生成AIツールを業務に導入する際、多くの事業所は機能や価格に目が向きがちですが、実は「利用規約」にこそ、個人情報保護やデータ管理の観点で確認すべき重要な情報が詰まっています。本記事では、障がい福祉・介護事業所が生成AIツールの利用規約を確認する際にチェックすべきポイントを、チェックリスト形式で解説します。
なぜ利用規約の確認が重要なのか
生成AIサービスは提供事業者によってデータの取扱い方針が大きく異なります。同じ「チャットAI」というカテゴリーでも、入力データを学習に利用するか、どこにデータが保存されるか、法人向けプランでどのような保証があるかは規約次第です。規約を確認せずに導入すると、後になって「実は学習利用されていた」「データ保存先が海外だった」といった事態に気づくことになりかねません。
チェックポイント1：入力データの学習利用の有無
最も重要な確認項目です。個人向け無料プランでは、初期設定で入力内容がモデルの学習・改善に利用される規約になっていることが多く、法人向け・API利用のプランでは学習利用がされない、またはオプトアウト可能な設計になっていることが一般的です。
「法人向けプランだから安心」と思い込まず、契約時にオプトアウトの設定が実際に有効になっているかを確認しましょう。設定を変更し忘れたまま運用しているケースも見られます。
チェックポイント2：データの保存場所・保存期間
入力データや会話履歴がどの国のサーバーに、どのくらいの期間保存されるかも確認すべき項目です。越境移転が発生する場合、個人情報保護法上、外国にある第三者への提供に関するルール（法第28条）の検討が必要になることがあります。
チェックポイント3：委託先・再委託の範囲
AI事業者がさらに別のクラウド事業者（インフラ提供元等）にデータ処理を再委託しているケースは珍しくありません。規約や契約書に再委託に関する記載があるか、再委託先の監督体制がどうなっているかも確認しておくとよいでしょう。
チェックポイント4：セキュリティ体制の開示
| 確認項目 | 確認方法の例 |
|---|---|
| 通信の暗号化 | セキュリティページ、technical documentation |
| 第三者認証の取得状況 | ISO27001、SOC2等の認証有無 |
| アクセス権限管理 | 管理者機能、ログ監査機能の有無 |
| 障がい・インシデント時の通知義務 | 契約書・SLA（サービス品質保証）の記載 |
チェックポイント5：解約時のデータ取扱い
サービスを解約した場合、それまでに入力・蓄積されたデータがどう扱われるか（削除されるのか、一定期間保存されるのか）も見落とされがちなポイントです。事業所を閉鎖・統合する場合などにも関わるため、契約前に確認しておきましょう。
チェックポイント6：規約変更時の通知方法
利用規約やプライバシーポリシーは事業者側の都合で変更されることがあります。変更があった際にメール等で通知される仕組みになっているか、それとも利用者側が定期的に確認する必要があるのかも確認しておくと安心です。
すべての規約を隅々まで読み込むのは現実的ではありません。まずは「学習利用の有無」「データ保存場所」「解約時の扱い」の3点だけでも確認する習慣をつけると、リスクの大部分をカバーできます。
導入前の確認フロー（まとめ）
- 利用規約・プライバシーポリシーを入手し、上記チェックポイントに沿って確認する
- 不明な点はベンダーの営業担当・サポート窓口に文書で問い合わせ、回答を記録に残す
- 要配慮個人情報を扱う業務であれば、業務特化型サービスの利用を優先的に検討する
- 契約後も、規約変更のタイミングで再確認する運用にする
Hope Care AIでは、事業所向けにデータの取扱いに関する考え方をセキュリティページで公開しています。導入をご検討の際は料金プランとあわせてご確認ください。契約内容の法的な妥当性については、必要に応じて弁護士など専門家にもご相談ください。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。