生成AIの法務活用とガバナンス｜法務部門の業務ごとの線引きと全社統制の回し方

法務部門の生成AI活用とは、契約書の起案や法令調査といった法務自身の業務に生成AIを使うことと、会社全体のAI利用を法務の立場で統制すること（AIガバナンス）の両方を指す言葉です。先に決めておきたいのは、業務ごとにAIへ任せる範囲と最後に人が判断する場所、そして契約書を入れても良い環境を会社として1つ用意することになります。ルールの文書だけを配っても、使える環境がなければ社員は個人のアカウントに流れてしまいます。法務の方が自分で使いながら統制も回せる形を、公的資料に沿って組み立てていきましょう。

法務部門から見た生成AIの2つの役割とAIガバナンスの定義

法務部門は、生成AIを自分の業務で使う立場と、会社のAI利用を統制する立場の2つを同時に担うことになります。

AIガバナンスという言葉には、公的な定義があります。総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」は、AIガバナンスを「AIの利活用によって生じるリスクをステークホルダーにとって受容可能な水準で管理しつつ、そこからもたらされる正のインパクト（便益）を最大化することを目的とする、ステークホルダーによる技術的、組織的、及び社会的システムの設計並びに運用」と定めています。

定義の中に「管理しつつ」と「最大化する」が並んでいる点が、法務の方にとっての読みどころです。リスクを抑えることと便益を引き出すことが、同じガバナンスの仕事として書かれています。禁止の文言を増やすことだけが、法務の役割ではないということになるでしょう。

同じガイドラインは、事業活動でAIシステムやAIサービスを使う事業者を「AI利用者（AI Business User）」と呼び、AIを作るAI開発者や、AIを提供するAI提供者と区別しています。汎用の生成AIを業務で使うだけの会社は、多くの場合このAI利用者に当たります。なお、同一の事業者が複数の立場を兼ねる場合もあると書かれており、社内向けにAIを組み込んだ仕組みを作って配る会社は、提供者の立場も意識しておくと良いでしょう。

AI利用者に求める事項としては、個人情報を不適切に入力しないよう注意を払うこと（U-4）、機密情報等を不適切に入力しないよう注意を払うこと（U-5）、AI提供者が定めたサービス規約を遵守すること（U-7）などが挙げられています。入力のルールづくりと利用規約の確認は、どちらも法務が普段から手がけている仕事に近いものです。全社の体制づくりや点検の頻度については、AIガバナンスの進め方もあわせてご覧ください。

法務の現場での使われ方については、LegalOn Technologiesの「法務業務担当者の生成AI活用に関する調査」（2025年7月18日〜25日、法務業務を担当する会社員・会社役員500名、クロス・マーケティングに委託）があります。法務業務で生成AIを活用している割合は22%、法務業務以外で利用している割合は18%と報告されました。契約審査AIを提供する企業による調査である点を踏まえて読む必要がありますが、法務の担当者の間でも使う方と使わない方が分かれている様子がうかがえます。

AI事業者ガイドラインの版の変遷と第1.2版の位置づけ

法務が参照するAI事業者ガイドラインは、2026年9月時点では総務省・経済産業省が令和8年（2026年）3月31日に公表した第1.2版が最新になります。

始まりは2024年4月の策定です。それまでは総務省主導の「国際的な議論のためのAI開発ガイドライン案」「AI利活用ガイドライン」と、経済産業省の「AI原則実践のためのガバナンス・ガイドライン Ver.1.1」が並んでいました。この3つを統合・見直して1つにまとめたものが、AI事業者ガイドラインとなります。その後、第1.1版が令和7年（2025年）3月28日に公表され、第1.2版が令和8年3月31日に続きました。

社内規程や社内ガイドラインで出典として書く場合は、版と日付まで書いておきましょう。版の名前が曖昧なままだと、改定のたびに、どの版に合わせた内容なのかを説明し直すことになってしまいます。

