AIガイドラインに学ぶデータ保護のための５つの法律を弁護士が解説

はじめに AIプログラムを作りたいと考えるユーザは、まずAI開発を手掛けるベンダにデータを提供することから始めます。 もっとも、ユーザが提供するデータの中には、他の企業に知られたくないような秘密の情報（「営業秘密」など）も含まれていることが少なくありません。そのためユーザとしては、データの流出や不正利用は絶対に避けたいところです。とはいっても、提供するデータを限定してしまえば、精巧なAIプログラムをつくることはできません。 そこで今回は、AI開発で使う重要なデータを保護するための法律を中心に、データ保護のための契約における対価の考え方にも触れながら、ITに詳しい弁護士が解説していきます。

１　AI開発の過程で生まれる成果物

「AI」とは、人工的に作られた人間の知能のようなもの（人工知能）のことをいいます。 このAIには「強いAI」と「弱いAI」があります。「強いAI」とは、人間のように自意識を持つAIのことをいいます。「弱いAI」とは、自意識を持たず、画像分析などといった人間が知性を使って行うことを代替的に行うだけのAIのことをいいます。 もっとも、技術的に「強いAI」を開発するには至っていないため、現在の日本で活用されているAIの多くは「弱いAI」となっています。 AIはその開発過程で様々なものを生み出します。 それは以下の5点になります。

1. 生データ
2. 学習用データセット（加工データ）
3. 学習済みパラメータ
4. 学習済みモデル
5. ノウハウ（※厳密には、開発過程で生み出されるものではありません）

（１）生データ

「生データ」とは、編集などをしていない、最初に記録されたままの単なるデータのことをいいます。

（２）学習用データセット（加工データ）

「学習用データセット」とは、対象とする学習手法による解析を簡単にするために、欠測値や外れ値の除去、正解データなどの付加などの変換・加工が施された二次的な加工データのことをいいます。

（３）学習済みパラメータ

「学習済みパラメータ」とは、学習用データセットでAIが学習した結果、得られたパラメータ（係数）のことをいいます。

（４）学習済みモデル

「学習済みモデル」とは、「学習済みパラメータ」が組み込まれたAIの学習用プログラムのことをいいます。

（５）ノウハウ

「ノウハウ」とは、AIの学習の際に必要となるパラメータの設定方法や手順についての知識のことをいいます。   以上のように、AI開発ではその過程で様々なものが生み出されます。これらのデータとプログラム部分からなるAIは企業の競争力の源となるものであるため、ユーザは、これらのデータが流出したり、不正利用されたりといった事態は絶対に避けたいところです。 そこで、以下では、AI開発の成果物の中でも、特に「データ」に絞って、その保護の手段について解説していきたいと思います。 ※AI開発の過程で生まれる「成果物」について、詳しく知りたい方は、「AI契約ガイドラインに学ぶAI開発契約6つの法律問題を弁護士解説」をご覧ください。

２　データの法的性質は？

「データ」とはそもそも形があるものではないため、自分のものとして持つ（＝所有する）ことはできません。つまり、所有権の対象として民法上の保護をうけることはできないということになります。 もっとも、民法以外でデータを保護する方法としては、以下の3つが考えられます。

1. 著作権
2. 特許
3. 不正競争防止法上の「営業秘密」

（１）著作権

著作権で保護される「著作物」とは、自分の考えや感情を、文章や音楽などの作品として表現したものをいいます。データは機械的に集めるものであって、人の考えや感情といったものを表現したものではないため、基本的に「著作物」として著作権法で保護されることはありません。 もっとも、データを集めて作ったデータベースについては、その構成の仕方や情報の選択の仕方にオリジナリティが認められれば「データベースの著作物」として著作権法で保護される可能性があります。 ※学習用データと著作権の問題について、詳しく知りたい方は、「AIの創作物に誰が著作権を持つのか？AIの法律問題を弁護士が解説」をご覧ください。

（２）特許

特許として保護を受けるためには、それが特許法上の「発明」にあたることが必要です。 この点、データはすでに存在しているものを集めたものにすぎないため、「発明」とはいえません。 そのため、特許として保護されるものは非常に限られているといえます。 なお、特許法において、「発明」にあたるためには「高度なもの」であることが求められていますが、実務では、この点は考慮しないことになっています。 ※AIの「データ」と特許の問題について、詳しく知りたい方は、「AIは特許で保護されるか？AI特許戦略のための法律を弁護士が解説」をご覧ください。

