生成AIベンダーとの契約で確認したい個人情報の取り扱い条項

生成AIベンダーとの契約書を読み込むとき、多くの担当者が価格や機能の条項に目を奪われがちですが、実務上もっとも慎重に確認すべきなのは個人情報の取り扱いに関する条項です。ここでは、契約書チェックの際に押さえておきたいポイントをステップ形式で整理します。

ステップ1：データの位置づけを確認する

まず確認すべきは、事業所が入力するデータをベンダー側が「委託先として預かるもの」として扱っているか、それとも「ベンダー自身が利用できるもの」として扱っているかです。この違いは契約書の文言ひとつで大きく変わります。

⚠️ 注意したいこと
「サービス品質向上のためデータを利用する場合がある」という条項は一見無害に見えますが、これが個人情報を含む入力データの学習利用を許容する条項になっているケースもあります。文言の解釈を営業担当者の口頭説明だけに頼らず、契約書本文で確認することが重要です。

図：トラブルは契約前の3条項チェックでほぼ防げる

確認項目	チェックポイント
再委託の有無	ベンダーがさらに別のクラウド事業者にデータを預けていないか、再委託先の範囲が明示されているか
データの保管場所	国内サーバーか海外サーバーか、越境移転が発生する場合の説明があるか
削除・返却の手続き	契約終了時にデータが確実に削除される規定になっているか
監査権	事業所側からベンダーの取り扱い状況を確認する手段が用意されているか
インシデント発生時の通知義務	漏えい等が疑われた場合、いつまでに、どの範囲で事業所に連絡が来るか

近年の生成AIサービスの契約では「入力データをモデルの学習に利用しない」旨を明記するベンダーが増えていますが、無料プランと有料プランで扱いが異なる、あるいはオプトアウトの申請が別途必要、といったケースも見られます。

💡 実務のポイント
契約書に「学習に利用しない」と書かれていても、それが「デフォルト設定」なのか「変更不可の仕様」なのかで安心度は変わります。管理画面上の設定でオプトアウトの状態を定期的に確認できる体制を、契約締結後も継続することをおすすめします。

障がい福祉・介護の現場で扱うデータには、要配慮個人情報に該当し得る情報（心身の状態、既往症など）が含まれます。一般的なSaaS契約のひな形をそのまま適用するのではなく、次の点を追加で確認したいところです。

契約条項の解釈には専門的な判断が必要な場面も多いため、重要な契約については弁護士等の専門家によるレビューを経ることが望ましいでしょう。Hope Care AIの導入時には、こうした契約上の論点についても事前にご説明する体制を整えています。導入の流れやセキュリティのページもあわせてご確認ください。

関連ページ
セキュリティのページで詳細をご確認いただけます。

監修

株式会社オルデンティアコーポレーション福祉DXコンサルタント

福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。