委託先のAI利用を確認するチェックリスト｜入力情報・再委託・SaaS利用の確認項目

委託先や取引先が、作業を速く進めるために生成AIやAI搭載SaaSを使う場面が増えています。文章の下書き、議事録の要約、翻訳、コードの補助、資料作成など、委託業務のさまざまな工程でAIが使われるようになりました。

ただ、委託元として確認するときに「AIを使っていますか」と聞くだけでは、判断に必要な情報がそろいません。同じ「使っている」でも、公開情報だけを要約しているのか、委託元から預かった資料や顧客データを入力しているのかで、確認すべきことは変わります。利用しているサービス、契約形態、学習利用の設定、再委託先での利用、出力結果を人が確認しているかまで見て、はじめて全体像がつかめます。

この記事では、委託先がChatGPT、Claude、Microsoft Copilot、Notion AIといった生成AIやAI搭載SaaSを業務利用している場合に、委託元が確認できるチェックリスト項目、設問例、回答形式、そして追加確認や差し戻しが必要になりやすい回答例を整理します。問題提起ではなく、そのまま送れる項目に寄せた内容です。

委託先のAI利用確認チェックリストとは、委託先や外部パートナーが委託業務の中で生成AIやAI搭載SaaSを利用する場合に、入力する情報の種類、利用サービス、契約形態、学習利用設定、再委託先での利用、成果物へのAI利用などを確認するためのチェックシートです。

セキュリティチェックシートや委託先管理の確認の中に、AI利用に関する設問グループとして組み込む形でも使えますし、AI利用確認だけを単独のチェックシートにして送る形でも使えます。

なぜこうした確認が必要になるのか、その背景については委託先のAI利用確認が必要になる背景で扱っています。この記事では、背景ではなく、実際に何を聞くかに絞って解説します。

AI利用確認では、利用の有無だけを聞いても判断が難しくなります。AIを使っているかどうかと、リスクの大きさが、必ずしも対応しないためです。

たとえば、すでに公開されている情報を要約させているだけなら、確認すべきことは比較的限られます。一方で、委託元から預かった資料、顧客情報、個人データ、未公開の機密資料などを外部のAIサービスに入力している場合は、入力する情報の内容、利用目的、サービス仕様、学習利用の有無、安全管理措置などを確認したほうがよい場面が出てきます。

ここで特に見ておきたいのが、委託元から預かった資料や顧客データを、委託先が自社の判断で外部AIサービスに入力していないかという点です。委託契約や秘密保持管理の中で「外部サービスへの入力可否」が明確になっていないと、現場の判断で入力されていることに気づけません。

個人情報の入力については、一律に禁止と単純化しないほうが実態に合います。個人情報保護委員会は、生成AIサービスの利用にあたって、入力する情報の内容や、サービス提供者による利用目的、学習利用の有無などに注意が必要である旨を示しています。個人情報や個人データを入力する場合、利用目的、安全管理措置、委託・第三者提供・外国第三者提供などの整理が必要になる場合があります。実際の法的評価は、契約内容、サービス仕様、入力する情報、利用目的によって異なります。

APIキー、認証情報、ソースコード、未公開資料については、特に慎重に扱う対象として分けて確認しておくと、後の差し戻しが減らせます。

入力情報	確認すべきこと	追加確認が必要になりやすい例
公開情報	公開済みの情報だけを扱っているか	公開情報と説明しつつ、実際は社内資料が混在している
社内一般情報	社外秘に当たらない範囲か、入力範囲のルールがあるか	一般情報のつもりで、未公表の数値や計画が含まれている
委託元から預かった資料	委託元の許可なく外部AIに入力していないか	委託先の判断で要約・翻訳に使っている
顧客情報・個人情報	利用目的、安全管理措置、学習利用設定、契約内容が確認できるか	入力の有無や設定を把握しないまま使っている
機密情報	秘密保持管理の中で入力可否が定められているか	機密区分の判断が担当者任せになっている
ソースコード	社外秘コードや顧客提供コードを入力していないか	補助目的で外部AIに貼り付けている
APIキー・認証情報	認証情報を入力・読み込ませていないか	設定ファイルごとAIに読ませている
ファイル・ログ情報	アップロードするファイルの中身を確認しているか	ログに個人情報や認証情報が含まれている
成果物の下書き	納品物の下書きを外部AIで生成・修正しているか	下書き段階で委託元の情報が入力されている

委託先のAI利用確認チェックリスト項目

ここからは、確認したいカテゴリを17に分けて、設問例・回答形式・追加確認が必要になりやすい回答例とともに整理します。表が長くなるため、利用実態／データと契約と設定／出力・体制の3つに分けて示します。17カテゴリすべてを以下に含めています。