第1.2版の掲載ページには、本編と別添に加えて、チェックリスト（別添7）やワークシート（Excel）、「AI事業者ガイドライン活用の手引き（案）」なども並んでいます。本編はこのガイドラインを「非拘束的なソフトロー」と位置づけており、守らなければ罰せられる法律ではなく、自社の規模に合わせて使う物差しです。取組についても「各主体の資源制約を考慮しながら自主的に進めることが重要である」と書かれています。社員数の少ない会社が、大企業と同じ分量の規程をそろえる必要はないと読むことが出来ます。

チェックリストを社内ルールの項目に落とす方法は、生成AIの社内ガイドラインの作り方で10項目とひな形にまとめました。

法務省のガイドラインと弁護士法72条｜提供者側の整理として読む

法務省が公表している2つのガイドラインは、AIサービスを提供する側が弁護士法72条に触れるかどうかを整理したもので、利用する会社の適法・違法を決めるものではありません。

弁護士法72条は、弁護士や弁護士法人でない者が、報酬を得る目的で、訴訟事件その他一般の法律事件に関して鑑定・代理・和解などの法律事務を取り扱うことを業とするのを禁じる条文です。いわゆる非弁行為の禁止と呼ばれるもので、契約書をAIで確認するサービスが広がるなかで、そのサービスの提供がこの条文に触れないかが論点になってきました。

令和5年8月ガイドラインの要点

1本目は、法務省大臣官房司法法制部が令和5年（2023年）8月に公表した「AI等を用いた契約書等関連業務支援サービスの提供と弁護士法第72条との関係について」になります。報酬を得る目的、事件性、法律事務という3つの要件のいずれかに当たらなければ72条に違反しない、という整理が土台にあります。

報酬目的については、利用料等を受けない場合は通常当たらないとしつつ、他の有償サービスへの誘導などで実質的な対価関係があれば当たり得るとしています。事件性については、企業法務の契約関係事務のうち、通常の業務に伴う契約締結に向けた話合いや法的問題点の検討は、多くの場合事件性がないとの当局の指摘に留意して判断されるべき、という書き方です。一方で、紛争後の和解契約書の作成などは当たり得るものとして扱われています。

法律事務に当たり得る例として挙がっているのは、非定型の入力に応じて個別の事案を法的に処理し、具体的な契約書や修正案、法的リスクの有無や程度を表示する機能です。反対に、ひな形の選択・反映にとどまる機能や、チェックリストとの字句の一致を表示するにとどまる機能は、当たらないことがあるとされました。さらに、弁護士が結果も踏まえて契約書を自ら精査し、必要に応じて自ら修正する方法で使うときは、通常72条に違反しないと考えられるという整理も示されています。

令和8年8月ガイドライン（新）で補われた点

2本目は、2026年8月に法務省が公表した「ビジネス分野におけるAI等法務業務支援サービス提供と弁護士法第72条の関係について」です。令和5年のガイドラインを踏まえつつ、生成AIなどの技術の進展を受けて、72条との関係で分水嶺となり得る要件に絞って解釈指針を補ったものと説明されています。

新しいガイドラインは、サービスの具体的な使い方の最終判断は基本的に利用者に委ねられるとし、価値中立的なサービスであれば、利用者が結果として事件性のある案件に使ったことだけで提供者が法律事務を扱ったと評価するのは困難だとしました。そのうえで、事件性のある案件での利用を目指した設計ではないこと、その利用に特化した機能を持たないこと、ガバナンス措置で不適切な利用を避ける体制があることを満たせば、一般的に抵触しないと考えられるサービスの例を挙げています。文献などのリサーチや法的問題点の検討の支援、書面の作成・審査・管理の支援、社内研修や経営判断の適法性確認を含むコンプライアンス業務の支援、内部通報事案の調査支援などが、その例に当たります。

反対に、法的紛議が現に顕在化している事案や、紛議がほぼ不可避な案件の処理を目指して設計されたサービスは、法律事務を扱うと評価され得る例とされました。訴状などの裁判所への提出書面や和解契約書といった、紛議を前提とした対外書面を作るサービスも同じ扱いです。提供者には、弁護士に代わる判断や法的結論の正確性を保証すると思わせる表現を厳に慎むこと、事件性のある案件では使えない旨の表示、根拠や参照元の表示、弁護士資格者の監修・実質的な関与、国内の問合せ窓口の設置が推奨されています。

