秘密保持契約（NDA）を結んでいる相手の情報、AIに入れていい？

こんにちは、コマルです。「取引先の情報をChatGPTに相談したいんだけど、うちはNDA（秘密保持契約）を結んでいて……」という相談を受けると、いつも同じことを聞き返します。「その契約書、何と書いてありますか」。NDAとAI入力の可否は、法律の一般論だけでは決まりません。契約書に実際に書かれている条項次第で答えが変わる、数少ないテーマの一つです。まず、判断の流れを見てください。

NDAとは「Non-Disclosure Agreement」の略で、取引の相手から受け取った情報を、無断で外部に漏らさないと約束する契約書です。多くのNDAは10年前後前に作られたひな形をそのまま使い回しており、「生成AI」という言葉自体が出てこないものがほとんどです。だからこそ、チャートの3つの問いを順番にたどる必要があります。

Q1：契約書に「外部ツールへの入力」を名指しで禁じる一文があるか

最初に確認するのは一番シンプルな分岐です。近年作られたNDAには、「外部ツール・クラウドサービス・生成AIサービスへの入力を禁じる」という一文が最初から入っていることがあります。この一文がある場合、他の条件がどうであれ、入力してはいけません。

マル

うちの契約書、去年結んだばかりだから、もしかしてAIの一文が入ってるかも。

タイガー

それはまず確認する価値があるよ。「外部ツール」「第三者が提供するシステム」への入力・保存を禁じる条項は、生成AIを名指ししていなくても同じ扱いで読むのが安全。秘密情報の複製・加工を制限する条項も、AIへの入力に当てはまることが多いんだ。

Q2：多くのNDAが本当に聞いているのは「第三者への開示」条項

Q1の禁止条項が無い場合、次に見るべきは「第三者への開示」を扱った条項です。実はこちらのほうが、ほとんどのNDAに元から入っています。経済産業省が公開している秘密保持契約書のひな形には、こういう条文が置かれています。

甲又は乙は、（中略）秘密情報等を第三者に開示する場合には、書面により相手方の事前承諾を得なければならない。この場合、甲又は乙は、当該第三者との間で本契約書と同等の義務を負わせ、これを遵守させる義務を負うものとする。

つまり、①相手方から書面で事前承諾を得ること、②開示先（＝AIサービスの提供者）に契約書と同等の秘密保持義務を負わせること、この2つが揃わないと、第三者への開示はできない書きぶりです。

マル

AIサービスの会社って、この「第三者」に入るの……？

タイガー

契約の当事者（甲・乙）ではない以上、原則としては入ると考えるのが安全だよ。問題は②のほう。AI提供者に「契約書と同等の義務」を負わせられるかは、使っているプランの利用規約次第で変わる。

マル

無料版のChatGPTだと、その約束は取れないの？

タイガー

無料版・個人向けプランは、入力内容の学習利用について強い制約を約束していないことが多い。学習に使わない設定にできる法人向けプラン（Business・Enterprise・API等）なら、②の条件に近づけやすくなるよ。

Q3：相手方に書面で事前承諾を得られるか

Q2の条件を満たせそうなら、最後は実際に承諾を取れるかどうかです。「口頭でOKをもらった」は、契約書が「書面」を要求している以上、記録として弱いままです。

マル

メール1本でもいいの？もっと重い手続きが要るのかと思ってた。

タイガー

メール1本で十分なことが多いよ。大事なのは「誰が・いつ・何を承諾したか」が後から追える形で残っていること。承諾を得たら、日付と入力する情報の範囲をメモしておくと安心。

契約書の書きぶり別に見る、3つのパターン

ここまでの3つの問いを、実際のNDAでよく見る書きぶりに当てはめると、次の表のようになります。

マル

うちの契約書、たぶん真ん中のパターンだ。「事前承諾が必要」としか書いてなくて、AIのことなんて一言も無い。

タイガー

実際、そのパターンが一番多いはずだよ。書いていないからOKでもNGでもなく、「個別に確認する」が唯一の答えになる。ここを飛ばして自己判断してしまうのが、一番危ない。