カテゴリ	確認目的	設問例	回答形式	追加確認が必要になりやすい回答例
1. AI利用の有無	委託業務でAIを使っているかを把握する	委託業務の中で、生成AIやAI搭載SaaSを利用していますか	単一選択	「不明」「人による」など、組織として把握できていない回答
2. 利用目的・対象業務	どの工程でAIを使っているかを把握する	どの業務・工程でAIを利用していますか	複数選択／自由記述	委託業務の中核工程でAIを使っているが、目的が曖昧
3. 利用しているAIサービス・AI搭載SaaS	具体的なサービス名と種類を把握する	利用しているAIサービス・AI搭載SaaS名を記載してください	自由記述	サービス名を把握しておらず空欄、または「各自が選定」
4. 入力する情報の種類	何を入力しているかを把握する	AIに入力する情報の種類を選択してください	複数選択	顧客情報・委託元資料・機密情報が含まれる

カテゴリ	確認目的	設問例	回答形式	追加確認が必要になりやすい回答例
5. 個人情報・機密情報の入力制限	入力可否のルールがあるかを確認する	個人情報・機密情報の入力に関する社内ルールはありますか	単一選択／自由記述	「ルールなし」「担当者判断」
6. 契約形態・アカウント管理	法人契約か個人アカウントかを把握する	利用は法人契約ですか、個人アカウントですか	単一選択	個人アカウントや無料版を各自が利用
7. 学習利用・データ保持・ログの設定	入力データの扱いを確認する	入力データの学習利用やデータ保持の設定を把握していますか	単一選択／自由記述	設定を把握していない、確認していない
8. ファイルアップロード・外部共有	ファイル添付・共有の範囲を確認する	AIサービスへのファイルアップロードを行っていますか。範囲のルールはありますか	単一選択／自由記述	アップロードの可否や範囲を決めていない

カテゴリ	確認目的	設問例	回答形式	追加確認が必要になりやすい回答例
9. 出力結果の確認・人によるレビュー	人が出力を確認しているかを把握する	AIの出力結果は、人が確認してから利用していますか	単一選択	確認せずそのまま利用・納品している
10. 成果物へのAI利用の有無	納品物にAI出力が含まれるかを確認する	納品する成果物にAIの出力を含めていますか	単一選択／自由記述	含めているが、委託元に共有していない
11. 著作権・第三者権利への配慮	権利関係への配慮を確認する	AI出力の利用にあたり、著作権など第三者の権利に配慮していますか	単一選択／自由記述	配慮の有無を確認していない
12. 再委託先・外部パートナーによるAI利用	再委託先でのAI利用を把握する	再委託先や外部パートナーでのAI利用状況を把握していますか	単一選択／自由記述	把握していない
13. AI API・外部サービス連携	API連携の有無を確認する	社内ツールへのAI API連携や外部サービス連携はありますか	単一選択／自由記述	連携先や設定を把握していない

カテゴリ	確認目的	設問例	回答形式	追加確認が必要になりやすい回答例
14. 利用ルール・社内規程・教育	ルールと周知の状況を確認する	AI利用に関する社内ルールや教育はありますか	単一選択／自由記述	ルールなし、または周知されていない
15. インシデント・誤入力時の報告	誤入力時の連絡体制を確認する	誤入力やインシデント時の報告フローはありますか	単一選択／自由記述	連絡フローがない
16. 変更時連絡	変更時に連絡が来るかを確認する	AIツールや入力情報の範囲を変更した場合、委託元に連絡しますか	単一選択	連絡しない、運用が決まっていない
17. 証跡・確認履歴	確認の記録が残るかを確認する	AI利用に関する確認結果や記録を保管していますか	単一選択／自由記述	記録を残していない

AI事業者ガイドライン第1.2版も参考にしながら、委託先のAI利用について、利用状況、権限管理、ログ、出力結果の確認などを、リスクに応じて確認することが重要です。

回答が返ってきても、その内容によっては追加で確認したり、差し戻したりしたほうがよい場合があります。実務でよく出てくる10例を、注意したい理由・追加で確認すべきこと・差し戻しコメント例とともにまとめます。