自社の契約書で使う会社が読み取れること

2つのガイドラインは、どちらもサービスを提供する側についての整理です。自社の社員が自社の契約書を確認するために汎用の生成AIを使うこと自体を違法とする記載はなく、同時に、そうした使い方を明示的に対象外とした記載もありません。

そのため、利用する会社の側で問題ないとも違法になるとも、言い切るのは避けたほうが良いでしょう。法務として読み取れるのは、紛争がすでに起きている案件や和解契約書のように紛議を前提とした書面ほど慎重に扱われていること、そして人が結果を精査して自ら直す使い方が整理の中で重く見られていることの2点になります。紛争案件ほどAIの出力をそのまま使わず、最後は人が精査して直す運用を基本にしましょう。契約書のリーガルチェックをどこまでAIに任せてよいかの詳しい線引きは、リーガルチェックをAIに任せてよい範囲で扱っています。

経済産業省「民事責任の手引き」の2類型を法務の運用に落とす

経済産業省の手引きが示す補助／支援型と依拠／代替型の2類型は、法務部門がAIの使い方を設計するときの物差しとして借りることが出来ます。

経済産業省は2026年4月9日に「AI利活用における民事責任の解釈適用に関する手引き」（第1.0版）を公表し、同年6月9日に本文の追記と関連資料の差し替えを行いました。AI利活用時の民事責任の在り方について、現行法における解釈の考え方を整理した資料です。研究会（座長は早稲田大学法学学術院の大塚直教授）で不法行為法と製造物責任法の観点から議論され、案には約1か月の意見公募も行われました。

想定事例には、配送ルート最適化AI、弁護士業務支援AI、画像生成AI、取引審査AI、外観検査AI、自律走行ロボット（AMR）が並び、補論としてAIエージェントも扱われています。そのうえで、AIが利用される形態に応じて、補助／支援型AIと依拠／代替型AIの2つの類型が整理されました。

弁護士業務支援AIについては、BUSINESS LAWYERSの解説記事（2026年8月12日掲載）によると、弁護士がプロンプトを入力して関連文献や裁判例の表示、法的分析レポートの生成を受け、業務を補助するサービスが補助／支援型の例とされています。最終的に人である弁護士の判断が介在する前提の整理です。手引きの本文ではなく、解説記事による紹介である点にご留意ください。

法務部門の運用では、最後に人が判断する形を先に決める

手引きは民事責任の解釈を示す資料で、社内でAIをどう使うべきかを指示するものではありません。それでも、法務部門の運用を組み立てるときに類型の考え方を借りて、どの業務でも最後に人が判断する形を最初に決めておくことには意味があります。類型の名前を借りれば、AIの出力を確かめずにそのまま社外へ出す使い方は、補助／支援の形から離れていくことになるためです。

具体的には、AIに任せる作業を下書き・要約・候補の列挙・見落としの洗い出しに限り、採否の判断と修正、社外への送付は担当者が行う、という線を規程に書いておきます。AIに任せるのは下書きと洗い出しまでとし、採否の判断と社外への送付は必ず人が行いましょう。誰が最終確認をしたかを案件の記録に残しておけば、後から社内外に説明を求められたときにも答えやすくなるはずです。

法務業務ごとの線引き｜6つの業務でAIに任せる範囲

線引きは、AIに入れてよい情報かどうかと、AIの出力をどこまで使うかの2つの軸で、業務ごとに決めるのが実務的です。

同じ契約書でも、ひな形の起案と紛争中の相手方とのやり取りでは、求められる慎重さがまるで違います。ここでは中小企業の法務でよくある6つの業務を取り上げ、任せやすい作業と人が担う作業を分けてみました。自社の規程に写すときは、取引の実情に合わせて調整してみてください。

契約書のひな形起案

自社の標準的な取引に使うひな形の叩き台づくりは、生成AIが力を発揮しやすい業務です。取引先の名前や金額を伏せたまま、条項の構成や抜けている論点の洗い出しを頼むと、ゼロから書くより早く形になります。ただし、出てきた条文が自社の取引の実態や最新の法令に合っているかは担当者が確かめる必要があり、そのまま採用するのは避けましょう。