なぜAIサービスの運営元が「第三者」にあたりうるのか

NDAには通常、「秘密情報は契約で定めた目的の範囲内でのみ使う」という条項（目的外使用の禁止）も置かれています。AIサービスへの入力そのものは、業務のための手段にすぎないので、目的の範囲内であれば直ちに違反にはなりません。問題になりやすいのは、入力した情報がAI提供者側の学習・研究開発に使われる場合です。この場合、目的外使用にあたる可能性に加えて、前段の「第三者への開示」にもあたりうる、という整理になります。

マル

「目的の範囲内」かどうかって、結局何を見て決まるの？

タイガー

契約書の前文や最初のほうの条文に書かれた「本契約の目的」だよ。相談のために自分で読んで使うのは範囲内でも、AI提供者側の学習に使われてしまうと、目的の外に出てしまう可能性がある。ここもQ2の設定確認とつながる話なんだ。

特許庁が公開している「AI・データの利用に関する契約ガイドライン」に基づくモデル契約書「秘密保持契約書（AI）」でも、秘密情報を第三者に開示する場合は書面による事前承諾と「本契約書と同等の義務」を負わせることを求める条文が置かれています。AIに関わる契約であっても、第三者開示の考え方そのものは、経済産業省の一般的なNDAひな形と変わりません。

Comaruの実務ではこう判断している

Comaruでも、NDAを結んでいるお客様の情報を相談やドラフト作成でAIに使う場面があります。実際にやっているのは、案件ごとに契約書の「第三者への開示」条項を読み直し、①禁止の一文が無いか、②承諾を得る条件は何か、を確認してから使う範囲を決める、という順番です。

マル

案件ごとに毎回、契約書を読み返してるの？面倒じゃない？

タイガー

面倒だけど、ここを飛ばすと後で取り返しがつかない。読んでも書きぶりが曖昧なときは、固有名詞を記号に置き換えて相談するか、承諾が取れるまで入力しない、を選ぶようにしているよ。

まとめ：契約書を読まずに「NDAだから全部NG」と決めない

NDAを結んでいるからといって、相手の情報をAIに入れることが自動的に禁止されるわけではありません。読むべきは、契約書の中の「外部ツールへの入力を禁じる条項」と「第三者への開示条項」の2つです。前者があれば入力しない、後者だけなら書面での事前承諾を条件に入力できる可能性がある、という整理になります。

多くの契約書は、AIを想定していない書きぶりのまま残っています。そこに当てはまったときこそ、「たぶん大丈夫」で進めず、相手方に一言確認するか、専門家に相談してから判断してください。判断の記録（日付・入力しようとした内容・確認結果）を残しておけば、あとから説明が要るときにも困りません。

固有名詞を記号に置き換える工夫や、入れていい情報とダメな情報の線引きは、AIに入れていい情報はどこまで？にまとめています。パート・派遣・業務委託の相手にAIを使わせるときの線引きはパート・派遣・業務委託の人にAIを使わせていい？、社内ルールとして1枚にまとめる手順は小さな会社の生成AIルール、個人データが絡む場合の考え方は個人情報保護法とAIの入力を参考にしてください。

30分無料相談では、「うちのNDA、この条項だとAIに入れていいのか」を、実際の契約書の文言に合わせて一緒に確認できます。契約書を読んでも判断に迷う方は、お気軽にどうぞ。

参考（一次情報）：経済産業省 秘密情報の保護ハンドブック（参考資料２　各種契約書等の参考例）／特許庁 モデル契約書 秘密保持契約書（AI）ver1.0（AI・データの利用に関する契約ガイドラインに基づく）

※本記事は一般的な情報提供であり、法的助言ではありません。契約書の文言はケースごとに異なるため、個別の判断が必要な場合は、契約書の実物を確認したうえで専門家にご確認ください。

この記事は、みなさんの“困る”を解決する猫の手「コマル」がお届けしました。 「うちの場合はどうなる？」は 30分無料相談 でどうぞ。