生成AI・AI APIの契約で確認すべき10項目

この記事のポイント

• AI契約で最初に確認すべきなのは「出力物の著作権」だけではありません。データがどこへ流れ、上流モデルが何をするのかを先に把握する必要があります。
• 外部AI APIを組み込んだSaaS事業者は、顧客に対してはAI提供者ですが、上流モデル事業者との関係では利用者です。下流への約束が上流契約を超えていないかが重要です。
• 入力データの学習利用、個人情報・越境移転、出力物の利用条件、第三者知財、モデル変更、ログ、責任制限等を一体で確認する必要があります。
• 標準利用規約を変更できない場合でも、Enterprise設定、データ学習オプトアウト、DPA、SLA、社内利用ルール等でリスクを下げられることがあります。
• AIの性能・リスクは変化するため、契約締結時だけでなく、モデル変更・サブプロセッサ変更・重大インシデント時の情報連携を設計しておくことが重要です。

「生成AIを導入するので利用規約を見てほしい」「OpenAI等のAPIを自社SaaSに組み込みたい」「顧客データを使ってAIエージェントを作りたい」。企業法務では、このような相談が増えています。

AIサービスの契約を見るとき、知的財産権や免責条項に目が行きがちです。しかし実際には、その前に確認すべきことがあります。

それは、誰がどのデータを入力し、そのデータがどこまで送られ、AIベンダーが何のために使い、どのモデルが処理し、出力やログがどこに残るのかという「データと責任の流れ」です。

2025年2月、経済産業省は「AIの利用・開発に関する契約チェックリスト」を公表しました。同チェックリストも、入力・出力、利用条件、権利、データ利用、セキュリティ等を具体的に確認することを求めています。

本記事では、生成AIサービスやAI APIを導入する企業と、それを自社サービスに組み込んで顧客へ提供する企業の双方を念頭に、契約で確認したい10項目を整理します。

1　契約書を読む前に「AIのバリューチェーン」を描く

AI契約で最初にやるべきことは、利用規約の第1条から読むことではありません。まず、自社サービスの中でAIがどこに入り、誰と誰が契約しているかを図にすることです。

特に外部の基盤モデルをAPIで利用する場合、中間のSaaS事業者は立場が二重になります。顧客に対しては「AI機能を提供するベンダー」ですが、基盤モデル事業者に対しては「AIサービスの利用者」です。

この構造を見落とすと、顧客には広い保証・補償を約束しているのに、上流ベンダーからはほとんど保証を受けられないという逆ざやが生じます。

以下の10項目は、この三層を行き来しながら確認することが重要です。

①　サービス・モデル・役割・想定用途を特定する

まず、何を契約しているのかを具体化します。「AIサービス」という抽象的な記載だけでは足りません。利用するモデル、API、バージョン、機能、利用目的、禁止用途、顧客への提供形態を把握します。

また、AIが人の判断を補助するのか、それとも判断を実質的に代替するのかも重要です。経産省の2026年民事責任手引きは「補助／支援型AI」と「依拠／代替型AI」を区別しています。高リスク業務では、契約上の利用目的と実際の運用を一致させる必要があります。

例えば契約では「参考情報」とされていても、サービス設計上は自動的に採否・与信・価格等を決めるのであれば、その実態を前提にリスクを検討すべきです。

②　入力データ―そもそもAIへ入れてよい情報か

次に、ユーザーがAIへ入力するデータを確認します。プロンプトだけでなく、アップロードファイル、顧客DB、RAG用文書、音声・画像、コード等も含みます。

入力者がそのデータをAIベンダーへ送信・処理させる権利を持っているかを確認します。秘密保持義務のある第三者情報、個人情報、著作物、営業秘密等を含む場合は特に注意が必要です。

社内ルールとして「機密情報を生成AIへ入力禁止」とするだけでは、自社が正式にEnterprise/API契約を締結して業務利用する場面には十分でないことがあります。どの契約・設定ならどの情報を扱えるのかを区分する方が実務的です。

③　入力データをベンダーが学習・改善に使うか

AI契約では、入力データを「サービス提供のためだけに処理する」のか、「ベンダー自身のモデル改善・学習にも使える」のかを必ず確認します。

同じサービスでも、一般ユーザー向けプラン、Enterpriseプラン、APIで取扱いが異なる場合があります。学習オプトアウトの有無、ログ保存期間、品質改善のための人手レビュー、削除方法等も確認します。

顧客向けSaaSを提供する会社では、上流ベンダーが入力データを学習に使える契約なのに、下流顧客には「入力データは学習に一切利用されません」と約束しないよう注意が必要です。