条文の読み下し

難しい条文を平易な言葉に言い換える作業も、任せやすい部類に入ります。営業担当から、この条項は結局どういう意味なのかと聞かれたときに、説明の下書きを作る用途なら危うさは比較的小さいでしょう。一方で、言い換えの過程で原文の意味が微妙に変わってしまうことがあるため、社内に配る前に原文と突き合わせてください。

NDA（秘密保持契約）の確認

NDAの確認は件数が多く、AIで効率化したくなる業務の代表です。ただ、相手方から受け取ったNDAの本文や、その契約のもとで開示された情報を生成AIに入れてよいかは、それぞれの契約の秘密保持条項しだいとなります。秘密情報の定義や、開示先・利用目的を限る条項がどう書かれているかを、各契約書で確かめましょう。相手方の秘密情報に当たる部分は入れずに、自社ひな形との差分の洗い出しだけを頼む、といった運用が現実的になります。

法令調査

法令や制度の下調べにも生成AIは使えますが、条文番号や施行日、改正の有無は必ず一次情報で確かめてください。生成AIはもっともらしい誤りを混ぜることがあり、改正前の古い内容を示す場面もあります。AIの答えは調べる範囲を絞る道具と位置づけ、結論はe-Gov法令検索や所管官庁の公表資料で裏を取る流れにしておくと安心でしょう。

社内規程の改定

文書管理規程や情報セキュリティ規程といった社内規程の改定案づくりでは、現行の規程を読み込ませて改定箇所の案を出してもらう使い方が便利です。社内規程は社外秘であることが多いものの、取引先の秘密情報や個人情報を含まない場合が多く、会社が認めた環境であれば扱いやすい部類でしょう。改定の要否と文言の最終決定は、法務と規程を所管する部署が行います。

紛争案件・訴訟関連の文書

紛争がすでに起きている案件や、訴状・和解契約書のように紛争を前提とした書面は、6つの中でも特に慎重に扱いたい業務になります。法務省の令和8年のガイドラインでも、こうした案件の処理を目指したサービスは法律事務を扱うと評価され得る例として挙がっていました。社内でAIを使う場合も、事実関係の時系列の整理や論点メモの下書きにとどめ、主張の組み立てと書面の作成は顧問弁護士と進めるのが無難と考えられます。

6つの業務の線引きを、規程に写しやすい形でまとめると次のとおりです。

• ひな形起案取引先名・金額を伏せて構成案と論点の洗い出しを頼む。採用する条文は担当者が法令と取引の実態に照らして確認する。
• 条文の読み下し社内向けの説明の下書きまで。配る前に原文と突き合わせる。
• NDAの確認入れてよいかは各契約の秘密保持条項で判断する。相手方の秘密情報は入れず、自社ひな形との差分確認に使う。
• 法令調査調べる範囲を絞る用途まで。条文・施行日・改正の有無は一次情報で裏を取る。
• 社内規程の改定改定箇所の案出しに使う。要否と文言の最終決定は法務と所管部署。
• 紛争案件時系列の整理と論点メモの下書きまで。主張と書面は顧問弁護士と進める。

契約書を入れる前に確認したい学習の扱い｜主要AIの法人向けプラン

契約書や社内の情報を生成AIに入れる前に、入力が提供元のモデルの学習に使われる設定かどうかを確かめることが出発点になります。

個人情報保護委員会は令和5年（2023年）6月2日の注意喚起で、事業者が本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性があると示しました。そのうえで、提供事業者が機械学習に利用しないことなどを十分に確認するよう求めています。契約書には相手方の担当者の氏名や連絡先が載っていることも多く、法務にとって無関係な話ではありません。

