委託先のAI利用、なぜ「使っていますか」だけでは足りないのか｜契約・再委託・個人アカウントの見えにくさ

生成AIの利用は、もはや委託元だけの話ではありません。文章作成、調査、要約、翻訳、問い合わせ対応、コード生成まで、委託先の現場でも生成AIは日常業務に入り込みはじめています。

ところが委託元の側から見ると、どの業務で、どのサービスに、どんな情報が入力されているのかは、驚くほど見えません。
そこで「御社はAIを使っていますか」と一問だけ尋ねても、返ってくるのはYesかNoのどちらかです。入力している情報、利用している契約形態、個人アカウントか法人契約か、さらには再委託先での利用までは、その一問では何も分かりません。

この記事では、具体的なチェックリスト項目そのものではなく、なぜ委託先のAI利用を確認する必要があるのか、そしてどこで確認すべきなのかを整理します。
実際に委託先へ送る設問例や確認項目を知りたい場合は、別記事「委託先のAI利用を確認するチェックリスト」で詳しく解説しています。

生成AIは、もはや特別なツールではありません。検索やメールと同じように、日常業務や開発業務のなかに自然に溶け込んでいます。委託先が文章作成や調査、要約、翻訳、コード生成、問い合わせ対応などで生成AIを使っている可能性は、業種を問わず十分に考えられます。

ここで押さえておきたいのは、使っていること自体が問題なのではない、ということです。問題になりやすいのは、何を入力しているのか、どの契約形態で使っているのか、出力をどう扱っているのかが、委託元から見えないことのほうです。

だからこそ、出発点は「使っているかどうか」を疑うことではありません。すでに使われている前提に立ったうえで、その利用を見える状態にしておく仕組みを持つこと。これが、委託先のAI利用に向き合うときの現実的な土台になります。

委託先のAI利用確認が「AIを使っていますか」という一問で終わってしまうと、得られる情報はYesかNoだけになります。けれども、リスクを判断するために本当に知りたいのは、その先にある中身です。

どの業務で使っているのか。どんな情報を入力しているのか。個人アカウントなのか、法人契約のサービスなのか。出力をそのまま使っているのか、人が確認しているのか。社内に利用ルールはあるのか。Yes/Noの一問では、これらは何ひとつ見えてきません。

たとえば、同じ「使っています」でも、個人アカウントでの利用と法人契約での利用ではリスクの見え方が変わります。さらに、SaaSに組み込まれたAI機能の場合、利用している本人が「AIを使っている」と認識していないこともあります。

重要なのは「AIを使っているか」ではなく、「どの業務で、どの情報を、どの環境に入力しているか」です。確認したいのは利用の有無ではなく、その輪郭のほうなのです。具体的な確認項目は、後段で紹介するチェックリスト記事をご覧ください。

委託先で使われているAIは、一種類とは限りません。むしろ、複数の利用形態が混在しているのが実態です。

担当者が個人アカウントで使っている場合もあれば、会社が契約したAIサービスを使っている場合もあります。利用しているSaaSにAI機能が組み込まれている場合もあれば、ブラウザ拡張や外部API経由で使われている場合もあります。

委託元から見ると、これらの区別はつきにくいものです。同じ「AIを使っています」という回答の裏側に、まったく管理状況の異なる利用が並んでいることも珍しくありません。

なかでも個人アカウントでの利用は、違反だから問題なのではなく、会社の管理が届きにくく、外から見えにくいという点に注意が必要です。だからこそ、AI利用の有無だけを聞くのではなく、どの環境で、どのように管理されているかまで含めて確認する意味があります。

開発を外部に委託している場合、GitHub Copilot、Cursor、Claude Codeといった開発支援AIが使われている可能性があります。いまや開発の現場では、こうしたツールは一般的な選択肢になりつつあります。

ここで難しいのは、納品物だけを見ても、どのAIツールをどのように使ったのかが分かりにくいことです。完成したコードからは、その過程で何が入力されたのかまでは読み取れません。仕様書、ソースコード、エラーログ、場合によっては顧客情報が、開発支援AIへ入力されている可能性もあります。

