生成AIで契約書チェックは秘密保持義務違反か｜企業向け2025年版・実務チェックリスト

はじめに

先方から届いた契約書。締切は明日。 「生成AIに入れてポイントだけ洗い出してもらえたら…でもこれって法律違反では？」——現場でよく起きる迷いです。 大事なのは「どこに」「どんな設定で」「どこまでの内容を」送るか、の3点だけ。この記事では専門用語をできるだけ噛み砕き、生成AIでの契約書チェックにおいて注意すべきポイント、今夜から実装できる安全運用を読み物風にまとめました。

１　結論──“直ちに違反”ではない。けれど送信方法と設定が勝負

▼▼▼▼▼ なお、この記事は「生成AIが専門的な処理を正確に実施するかどうか」ということを問題にしておらず、あくまでも、機密性の高い情報を生成AIに投入することが法的にどう評価されるかを検討しています。 chatgptが契約書作成業務に使えるかどうかを検討した記事として「【弁護士監修】契約書チェック・レビュー業務での使用を想定したChatGPTプロンプト5選」も参考にしてください。 関連記事 【弁護士監修】契約書チェック・レビュー業務での使用を想定したChatGPTプロンプト5選

２　根拠（法律ごとの説明）

（１）個人情報保護法：匿名化せずに外部AIへ送るのはOUT

①問題点

氏名・住所・メール・電話など「個人を特定できる情報」を、そのまま生成AIに送ると第三者提供に当たる可能性があります（個人情報保護法27条1項）。 OUT例：担当者名や連絡先を含む契約書PDFを、匿名化せずに外部AIへ全文アップロード（AI再学習に使われるかも知れませんし、ある日取引先が同じ生成AIを使用中に個人情報が出てくる可能性もゼロではありません）。「委託」に当たる適切な体制（学習不実施・人的閲覧不可等）であれば直ちに違法といえない余地がありますが、国外の事業者への提供は原則として本人同意が必要です（越境移転・法27条5項1号／法28条1項）。免除は一定の同等水準国・相当措置等。

②どう整理するか

第三者委託として正しく位置づけられるなら、同意なくても運用できる余地はあります。ただし、学習に使われる／人が閲覧する設定がONだと、単純な委託整理に乗らないリスクが上がります。

③運用のコツ

個人情報は念のため匿名化・マスキング（社名・人名・住所・金額・IDは置換）。 学習OFF／人手閲覧OFF／保存最短を満たす企業向け製品（エンタープライズ版）を選ぶ。 使用する生成AIの利用規約を予めチェック（主要生成AIの規約解釈については後掲します）。 ▼▼▼▼▼ 個人情報の第三者提供のルールについて詳しく知りたい方は「個人情報の第三者提供とは？事業者が知るべき４つのポイントを解説！」もチェックしてみてください。

（２）不正競争防止法（営業秘密等）：目的外の公開はNG、社内検討の処理は要件管理が鍵

①問題点

契約条件・価格・技術情報などは多くの場合営業秘密（3要件：秘密管理性・有用性・非公知性）に該当します。不正競争防止法には、「委託だからOK」という明文の例外はありません（不正競争防止法2条6項）。 OUT例：競合に不利益を与える目的で、仕様の甘い生成AIに機密情報を入力し、外部へ公開・流出させる。

②どう整理するか

禁止される中心は、不正の目的での取得・使用・開示です。 適切に管理されたクラウドに機密情報を保管することは許されますし、社内検討のためのAI処理自体は直ちに違法とは限りません。ただし、秘密管理性が要件であり、アクセス者に秘密であることが認識できるなど、秘密管理性が崩れない運用が前提です（不正競争防止法2条6項）。

③運用のコツ

全文投入を避け、論点条項だけ要約投入。 専用テナント／閉域環境＋学習OFF／人手閲覧OFFで二次利用を遮断。 ファイル権限と監査ログで秘密管理性を維持（秘密管理性の要件充足には認識可能性を担保する措置が重要）。

（３）契約（NDA/秘密保持条項）：AI投入禁止条項があれば即アウト

①問題点

NDAや基本契約の秘密保持条項に、AIへの入力禁止／再委託禁止／国外移転禁止が入っていると、たとえ他法令でセーフでも契約違反になります。 OUT例：NDAで「第三者の機械学習サービスへの入力禁止」とあるのに、汎用の外部AIへ投入。 例えば、NDAの中に以下のような条項が明示的に入っていると、AI使用自体がNGです。

