生成AIを使ったサービス開発で確認すること

生成AIを組み込んだサービスを作るときは、まず自社が「AI開発者」「AI提供者」「AI利用者」のどれに当たるかを整理し、立場に応じて、個人情報の扱い、著作権、利用者への説明と利用規約の3点を確認します。総務省・経済産業省の「AI事業者ガイドライン」、文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」、個人情報保護委員会の注意喚起が、確認の出発点になります。

この記事では、外部の基盤モデルやAPIを使って、生成AIを使ったサービスを顧客に提供する新規事業を主に想定しています。

自社の立場を整理する

AI事業者ガイドラインは、AIの事業活動を担う主体を次の3つに分けています。

主体	ガイドラインでの説明（要旨）	新規事業での例
AI開発者	AIシステムを開発する事業者（AIを研究開発する事業者を含む）	独自のモデルを学習させる、基盤モデルに追加学習を行う
AI提供者	AIシステムをアプリケーション、製品、既存のシステム、ビジネスプロセス等に組み込んだサービスとして、AI利用者や業務外利用者に提供する事業者	外部の生成AIのAPIを組み込んだSaaSを提供する
AI利用者	事業活動において、AIシステムまたはAIサービスを利用する事業者	社内業務で生成AIサービスを使う

1つの会社が複数の立場を兼ねることもあります。文化庁のチェックリストは、AI提供者である事業者が基盤モデルにファインチューニング（追加学習）を行う場合、「AI開発者」と「AI提供者」の両方の項目を参照するよう例示しています。

AI事業者ガイドラインは、「事業者の自主的な取組の支援」を基本的な考え方の一つとし、各事業者が自主的に具体的な取組を進めることを重要としています。2026年3月31日に第1.2版が公表され、AIエージェントなどの技術動向を踏まえた更新が行われています。ガイドラインにはチェックリストも別添として用意されています。

個人情報の扱い

プロンプトに個人情報を入れる場合

個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表し、個人情報取扱事業者に向けて次の点を示しています。

• 生成AIサービスに個人情報を含むプロンプトを入力する場合は、特定された利用目的を達成するために必要な範囲内であることを十分に確認すること
• あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法に違反する可能性がある。そのため、生成AIサービスを提供する事業者がその個人データを機械学習に利用しないこと等を十分に確認すること

自社サービスの中で、顧客が入力した情報を外部のAPIに送る場合は、この観点で外部のAPI提供者の規約（入力データを学習に使うか、保存期間、保存場所）を確認します。外部への送信は、委託や外国にある第三者への提供の論点にもつながります。基本的なルールは新規事業での個人情報の取り扱いで整理しています。

自社サービスの利用者への注意喚起

AI事業者ガイドラインは、AI提供者の取組として、AIシステム・サービスへの個人情報の不適切な入力について利用者に注意喚起すること、プライバシーポリシーを明示すること、個人情報へのアクセスを管理・制限する仕組みを入れるなどのプライバシー保護対策（プライバシー・バイ・デザイン）を挙げています。

著作権

文化庁の「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月31日）は、文化審議会著作権分科会法制度小委員会の「AIと著作権に関する考え方について」などを踏まえ、立場ごとにリスクを下げる方策をまとめています。新規事業で特に関係するのは次の点です。

学習やRAGにデータを使う場合

AI学習のための著作物の複製等には原則として著作権法第30条の4が適用され、権利者の許諾は要りません。ただしチェックリストは、学習データに含まれる著作物の創作的表現を出力させることを目的とした追加学習や、既存の著作物の創作的表現を出力させることを目的として、検索拡張生成（RAG）等のために既存の著作物を含むデータベースを作る場合には、同条が適用されない場合があり、その場合は許諾が必要になるとしています。自社の資料や顧客の資料を検索させるサービスを作る場合は、データベースに入れる資料の権利関係を確認します。

また、ID・パスワードや「robots.txt」によるアクセス制限を回避してデータを集めることや、海賊版と知りながらそのサイトから学習データを集めることにも注意を促しています。

生成物が既存の著作物に似る場合

著作権侵害には、既存の著作物との「類似性」と「依拠性」の両方が必要です。チェックリストは、AI提供者に対して、学習データの著作物と類似したものの生成を防ぐ技術的な措置の採用を検討すること、侵害が起きた場合の対応（情報共有、サービスの停止・復旧、原因解明、再発防止など）をあらかじめ想定しておくことを挙げています。