④　個人情報・越境移転・委託関係を整理する

AIへ個人情報を入力する場合、「クラウドに預けるだけだから常に委託」とは限りません。ベンダーが誰の目的で、どの範囲まで処理できるかを確認する必要があります。

国内第三者提供、外国にある第三者への提供、委託、共同利用等のどの整理になるかによって、個人情報保護法上の対応は変わります。データセンター所在地、サブプロセッサ、外国での取扱いも確認します。

2026年改正個人情報保護法ではAI開発等に関する一定のデータ利活用が見直されますが、それによって「AIベンダーに個人情報を自由にアップロードしてよい」ことにはなりません。目的、主体、データフローごとに整理する必要があります。

⑤　セキュリティ・サブプロセッサ・インシデント対応

AIサービスでは、プロンプトやアップロードデータに重要な情報が含まれる可能性があります。認証、暗号化、アクセス制御、データ分離、保存場所、脆弱性対応等を確認します。

自社だけでなく、AIベンダーが利用するサブプロセッサやクラウド事業者についても確認が必要です。重要なサブプロセッサ変更時の通知・異議申立ての仕組みがあるかも検討します。

インシデントが発生した場合、何時間・何日以内に通知するか、原因・影響範囲の調査に協力するか、ログを提供するか、再発防止策を示すかを契約で整理します。必要に応じて、セキュリティ資料、第三者認証、SBOM等の提供・確認も検討します。

⑥　出力物の利用条件・知的財産権・第三者クレーム

「AI生成物の著作権は誰のものか」だけを確認しても十分ではありません。

まず、契約上、出力を商用利用・改変・再配布できるかを確認します。そのうえで、その出力が著作権法上そもそも著作物になるか、第三者の著作権・商標権等を侵害しないかは別問題として考えます。

ベンダーが「出力の権利をユーザーに付与する」と定めても、第三者に対する非侵害を保証しているとは限りません。第三者からクレームが来た場合に防御・補償する条項があるか、補償対象外となる利用（独自ファインチューニング、禁止用途、出力の改変等）が何かを確認します。

⑦　性能・ハルシネーション・人による確認をどう扱うか

生成AIは確率的なシステムであり、一般にすべての出力の正確性を保証することは困難です。したがって、単純に「正確性を保証する／しない」だけでなく、用途に応じて何を約束するかを検討します。

例えばRAG型社内検索なら、参照元の表示率、回答できない場合の挙動、アクセス権限、検索精度等、測定可能な指標を置けることがあります。

また、重要な判断で人が確認するのか、AIに依拠して自動処理するのかを明確にします。自動化を売りにするサービスで「必ず全件人が再確認してください」とだけ定めると、サービス価値と契約の前提がずれる可能性があります。

⑧　モデル・仕様・利用規約の変更とサービス継続性

AI APIは更新が速く、モデルの提供終了、名称変更、コンテキスト長・料金・レート制限の変更等が起こります。また、同じモデル名でも挙動が変わる場合があります。

そのため、重要な仕様変更・モデル変更の通知、旧モデルからの移行期間、後方互換性、重大な性能劣化時の対応、サービス停止時のデータ返還・移行等を確認します。

標準利用規約が一方的に変更される仕組みの場合、変更通知・効力発生時期・解約権等も確認します。自社サービスの顧客契約期間が長い場合は、上流サービスが途中で変わるリスクを下流契約へ反映する必要があります。

⑨　ログ・監査・説明可能性を確保する

AI事故や知財クレーム、個人情報事故が起きたとき、契約書だけでは原因を調べられません。入力、出力、日時、モデル・バージョン、システム設定、アクセス権限等のログが重要になります。

誰がどのログを保持し、保持期間はどれくらいか、顧客が必要な範囲で取得できるか、監査報告書・第三者認証等を確認できるかを検討します。

一方、ログ自体に個人情報・機密情報が含まれることもあります。ログを長く残せばよいわけではなく、事故調査・説明責任の必要性とデータ最小化・安全管理のバランスを取る必要があります。

⑩　責任制限・補償・終了時処理・準拠法

最後に損害賠償条項を確認します。AI契約では、利用料数か月分など低い責任上限が設定されていることも多く、下流顧客への責任と大きく乖離する場合があります。

知財侵害、秘密保持違反、個人情報・セキュリティ事故、故意・重過失等について一律上限を適用するのか、別枠とするのかを検討します。

第三者クレームについては、通知、防御権限、和解、協力義務、補償除外を確認します。また、契約終了時のデータ削除・返還、モデル・RAGインデックス等に残ったデータの取扱いも重要です。

