AIベンダー撤退時のデータリスクと備え方

生成AIサービスは新しい事業者が次々と参入する一方、事業統合やサービス終了も珍しくない分野です。障がい福祉事業所が生成AIツールに利用者の記録や個人情報を預けている場合、そのベンダーが倒産・サービス終了した際にデータがどうなるのかは、導入前に検討しておくべき重要な論点です。本記事ではこのリスクと備え方を整理します。

ベンダーが突然サービスを終了した場合に起こりうること

• 入力していたデータへのアクセスが突然できなくなる
• データのエクスポート（他システムへの移行）ができないまま終了告知だけを受ける
• 倒産手続きの中で、保有データの扱いが不明確なまま放置される
• サポート窓口が閉鎖され、問い合わせ自体ができなくなる

特に個人情報を含む支援記録がクラウド上にしか存在しない状態でサービスが終了すると、業務継続に支障が出るだけでなく、個人情報の管理責任という観点からも問題が生じます。

契約前に確認しておきたいポイント

• サービス終了時のデータ返還・削除に関する条項が契約書・利用規約に明記されているか
• データのエクスポート機能（CSV出力等）が標準機能として提供されているか
• 運営会社の事業継続性（設立年数、資本関係、他の福祉事業所での導入実績等）
• データの保管場所や委託先が変更される場合の事前通知義務があるか

ベンダーの信頼性を見極める視点

事業所側でできる備え

ベンダー選定時のチェックに加えて、事業所側でも次のような備えをしておくことで、万が一の際の影響を最小限にできます。

• 重要な記録は定期的にエクスポートし、事業所内のバックアップとしても保管する
• 特定のAIサービスに業務フロー全体を依存させず、代替手段（紙運用や別システムへの切替）を想定しておく
• 複数のクラウドサービスを併用している場合は、それぞれの契約条件を一覧化しておく
• 個人情報の保管・処理を委託しているという整理のもと、委託先管理台帳にAIベンダーも記載する

サービス終了の告知を受けた場合の初動対応

実際にサービス終了の告知を受けた場合は、まずデータのエクスポート可否と猶予期間を確認し、可能な限り早期にバックアップを取得することが優先されます。並行して、利用者・保護者への影響（記録の一時的な参照不能等）が生じる可能性がある場合は、事業所として説明できる準備をしておくことも大切です。判断に迷う場合は個人情報保護委員会の相談窓口や弁護士に確認することが望ましいです。

倒産・M&Aと個人情報保護法上の扱い

ベンダーが倒産した場合、保有データは破産管財人の管理下に置かれることになりますが、個人情報を含むデータについては、個人情報保護法上の取り扱いが破産手続きの中でどのように処理されるか、必ずしも明確でないケースもあります。またM&Aによって事業が他社に譲渡される場合は、個人情報の利用目的の範囲内であれば譲渡先への引き継ぎが認められることが一般的ですが、事業所として提供したデータがどの範囲まで引き継がれるのかは契約内容次第です。契約締結時にこうした事業承継時の取り扱いについても条項を確認しておくとよいでしょう。

複数事業所で導入する場合の情報共有

法人内で複数の事業所が同じAIベンダーを利用している場合、ベンダーに関するリスク情報（サービス終了の兆候、サポート対応の質の低下など）を法人内で共有する仕組みを持っておくと、早期対応につながります。特定の担当者だけがベンダーとのやり取りを把握している状態は、その担当者が異動・退職した際に情報が引き継がれないリスクがあるため注意が必要です。

• ベンダーとの契約更新時期や重要な連絡事項を法人内で共有する担当者を複数名確保する
• ベンダーからのお知らせメールなどを個人のメールアドレスだけでなく共有のメーリングリストでも受信する
• 年に一度程度、利用中の全AIベンダーの状況を棚卸しする機会を設ける

実際にサービス終了の告知を受けた事業所の対応例

実際に生成AIサービスの終了告知を受けた際の対応として、次のようなステップを踏んだ事業所の例があります。まず告知メールを受け取った時点で管理者と情報担当職員が内容を確認し、猶予期間（サービス終了までの日数）を把握します。次に、エクスポート機能を使って全データをダウンロードし、法人内の別のストレージにバックアップとして保存します。その後、代替サービスの選定を進めつつ、旧サービスのアカウントを完全に削除する手続きを行いました。このように段階を踏んで対応することで、データの散逸を防ぐことができます。

• 告知を受けたら、まず猶予期間とエクスポート可否を確認する
• 優先度の高いデータから順にバックアップを取得する
• 代替サービスへの移行計画を並行して立てる
• 旧アカウントの削除は、バックアップの完全性を確認してから行う

スタートアップ系AIベンダーとの付き合い方

福祉業界向けの生成AIサービスには、比較的新しいスタートアップ企業が提供するものも多くあります。革新的な機能を提供している一方で、大手企業に比べて事業継続性の見通しが立てにくい面もあります。だからといってスタートアップの利用を避けるべきということではなく、契約条件の確認とバックアップ体制の整備という基本を徹底することで、リスクを許容範囲に抑えながら新しいサービスを活用することができます。

ベンダーの資本関係変化にも注意を払う

サービスが終了しなくても、運営会社が買収されて別の企業グループに入ることで、データの取り扱い方針やサーバーの所在地が変わる場合があります。こうした変化はサービス終了ほど劇的ではありませんが、契約時に想定していた条件と異なる状況になっていないか、資本関係の変化があった際には利用規約の再確認を行う習慣を持つとよいでしょう。

無料プラン中心で運用している場合の追加リスク

コストを抑えるために無料プランの生成AIサービスを業務で使い続けている事業所もありますが、無料プランは有料プランに比べてサービス終了・機能変更が突然行われやすい傾向があります。無料プランを業務の中核に据えている場合は、特に重要な記録については別途バックアップを取る頻度を高めるなど、リスクに応じた運用の見直しを検討することが望まれます。

• 無料プランのみで重要な個人情報を扱っていないか棚卸しする
• 無料プランのサービス変更履歴（過去の告知等）を確認し、変更頻度の傾向を把握する
• 重要度の高い業務は、契約内容が明確な有料プラン・法人向けプランへの移行を検討する

契約解除通知を受け取った際の関係者への周知手順

AIベンダーから契約終了や仕様変更の通知を受け取った場合、情報担当者だけで抱え込まず、速やかに管理者・現場職員に周知することが混乱を防ぐポイントです。周知が遅れると、現場職員が変更に気づかないまま旧来の運用を続けてしまい、データの欠落や誤操作につながることがあります。

• ベンダーからの重要な通知は、受信後すみやかに関係者全員へ共有する
• 周知内容には、影響範囲・対応期限・代替手段の有無を明記する
• 周知後、現場職員が実際に変更内容を理解しているか簡単な確認を行う

「使い続けられるか」を選定基準に加える

生成AIツールの選定では、機能や価格だけでなく、事業継続性やデータの取り扱い方針も重要な判断材料になります。長く安心して使えるサービスかどうかを見極める視点を持つことが、結果として利用者の個人情報を守ることにもつながります。