AI開発を委託するときのセキュリティ確認｜開発会社に聞く質問と、確認する資料

AIを使ったシステムや機能の開発を外部の開発会社に委託するときは、通常のシステム開発で確認してきた秘密保持や成果物の権利に加えて、渡したデータが学習に使われないか、外部のAI APIにデータが送られないか、といった確認が必要になります。

この記事では、発注側が開発会社に何を質問し、回答の裏付けとしてどの資料を確認するかを、6つの領域に分けて紹介します。契約書で確認する項目は経産省「AIの利用・開発に関する契約チェックリスト」とは？で、すでに取引のある委託先が業務で生成AIを使っているかの確認は委託先のAI利用を確認するチェックリストで扱っています。

開発会社に質問する前に、次の4つを自社で書き出しておくと、どの領域を重点的に聞くかが決まります。

• 何を渡すか：開発・検証に使うデータ、プロンプト、社内の資料
• それが何に使われるか：学習、検証、本番運用での入力
• 何が返ってくるか：学習済みモデル、ソースコード、設定、生成物
• 誰が扱うか：開発会社、その再委託先、外部のAIサービス

既存の生成AIサービスを組み込むだけなのか、自社向けにカスタマイズするのか、新しく開発するのかによっても、確認の重点が変わります。経済産業省の「AIの利用・開発に関する契約チェックリスト」は、こうした違いを利用型契約と開発型契約に分けて説明しています。

開発会社に送る質問の例です。回答例と資料は一例で、委託の内容に合わせて選んでください。

質問の例	回答で確かめたいこと	追加で確認する資料の例
開発・検証に使うデータの種類は何ですか。個人情報や顧客から預かったデータを含みますか	渡すデータの範囲と、個人データの有無	使用するデータの一覧、データの流れを示した図
検証に本番のデータを使う予定はありますか	本番データを使う理由と、代わりの方法の有無	検証の計画

個人データを渡す場合、それが個人情報保護法上の委託に当たるのか、第三者提供に当たるのかで、必要な対応が変わる場合があります。データの内容と契約の形によって判断が変わるため、自社の法務に確認します。

質問の例	回答で確かめたいこと	追加で確認する資料の例
提供したデータやプロンプトは、AIモデルの学習やサービスの改善に使われますか	開発会社と、利用する外部サービスのそれぞれでの扱い	外部サービスの利用規約・データの取扱いに関する規定、設定の内容がわかる資料
開発会社が、今回のデータから作った学習用データを他の案件に使うことはありますか	派生したデータの扱い	契約書の該当条項

個人情報保護委員会は、個人情報を含むプロンプトを生成AIサービスに入力する場合について、利用目的の達成に必要な範囲内かを十分に確認すること、サービス提供者が機械学習に利用しないこと等を十分に確認することを注意喚起しています。法人契約であることや、学習に使わない設定になっていることは確認する事項の一つですが、それだけで入力してよいとは判断できません。利用目的、顧客との契約上の制限、保存や第三者への提供の扱いも合わせて確認します。

質問の例	回答で確かめたいこと	追加で確認する資料の例
利用する外部のAI API・モデルの提供元とサービス名は何ですか	送り先のサービスが特定できるか	サービス名、利用規約
入力したデータ、処理の結果、ログは、どこに保管・処理されますか	保管・処理・ログのそれぞれについて、提供者が開示している範囲	提供者が公開している、データの所在や保存期間に関する説明

保存場所は、保管するデータ、処理する場所、ログなど、何についての所在かを分けて確かめます。提供者が開示していない事項もあります。確認できない事項が残った場合は、その事項を記録し、制約を踏まえて利用するかどうかを自社で判断します。

質問の例	回答で確かめたいこと	追加で確認する資料の例
開発の一部を他社に委託しますか（データの加工、アノテーションなど）	再委託先と、そこへ渡るデータ	再委託先の一覧、再委託先との取扱い条件
開発に使うツールやクラウドサービスに、提供したデータを入力しますか	開発の途中でデータが渡るサービス	利用するサービスの一覧

質問の例	回答で確かめたいこと	追加で確認する資料の例
納品物に含まれるものは何ですか（学習済みモデル、ソースコード、プロンプト、設定ファイルなど）	納品の範囲	納品物の一覧
発注側は納品物をどこまで使えますか。開発会社は同じモデルや派生データを他社向けに使いますか	利用の範囲と、開発会社の再利用	契約書の成果物・権利に関する条項
使用するOSS・外部ライブラリ・モデルのライセンスを確認していますか	ライセンス上の制約	ライセンスの一覧

質問の例	回答で確かめたいこと	追加で確認する資料の例
契約終了時に、提供したデータ・ログ・学習用データをどう扱いますか（返却・削除）	返却・削除の方法と時期	削除の手順
削除したことを確認できる記録を出せますか	削除の確認方法	削除を確認できる記録の様式

すべてを最初の提案の段階で決めることはできません。提案の時点では未定でもよい事項と、データを渡す前・外部サービスを使い始める前・本番運用の前までに確認が必要な事項を分けておきます。

事項	提案の時点	確認が必要な時点
利用する外部のAI API・モデル	候補でもよい	データを渡す前、外部サービスで処理を始める前
データの保管・処理・ログの所在	候補のサービスの開示範囲でもよい	データを渡す前
学習などへの利用	方針でもよい	データを渡す前
再委託の有無と再委託先	予定でもよい	再委託先にデータが渡る前
納品物の範囲と権利	案でもよい	契約を結ぶ前
契約終了時の返却・削除	方針でもよい	契約を結ぶ前