回答例	注意が必要な理由	追加で確認すべきこと	差し戻しコメント例
個人アカウントや各自の裁量でAIを利用している	入力内容や設定が担当者ごとにばらつき、組織として把握できない	法人契約への切り替え予定、利用ルールの有無	利用が個人アカウント中心とのことでした。法人契約の有無と、入力可否のルールについて補足いただけますか
利用しているAIサービスや契約形態を把握していない	サービスや契約で扱いが変わるため、確認の土台が欠ける	主に使われているサービス名、契約形態	利用サービスと契約形態が未記載でした。把握している範囲で構いませんので、サービス名と契約形態をご記入ください
入力データが学習利用されるか、設定や契約内容が不明	入力情報の扱いを確認できないと判断が難しい	学習利用・データ保持の設定、契約条項の確認状況	学習利用やデータ保持の設定が不明とのことでした。設定や契約条項の確認状況を補足いただけますか
顧客情報や個人情報をAIに入力することがある	利用目的・安全管理措置・契約内容の確認が必要になる場合がある	入力対象の範囲、設定、社内ルール、委託元の同意状況	顧客情報・個人情報の入力があるとのことでした。入力の範囲と、利用目的・安全管理措置・設定について確認させてください
委託元から受け取った未公開資料をAIに入力することがある	委託元の許可や契約上の扱いが論点になりやすい	入力の可否判断、委託元への確認有無	当社からお預けした資料の入力があるとのことでした。入力の可否判断と、事前確認の有無についてご回答ください

回答例	注意が必要な理由	追加で確認すべきこと	差し戻しコメント例
APIキーやソースコードをAIに入力・読み込ませることがある	認証情報やコード流出につながりやすく、慎重な扱いが必要	入力対象、マスキングの有無、秘密保持管理のルール	認証情報やソースコードの入力があるとのことでした。対象範囲と秘密保持管理上の取り扱いを補足いただけますか
再委託先・外部パートナーにおけるAI利用状況を把握していない	預けた情報が再委託先経由で外部処理される可能性がある	再委託先のAI利用状況、ルール展開、変更時連絡	再委託先のAI利用状況が未把握とのことでした。把握している範囲と、再委託先へのルール共有状況をご記入ください
AIの出力結果を人間が確認せずにそのまま納品している	出力の正確性や権利面の確認が抜ける可能性がある	確認工程の有無、レビュー担当、確認範囲	出力を人の確認なく納品しているとのことでした。納品前の確認工程の有無について補足いただけますか
ファイルアップロード機能の利用範囲やルールを決めていない	想定外のファイルが外部に渡る可能性がある	アップロード対象、可否ルール、対象サービス	ファイルアップロードの範囲が未設定とのことでした。対象範囲とルールの有無についてご回答ください
AI利用に関する社内ルールや、誤入力時の連絡フローがない	誤入力時の対応や再発防止が個人任せになる	ルール整備の予定、連絡フロー、教育状況	社内ルールや誤入力時の連絡フローが未整備とのことでした。整備予定や暫定的な連絡先について補足いただけますか

AI利用の確認は、直接の委託先だけで完結しない場合があります。委託先がさらに再委託している先や、協力会社・外部パートナーでも、AIが使われている可能性があるためです。

ここで、AIサービスを使うこと自体が必ず再委託に当たる、と決めつける必要はありません。AIサービスの利用が再委託にあたるかどうかは、契約内容や処理の実態によって変わります。

ただ、委託元から預かった情報が、再委託先や外部AIサービスを通じて外部で処理される可能性があるなら、その点は確認しておきたいところです。具体的には、再委託先でのAI利用状況、委託先から再委託先へのルール展開、そしてAI利用が変わったときの委託元への連絡を、設問として入れておくと把握しやすくなります。

委託先がChatGPTのような単体の生成AIサービスを使っていなくても、業務で使っているSaaSにAI機能が後から搭載されていることがあります。要約、文章生成、検索補助といった機能が、普段使うツールの中に組み込まれている場合です。

そのため、単体の生成AIサービスだけでなく、AI搭載SaaS、外部のAI API、社内ツールへのAI API連携も確認対象に含めておくと、見落としが減らせます。

確認するときは、サービス名だけでなく、契約形態、管理者側の設定、学習利用の有無、ログの保存、ファイルアップロードや外部共有の設定まで聞いておくと、後の判断がしやすくなります。各AIサービスの仕様は変わっていくため、「このサービスならこの設定」と断定せず、回答時点の設定を確認する形にしておくほうが安全です。

AI利用の状況は変わりやすい領域です。次のような変化は、年に一度の確認の間にも起こり得ます。

• 新しいAIツールの導入
• 利用中のSaaSへのAI機能の追加
• 再委託先の追加
• 入力する情報の範囲の変更
• 成果物へのAI利用の開始

こうした変化があったときは、次の年次確認を待たずに、変更時の確認を行えるようにしておくと、把握のずれを抑えられます。確認のタイミングをどう設計するかについては、委託先管理における年次確認と変更時確認の考え方で詳しく扱っています。

この記事で扱っているのは、通常の業務委託先が生成AIやAI搭載SaaSを業務利用する場合の確認項目です。

これに対して、AIシステムそのものの開発を外部に委託する場合は、確認すべきことが変わります。モデル、学習データ、評価、API、権限管理、開発環境など、開発に固有の項目を別に見ていく必要があります。AI開発を委託する場面については、AI開発委託で確認すべきセキュリティ項目を参照してください。