海外AIベンダーの場合は、準拠法・裁判管轄・仲裁等も確認します。実務上請求できる補償かどうかまで考える必要があります。

11　「下流で約束したこと」を上流で確保できているか

外部AI APIを組み込んだサービスでは、契約交渉の最大のポイントの一つが「フローダウン」です。

自社が顧客に約束する内容について、上流のAIベンダーから同程度の権利・情報・補償を確保できているかを確認します。完全に一致させることが難しい場合は、その差額を自社が負担できるのか、保険・技術対策・契約上限等で処理する必要があります。

12　標準利用規約を交渉できない場合でも、できることはある

大手AIサービスでは、個別企業が標準利用規約を修正できないことも珍しくありません。その場合でも、「規約を飲むか、使わないか」の二択ではありません。

例えば、一般向けプランではなくEnterprise/APIプランを選ぶ、学習利用をオフにする、DPAやSLAを締結する、データ保持設定を短くする、機密度の高いデータを入力しない、出力を人が確認する、顧客契約で利用範囲を限定する、といった対応が考えられます。

つまり、契約リスクは契約書の修正だけでなく、技術設定と社内運用によっても低減できます。法務担当者は、サービス仕様を理解したうえで「変更できない規約のリスクを、どの運用で埋めるか」を事業部門・情報システム部門と一緒に考える必要があります。

13　自社がAIサービスを提供する側なら、利用規約だけでなく説明資料も揃える

自社がAIサービスを顧客へ提供する側では、利用規約だけ整えても十分ではありません。

顧客が知りたいのは、「どのモデルを使うのか」「入力データは学習されるのか」「どこに保存されるのか」「出力の正確性はどの程度か」「障害・事故時に何をしてくれるのか」といった具体的な事項です。

契約、プライバシーポリシー、セキュリティシート、AIに関する説明、営業資料の内容が矛盾していると、紛争時に「契約では免責していた」という主張だけで処理しにくくなります。

2026年の生成AIプリンシプル・コードやAI事業者ガイドラインも、AI提供者による透明性・説明、ガバナンスを重視しています。自社が提供者に当たる場合は、顧客向けの説明資料も契約パッケージの一部と考える方がよいでしょう。

14　契約レビューで私なら最初に見る3点

生成AI・AI APIの契約をレビューするとき、条項数が多くても、最初に見るポイントは比較的シンプルです。

一つ目は、顧客データがどこまで上流へ流れ、上流事業者がそれを何の目的で利用できるのか。二つ目は、下流顧客に約束している責任・補償を上流契約でどこまで回収できるのか。三つ目は、モデルや仕様が変わったときに自社が顧客との契約を守り続けられるのか、です。

知財条項も重要ですが、この三つが整理できていない状態で「出力物の権利は当社に帰属する」という一文だけを整えても、事業上の主要リスクは残ります。

AI契約では、権利帰属より先に、データフローとバリューチェーンを把握する。この順番を意識すると、契約上の論点がかなり見えやすくなります。

15　まとめ

生成AI・AI APIを利用する契約では、入力データ、学習利用、個人情報、セキュリティ、出力・知財、精度、モデル変更、ログ、責任制限等を一体として確認する必要があります。

特に外部AI APIを自社サービスへ組み込む場合、自社は上流AI事業者との関係では「利用者」、下流顧客との関係では「提供者」という二つの立場に立ちます。

そのため、下流顧客へ約束したことを上流で確保できているかという観点が重要です。確保できないリスクについては、技術設計、社内運用、契約上限、保険等で処理する必要があります。

AI契約は「AIの利用規約を読む」だけの作業ではありません。実際のサービス構成とデータフローを把握し、技術・契約・運用の三つを整合させることが重要です。

参考資料

経済産業省「AIの利用・開発に関する契約チェックリスト」：https://www.meti.go.jp/press/2024/02/20250218003/20250218003.html

経済産業省「AIの利用・開発に関する契約チェックリスト」PDF：https://www.meti.go.jp/policy/mono_info_service/connected_industries/sharing_and_utilization/20250218003-a.pdf

総務省・経済産業省「AI事業者ガイドライン（第1.2版）」：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html

経済産業省「AI利活用における民事責任の解釈適用に関する手引き〔第1.0版〕」：https://www.meti.go.jp/shingikai/mono_info_service/ai_utilization_civil/pdf/20260409_1.pdf

個人情報保護委員会「令和8年 改正個人情報保護法について」：https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/

※本記事は一般的な情報提供を目的とするものであり、個別案件についての法律意見を提供するものではありません。

---

※本記事は一般的な情報提供を目的とするものであり、個別案件についての法律意見を提供するものではありません。