Column

はじめに：生成AIは「便利なツール」だけでは済まされない

ChatGPTをはじめとする生成AI（人工知能）ツールは、文章作成・コード生成・画像制作・データ分析など多岐にわたる業務を効率化する強力な手段として、今や中小企業にも急速に普及しています。しかし、「便利だから使ってみよう」という気軽な姿勢で導入を進めると、思わぬ法的トラブルに巻き込まれるリスクがあります。

経営者の方々に問いかけたいのは、「御社では生成AIに何を入力していますか？」という点です。顧客の個人情報、取引先との秘密情報、自社の未公表の財務データ……こうした情報がAIサービスの学習データに利用されたり、外部へ漏洩したりした場合、法的責任を問われるのはAIを提供した会社ではなく、それを使ったあなたの会社です。

本稿では、生成AI導入に際して企業が直面する主な法的リスクを、著作権・個人情報保護・労働法の三つの観点から整理し、実務的な対応策を解説します。

第1章：著作権リスク——AIが生成したコンテンツは「安全」か？

生成AIの出力物と著作権の関係

生成AIが作成した文章・画像・コードなどのコンテンツには、著作権上の問題が二つの側面から生じます。

一つ目は、AIが他者の著作物を学習・複製して出力するリスクです。生成AIは膨大なテキストや画像を学習データとして取り込んでいますが、その出力物が既存の著作物と類似・同一の内容となる場合、著作権侵害を構成する可能性があります。特に画像生成AIでは、特定のイラストレーターやアーティストの作風を模倣した画像が生成されるケースがあり、実際に海外では訴訟も提起されています。

二つ目は、AIが生成したコンテンツ自体の著作権帰属の問題です。現行の著作権法では、著作物の創作者は「人」であることが前提とされており、AIが自律的に生成したコンテンツには著作権が発生しないと解されています。つまり、AIに全て任せて生成したコンテンツは、場合によっては誰も権利を持たない「著作権フリー」の状態となり、他者に自由に利用される可能性があります。

企業としての実務対応

生成AIを業務利用する際は、以下の点に留意してください。

• 出力物の独自性を確保する：AIが生成したコンテンツをそのまま使用せず、人間が加筆・編集することで著作物としての独自性を付加し、自社の著作権を確保します。
• 類似チェックを実施する：重要なコンテンツについては、他の著作物との類似性チェックを行い、侵害リスクを事前に排除します。
• 利用規約を確認する：各AIサービスの利用規約で、出力物の権利帰属や商用利用の可否を必ず確認します。サービスによって条件が大きく異なります。
• 機密情報・社外秘情報の入力を禁止する：自社の未公表情報や取引先の秘密情報を学習データとして利用されるリスクがあるため、入力禁止事項を社内ルールで明確化します。

第2章：個人情報保護法リスク——顧客情報をAIに入力してはいけない理由

個人情報保護法が適用される場面

生成AIの利用において、個人情報保護法上の問題が最も深刻に顕在化するのは、顧客や従業員の個人情報をAIサービスに入力する行為です。

個人情報保護法では、個人情報を第三者に提供する場合、原則として本人の同意が必要です。企業がAIサービスに顧客の氏名・連絡先・購買履歴・相談内容などを入力した場合、AIサービスの提供会社がその情報を学習データとして利用するなら、「第三者提供」として個人情報保護法の規制を受けます。

さらに、2022年の個人情報保護法改正により、要配慮個人情報（病歴・障害・犯歴など）の取扱いはより厳格化されています。医療・介護・保育など、センシティブな個人情報を扱う業種では特に注意が必要です。

海外AIサービスと越境データ移転の問題

ChatGPTなど多くの生成AIサービスは米国企業が提供しており、サーバーも海外に置かれています。個人情報を入力することは、国境を越えた個人情報の移転（越境移転）に該当する可能性があります。

個人情報保護法では、外国の第三者への個人情報提供について、一定の要件（十分な個人情報保護水準の確認、または本人の同意など）を充たすことが求められます。これを怠ると、個人情報保護委員会による行政指導や勧告、さらには命令・公表の対象となるリスクがあります。

個人情報漏洩時のリスク

AIサービスへの不適切な入力が原因で個人情報が外部に漏洩した場合、企業は以下の責任を負う可能性があります。

• 個人情報保護委員会への報告義務：一定規模以上の漏洩は、委員会への報告と本人への通知が義務付けられています。
• 民事上の損害賠償責任：被害を受けた顧客・従業員から損害賠償請求を受けるリスクがあります。
• 刑事罰のリスク：悪意ある情報提供や重大な過失の場合、刑事罰（6か月以下の懲役または30万円以下の罰金）が適用される可能性もあります。
• レピュテーションリスク：情報漏洩の公表により、企業の信用・ブランド価値が大きく損なわれます。

企業としての実務対応

• 個人情報の入力禁止を明文化する：社内ルールで、AIサービスへの個人情報入力を原則禁止とします。
• 利用するAIサービスの個人情報処理方針を確認する：サービス提供会社のプライバシーポリシーや個人情報の取扱い方針を確認し、学習に利用しないことを保証しているサービスを選択します。
• エンタープライズ版・法人向けプランを検討する：多くのAIサービスでは、法人向けプランで入力データの学習利用を行わない保証を提供しています。
• プライバシーポリシーの更新：AI利用に伴う個人情報の取扱いについて、自社のプライバシーポリシーを見直し、必要に応じて更新します。