ChatGPT（OpenAI）

OpenAIのヘルプには、ChatGPT BusinessやChatGPT Enterprise、API Platform（2023年3月1日以降）のデータは、明示的にオプトインしない限り既定でモデルの学習に使わないとあり、原文は「By default, data from ChatGPT Business, ChatGPT Enterprise, ... and the API Platform (after March 1, 2023) isn't used for training our models, unless you have explicitly opted in」となっています。個人向けのChatGPTについては、コンテンツを学習に使う場合があるとされました。オフにするには、設定のデータ管理（データコントロール）にある「すべての人のためにモデルを改善する」を切り替えます。

Claude（Anthropic）

Anthropicのプライバシーセンターの原文は「By default, we will not use your inputs or outputs from our commercial products (e.g. Claude for Work, Anthropic API, …) to train our models」で、商用製品の入力と出力を既定ではモデルの学習に使わないと案内しています。個人向けのFree・Pro・Maxは、2025年8月28日の発表で、学習に使うかどうかを利用者が選ぶ形に変わりました。学習に使う場合のデータの保持は5年、使わない場合は30日とされています。

Gemini（Google Workspace）

Google Workspaceのプライバシーハブの原文は「Workspace does not use customer data for training models without customer's prior permission or instruction」です。顧客の事前の許可や指示がない限り、顧客データをモデルの学習に使わないという意味になります。

※2026年9月28日時点で各公式ページで確認した内容です。規約や設定の名称は変わることがあるため、契約の前に各社の公式ページで最新の内容をご確認ください。

3社とも、法人向けの契約では既定で学習に使わない扱いを示しており、個人向けのプランとは扱いが分かれています。問題になりやすいのは、会社が法人向けの環境を用意していないために、社員が個人アカウントで契約書を入れてしまう場面でしょう。学習の扱いは人ごとの設定に任せず、会社が契約する環境の側でそろえることが肝心です。

著作権・個人情報・秘密保持の法的リスクを法務の目で整理する

生成AIの利用で法務が押さえたいリスクは、入力の側と出力の側に分けて考えると整理しやすくなります。

入力の側：個人情報と秘密保持

個人情報については、前の節で触れた個人情報保護委員会の注意喚起が拠り所です。同じ注意喚起は、個人情報を含むプロンプトを入力する場合、特定された利用目的を達成するために必要な範囲内であることを十分に確認するよう求めています。秘密情報については、NDAや取引基本契約の秘密保持条項が入力してよい範囲を決めるため、契約ごとに確かめるほかありません。

出力の側：著作権と内容の誤り

著作権については、文化審議会著作権分科会法制度小委員会による「AIと著作権に関する考え方について」（2024年3月15日）が文化庁のページに掲載されており、社内で検討するときはまずこの資料に当たるのが近道になります。契約書や社内文書を扱う法務の業務では、著作権よりも内容の誤りのほうが実害につながりやすいかもしれません。出力された条文や解説は、担当者が原文や一次資料と照らしてから使う運用を徹底しましょう。

AI推進法と法務の関わり

人工知能関連技術の研究開発及び活用の推進に関する法律（AI推進法、令和7年法律第53号）は、令和7年（2025年）6月4日に公布・一部施行され、同年9月1日に全面施行されました。第7条は、AIを事業活動で活用しようとする者を活用事業者とし、活用による事業活動の効率化・高度化などに努めることと、国や地方公共団体の施策に協力することを求めています。条文に罰則の規定は見当たらず、違反で罰せられる種類の法律ではありません。それでも、第13条にもとづく指針（令和7年12月19日 本部決定）など、国の施策の動きを法務が追っておく意味はあるでしょう。

推進体制｜経営層・法務・情シス・現場の役割分担

AIガバナンスは法務だけで回せるものではなく、経営層・法務・情報システム担当・現場の4者で役割を分けることが前提になります。

AI事業者ガイドライン第1.2版は、経営層の責任は大きく、リーダーシップを発揮することが重要だとしています。あわせて、AIガバナンスの構築を単なるコストではなく、持続的成長と中長期的な発展を志向した先行投資として捉えることが重要だとも書かれました。別添2の行動目標にも、各主体間・部門間の協力によるAIマネジメント強化（3-3）が挙がっています。

