「開発にAIを使ってよいですか」と聞かれた方へ

外注先やフリーランスから、この確認を受けた発注側の方に向けて書いています。顧客のコードを生成AIへ読ませてよいか判断する受託側にも、そのまま当てはまります。

多くの場合、返事は「学習に使われないなら構いません」になります。この返事は、判断の3分の1で止まっています。

学習に使われるかは、提供者との関係の話です

主要なAPIの既定は学習に使わないと明示していて、確認すべきは保持期間と保存国のほうだ、という整理は「社内データを外に出せない」と言う前に 確認する3つの層で書きました。

ただし、そこで扱っているのは自社とAIサービス提供者の関係です。顧客と自社の関係は別の層にあり、そちらは技術仕様ではなく契約書で決まります。

NDAの「開示」は法律の定義ではありません

STORIA法律事務所の杉浦健二弁護士が2026年4月10日に公開した整理が、この点をはっきり書いています（生成AIと秘密情報の入力）。秘密保持契約でいう「開示」は不正競争防止法の定義とは別で、契約解釈の問題です。

そして出発点は、原則として「開示」に当たるという前提に置かれています。生成AIサービスへ入力する行為そのものが、いったんは開示として扱われる。ここから承諾の有無をたどっていく、という順序です。

判断が降りる3つの段

同じ整理は、NDA違反かどうかを3段階で判断すると述べています。

段 問い
1 生成AIサービスへの入力が秘密情報の「開示」に当たるか
2 開示者の明示または黙示の承諾があるか
3 違反による現実的な損害が発生しているか

「学習に使われないか」は、この表のどこに効くのか。第2段の黙示の承諾を認めやすくする材料として効きます。第1段を消すものではありません。

委託先開示の例外にAIが入る条件

多くのNDAには、業務委託先への開示を認める例外条項があります。生成AIサービスの提供者がこの委託先に当たると読めるかどうかは、次の8要素の総合判断になるとされています。すべてが必須ではなく、相当程度を満たしていれば足りる、という整理です。

# 要素
1 入出力データが機械学習の目的に利用されないこと
2 応答の出力以外の目的に用いられないこと
3 開示範囲外のユーザーへ反映されないこと
4 提供者が契約上の守秘義務を負うこと
5 ユーザーの承諾なく人がアクセスできないこと
6 ISO/IEC 27001・27018・42001に適合していること
7 通信時と保存時に暗号化されていること
8 提供者側にデータが保存されないこと

同じ整理は、①や④を欠く場合は黙示の承諾が認められにくいとしています。個人向けの無料プランは、この2つでつまずくことが多い。事業者向けのプランと同じ名前のサービスでも、守秘義務も学習利用の扱いも別物です。

④の守秘義務は、NDAとは別の理由でも効きます。自社の営業秘密が営業秘密として保護されるための秘密管理性の要件です。守秘義務条項を備えたサービスに限定するホワイトリスト運用が実務では重要だ、と述べられています。

いちばん確実なのは契約に書くことです

「秘密情報について一定の生成AIサービスへの入力を承諾する」と契約書に明記する。これが最も確実だと同じ整理は述べています。

ただし、その条項を入れること自体が相手に警戒感を与えるとも書かれています。一律に置けばよいものではありません。

途中で禁止されるほうが実害は大きい

判断の面倒さより、実務で損害が出やすいのはこちらです。AI利用を前提に見積もり、スケジュールを組んだあとで「この案件では使わないでください」と告げられる。工数と納期の前提が崩れます。

高瀬総合法律事務所が公開しているAI追加条項のチェックリストは、7項目のうち2つをここに割いています（AIを使うのが当たり前の時代 契約書は従来のままで大丈夫？ 2025年12月10日）。AI利用の透明性（事前通知の義務・利用可能範囲の明確化・専門家による検証の必須化）と、AI利用を禁止または制限すべき事項（戦略情報・公共性の高い文書・法的リスクを伴う業務）です。同事務所は、単に禁止するのではなく活用を前提にトラブルを防ぐ設計にすべきだとしています。

発注側から見ると、これは使わせないためのリストではありません。どこまで使ってよいかを着手前に確定させるためのリストです。決めていなければ、途中で止める判断が値引き交渉と抱き合わせになります。

EUに顧客や拠点がある場合は、これとは別にAI法の表示義務が重なります（EU AI法の表示義務が始まりました）。名宛人が誰かで対応が変わるので、混ぜて考えないでください。

発注前に決める4項目

見積依頼の段階で、次の4つを条件として書いてください。契約書のひな形を作り直すより早く効きます。

見積依頼と契約書に入れる4項目

  • 対象サービスの列挙: 使ってよい生成AIサービスを名前で挙げる。プラン名まで書く（同じ名前でも個人向けと事業者向けで守秘義務も学習利用の扱いも違う）
  • 入力してよい情報の範囲: ソースコード、設計書、テストデータ、顧客の個人データ。どれを入れてよく、どれが禁止か
  • 再委託先への波及: 外注先がさらに外注する場合、同じ制限が下まで及ぶか。及ぶと書いてあるか
  • 禁止した場合の効果: 途中でAI利用を止めたとき、納期と工数をどう見直すか。見積条件に一行書く

4つ目が空欄のまま「AI利用は事前承諾制」とだけ書かれた契約は、止めた瞬間に揉めます。承諾制にするなら、止めたときの効果まで書いてください

現場メモ

私たちは受託側なので、この確認を受ける立場です。

いちばん困るのは「AIは使わないでください」でも「自由に使ってください」でもなく、何も決まっていない状態です。決まっていないまま進めると、レビューの場で初めて「これはAIが書いたのか」という話になり、そこから遡って何を入力したかの説明が始まります。作ったものの話ではなくなります。

だから見積の段階で、使うサービス名と、入力する情報の範囲を先に書いて出しています。断られることもあります。ただ、断られたのが着手前なら、工数と納期を引き直すだけで済みます。着手後に同じ話が出ると、引き直せるのは納期だけになります。

決めるのは法務だけの仕事ではありません

この判断には、契約の読み方と、どのサービスにどの情報を入れるかという技術側の知識が両方要ります。法務へ丸ごと投げると「原則禁止」で返ってくることが多く、現場へ丸ごと投げると契約書を読まないまま進みます。

生成したコードを人がどうレビューするかはAIが作ったコードを人がレビューする理由で書きました。入力の線引きと出力の検収は、同じ会議で決めたほうが早く終わります。

外注先からAI利用の可否を聞かれて回答を保留している段階でしたら、お問い合わせからご相談ください。契約に書く文言と、実際に運用できる線引きを合わせるところからご一緒します。