取引先のセキュリティチェックシートにある生成AI項目への答え方

1. 回答の前に利用状況を棚卸しする

チェックシートの質問は「利用していますか」の一言でも、確認すべき範囲は広めです。会社契約のツールだけでなく、社員が個人アカウントで試している場合、既存の業務ソフトに組み込まれたAI機能、外注先が使っている場合も、取引先から見れば「御社の利用」に含まれ得ます。

まず次の表を、部署ヘッドや情報システム担当に埋めてもらいます。

• ツール名・プラン、記入例（説明用）：〇〇チャット（法人向けプラン）
• アカウント、記入例（説明用）：会社契約／個人契約／不明
• 利用部署・人数、記入例（説明用）：営業企画 5名
• 入力する情報の種類、記入例（説明用）：公開情報、社内の一般業務文書。顧客名・個人情報は入力禁止
• 学習利用の設定、記入例（説明用）：契約上の扱い／管理画面の設定をそれぞれ確認
• データの保持・削除、記入例（説明用）：管理者設定の有無
• 社内ルール・承認、記入例（説明用）：あり（◯月制定）／なし
• 出力の確認、記入例（説明用）：納品前に担当者が確認／確認ルールなし

「不明」の行が残るなら、そこは断定せず確認作業に回します。組織としてAIを安全に使うための枠組み（ガバナンス、ライフサイクルごとのセキュリティなど）は、IPAが2026年7月31日公開の資料として生成AIのセキュリティに関する手引書と検証レポートを案内しています。自社ルールを新しく作る場合の参考になります。

2. よくある質問と、答える前に確認すること

質問文は取引先ごとに違いますが、中身はおおむね次の型に収まります。

• 業務で生成AIを利用しているか、確認する事実：棚卸し表の全行、避けたい書き方：会社契約分だけで「なし」と答える
• 利用サービスと契約形態、確認する事実：ツール名、法人／個人、避けたい書き方：サービス名を伏せて「一部利用」
• 取引先の情報や個人情報を入力するか、確認する事実：実際の入力状況、入力禁止ルールの有無と周知方法、避けたい書き方：禁止ルールだけを根拠に「入力していない」
• 入力内容が学習に使われるか、確認する事実：契約プランと設定（次章）、避けたい書き方：「学習されない」と一括で断言
• 利用ルールはあるか、確認する事実：文書名、制定日、対象者、避けたい書き方：口頭の注意を「規程あり」とする
• 出力の確認体制、確認する事実：誰がいつ確認するか、避けたい書き方：「人が確認」だけで具体性なし
• ログ・データ保持、確認する事実：管理者権限、保持期間の設定、避けたい書き方：製品の一般説明を自社の実態として書く
• 納品物に生成AIの出力を含むか、確認する事実：案件ごとの利用有無と契約条件、避けたい書き方：契約を確認せずに「含まない」

個人情報が絡む質問は特に慎重に答えます。個人情報保護委員会は2023年6月2日に、生成AIサービスの利用に関する注意喚起等を公表しています。個人データを入力する可能性がある場合は、その添付資料と自社の個人情報の取り扱い規程を照らして、「入力しない」運用にするのか、扱いを定めて使うのかを決めてから書きます。

3. 「学習されるか」は設定と契約プランを分けて確認する

学習利用の質問は、製品ごとに答えが変わるため、公式ページを見て日付つきで記録しておきます。

一例として、OpenAIのヘルプでは、ChatGPT Business、Enterprise、Edu、ChatGPT for Healthcareのワークスペースの内容は、既定ではモデルの学習に使わないと説明されています。API Platformの入出力も既定では対象外です。一方で、個人向けでは「Improve the model for everyone」の設定で学習利用を選べる記載があります。また、How your data is used to improve model performanceでは、個人向けのFree・Plus・Proでフィードバック（高評価・低評価）を送ると、学習利用をオフにしていても、その会話全体が学習に使われ得ると説明されています。出典はData controls in ChatGPTで、今回の自動校閲での本文確認日は2026年10月29日です。