ここでも、ツールを使うこと自体を危険と決めつける必要はありません。確認したいのは、委託先がどんな利用ルールを持っているか、入力してよい情報の線引きがあるか、出力をどう確認しているか、そしてライセンスや著作権にどう配慮しているか、といった姿勢のほうです。

納品物からは利用実態が見えにくいからこそ、開発委託では契約・NDA・セキュリティチェックの連携が、ほかの委託よりも重要になります。

委託先がさらに外部パートナーや再委託先を使っている場合、AI利用の見えにくさは一段と増します。委託元が直接やり取りしていない相手が、どのAIサービスをどう使っているかは、ほとんど把握できないからです。

特に、個人情報や機密情報を扱う業務では、この見えにくさが無視できません。委託先の先にいる相手の管理方法までが、確認の対象になり得ます。

ただし、これは再委託そのものを禁止すべきだという話ではありません。また、すべての再委託先のAI利用を必ず全件調査すべきだという話でもありません。現実的なのは、業務内容や取扱情報に応じて、どこまでを確認範囲とするかを決めることです。

再委託先でのAI利用を、どのように把握し、どう報告してもらうか。この設計は、個人情報保護法における委託先の監督や、個人情報保護委員会による生成AIに関する注意喚起ともつながってくる論点です。

委託先のAI利用は、契約だけでも、チェックシートだけでも、なかなか確認しきれません。両方の役割を分けて考えると整理しやすくなります。

契約やNDAでは、大枠を定めます。機密情報の取扱い、再委託の可否、成果物の扱い、データの利用範囲、AIの学習への利用可否といった、いわば前提条件です。一方でセキュリティチェックでは、実際にどのツールを使い、どの情報を入力しているかという、運用の実態を確認します。

論点を整理する材料として、経済産業省「AIの利用・開発に関する契約チェックリスト」のような公式資料は参考になります。同チェックリストでは、インプットの取扱い、アウトプットの取扱い、AI学習目的での利用、個人情報保護法との関係、セキュリティ、ログ保存、規約改定など、契約時に検討すべき論点が整理されています。

ただし、契約チェックリストを使えばすべてが完了するわけではありません。契約で枠組みを定め、チェックシートで運用実態を追う。この二段構えの考え方が現実的です。各種ガイドラインに沿って確認項目・証跡・判断履歴を残す考え方は、別記事「ガイドライン準拠チェックの進め方」でも整理しています。

委託先に確認しようとして、自社側に判断基準がないことに気づく。これは珍しいことではありません。

自社にAI利用のルールがないと、委託先から回答が返ってきても、それを評価できません。何を禁止し、何を条件付きで認めるのかが曖昧なままでは、「この回答は問題ないのか」を判断する物差しがないからです。

個人情報や機密情報の入力可否、法人契約での利用、出力の確認方法、再委託先での利用。こうした論点について、まずは自社としての基準を決めておく必要があります。

これは、自社ルールがない企業を責める話ではありません。委託先に求める前に、自社の判断基準をいったん整理しておく。その順番を意識するだけで、確認の精度は大きく変わります。

契約時に一度確認すれば終わり、とはいきません。AIサービスやSaaSの利用状況は、時間とともに変わっていくからです。新しいツールが導入され、契約形態が変わり、利用範囲が広がります。

そのため、年次の確認だけでなく、変更があったタイミングでの確認も必要になります。そして確認のたびに、何を確認し、どの回答根拠を見て、どう判断したのかを残しておくことが重要です。

このとき効いてくるのは、回答そのものだけではありません。差し戻したやり取り、確認時に付けたコメント、前回の回答との差分。こうした経緯こそが、後から「なぜそう判断したのか」を説明する材料になります。

ところが、Excelやメールで管理していると、これらの経緯はファイルやスレッドに分散しやすくなります。詳しくは「セキュリティチェックをExcelで管理する限界」で整理しています。

ここまで、委託先のAI利用について、なぜ確認が必要なのか、そしてどこで確認すべきなのかを整理してきました。背景と考え方が見えてくると、実際に何を聞くべきかも検討しやすくなります。

実際に委託先へ送る設問例、回答形式、追加確認が必要になる回答の考え方、入力情報や再委託先・AI搭載SaaSごとの確認ポイントについては、別記事「委託先のAI利用を確認するチェックリスト｜入力情報・再委託・SaaS利用の確認項目」で詳しく解説しています。