社員10〜200名ほどの会社での分担を例にすると、次のような形が考えられます。

• 経営層は、AIを使う目的と許容するリスクの範囲を決め、会社が認める環境に予算をつけます。
• 法務は、社内ルールの文案、AIサービスの利用規約や取引先との契約条項の確認、インシデント時の法的関係の整理を受け持ちます。
• 情報システム担当は、会社が認める環境の設定、アカウントの発行と停止、利用ログの確認を受け持ちます。
• 現場は、ルールに沿って使い、判断に迷う案件を法務に相談します。

別添2の行動目標3-4-2は、AIインシデントが起きたときに、影響範囲や損害の特定、法的関係の整理、被害救済や再発防止策の検討などを速やかに行えるよう、対応方針や計画を決め、実践的な予行演習を行うことを期待しています。このうち法的関係の整理は、法務が力を発揮しやすい場面です。社員が契約書を個人アカウントのAIに入れてしまった、という想定で、誰に報告し何を確かめるかを一度たどってみてください。

社員が少なく専任の担当者を置けない会社には、別添2の実践例が参考になります。小規模な事業者で、経営者が自社の経営理念と結びつけてA4一枚程度の内容をまとめ、それを自社のAIガバナンス・ゴールとした例が紹介されています。この例はAIを開発する事業者の立場で書かれたものですが、AIを使う側に置き換えても、経営者と法務の兼任担当者で1枚の方針を作る形は十分に取れるはずです。

社内ルールを作って回す4つのステップ

社内ルールは、利用目的の整理、リスクの評価、ルール化、運用と見直しの4段階で作ると、兼任の法務担当の方でも無理なく形に出来ます。

ステップ1：利用目的を整理する

どの部署がどの業務でAIを使いたいのかを、まず聞き取るところから始めます。法務自身の業務も、先ほどの6つのように分けて書き出してみましょう。

ステップ2：リスクを評価する

業務ごとに、入力する情報の種類（個人情報・取引先の秘密情報・社外秘・公開情報）と、出力を社外に出すかどうかで重さを見ていきます。別添2の行動目標1-1も、AIの便益だけでなく意図しないリスクがあることを事業に照らして具体的に理解し、経営層に報告・共有することを掲げています。

ステップ3：ルールにする

評価の結果を、入力してよい情報、使ってよい環境、人が確認する場所の3点に落として文書にします。項目立てやひな形は、生成AIの社内ガイドラインの作り方を土台にすると早く進められるでしょう。

ステップ4：運用し、見直す

ルールは作って終わりではなく、利用の実態を見ながら改めていくものです。相談の多い論点や、ルールと実態がずれている箇所を記録しておき、定期的に改定案を出していきましょう。

アジャイル・ガバナンスで見直しを続ける

AI事業者ガイドラインは、事前にルールや手続を固定するガバナンスではなく、環境・リスク分析、ゴール設定、システムデザイン、運用、評価のサイクルを継続的かつ高速に回す「アジャイル・ガバナンス」の実践が重要だとしています。同じ箇所には、具体的な検討にあたってはAIのもたらすリスクの程度と蓋然性、各主体の資源制約に配慮することが重要だという一文も添えられました。

別添2では、リスクが軽微だと判断して習熟度の評価やゴールの設定を行わない場合に、その事実と理由をステークホルダーに公開することが期待されています。やらないと決めた項目にも、その理由を書き残しておきましょう。全部を一度に整えるのではなく、理由を添えて後回しにする項目を決めることも、兼任で法務を担う方にとって現実的な進め方になります。

ルールだけでなく、公認の環境を渡すという考え方

法務が用意すべきものはルールの文書だけではなく、ルールどおりに使える会社公認の環境だと考えると、統制はぐっと回しやすくなります。

契約書を個人アカウントのAIに入れてはいけないとルールに書いても、会社が代わりの環境を用意していなければ、忙しい社員ほど手元のアカウントで済ませてしまいます。会社が把握していないAIの利用は、いわゆる野良AI（シャドーAI）です。禁止の文言を増やすより、ここなら使ってよいという環境を渡すほうが、見えない利用は減らしやすくなります。