（３）不正競争防止法上の「営業秘密」

「営業秘密」として保護される条件は、以下の3つになります。

1. 秘密管理性
2. 有用性
3. 非公知性

①秘密管理性

「秘密管理性」とは、誰が見ても秘密と認識できるような状態で情報が管理されていることを言います。例えば、情報が記録された媒体に「マル秘」のシールを貼ることが挙げられます。

②有用性

「有用性」とは、事業活動などで使われることで、経営の効率化などに役立つ効果があることを言います。例えば、実験データが挙げられます。 通常は「秘密管理性」と「非公知性」を満たせば、この条件も満たされていると考えられています。

③非公知性

「非公知性」とは、一般に公開されていないということを意味します。例えば、情報が保有者の管理下でないと見ることができないようになっていることが挙げられます。 これらの3つの条件を満たしたデータは「営業の秘密」として不正競争防止法で保護されることになります。 もっとも、データが取引などで流通することが予定されている場合は「非公知性」の条件をみたさないので、不正競争防止法では保護されない可能性があります。 このように、AI開発における「データ」の保護は、一定の場合にその可能性はあるものの、限定的であるため、十分であるとはいえません。 そのため、AI開発における「データ」は、原則としてユーザ・ベンダ間で締結する契約よって保護を図ることになります。 以上のように、AI開発におけるデータについては、原則として「契約」という形で保護を図ることになりますが、これまでの視点とは反対に、以下で見ていくように独占禁止法（独禁法）という注意しなければならない法律もあります。 ※「データ」と「営業秘密」について、詳しく知りたい方は、「AI開発契約でデータ等は「営業秘密」として法律上保護されるのか？」をご覧ください。

３　データ利用とデータ収集に関する競争

データを集めたり利用することは、事業者間の競争を促す効果を生みます。事業者間の競争が活発していくことは経済的にも望ましく、さらなる技術革新を生み出すきっかけにもなりうるため、データの収集などについては、原則として自由に行われるべきものと考えられています。 このように、何ら制限を設けることなく、事業者が自由に情報を集積できることに、何も問題はないのでしょうか。 この点、情報収集の過程では、収集と集積・利用というそれぞれのフェーズにおいて、以下のような問題が生じる可能性があります。

【収集】
• 競業者を恐喝などして排除する行為
• 競争者間で集める情報などについて限定するなどの協調を促す

【集積・利用】
• データ提供と抱き合わせで情報解析などといった他のサービスを販売する
• 自社とだけデータ取引させることを義務付ける
• 情報解析技術など何らかのデータの提供と引き換えに、自社以外とのデータ取引を制限させる

これらの行為によって、データを収集する競争に参加できない、などといった状況が生まれる可能性があります。 そのような状況になってしまうと、適正な競争が行われているとは言えないため、独禁法との関係で問題となる可能性があります。 このように、データ収集などに関しては、原則として独禁法との関係で問題となることはありませんが、上に挙げたような状況が生じた場合には、独禁法によって禁止される可能性がありますので十分に気を付けなくてはなりません。 以上のように、問題なく収集などされたデータには、先に見たような「営業秘密」や「ノウハウ」といったように、事業者にとっては大変重要な情報が含まれている場合があります。 事業者としては、これらの情報が流出してしまったり、第三者に不正利用されてしまうと、大きな損失を被る可能性がある上、信用問題にも影響します。そのため、データを保護するための手段が強い関心事となってくるのです。

４　データの流出や不正利用を防ぐための手段とは？

データの保護を図る手段としては、以下の5つの方法があります。

1. 契約
2. 不正競争防止法（限定提供データ）
3. 民法上の不法行為
4. 不正アクセス禁止法
5. 不正利用などを防ぐ技術

（１）契約

契約は、「契約自由の原則」により、内容を自由に設定することができます。 「契約自由の原則」とは、当事者がお互いに納得すれば、契約の内容を好きなように決めることができるというものです。 データを保護するために当事者間で絶対に決めておかなければならないのは、「秘密保持義務」です。 「秘密保持義務」とは、データを取得などした際に知った情報を、第三者に公開したりしないといった約束のことをいいます。 もっとも、「秘密保持義務」を定めたからと言って必ず契約当事者が守るとは限りませんよね。そのため、契約時には、「秘密保持義務」だけでなく、以下のように、これに強制力をもたせたり、秘密を保持できるような体制を設けることなどをセットで決めておく必要があります。 「秘密保持義務」を守らせる方法としては、以下のようなものがあります。