この記事は「委託先がAIを使う場合に、委託元が何を確認するか」を扱っています。

これは、「AIを使ってチェックシートの回答や確認の作業そのものを進める話」とは別のテーマです。チェックシート業務側でAIをどこまで使えるかに関心がある場合は、AIでセキュリティチェックシートをどこまで自動化できるかを関連記事としてご覧ください。

ここまでの確認項目を、実際に送って・集めて・確認して・残すところまで進めるとき、その流れをまとめて扱えると運用しやすくなります。マモリスは、その流れを管理するためのチェックシート業務のSaaSです。機能を並べるよりも、運用の流れに沿って説明します。

1. 作成する — AI利用確認チェックリストを、テンプレートや質問グループを使って作成します。セキュリティチェックや委託先管理の設問に、AI利用の設問グループを足す形でも作れます。
2. 依頼する — 回答者管理やCSVインポートで委託先を登録し、ログイン不要の回答URLで依頼します。委託先はアカウントを作らずに回答できます。
3. 回収する — 回答状況を一覧で確認し、未回答の委託先を把握します。
4. 確認する — 回答内容を確認し、不十分な回答には差し戻しコメントを付けて再提出を依頼します。
5. 繰り返す — 繰り返し依頼や前回回答プリセットを使い、年次確認や変更時確認の負担を減らします。
6. 残す — 確認済みチェック、PDF保存、回答内容の保存により、確認・回収・差し戻し・確認結果の保存を進めやすくします。

マモリス自体が、AI利用のリスクを自動で判定したり、AIサービスの安全性を自動で評価したりするわけではありません。確認すべき項目を送り、回答を集め、差し戻しを行い、確認結果を残すという運用を進めやすくする位置づけです。

AI利用確認チェックリストをマモリスで管理する マモリスでは、AI利用確認や委託先管理に使えるチェックシートテンプレートを無料プランから利用できます。 回答依頼、回収、差し戻し対応、確認済み管理までまとめて行えます。 ▶ テンプレート一覧を見る

• 委託先のAI利用確認では、AIを使っているかだけでなく、何を入力しているかが重要です。
• 入力情報、契約形態、学習利用、ログ、ファイルアップロード、再委託先での利用、成果物へのAI利用を確認します。
• 個人情報や著作権、再委託に関する法的評価は、契約内容やサービス仕様によって異なるため、断定せず確認項目として整理します。
• 年次確認だけでなく、AIツールや入力する情報の範囲が変わったタイミングでも確認します。
• マモリスを使うと、AI利用確認チェックリストの作成、回答依頼、回収、差し戻し、確認済み管理まで進めやすくなります。

Q1. 委託先のAI利用確認チェックリストとは何ですか？

A. 委託先や外部パートナーが委託業務の中で生成AIやAI搭載SaaSを利用する場合に、入力する情報の種類、利用サービス、契約形態、学習利用設定、再委託先での利用、成果物へのAI利用などを確認するためのチェックシートです。

Q2. 委託先がAIを使っているかだけ確認すれば十分ですか？

A. いいえ。AIを使っているかだけではなく、何を入力しているか、どのサービスを使っているか、契約形態や学習利用設定はどうなっているか、出力結果を人が確認しているかまで見ることが重要です。

Q3. 個人情報を生成AIに入力することは一律禁止ですか？

A. 一律に禁止とは言い切れません。ただし、個人情報や個人データを入力する場合は、利用目的、安全管理措置、委託・第三者提供・外国第三者提供、サービス提供者による学習利用の有無などを確認する必要があります。実際の法的評価は、契約内容やサービス仕様によって異なります。

Q4. AIサービスを使うことは再委託にあたりますか？

A. AIサービスの利用が再委託にあたるかは、契約内容や処理実態によって異なります。ただし、委託元から預かった情報が外部サービスや再委託先を通じて処理される可能性がある場合は、利用状況や管理方法を確認しておくことが重要です。

Q5. マモリスではAI利用確認チェックリストをどのように管理できますか？

A. マモリスでは、チェックシートの作成、回答依頼、回収、差し戻しコメント、確認済み管理、繰り返し依頼、前回回答プリセット、PDF保存などを使って、AI利用確認の運用を管理できます。

• 委託先のAI利用確認が必要になる背景
• 委託先管理における年次確認と変更時確認の考え方
• AI開発委託で確認すべきセキュリティ項目
• AIでセキュリティチェックシートをどこまで自動化できるか

• AI事業者ガイドライン（第1.2版）｜経済産業省
• 生成AIサービスの利用に関する注意喚起等について｜個人情報保護委員会
• 個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会
• サイバーセキュリティ経営ガイドライン｜経済産業省
• AIと著作権について｜文化庁