②どう整理するか

該当条項があれば投入不可。条項が無い場合でも、再委託条件・監査・削除など関連項目を満たす必要があります。

③運用のコツ

着手前にNDA／基本契約を確認（AI・再委託・越境・監査・削除）。 可能ならNDAテンプレを改訂し、「AI事業者への処理委託」や安全管理措置を明記。社内ルールで承認フローとログ保存を定める。

（４）著作権法：契約書が“著作物”の場合は表現の扱いに注意

①問題点

定型的な雛形は著作物でない可能性もありますが、契約書案等でも独創的な表現によっては著作物になり得ます。 OUT例：相手方の契約文言をAIで整えただけの案を、そのまま社外配布。

②どう整理するか

契約書が「著作物」と言えるかどうかは微妙な問題がありますが、契約書全文については著作物の保護が及んでいる可能性があります。AI解析のための複製として許容されるかどうかが問題となりそうですが、明示的な結論はありません。 社内での解析・検討に使う範囲は争いになりにくい一方、表現をそのまま外部提供すると、著作権や契約上の問題が出る場合があります。

③運用のコツ

出力は社内のたたき台と位置づけ、法務レビューで再編集してから共有。 引用・出典の扱いやライセンス条項（相手の利用条件）を確認。 生成物の外部配布前チェック（表現の独自性・出典混入）を徹底。 回避策として、全文投入は避ける。争点条項だけ抜き出して要約投入が安全。 企業向け（専用テナント・閉域）環境を選び、二次利用（学習・運営側の閲覧）をOFF。 ▼▼▼▼▼ これまでのAIと著作権の論点について概観したい方は、弊所記事「AIの創作物に誰が著作権を持つのか？AIの法律問題を弁護士が解説」をぜひご覧ください。

３　よくわかる！主要生成AIサービスの利用規約まとめ

サービス	プラン区分	学習/保存/人手検証の既定	法的位置づけ（委託/処理者）	リージョン/越境	監査ログ/削除証跡
ChatGPT (OpenAI)	個人	「データコントロール」で学習オプトアウト可。学習既定は“利用状況により”だが、個人向けは学習共有をユーザー設定で制御（ヘルプに明記）。人手アクセスは乱用対策等の限定用途であり得る。	個人向けToUは委託/処理者の明示は弱い（一般規約）。	データレジデンシーの選択は個人では基本対象外。	エクスポート/削除可（製品内）。詳細はヘルプ水準。
	企業（Business/Enterprise/API）	既定で「学習に使わない」。ZDR（Zero Data Retention）は申請/要件により可。人手アクセスは事故対応等の限定・監査下。	「OpenAI Services Agreement」等のビジネス条項＋DPAにより処理者的ポジションで運用可能（一般に“委託”設計が取りやすい）。	欧州データレジデンシーに加え日本・US等へ拡張（対象と要件あり／APIはZDR前提の地域内処理）。	EnterpriseはコンプライアンスAPI／監査ログあり。保持期間の管理・削除SLAも説明あり。
NotebookLM (Google)	個人	「個人データを学習に使わない」と明記。ただしフィードバック提出時は人手レビューがあり得る旨を明示。	明示的な“処理者”言及は少ない（個人向けサービス）。	個人向けはリージョン固定の選択は基本なし。	個人向けの監査ログは限定情報（一般ユーザー機能）。
	Workspace（組織版）	学習に使わないかつ人手レビューなしを公式に明記（2025/2のWorkspace発表）。	Workspace契約＋DPAの枠で処理者（委託）設計が通常可能（Google標準DPA）。根拠はWorkspace側ポリシー。	組織のデータはドメイン内境界で管理。Workspaceのデータ所在地はGoogle標準の管理下。	Admin Console/Reporting APIでNotebookLM固有の監査ログは明示されていないが、Workspaceの監査基盤は利用可。
Claude (Anthropic)	個人	2025/9以降、既定で学習オプトイン要求（同意で学習・最大5年保持、オプトアウト可）。人手レビューの明細は限定的。	個人向けは処理者の明示は弱い。	リージョン選択は個人向けに明示なし。	個人での詳細監査ログは限定。
	商用（Claude for Work／Gov／API/Vertex/Bedrock）	商用・APIは学習対象外（今回の方針変更の対象外）。保持は従来どおり（30日等、プラットフォームに依存）。	Cloud経由（Vertex AI/Bedrock）の場合は各クラウドのDPAで処理者設計が定石。（一次情報は各クラウド側）	リージョンはクラウド基盤依存（Vertex/Bedrockの地域設定）。（各クラウド資料）	監査はクラウドのログ基盤に依存（Cloud Logging/CloudTrail等）。（各クラウド資料）
Gemini（Google）	個人（gemini.google.com 等）	人手レビューあり得る（サービス改善目的）。機密を入れない注意喚起を明記。学習利用も明記。	個人向けは処理者の明示は弱い。	リージョン選択は不可。	個人での詳細監査ログはなし。
	Workspace/Gemini Business	ドメイン外学習なし／人手レビューなし（許可なき域外学習なし）を繰り返し明記。監査ログはAdmin Console/Reports APIで提供。	Google WorkspaceのDPAの下で処理者（委託）設計が通常可能。	Workspaceのデータ所在地・アクセスはGoogleの企業向け枠組み（リージョン制御は組織設定に依存）。	監査ログ：GeminiアクセスのDriveログやWorkspace監査を提供（証跡化可）。