• データにアクセスできる人を限定することに加えて秘密保持の誓約書をかかせる
• 簡単にアクセスできないようなセキュリティの高いサーバにデータを保管する
• 他のデータと分離して管理することを義務付ける
• データの管理状況について立入検査ができる規定をつくる
• データ流出などした場合の損害賠償額をあらかじめ決めておく

もっとも、あらかじめ決められた損害賠償額があまりにも低いと、強制力も弱くなり、「秘密保持」が守られなくなるおそれがあるため注意が必要です。 例えば、以下のような２つの事情が重なると、「秘密保持」が守られない可能性が高くなります。

• 損害賠償をしたとしても、その額が低く、負担があまりない
• 営業秘密にあたるような貴重なデータを流出させたことで高額な対価が得られるなど得られるメリットが非常に大きい

そのため、損害賠償額についてはデータの受領者に対し一定程度の強制力を与えるように金額を設定しなければなりません。

（２）不正競争防止法～限定提供データ～

データが「営業秘密」として不正競争防止法で保護されるためには、既に見たように、以下の3つの条件を満たしていなければなりません。

• 秘密管理性
• 有用性
• 非公知性

もっとも、「営業秘密」として保護されるケースは、非常に限られており、データを保護するための方法としては不十分でした。 ですが、近年、AIの技術開発が進むなどして、データの活用が注目されるようになり、データを安全に利用できる環境を作る必要が出てきたことから、不正競争防止法が改正されました。 その結果、「不正競争行為」に対しては、差止めや損害賠償請求といった民法上の保護が受けられるようになりました。 「不正競争行為」とは、「限定提供データ」を不正に使用することをいいます。 「限定提供データ」とは、主に以下の3つの条件を満たすものを言います。

1. 業として特定の者に提供する（＝限定提供性）
2. 電磁的方法により相当量蓄積されている（＝相当蓄積性）
3. 電磁的方法により管理されている（＝電磁的管理性）

①業として特定の者に提供する

「業として」とは、反復継続的にデータを提供することをいいます。また、実際にデータを提供していない場合であっても、データ保有者が反復継続してデータを提供する意思がある場合も含みます。「特定の者」とは、一定の条件の下でデータの提供を受ける者のことをいいます。たとえば、一定のデータを提供するというサービスについて、会費制を採用し、会費を払っている会員にデータを提供する場合が挙げられます。

②電磁的方法により相当量蓄積されている

「電磁的方法」とは、人の知覚では認識できない電子や磁気を使った方法を意味します。「相当量」とは、蓄積されることで価値が生まれるようなデータの量を意味し、たとえば、ビックデータが挙げられます。「ビッグデータ」とは、ワードやエクセルなどといった様々な種類・形式のデータがたくさん集まったもののことをいいます。

③電磁的方法により管理されている

「電磁的方法により管理されている」とは、パソコンなどの電子機器を用いるなどして、特定の者に対してのみデータを提供するという意思をはっきりとわかるように外部に表明していることを言います。たとえば、データの閲覧にIDやパスワードを設けることが挙げられます。 これらの条件を満たすデータ（＝限定提供データ）の不正使用（不正競争行為）は、行為の態様に応じて以下の3つの類型に分けることができます。

（ⅰ）不正取得類型 （ⅱ）著しい信義則違反 （ⅲ）転得類型

（ⅰ）不正取得類型

「不正取得類型」とは、詐欺、窃盗、脅迫といった不正な手段で、データを取得し、使用したり、提供したりする行為のことをいいます。 例えば、データが保存されたUSBメモリを脅して奪う行為が挙げられます。

（ⅱ）著しい信義則違反

「著しい信義則違反」とは、データを正当な手段で取得しつつも、「不正な目的」をもって、データ保有者との信頼関係を強く裏切る態様でデータを使用などすることをいいます。 ここにいう「不正な目的」とは、以下のようなものをいいます。

• データ保有者よりも安価であることを売りにしてデータを提供し不正に利益を得る目的
• データ保有者の競合者にデータを提供するなどして、データ保有者に損害を与える目的

