そちらの条文も確認する

判断に迷う場合は、「個人情報を含むデータは、契約書で明確に許可されるまでAIツールに入力しない」というルールを社内で先に決めておくと、確認漏れによる事故を防げます。

聞かれたときにどう答えるか

取引先から「AIを使っていますか」「AI利用のポリシーはありますか」と聞かれたときに備えて、次の3点を先に整理しておくと、その場で慌てずに答えられます。

• どの業務でAIを使っているか(社内向けか、取引先の情報を扱う業務か)
• 取引先の情報をAIに入力する場合、どのツールを使い、どういう設定になっているか
• 最終的な成果物は誰が確認してから取引先に渡しているか

これらを一枚にまとめておけば、取引先から聞かれたときにその場で回答できますし、聞かれる前に自社から共有することもできます。

伝えないまま使い続けるリスク

取引先に伝える義務がない場面でも、社内の利用状況を整理しないまま放置すると、次のような事態につながることがあります。

• 担当者ごとに使っているAIツールがばらばらで、取引先の情報がどこに入力されているか会社として把握できていない
• 取引先から聞かれたときに、担当者によって答えがずれる
• 契約更新のタイミングで、取引先から新しくAI利用に関する条項の追加を求められたときに、社内の実態と食い違いが生じる

「聞かれていないから大丈夫」ではなく、「聞かれたときにすぐ答えられる状態にしておく」ことが、取引先との信頼関係を保つうえでの実務的な備えになります。

AI利用の開示、社内で確認すべきチェックリスト

社内ルールを作る前に、まず現状を1つずつ確認しておきます。

□ 取引先から預かった資料・データを、担当者がAIツールに入力していないか確認したか □ 取引先との秘密保持契約(NDA)・業務委託契約に、第三者への開示・提供を禁じる条文があるか確認したか □ その条文が、AIツールのような外部サービスへの入力を想定した書き方になっているか確認したか □ 使っているAIツールが商用プラン(学習に使わない設定)か、個人向けの無料・有料プランかを確認したか □ 取引先の顧客の個人情報を含むデータを入力する場合、契約書で明確に許可されているか確認したか □ 取引先から聞かれたときの回答担当者と、回答内容のひな形を決めているか

すべて□のままなら、次の「社内ルールを先に決めておく」の手順から着手します。

社内ルールを先に決めておく

聞かれてから整理を始めると時間がかかるため、次の順番で社内ルールを先に作っておくことをすすめます。

1. 現状、社内のどの業務でどのAIツールを使っているかを棚卸しする
2. 取引先の情報(資料・データ・個人情報)を扱う業務と、そうでない業務を分ける
3. 取引先の情報を扱う業務については、既存の契約書を確認し、AIツールへの入力が許容される範囲を洗い出す
4. 許容される範囲を超える入力は禁止するルールを社内に周知する
5. 取引先から聞かれたときの回答担当者と、回答内容のひな形を決めておく

この棚卸しは一度作れば終わりではなく、新しいAIツールを社内で使い始めるたびに更新する必要があります。

よくある質問

Q. 社内の議事録をAIで要約しているだけでも、取引先に伝える必要がありますか。 A. 自社の内部情報のみを扱っている場合は、伝える必要性は低いといえます。取引先の情報が含まれる場合は契約書の確認が先になります。

Q. 秘密保持契約(NDA)に「AI」という言葉が出てこない場合、AIツールへの入力は問題ないと判断してよいですか。 A. 生成AIが広まる前に作られた契約書は、AI利用を想定していない書き方になっている場合があります。条文に出てこないことが「問題ない」を意味するとは限りません。判断が難しい場合は顧問弁護士か、契約の相手方の担当者に確認してください。

Q. 取引先から一度もAI利用について聞かれたことがない場合、社内の整理は後回しでよいですか。 A. 聞かれてから整理を始めると時間がかかるため、聞かれる前に社内の利用状況を棚卸ししておくことをすすめます。

Q. 個人情報を含むデータをAIツールに入力してよいかどうかは、どこで判断すればよいですか。 A. 個人情報保護委員会の注意喚起(令和5年6月2日)は、入力が利用目的の範囲内かと、提供事業者が個人データを機械学習に使わないかの確認を求めています。ツールの設定や利用規約、取引先との契約内容によって判断が分かれるため、迷う場合は弁護士に確認してください。

Q. 取引先から「AI利用ポリシーを教えてほしい」と言われたら、どう準備すればよいですか。 A. どの業務でどのAIツールを使っているか、取引先の情報をどう扱っているか、最終確認を誰がしているかの3点を一枚に整理しておくと、その場で回答できます。

取引先へのAI利用の伝え方や社内ルールの整え方については、部門別に50業務の使い方をまとめた資料を無料で配布しています。