この記事ではあえて項目を再掲しません。背景を押さえたうえで、具体的な項目はチェックリスト記事で確認していただくのが分かりやすいはずです。

マモリスは、委託先のAI利用リスクを自動で判定するツールではありません。法務判断や契約確認を代替するものでもありません。この点は、はじめにお伝えしておきます。

その前提のうえで、マモリスは委託先への確認依頼の送付、回答の回収、資料の添付、差し戻しコメントのやり取り、確認済みの管理、前回回答の確認、PDFでの保存といった運用に対応しています。

つまり、委託先のAI利用を確認した経緯を、分散させずに残しやすくする受け皿です。年次の確認だけでなく、変更があったときの確認にもつなげやすくなります。チェックリスト記事で整理した確認項目を、実際の運用に乗せていく土台として活用いただけます。

委託先のAI利用確認を、チェックシート運用として整えたい方へ AI利用の有無を聞くだけでは、入力情報、利用環境、再委託先の利用、判断履歴までは残りません。 マモリスの無料診断では、現在のチェックシート管理がどの段階にあるかを確認できます。 無料で診断する

委託先のAI利用は、使われている前提で考えるところから始まります。

「AIを使っていますか」という一問だけでは、リスクを判断するために必要な情報は見えてきません。個人アカウント、法人契約、AI搭載SaaS、CopilotやCursorなどの開発支援AI、そして再委託先での利用が、それぞれに見えにくさを生み出しているからです。

確認しきるには、契約・NDAで大枠を定め、チェックシートで運用実態を追う、という組み合わせが現実的です。そして最終的には、何を確認し、どう判断したのかという経緯を残しておく運用が効いてきます。

実際に委託先へ送る具体的な確認項目については、チェックリスト記事を参照してください。背景を押さえたうえで項目に進むことで、確認の質は着実に上がっていきます。

Q1. 委託先のAI利用は必ず確認すべきですか？

必ずすべての委託先に同じ深さで確認する必要はありません。
ただし、個人情報、機密情報、ソースコード、顧客情報などを扱う委託先では、AI利用の有無や利用環境を確認対象にする必要性が高くなります。業務内容や取扱情報に応じて、確認の優先度と深さを決めることが重要です。

Q2. 委託先がAIを使っている場合、一律で禁止すべきですか？

一律で禁止する必要はありません。
AI利用そのものではなく、どの情報を、どの環境に入力し、出力をどう確認しているかが重要です。
法人契約のAIサービスや社内ルールのもとで適切に使われている場合もあります。禁止か許可かではなく、条件付きで許容できるかを判断する姿勢が現実的です。

Q3. 個人アカウントでのAI利用は、なぜ確認しにくいのですか？

個人アカウントでのAI利用は、委託先企業の管理外で行われることがあり、ログや契約条件、入力データの扱いが見えにくくなります。
委託元が個人の利用履歴まで直接調べることは現実的ではありません。そのため、委託先企業として個人アカウント利用をどう管理しているか、業務利用のルールがあるかを確認することが重要です。

Q4. CopilotやCursorの利用は、納品物から判断できますか？

納品物だけで、CopilotやCursorなどの開発支援AIをどのように使ったかを判断するのは難しい場合があります。
そのため、利用自体を問題視するのではなく、委託先が入力してよい情報、出力確認、ライセンスや著作権への配慮について、事前にどのようなルールを持っているかを確認することが重要です。

Q5. AI利用は契約書とチェックシートのどちらで確認すべきですか？

契約書とチェックシートの両方を組み合わせるのが現実的です。
契約書やNDAでは、機密情報、再委託、成果物、データ利用などの大枠を定めます。一方で、チェックシートでは実際にどのAIサービスを使い、どの情報を入力しているかを確認します。
契約で枠組みを作り、チェックシートで運用実態を追う考え方が重要です。

本記事は、以下の公式資料を背景の参考情報として作成しています。委託先AI利用確認の考え方を支える材料としてご参照ください。

• AI事業者ガイドライン第1.2版｜総務省・経済産業省
• AI事業者ガイドライン第1.2版 チェックリスト・ワークシート｜総務省・経済産業省
• 経済産業省「AIの利用・開発に関する契約チェックリスト」
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」
• 個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会