例えば、第三者にデータを公開してはいけないという契約があるのに、データ保有者の競合の事業者の目に触れるようにブログなどでデータを公開することが挙げられます。 もっとも、結果として信頼関係を裏切ってしまった場合でも、以下のような場合には、例外的に「著しい信義則違反」に該当しない可能性があります。

• 当事者間で契約の理解に食い違いがある状態で、データ使用者が契約に反しないと考えていた場合
• 契約は企業間で行っているため、契約内容を詳しく知らない社員が間違って第三者にデータを提供してしまった場合

このような場合にまで「著しい信義則違反」があるとしてしまうと、事業者が違反を恐れて、事業活動を控えてしまう可能性があることから、そのようなことを防ぐために、例外的な扱いを設けているものと考えられます。

③転得類型

「転得類型」とは、以下の2つのような場合にデータを取得・使用、第三者提供することをいいます。

• データを取得したときに、そのデータが取得された経緯に不正があると知っている場合
• データを取得した後に、そのデータが取得された経緯に不正があると知った場合

「不正があると知る場合」とは、例えば、データを取得する際に、データ保有者から、そのデータの取得に不正があったことを証明する警告書を受け取ったことをきいたときなどが挙げられます。 もっとも、「転得類型」にあたる場合でも、不正競争行為とされない例外的な場合があります。 それは、「データを取得した後に」データが取得された経緯に不正があると知った場合において、その取得に不正があると知る前に、第三者にデータを提供してしまったようなケースです。このような場合は、第三者にデータを提供した時点で、そのデータが取得された経緯に不正があるとは知らなかったため、第三者へのデータ提供行為は正当であるといえるからです。

（３）民法上の不法行為

データはそもそもが形のないものであるため、所有物として民法上の保護を受けることはできません。 もっとも、データを不正に取得された場合には、「不法行為」にあたる可能性があります。 「不法行為」とは、他人の利益や権利を害する行為のことをいいます。例えば、価値のあるデータをそのままコピーして使うことが挙げられます。 不法行為にあたる場合、不正にデータを取得した者に対して、損害賠償請求をすることが可能です。 なお、コピーされたデータベースを勝手に販売されたという事例で、裁判所はデータベースをコピー・販売した行為が「不法行為」にあたると判断しました。裁判所は、コピーされたデータベースについて、人が多くの時間と費用をかけて作ったものであることを理由に、「著作物」にあたらないとしても、とても価値のあるものだと判断しました。そのため、そのような価値あるデータベースを勝手に販売する行為は、他人の利益を害する行為（＝不法行為）にあたるとされたわけです。

（４）不正アクセス禁止法

データベースなどに不正にアクセスしたりするなどしてデータを取得した場合、

• 最大3年の懲役
• 最大100万円の罰金

のうち、いずれかを科される可能性があります。

（５）不正利用などを防ぐ技術

データの流出や不正利用を防止する方法としては、以下のような方法が挙げられます。

• データの暗号化
• アクセス制限
• 電子透かし技術
• ブロックチェーン技術

このように、データそのものやデータへのアクセスに対して一定の技術を施すことによって、データの流出を防ぐことも一つの方法として挙げられます。   以上のように、データの流出や不正利用を防ぐための手段としては複数考えられます。もっとも、先に見たように「営業秘密」として保護を受けたり、「不法行為」による責任追及を行うためには、クリアしなければならない条件があるため、保護手段として十分とはいえません。 そのため、ユーザはベンダとの間でデータ契約を締結することによってデータを保護するのが原則となります。 もっとも、データ契約を結ぶにあたっては、データの保護とは別に、データの対価の決め方や利益の分配方法をどのように定めるかという点が問題となります。

５　データ契約における適正対価・利益の分配

データ契約における適正な対価や利益分配は、先に見たように、「契約自由の原則」により、当事者の間で自由に決めることができるのが原則です。 以下では、対等な当事者間における対価や利益の配分について一般的な考え方を説明していきたいと思います。 データの価値は、当事者間で自分勝手に決めてしまうのではなく、様々な要素を考慮して決めることになります。そうすることにより、パワーバランスなどを背景として一方当事者に優位に価格設定などがなされる可能性が低くなります。 例えば、以下のような要素が挙げられます。

