結論：「禁止」より「把握」から始める
委託先の生成AI利用について、最初にやるべきことは禁止ではなく把握です。
契約条項の明確化と簡易な質問票を使えば、最低限の可視化と説明責任を確保できます。
なぜ委託先のAI利用が問題になるのか
委託業務では、次のような事態が実際に起きています。
- 委託先が生成AIで成果物を作成していたが、発注側は知らなかった
- 入力データに顧客情報や社外秘が含まれていた可能性がある（設定・契約次第で扱いが変わるため要確認）
- 監査で「どの工程で、どうAIを使ったか」を説明できなかった
多くの企業では、最終責任は発注側にも及ぶ可能性があると整理されています。だからこそ、委託先管理の一環としてAI利用を把握することが重要です。
この記事で使う用語
| 用語 | 意味 |
|---|---|
| 委託先(ベンダー) | 業務を外部委託している相手企業 |
| 生成AI | 文章・画像・コードなどを自動生成するAI（ChatGPT、Copilotなど） |
| 可視化 | 状況を文書や記録で確認できる状態にすること |
委託先AI管理の4ステップ
ステップ1：契約書に「生成AIの扱い」を明記する
新規契約や更新時に、次の観点を盛り込みましょう。
- 生成AIを利用する可能性があるか
- 利用する場合の対象業務の範囲
- 個人情報・機密情報の入力可否
- 必要に応じた事前通知や報告義務
厳密な条文が難しければ、「発注者の求めに応じて利用状況を説明する」という一文だけでも効果があります。
ステップ2：質問票で事実を確認する
監査や棚卸しの際は、シンプルな質問票が有効です。ポイントはYes/Noで答えられる形式にすること。
質問例
- [ ] 業務において生成AIを利用していますか（Yes / No）
- [ ] 利用している工程はどこですか（設計 / 作成 / レビュー など）
- [ ] 入力データに個人情報・機密情報は含まれますか（Yes / No）
- [ ] 出力結果は人が確認していますか（Yes / No）
詳細な説明を求めすぎず、まず事実を把握することを優先しましょう。
ステップ3：リスクが高い委託先だけ追加確認する
すべての委託先を深掘りする必要はありません。次に該当する場合のみ、追加確認を検討します。
追加確認が必要なケース
- 顧客情報・個人情報を扱う業務
- 対外資料や意思決定に直結する成果物
- 再委託（下請け）があるケース
追加で確認すべきポイント
- 生成AIの出力をそのまま納品していないか
- 人による確認・修正があるか
- 問題発生時の連絡・是正手順
ステップ4：記録を残して「説明できる状態」にする
監査で問われるのは、後から説明できるかどうかです。
残すべき記録：
- 質問票の回答
- 契約条項の該当箇所
- 追加確認の結果メモ
これらを委託先管理台帳や監査フォルダにまとめておきましょう。形式は問いません。必要なときに探せることが最優先です。
よくある落とし穴と対策
| 落とし穴 | 対策 |
|---|---|
| 全面禁止にして形骸化 | 実態と乖離しやすいため、まず把握を優先 |
| 「AIは使っていない」を鵜呑みにする | 生成AIの定義を説明してから質問する |
| 海外規制をそのまま適用しようとする | 適用範囲は国・契約で異なるため要確認 |
すぐ使えるチェックリスト
最小限の管理体制を整えるためのチェックリストです。
- [ ] 契約書に生成AIに関する記載がある
- [ ] 委託先へAI利用の質問票を配布・回収した
- [ ] 高リスク委託先を識別している
- [ ] 生成AI利用状況を説明できる記録がある
- [ ] 定期的（年1回など）に見直す運用を決めた
参考リンク
- 経済産業省：AI事業者ガイドライン（第1.1版）
- 経済産業省：AIガバナンスに関する検討会 資料一覧
- NIST：AI Risk Management Framework 1.0
- OECD：AI Principles
※この記事は一般的な情報提供を目的としています。具体的な判断は社内ルールや専門家にご確認ください。