回答が「未定」の場合は、未定であること自体を差し戻すのではなく、次の3点を確認します。

• 誰が決めるか（開発会社か、発注側か、外部サービスの選定次第か）
• いつまでに決めるか
• 決まるまで行わない作業（例：本番データを渡さない、外部サービスでの処理を始めない）

開発中にAPI・モデル・再委託先が変わったときの確認の考え方は、委託先管理は年1回で足りる？AI・SaaS・再委託の変更確認を解説で紹介しています。

回答に必要な説明が欠けている場合は、何を補ってほしいかが分かる形で追加の回答を依頼します。

回答	気になる点	追加で確認すること	依頼の文面の例
利用するAI APIが未定	送り先が決まっていない	候補、決める担当、決める時期、決まるまで行わない作業	「利用予定のAI APIの候補と、決定の時期、決定までの間に提供データを外部サービスで処理しないかをご記載ください」
学習データの出所を把握していない	権利や個人情報の有無が分からない	データの取得元と取得方法	「学習データの取得元と、第三者の権利や個人情報が含まれるかをご確認ください」
検証に顧客データを使う予定（理由の記載なし）	本番データを使う必要があるか分からない	使う理由と、代わりの方法の有無	「顧客データを検証に使う理由と、加工したデータなどで代えられないかをご記載ください」
再委託先で外部AI APIを使う可能性がある	確認の範囲が再委託先まで広がる	再委託先の名前と、そこで使うサービス	「再委託先と、そこで利用するAIサービスをご記載ください」
プロンプト・ログの保存期間を把握していない	情報がどれだけ残るか分からない	保管場所、期間、削除の方法	「プロンプトとログの保管場所、保存期間、削除の方法をご確認ください」
成果物の権利が契約書に書かれていない	納品後に使える範囲が不明	契約書での記載	「学習済みモデルやソースコードの権利の帰属が、契約書のどこに書かれているかをご確認ください」
OSS・外部ライブラリのライセンスを確認していない	利用条件に合わない可能性	ライセンスの種類と条件	「利用するOSS・ライブラリのライセンスと、その利用条件をご記載ください」
契約終了後のデータの扱いが決まっていない	終了後もデータが残る	返却・削除の手順と、削除の確認方法	「契約終了時のデータの返却・削除の手順と、削除を確認できる記録の有無をご記載ください」

チェックシートの回答は、開発会社による説明です。回答がそろったことで、安全性や法令への適合が確認できたことにはなりません。回答の裏付けは、利用規約、契約書、データの流れを示した図などの資料で確かめます。確認できなかった点は記録に残し、法令や契約上の制限を満たすことを前提に、追加確認や作業の延期、利用方法の変更を含めて社内で判断します。

確認する項目が少なく、委託が単発なら、Excelとメールでも管理できます。開発中の変更確認や追加の回答の依頼が重なってくると、どの回答が最新か、何を追加で依頼したかを追うのが難しくなります。

開発会社とのやり取りと確認の記録を一か所で扱いたい場合は、チェックシートのツールで試す方法があります。マモリスでは、回答する開発会社はログイン不要・無料で回答でき、下書き保存して後から続きを入力できます。

1. 無料登録し、AI開発委託の確認用チェックシートを1つ作る。質問グループを「入力データ」「外部AI API・モデル」「再委託」「成果物・終了時」などに分ける。裏付けの資料はファイル添付の設問にし、「未定」を選べる選択式の設問には、決める時期を書いてもらう備考欄を付ける
2. 提案中または契約前の開発会社1社に回答を依頼する
3. 届いた回答と添付資料を設問ごとに確認する。説明が足りない設問には、何を補ってほしいかをコメントに書いて差し戻す。確認を終えた回答はPDFで保存できる

Q1. AI開発委託と通常のシステム開発委託では、何が違いますか？

確認の進め方は同じですが、対象が増えます。通常の開発で確認していた秘密保持や成果物の権利に加えて、学習データの扱い、外部AI APIへのデータの送信、学習済みモデルや派生データの権利、再委託先での外部AIの利用などを確認します。

Q2. 最初に確認すべき項目は何ですか？

渡すデータに個人情報や顧客から預かったデータが含まれるかと、外部のAI APIを使うかです。この2つを出発点に、委託する業務、扱う機密情報、納品物、再委託の有無も踏まえて、確認する範囲を決めます。

Q3. 開発会社が「学習には使わない設定にしている」と回答しました。それで十分ですか？

確認する事項の一つですが、それだけでは十分ではありません。設定の内容が分かる資料や利用規約で確かめるとともに、利用目的、顧客との契約上の制限、データの保存や第三者への提供の扱いも確認します。

Q4. 提案の段階で「未定」の回答が多い場合はどうしますか？

提案の段階で未定でもよい事項と、データを渡す前や契約前までに確認が必要な事項を分けます。未定の事項は、誰が・いつまでに決めるかと、決まるまで行わない作業を確認しておきます。

Q5. すでに取引のある委託先が、業務でChatGPTなどを使っているかを確認したい場合も、この記事の項目でよいですか？

開発を委託する場面とは確認する内容が違います。業務での利用を確認する項目は、この記事の冒頭で紹介した委託先のAI利用確認の記事でまとめています。

本記事は、以下の情報をもとに作成しています（2026年10月15日確認）。

• AIの利用・開発に関する契約チェックリスト（令和7年2月）（PDF）｜経済産業省
• 生成AIサービスの利用に関する注意喚起等（PDF）｜個人情報保護委員会
• チェックシートの新規登録｜マモリス操作マニュアル