AIで作った契約書の権利条項と個人情報の扱い

点検の実務で見られた権利・個人情報の指摘

権利条項とは、成果物や投稿、教材などの著作権が誰のものか、誰がどこまで使えるかを決める部分です。個人情報の条項とは、事業や契約の中で個人情報を渡す・受け取る・守るルールを決める部分です。どちらも、書面の見た目が整っていても、実際の取引の流れと照らして初めて、抜けが分かります。

このほか、会員制サービスの規約と会則で、他の会員の個人情報や相談内容を外部に漏らさない義務が抜けている例が2件あり、これは運営者保護の型として数えています。個人情報に関わる指摘ですが、件数は重複させず、運営者保護の抜けのページで扱っています。

記録には、プライバシーポリシーそのものを点検したものがありません。そのため、このページの法令の節は「AIの下書きで見つかった誤り」ではなく、権利と個人情報を扱う書面で確かめるべき法令上の確認点として書いています。記録で見つかったことと、法令から確かめることを、区別して読んでください。

権利の抜け：成果物・コンテンツ・会員投稿

著作物とは、思想又は感情を創作的に表現したもので、文芸・学術・美術・音楽の範囲に属するものをいい、著作物を創作する者が著作者です。^［1］成果物や投稿は、特に決めがなければ、創作した人が著作権を持つのが出発点になります。契約書の権利条項は、その出発点を、取引に合わせて動かすためのものです。権利そのものを渡す譲渡と、権利は渡さずに使える範囲を認める利用許諾（著作権を渡さずに、決めた範囲で使うことを認める取り決め用語集）とは別のものとして、書き分けます。

著作権を譲渡するとき、翻案権等（著作物を改変したり、別の形に作り替えたりして利用する権利用語集）（27条）と、二次的著作物の原著作者が持つ権利（28条）を契約の中で名指ししていなければ、この二つは手元に残ったものと推定されます（著作権法61条2項）。^{［2］［3］}つまり、「著作権を譲渡する」と書くだけでは、編集や加工のような翻案に当たる使い方まで含めたかどうかが争われ得る、ということです。

三つ目の例は、運営者が会員の投稿を使いたいなら、会員から利用の許諾を得ておく必要がある、という著作権法の出発点の裏返しです。会員が創作した投稿の著作権は、特に決めがなければ会員にあります。広報や事例紹介に使う予定があるなら、規約に利用許諾の条項を置いておきます。詳しい書き方は、他のサイトで扱っているコミュニティ会員の投稿の権利が参考になります。著作権の譲渡と著作者人格権の不行使、27条・28条の特掲の書き方は、著作権の譲渡契約書と著作者人格権の不行使に詳しく書いています。

二つ目の例にある「AI学習への利用」は、コンテンツを提供する側にとって新しい論点です。著作権法30条の4は、作品の表現そのものを味わうためではない利用（たとえば情報解析）を、必要な限度で、著作権者の利益を不当に害さない場合に認める規定です。^［4］この規定の内容と、規約でAIへの入力を禁止するかどうかは、別の問題として整理します。教材や講座の資料を受講生がAIに入力することを規約で制限する書き方は、受講生・会員による教材のAI入力禁止で扱っています。

また、成果物の一部にAIの生成物が含まれる場合は、権利を譲渡・許諾する条項が思ったとおりに働かないことがあります。文化庁の資料は、AIが著作者になることはなく、著作物と言えるかどうかは、人の創作的な寄与の有無と程度で個別に判断されるという整理を示しています。^［5］成果物の権利の書き方は、生成AIの成果物の権利と表明保証で詳しく扱っています。

個人情報の抜け：引継ぎの範囲と守秘義務

個人情報の指摘は、事業譲渡契約書の点検記録（1依頼者）に2件ありました。1依頼者の例なので、傾向としては読まないでください。ただし、事業を譲るときの情報の引継ぎは、利用者の機微な情報を扱う事業の譲渡では、特に重要になる論点です。

事業の承継に伴って個人情報を取得した事業者は、あらかじめ本人の同意を得ないで、承継前における利用目的の達成に必要な範囲を超えて、その個人情報を取り扱ってはなりません（個人情報保護法18条2項）。^［6］事業の承継に伴って個人データが提供される場合は、受け取る側は第三者に当たらないとされています（27条5項2号）。^［7］つまり、引継ぎそのものは本人の同意なしにできる場合がありますが、引き継いだ後の使い方は、承継前の利用目的の範囲に縛られます。