第3章：労働法上のリスク——AIが従業員に与える影響

AIによる監視と従業員のプライバシー

生成AIを含むAIツールを従業員の業務管理に活用する場合、従業員のプライバシー権との衝突が問題となります。たとえば、AIを使って従業員のメール・チャット・業務ログを分析・監視する場合、就業規則での明示やプライバシーポリシーの整備なしに実施すると、プライバシー侵害として法的問題を生じるおそれがあります。

AI活用による人事評価・解雇の問題

AIの分析結果を根拠に人事評価や解雇を行うことには、重大なリスクが伴います。労働基準法・労働契約法の下では、解雇には客観的合理的理由と社会通念上の相当性が必要とされており、「AIがそう判断したから」という理由は法的根拠として認められません。

また、AIのアルゴリズムにバイアスがある場合、特定の属性（性別・年齢・国籍など）の従業員が不当に不利益を受けるリスクもあり、雇用差別として問題視される可能性があります。

従業員へのAI利用ルールの周知

企業がAIツールの業務利用を認める場合、従業員が不適切にAIを使用したことで生じた問題（情報漏洩・著作権侵害など）についても、使用者責任として会社が責任を問われることがあります。そのため、従業員に対するAI利用ルールの周知・教育が不可欠です。

企業としての実務対応

• 就業規則・情報セキュリティポリシーへのAI条項追加：AIツールの業務利用に関するルール（利用可能なサービス、入力禁止情報、利用目的の限定など）を就業規則や社内規程に明記します。
• AI監視ツール利用時の従業員への説明：監視ツールを導入する場合は、目的・方法・利用する情報の範囲を事前に従業員に説明し、理解を得ます。
• AIを人事判断の補助ツールとして位置付ける：AI分析は意思決定の参考情報に留め、最終判断は人間が行う体制を明確にします。

第4章：AIサービス利用契約のチェックポイント

企業がAIサービスを導入する際には、必ず利用規約・サービス契約の内容を精査する必要があります。見落としがちな重要事項を以下に挙げます。

データの利用目的と学習への使用

入力したデータがAIの学習・改善に利用されるかどうかは、利用規約の中核的な事項です。特に機密情報・個人情報・営業秘密を扱う業種では、入力データが学習に利用されないことを利用規約・契約で確認・保証させることが重要です。

出力物の権利帰属

生成されたコンテンツの著作権が誰に帰属するか（ユーザー企業なのかサービス提供者なのか）、商用利用が可能かどうかを確認します。サービスによっては出力物の商用利用が制限されているケースがあります。

責任制限条項

多くのAIサービスは、出力の正確性・合法性について免責条項を設けており、AIが誤った情報や法律違反のコンテンツを生成した場合の責任をサービス提供者が負わないとしています。出力物を業務・対外的な文書に使用する際は、必ず人間による確認・検証が必要です。

準拠法・管轄裁判所

海外のAIサービスでは、準拠法が外国法（米国法など）、管轄が外国の裁判所とされているケースが多くあります。万が一トラブルが生じた場合の解決が困難になるため、可能であれば日本法準拠・日本での管轄を交渉することが望まれます。

第5章：今すぐ取り組むべき「AI法務整備」の実践ステップ

法的リスクを踏まえ、中小企業が今すぐ取り組むべき実践的なステップを整理します。

ステップ1：現状把握——社内でどのAIが使われているか確認する

まず、従業員が業務でどのようなAIツールを使用しているかを把握します。個人が勝手に無料版のAIを使用している「シャドーIT」の状態が最もリスクが高く、この実態把握が出発点です。

ステップ2：利用ルールの策定・周知

利用を認めるAIサービスの範囲、入力禁止情報（個人情報・機密情報・営業秘密など）、出力物の扱い方（必ず人間がチェックすること等）を定めたAI利用ガイドラインを作成し、全従業員に周知します。

ステップ3：就業規則・社内規程の整備

AI利用ガイドラインの内容を就業規則・情報セキュリティポリシー・個人情報取扱規程に反映させます。規程に根拠を持たせることで、違反時の懲戒処分も可能になります。

ステップ4：利用するAIサービスの契約内容確認

現在利用中・導入予定のAIサービスの利用規約・プライバシーポリシーを弁護士に確認させ、リスクの高いサービスの利用を制限・変更します。

ステップ5：従業員教育の実施

AIの正しい使い方とリスクについての研修を実施します。「便利だからといって何でも入力してよいわけではない」という意識を組織全体で共有することが重要です。

ステップ6：インシデント対応体制の整備

万が一、AIへの不適切な情報入力や情報漏洩が発生した場合の報告ルート・対応手順を事前に定めておきます。迅速な初動対応が被害の拡大防止と法的責任の軽減につながります。

おわりに：AI活用の恩恵を安全に享受するために

生成AIは、適切に活用すれば中小企業の競争力を大きく高める可能性を持っています。しかし、法的リスクへの無知・無対応は、著作権侵害訴訟・個人情報漏洩・労働トラブルなど、会社の存続を揺るがす深刻な事態を招きかねません。

重要なのは、「AIを使わない」という選択ではなく、「リスクを理解した上で適切なルールを整備して使う」という姿勢です。AI活用の恩恵を最大限に享受しながら法的リスクを最小化するために、ぜひ一度、自社のAI利用の現状と社内ルールを見直してみてください。

当事務所では、AI・IT法務に関するご相談を承っています。AIガイドラインの策定、利用規約のレビュー、個人情報保護体制の整備など、お気軽にお問い合わせください。