• データの種類や利用範囲
• データの生み出す価値
• 損害発生時の責任分担
• ライセンスやロイヤルティの設定
• データ管理などの費用分担

もっとも、これらの要素をもって考えても、当事者間で納得のいく話し合いができないなど、データの価値を決定することができない可能性もあります。 そのような場合に、データの価値や利益配分をどのように設定するのがいいのかを調べる方法として以下の2つが挙げられます。

1. データを使って試験的に価値を検証する
2. イニシャル・ロイヤルティとランニング・ロイヤルティ

（１）データを使って試験的に価値を検証する

データを利用したビジネスを試験的に行って、その結果からデータに価値があるかを調べます。 例えば、特定の地域のすべての本屋で、特徴的な本の並べ方や、ポップのデザイン・配置などを試験的に導入し、その方法による売上などのデータを検証することが挙げられます。 この方法を採用することにより、以下のようなメリットを受けられると考えられます。

• その検証で得られたデータを活用した場合の売上などの効果が予測しやすい
• 解決すべき課題が見つけやすい
• その効果に応じた対価の計算方法が容易に想定できる

他方で、以下のようなデメリットもあります。

• 検証に時間がかかること

このように、試験的な検証をすることで、利用しようとするデータの価値を知ることができるため、対価や利益配分を決めやすくなります。

（２）イニシャル・ロイヤルティとランニング・ロイヤルティ

「イニシャル・ロイヤルティ」とは、契約締結時に支払う、一定金額のまとまった代金のことをいいます。 「ランニング・ロイヤルティ」とは、契約期間内に、利益に応じて支払い続ける代金のことを言います。 これは、知的財産権を対象としたライセンス契約などで一般的に用いられる方法ですが、イニシャル・ロイヤルティを契約締結時に支払い、その後、データを利用したことによって利益が出た場合に、その利益に応じてランニング・ロイヤルティを支払うというものです。 この方法を採用することにより、以下のようなメリットを受けられると考えられます。

• ベンダは「イニシャル・ロイヤルティ」でまとまった金額を得られる
• ユーザも、「イニシャル・ロイヤルティ」であれば、決まった金額を払えばよいので、会計がわかりやすい
• 「ランニング・ロイヤルティ」であれば、利益に応じて代金を支払えばいいので、ユーザは、有用でないものに高額の代金を支払い続けるといった損は生じない

他方で、以下のようなデメリットもあります。

• 「ランニング・ロイヤルティ」は、利益に応じて金額が変わるので、ユーザにとって予想外に高額になって負担が大きくなるおそれがある
• ベンダは、成果が見込めないと十分な代金を支払ってもらえないので、開発も進まず、成果が挙げづらくなる

以上のように、データ契約における対価や利益分配は、当事者の間で一定の要素を加味した上で自由に決めることができるのが原則です。 もっとも、何が適正であるかを決めるには、様々な要素を加味しなくてはなりませんし、場合によっては、対価が適正であるかどうかを検証することも必要になってきますので、留意が必要です。

６　小括

AIプログラムを開発するために重要となるデータが、流出してしまったり、第三者に不正に使用されたりしてしまうと、ユーザにとっては、大損失です。 データの中には、ユーザにとって極めて重要である「営業秘密」やノウハウなどが含まれている場合も少なくないため、このようなデータをしっかりと保護することが必要になってきます。 また、データ契約における対価の設定についても基本的には自由であるものの、そのための判断要素などをガイドラインなどによって詳しく知っておくことは、適切なデータ契約を締結するためにも、とても重要なことです。

７　まとめ

これまでの解説をまとめると、以下のようになります。

• データは所有権として保護することはできない
• データは①著作権、②特許、③「営業の秘密」の３つの方法により限定的に保護できる場合がある
• データの収集・集積・利用の際に独禁法で禁止される場合がある
• データの流出などを防ぐ手段としては主に①契約、②不正競争防止法、③民法上の不法行為、④不正アクセス禁止法、⑤不正利用などを防ぐ技術の5つがある
• データ契約においては「秘密保持義務」の設定が重要である
• 不正競争防止法の改正により、「不正競争行為」が認められれば民法上の保護を受けられるようになった
• データ契約の対価などは当事者間で自由に決められる
• データ契約の対価が適正かを調べる方法として①データを使って試験的に価値を検証する、②イニシャル・ロイヤルティとランニング・ロイヤルティを使うという2つがある