AIサービスを導入するとき、多くの事業所は契約書と利用規約を確認し、問題がないと判断して運用を始めます。ところがその後、ベンダー側の仕様が変わっても気づかない。実際に職員がどんなデータを入力しているかも把握していない。この状態は「監督している」とは言いにくいものです。
この記事は、介護・障がい福祉・児童福祉の事業所の経営者と管理者に向けて、AIベンダーを委託先として扱う場合の監督を、実務として回せる形に落とす方法を扱います。なお、そのAIベンダーが「委託先」に当たるのか「第三者提供」に当たるのかという入口の判断については委託先と第三者提供の判断基準の記事で整理しているため、ここでは委託先と整理した後の話に絞ります。
委託しても、事業所の責任はなくならない
個人情報保護法では、個人データの取扱いを委託する場合、委託元は委託先に対して必要かつ適切な監督を行うこととされています(出典: 個人情報の保護に関する法律 第25条、e-Gov法令検索)。ここで押さえるべきなのは、外部に任せたからといって責任が移転するわけではないという点です。
「規約を読んだ」は監督ではない
導入時に規約を確認する行為は、監督の一部ではあっても全部ではありません。監督は継続的な行為であり、契約時点で終わるものではないという前提に立つ必要があります。
AIサービス特有の難しさ
従来の記録ソフトと違い、AIサービスは仕様が頻繁に更新されます。使えるモデルが増えたり、データの処理場所が変わったりします。導入時に確認した内容が半年後も同じとは限りません。ここが従来の委託先管理と決定的に異なる点です。
4段階で監督を組み立てる
段階1:選定 ― 何を聞くかを決めてから比較する
ベンダー比較を機能と価格だけで行うと、後から取り返しがつかなくなります。最低限、入力データがどこに保存されるか、AIの学習に使われないか、再委託先があるか、契約終了時にデータをどうするかは選定段階で確認します。Hope Care AIは機能ページでAI非学習保証を明示しており、こうした点が事前に確認できるかどうかが選定の判断材料になります。
段階2:契約 ― 実務で使える条項にする
契約書には、目的外利用の禁止、安全管理措置の内容、事故が起きた場合の報告手順、契約終了時の返還または削除を盛り込みます。抽象的な努力義務ではなく、いつ誰に何を報告するかまで具体化しておくと、実際に何かが起きたときに機能します。ベンダー側の事業継続に関するリスクについてはAIベンダー撤退時のデータリスクの記事も併せて確認しておくと、契約に盛り込むべき点が見えてきます。
段階3:点検 ― 年1回、実際の状態を見る
点検では2つを見ます。1つはベンダー側の変更で、仕様や利用規約、サブプロセッサの更新がなかったか。もう1つは自分たちの側で、職員が想定した範囲でサービスを使っているかです。後者は見落とされがちですが、実際の運用が規程から乖離していれば、契約がどれだけ整っていても意味がありません。点検の具体的な観点は安全管理措置の実地監査対応チェックリストの記事が参考になります。
段階4:記録 ― 監督した事実を残す
監督の実務で最も抜けるのがここです。確認した事実、確認できなかった事項、それでも継続すると判断した理由を残します。記録がなければ、後から「監督していた」と説明する手段がありません。Hope Care AIには操作履歴(監査ログ)や利用状況の可視化の機能があり、自組織側の利用実態を確認する材料として使えます。
点検で見るべき具体的な項目
保存場所と処理場所の変更
データの保存先や処理を行うサーバの所在が変わっていないかを確認します。所在が国外に及ぶ場合は別途の検討が必要になるため、変更の有無は毎回押さえます。
再委託先の追加
ベンダーが新たな外部サービスを組み込むことがあります。再委託先が増えていないか、増えている場合に同等の安全管理措置が及んでいるかを確認します。
自組織の利用実態
誰がどの機能をどれだけ使っているか。退職者のアカウントが残っていないか。この2点は自分たちで確認できる範囲であり、確認しない理由がありません。
小規模法人が現実的に回すには
年1回のカレンダー登録から
専任の担当者を置ける法人は多くありません。まずは点検日を年間予定に組み込み、確認項目を10項目程度のチェックリストにしておくことから始めます。完璧な体制より、実際に毎年回ることのほうが重要です。
ベンダーからの通知を受け取る窓口を決める
仕様変更の通知が担当者個人のメールにだけ届き、共有されないことがあります。法人としての受信窓口を決め、変更通知が届いたら点検の対象に追加する流れを作っておきます。
規程と実務の距離を縮める
規程を厳しくしすぎると、現場が守れずに形骸化します。実際にできる水準で決め、守られていることを確認できる形にするほうが、結果として安全になります。
まとめ
AIベンダーへの監督は、契約書を交わした時点で完了する作業ではありません。選定で聞くべきことを聞き、契約で具体化し、年1回点検し、その事実を記録に残す。この4段階が回っていれば、仕様が変わっても対応できます。特に記録は抜けやすい一方で、後から説明できるかどうかを決める部分です。まずは点検日を年間予定に入れるところから始めるのが現実的です。
よくある質問
Q. 大手のAIサービスなら、監督は簡略化してもよいですか。
A. 事業者の規模によって委託元の義務の有無が変わるわけではありません。ただし、大手であれば公開資料が充実していることが多く、確認作業自体は進めやすい傾向があります。確認が容易であることと、確認しなくてよいことは別です。
Q. 点検はどのくらいの頻度で行うべきですか。
A. 法令で一律の頻度が定められているわけではありません。実務上は年1回を基本とし、ベンダー側で大きな仕様変更があった場合や、自組織で利用範囲を広げた場合には追加で行う運用が現実的です。
Q. 監督の記録は、どこまで詳しく残す必要がありますか。
A. 確認した日、確認した項目、確認結果、判断した内容と理由が残っていれば、後から経緯を説明できます。分量よりも、判断の理由が読み取れるかどうかが重要です。様式は法人で使いやすいもので構いません。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。