法務部門がその環境を自分の業務で使ってみせることにも意味があります。法務が使っている姿が見えれば、現場の方もどこまで使ってよいかを相談しやすくなるでしょう。公認の環境を選ぶときは、学習の扱い、利用ログを会社側で確認できるか、アカウントを止められるか、データの保管場所を説明できるかを、法務の目で確かめてみてください。点検の項目は生成AIのセキュリティ対策チェックリストにもまとめています。

海外規制｜EU AI法は日本の会社にかかるか

EUのAI法（AI Act）は、EUに拠点がなく、EUでAIシステムを市場に出さず、AIの出力をEU域内で使わない日本の会社には、条文の読みでは直接かからないと考えられます。

欧州委員会のページによると、AI法は2024年8月1日に発効し、2026年8月2日から一部の例外を除いて適用されています。禁止されるAIの使い方とAIリテラシーの義務は2025年2月2日から、汎用AIモデルの義務などは2025年8月2日から適用が始まりました。国内のAI推進法には罰則の規定が見当たらないのに対し、EUのAI法は違反に制裁金を定めており（第99条。禁止されるAIの使い方への違反は最大3,500万ユーロまたは全世界の年間売上高の7%のいずれか高いほう、中小企業は低いほう）、適用開始日も段階的に定めた規則となります。

適用範囲を定める第2条は、EU域内でAIシステムを市場に出す提供者（拠点がEU外でも対象）、EU域内に拠点を持つ導入者（deployer）、そしてEU外に拠点があってもAIの出力がEU域内で使われる提供者・導入者を対象にしています。EU向けにAIを使った製品やサービスを出す会社や、AIの出力をEU域内で使う会社は対象になり得るため、取引の実態を法務で確かめておきましょう。なお、ここでの説明は条文を読んだ整理であり、個別の案件についての法的助言ではありません。

法務部門の実務チェックリスト

法務部門が、自分たちの業務と全社の統制の両方で確かめたい項目をまとめました。

• 社内で参照するAI事業者ガイドラインを第1.2版に合わせたか規程や社内資料の出典に、版と日付（令和8年3月31日）まで書いておく。
• 6つの業務ごとに、AIに任せる範囲と人が判断する場所を決めたか下書き・要約・洗い出しはAI、採否と社外への送付は人、という線を文書にする。
• 紛争案件の扱いを別に定めたか時系列の整理と論点メモまでにとどめ、書面は顧問弁護士と進める。
• NDAや取引基本契約の秘密保持条項を確かめたか相手方の秘密情報を入れてよいかは、契約ごとに条項で判断する。
• 使うAIが法人向けの契約で、学習に使わない扱いになっているか個人向けプランの設定に任せず、会社が契約する環境の側でそろえる。
• 個人情報を入れる場合の利用目的を確認したか個人情報保護委員会の注意喚起（令和5年6月2日）に沿って、必要な範囲かを確かめる。
• インシデントの連絡先と手順を決めたか誤って個人アカウントに入れた場合を想定し、報告先と法的関係の整理の担当を決める。
• 見直しの時期と、やらないと決めた項目の理由を記録したかアジャイル・ガバナンスの考え方で、定期的に改定する前提にする。

よくある質問

まとめ

法務部門の生成AI活用には、自分たちの業務で使う面と、会社全体のAI利用を統制する面の2つがあります。AI事業者ガイドライン第1.2版の定義にあるとおり、AIガバナンスはリスクを管理しながら便益を引き出すための仕組みで、禁止を増やすことだけが目的ではありません。

法務省の2つのガイドラインはサービスを提供する側の整理で、自社で使う会社の適法・違法を断定するものではないものの、紛争案件ほど慎重に、最後は人が精査して直すという方向は共通して読み取れます。経済産業省の民事責任の手引きの2類型も、最後に人が判断する形を先に決めるための物差しとして借りることが出来ます。業務ごとの線引きを決め、学習に使われない環境を会社でそろえ、見直しを続ける体制にしておきましょう。

ルールの文書と、ルールどおりに使える公認の環境をセットで渡すことが、見えない利用を減らす近道になります。法人のAI活用に関するほかの記事はAI活用コラム一覧をご覧ください。