利用規約で入力を制限する

チェックリストは、利用者による著作権侵害を抑えるための利用規約上の措置として、生成の指示に既存の著作物やその題号等を入力することを制限する規定を例に挙げ、こうした措置が適切に取られていることで、AI提供者が侵害の責任を問われる可能性を下げられると考えられるとしています。

利用者側（自社内での利用も含む）の確認

AI利用者に向けては、生成物を使う前に既存の著作物と類似していないかをインターネット検索などで確認すること、生成に用いたプロンプト等を確認できる状態にしておくことなどが示されています。生成自体は、私的使用の目的の場合や、企業内で権利者の許諾を得て利用することを前提に検討の過程で生成する場合など、権利制限規定の範囲内で適法に行える場合がありますが、生成物をインターネットで配信するなどの利用は権利制限規定の範囲外になることが多いとされています。自社のマーケティング素材を生成AIで作る場合にも当てはまります。

利用者への説明と文書化

AI事業者ガイドラインは、AI提供者の取組として次のような事項を挙げています。

• AIを利用しているという事実や、適切・不適切な使用方法、更新内容とその理由等の情報を提供・説明する
• AI利用者に向けたサービス規約を作成し、プライバシーポリシーを明示する
• AIシステムの技術的特性、予見可能なリスク、緩和策、出力の変化の可能性などを説明できるようにする
• システムアーキテクチャやデータの処理プロセス等を文書化する
• 適切な目的でサービスが利用されているかを定期的に検証する

生成AIの出力には誤りが含まれることがあります。個人情報保護委員会の注意喚起も、応答結果に不正確な内容が含まれるリスクを指摘しています。業務の判断に使われるサービスであれば、出力を人が確認する前提の使い方を画面や規約で示し、誤った出力が出た場合の問合せ窓口を用意します。規約の作り方は利用規約とプライバシーポリシーの作り方で扱っています。

外部のAIサービスを組み込むときの契約面

外部の基盤モデルやAPIを使う場合、自社のサービスの品質や規約は、その提供者の規約に左右されます。次の点を確認しておきます。

• 入力データと出力データの権利、入力データを学習に使うかどうか、保存期間
• 利用が禁止・制限されている用途（自社の用途が当たらないか）
• サービス停止や仕様変更、料金改定の扱い
• 生成物に関する責任の分担（補償の有無、条件）

提供者の規約は変わることがあるため、確認した日付と版を記録し、定期的に見直します。

大企業と起業家で異なる点

大企業の新規事業担当者の場合

社内に生成AIの利用ルールや、AIに関するガバナンスの方針があることが多く、新規事業のサービスもその対象になります。AI事業者ガイドラインは、経営層のリーダーシップのもとで適切なAIガバナンスを構築することを重要としています。法務、知財、情報セキュリティ、個人情報保護の各部門のどこで審査を受ける必要があるかを企画の早い段階で確認し、PoCの段階から記録を残しておくと、事業化の審査が進めやすくなります。

起業家・スタートアップの場合

少人数で開発を急ぐと、外部APIの規約確認や、学習・RAGに使うデータの権利確認が後回しになりがちです。投資家や大企業の取引先の審査では、データの出所や、入力データの扱いを聞かれることがあります。使っているモデル・API、データの出所、確認した規約を一覧にしておくと、説明の負担が減ります。

まとめ

• 自社がAI開発者・提供者・利用者のどれに当たるかを整理し、立場ごとの確認事項を見る
• 個人データを外部の生成AIに送る場合は、利用目的の範囲と、入力データが学習等に使われないかを確認する
• 学習やRAGに使うデータの権利、生成物の類似性、規約での入力制限を検討する
• AIを使っている事実、適切な使い方、限界を利用者に説明し、規約とプライバシーポリシーを整える

制度やガイドラインは改定されます。サービスの公開や契約の前に、公式情報と専門家（弁護士など）に確認してください。

参考資料

• 「AI事業者ガイドライン」掲載ページ（総務省）
• AI事業者ガイドライン（第1.2版）本編（概要）（総務省・経済産業省）
• AI事業者ガイドラインの令和7年度更新内容（総務省・経済産業省）
• AIと著作権に関するチェックリスト＆ガイダンス（文化庁著作権課）
• 生成AIサービスの利用に関する注意喚起等（個人情報保護委員会）