【参照】 https://openai.com/policies/services-agreement/ https://docs.cloud.google.com/docs?hl=ja https://www.anthropic.com/legal/aup 参考資料 docs.cloud.google.com 参考資料 www.anthropic.com

４　よくある質問（FAQ）

Q1. 先方のNDAや契約書そのものをAIに入れて条文チェックしていい？ A. 契約にAI投入禁止がなければ、原則“直ちに違反”ではありません。 ただし匿名化し、学習OFF／人手閲覧OFFの企業向け環境に限るのが安全です。 Q2. 出力された“修正文案”を、そのまま先方に渡していい？ A. NG。 出力はたたき台です。使うとしても法務レビューで表現・意図を整え、自社文書として再作成してから共有を。 Q3. 一般の無料UIでも、匿名化していればOK？ A. 匿名化は有効ですが、学習や人手閲覧の可能性が残るとリスクはゼロになりません。企業向け（学習OFF・人手閲覧OFF）か社内環境のLLMを推奨。 Q4. どこまで匿名化すれば十分？ A. 会社名・個人名・住所・メール・電話・金額・案件IDなど、相手や案件を特定できる情報は全部マスク。迷うものは原則マスクで。

５　いますぐ使えるチェックリスト

（１）事前確認

• 契約（NDA／基本契約）にAI投入NGの条項がない
• 再委託・国外移転・監査・削除の条件を満たす環境を選定

（２）環境と設定

• 企業向け（専用テナント／閉域）または社内LLMを使用
• 学習OFF・人手閲覧OFF・保存期間は最短
• データ所在地（国内／国外）を把握

（３）データの入れ方

• 匿名化・マスキング（社名・人名・金額・住所・ID）
• 全文投入を避け、論点条項だけ要約投入
• 機微情報（健康・財務・個人ID等）は持ち込まない

（４）運用の型

• 定型プロンプトに「機密／学習不可／共有禁止」を明記
• 監査ログ（誰が・何を・どこへ）を保存
• 出力はたたき台→法務レビュー→社外共有の順で

まとめ——“送り方・設定・足跡”の三点セットで両立できる

• ポイントは3つです。
  1. 送り方…匿名化して、必要な箇所だけを送る（全文は避ける）
  2. 設定……学習OFF／人手閲覧OFF／保存最短の企業向け環境を使う
  3. 足跡……ログを残し、説明できるようにしてお
• これで、生成AIの時短メリットとNDA順守は十分に両立できます。
• ただし、生成AIのビジネス利用はケースバイケースです。この記事でご紹介したことはあくまで一般的な実務の目安です。最終判断は、自社の契約・案件・管轄法に応じて専門家レビューを前提にしてください。
• 迷ったら「匿名化＋学習OFF＋人手閲覧OFF＋専用環境」を最低ラインに。外部共有は必ず法務レビューを挟みましょう。