Claudeの法人向けプランについては、チームのデータは誰が所有・管理するのかに、Primary Ownerが組織のアカウントと関連データを管理し、データのエクスポートを依頼できることが書かれています。学習利用の既定は、このページには書かれていません。回答に使うなら、同社の別の公式ページと契約条件で確認してください。

ここで混同しやすい点が二つあります。

• 「学習に使われない」は、「秘密が守られる」ことと同じではありません。保存期間、閲覧できる管理者、委託先への提供は別の論点です。
• サービスの仕様と、自社の運用は別物です。「プランでは学習されない」は仕様、「社員が個人アカウントを使っていない」は運用で、後者は棚卸しがないと言えません。

回答には「サービス名、プラン、確認日、確認した公式資料」を併記すると、後で仕様が変わっても見直しやすくなります。

4. 事実ベースの回答文例

以下は説明用の例です。架空の「サンプル株式会社」が、棚卸しの結果に応じて書く想定です。

パターンA：会社契約のツールを限定して利用している

業務では、会社が契約した法人向けの生成AIサービス1種類（サービス名：〇〇、2026年10月時点）に限り、営業資料の下書き作成などで利用しています。顧客の個人情報および取引先から受領した機密情報の入力は社内規程で禁止し、入社時と年1回の研修で周知しています。入力データの学習利用については、契約プランの公式説明で既定では対象外とされていることを確認しています（確認日：2026年10月28日）。出力は、利用者とは別の担当者が内容を確認してから社外に提出します。

パターンB：業務利用を認めていない

業務での生成AIの利用は、現時点では社内規程により認めていません。◯月に全部署へ申告確認を行った範囲では、個人アカウントを含め、業務での利用は報告されていません。今後、利用を開始する場合は、貴社への事前連絡の要否を含め、情報システム部門の承認を経て運用を定めます。

パターンC：ルール整備の途中

一部の部署で、個人の判断により生成AIを試用している可能性があり、現在、利用状況の調査と社内ルールの策定を進めています（◯月完了予定）。調査の完了までは、貴社に関する情報の入力を行わないよう、全社へ通知済みです。

パターンCのように「把握中」と「当面の対処」を書くほうが、「利用していない」と断言して後から訂正するより、取引先との信頼を保てます。なお、通知済みなどの事実が実際にあることが前提です。

5. 社内確認メモと、AIに下書きを任せる依頼文

提出前に、次のメモを担当者・部署ヘッド・情報システム担当で回します。

【生成AI項目 回答前メモ】 取引先名：____  回答期限：____
□ 棚卸し表は全部署分が揃っている（不明の行：____件）
□ 回答中のサービス名・プランは契約書／請求と一致している
□ 学習利用の記述は公式ページで確認し、確認日と URL を残した
□ 入力禁止情報のルールは文書化され、周知の記録がある
□ 「確認している」「研修している」の根拠となる記録がある
□ 取引先との契約に、生成AIや再委託に関する条項がないか法務／契約担当が確認した
□ 言い切れない項目は「把握中」「予定」と書き分けた
回答者：____  承認者：____  承認日：____

文面の整えは生成AIに任せられますが、渡すのは機密情報・個人情報を除いた棚卸し結果の要約までにします。実際のチェックシート全文、顧客名、契約書は貼り付けません。依頼文の例は次のとおりです。

次の「確認済みの事実」だけを使い、取引先のチェックシートの回答欄(300字以内)を作ってください。
- 事実にないことは書かない。足りない情報は「要確認」と出力する。
- 「必ず」「一切」「完全に」などの断定語は使わない。
- 末尾に、事実の各文がどの確認済みの事実に対応するか一覧にする。

確認済みの事実：
(ここに棚卸し表の要約を貼る)

出力後は、末尾の対応一覧を使い、人が一文ずつ事実と照合します。回答の最終的な責任は提出する会社にあり、AIの文章は下書きとして扱ってください。