要配慮個人情報（病歴など、取扱いに特に配慮を要する個人情報用語集）とは、人種や信条、社会的身分、病歴、犯罪の経歴、犯罪の被害にあった事実など、差別や偏見につながらないよう取扱いに特別な配慮が必要なものとして政令で定める内容を含む個人情報のことです（2条3項）。取得するときは、一定の例外を除いて、事前に本人の同意を得なければなりません（20条2項）。^［8］契約書では、要配慮個人情報を含む情報を引き継ぐときの範囲と、取扱いの条件を別に定めておくのが、点検での直しの方向でした。

法令上の確認点：個人情報保護法のどこを見るか

プライバシーポリシーや、個人情報を扱う契約書では、個人情報保護法の次の点を確かめます。この節は、点検記録で見つかったことではなく、法令にもとづく確認点です。条文の番号は、2022年4月1日施行の改正の前後で、同じ番号の本文が変わっています。古い資料の番号を引かず、現行の条文をe-Govで確かめてください。

プライバシーポリシーの確認点のうち、外部サービス（生成AIを含む）への提供・委託・外国にある第三者への提供は、自社の生成AI利用の告知とプライバシーポリシーへの記載で詳しく扱っています。ここでは、利用目的の特定、安全管理措置、漏えいが起きたときの対応という、プライバシーポリシーの土台になる三つの点を確かめます。

利用目的の書き方はプライバシーポリシー 利用目的の書き方、予約・決済・クラウド・解析・AIなどの外部サービスの書き方はプライバシーポリシーの外部サービスの書き方、法律が求める記載の全体像はプライバシーポリシー 書き方で扱っています。委託・共同利用・外国にある第三者への提供の区別は、個人情報の第三者提供と同意に整理されています。事業譲渡の流れに沿って情報の引継ぎを確かめる場合は、事業譲渡契約書の点検も使えます。

生成AIに関わる場面での注意

個人情報保護委員会は、令和5年6月2日に、生成AIサービスの利用に関する注意喚起を公表しました。^［11］要旨は、個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合は、特定した利用目的の達成に必要な範囲内かを十分に確認すること、そして本人の同意なく個人データを含むプロンプトを入力し、その個人データが回答の出力以外の目的、たとえば機械学習に使われる場合は、法に違反するおそれがあるため、提供事業者が機械学習に利用しないことなどを確認すること、というものです。

これは、取引先との契約で「AIに何を入力してよいか」を決める根拠になります。個人データを渡す委託契約や、受講生の情報を扱う講座の規約では、AIへの入力の可否と条件を、あらかじめ書いておく必要があります。具体的な書き方は、生成AIに入力してよい情報・いけない情報にまとめています。令和5年6月の注意喚起以降に新たな注意喚起が出ていないかは、本サイトでは確認できていないため、「最新」とは書きません。

見つけ方：権利と個人情報を取引の流れで確かめる

起きがちなことと、確認できていないこと

確認できていないことも書いておきます。プライバシーポリシーの点検記録はなく、「AIで作ったプライバシーポリシーで見つかった誤り」は、ここでは書けません。個人情報保護委員会のガイドラインやQ&Aの番号、今後施行される法改正の内容も、このサイトでは確認できていないため、載せていません。権利条項や個人情報の条項が争われた裁判例も、確認できる範囲では載せられるものがありませんでした。

自分の書面で迷う箇所が残ったときの進め方は、点検と仕上げの流れにまとめています。チェックリストとして使う場合は、書類の種類別の点検チェックリストも使えます。料金の考え方と相談の方法は、ページ末尾の案内枠に記載しています。

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。個別の書類が有効か無効か、どの条項を直すべきかは、事業の実際の流れ、取引の相手、書類の全体の構成によって異なります。書き方の例として紹介している内容は、型として作り直した一般的な例で、特定の事業者や書類を示すものではありません。条文は e-Gov法令検索（法令API）で2026年10月23日時点のものを確認しています。参考: e-Gov法令検索 / 文化庁 / 個人情報保護委員会 / 法務省 / 消費者庁