生成AIを業務やサービスに使う場面が増える一方で、
「どこまでがOKで、どこからがNGなのか分かりにくい」と感じることは多いのではないでしょうか。
この記事では、生成AIの学習・開発・運用・社内利用に関して
よくある疑問をQ&A形式で整理し、「今の判断で問題ないか」を考えるための基準をよくある質問形式で回答しています。
気になるセクションだけ拾い読みしても、判断のヒントが得られる構成になっています。
この記事でAIに関する法務の考え方やポイントを知っていただき、
よくある質問では解消できない悩みやお困り事は、ぜひ弁護士にご相談ください。
■この記事の監修者
前田拓郎 弁護士
弁護士として出版業やアニメーションなどのエンタメ・クリエイティブ業界やAI・メタバースなどの最先端技術を扱う分野を中心に、コンテンツを扱う企業様やクリエイター様向けに法務やコンサルティング業務を担当しております。
日々新しい情報を取り入れ、まだ世の中に事例がないことでも、持ち前の探究心と法務の専門知識を駆使して、お客様の力になることをお約束します。
ぜひ、創作活動や日々のビジネス、コンテンツ運営でお困りごとがあれば、お気軽にご相談ください。
AIツールを社内で利用する場合の法務の注意点
Q. 社内の業務データを学習させてもいい？どこまでならOK？
A. 原則として、AI学習（情報解析）目的であれば、著作権者の許諾なく利用することが可能です（著作権法第30条の4）。
ただし、「享受目的」が併存する場合（例：特定のクリエイターの作品のみを学習させ、その作風をそのまま出力させることを目的とする場合など）は権利制限の対象外となります。
また、学習データに個人情報や個人データが含まれる場合は、個人情報保護法に基づき、利用目的の範囲内であるか、第三者提供に該当しないか（委託など）を確認する必要があります。
Q. インターネット上のデータを集めて学習させるのは違法にならない？
A. 著作権法上は、原則として適法に行えますが、例外があります。
ウェブサイトがrobots.txtなどでクローラによる収集を禁止しており、かつ実際に「情報解析に活用できるデータベース著作物」として販売されている場合などにおいて、その収集制限を回避してデータを複製することは、「著作権者の利益を不当に害する場合」として違法となる可能性があります。
また、海賊版サイトと知りながら学習データを収集することは、権利侵害を助長する恐れがあり、責任を問われる可能性があります。
Q. 個人情報を含むデータは、どのくらい気をつける必要がある？
A. 非常に注意が必要です。個人データを含むデータをAIに入力（提供）する場合、AIベンダーがそのデータを機械学習（自社モデルの改善など）に利用すると、「第三者提供」に該当し、原則として本人の同意が必要になります。
ただし、利用目的の範囲内で、AIベンダーが個人データを取り扱わない契約になっている場合や、適切な安全管理措置の下で「委託」として整理できる場合は、同意が不要なケースもあります。
ベンダー選定・契約まわり
Q. 生成AI開発をベンダーに丸ごと任せたら、権利はどこに行く？
A. 契約で定めない限り、著作権（プログラム等）は作成者であるベンダーに帰属し、ノウハウや学習済みパラメータ（係数）も現実にアクセスできるベンダーが自由に利用できるのが原則です。
したがって、ユーザ（発注者）が権利を持ちたい、あるいは自由に利用したい場合は、契約で「権利の帰属」や「利用条件（独占的利用権など）」を明確に定める必要があります。
Q. 契約書で必ずチェックすべき条文はどこ？（準委任／成果物／責任制限など）
A. 以下の点は特に重要です。
1. 契約形態: AI開発は試行錯誤を伴うため、完成義務を負わない「準委任契約」が適していることが多いです。
2. 成果物の定義と権利: 何が成果物か（学習済みモデル、レポート、加工データ等）、その権利は誰が持つかをチェックします。
3. 責任制限: 未知のデータに対するAIの性能保証は困難であるため、ベンダーは性能保証や契約不適合責任を負わない（または限定する）条項を入れることが一般的です。
4. データの利用範囲: 提供したデータがベンダーのAIモデル改善（他社への提供含む）に使われるか否かを確認します。
Q. PoCだから契約は軽くていい、は本当に大丈夫？
A. 大丈夫ではありません。PoC（概念実証）であっても、秘密情報の開示やデータの提供が行われるため、情報の目的外利用の禁止や、PoCで生じた成果物（レポートやプロトタイプモデル）の権利帰属を明確にしておく必要があります。
契約が曖昧だと、「PoC貧乏（無償で何度も検証させられる）」や、知見の流用といったトラブルの原因になります。
運用・トラブル対応
Q. 生成AIが誤った回答をしてクレームになったら、誰の責任？
A. 原則として、AIを利用してサービスを提供した事業者（AI利用者）が責任を負います。AIの回答には誤り（ハルシネーション）が含まれる可能性があるため、利用者は必ず人による確認（Human-in-the-loop）を行い、最終的な判断責任を持つ必要があります。ベンダーとの契約で責任範囲が限定されていることが多いため、ベンダーに責任転嫁することは難しいケースが一般的です。
Q. AIが出したアウトプットの著作権は誰のもの？
A. AIが自律的に生成したものは、原則として著作物とは認められません。著作物として認められるには、人間による「創作的寄与（指示の具体性や、生成後の加筆・修正など）」が必要です。創作的寄与が認められる場合、そのAI生成物の著作者は、AIを利用して指示を出した人間（AI利用者）となります。
Q. 海外展開を考えているが、EUのAI規制などはどの程度気にすべき？
A. 注意する必要があります。例えばEUの「AI規則（AI Act）」は、EU域外の事業者であっても、EU市場にAIシステムを置く場合や、AIシステムの出力がEU内で利用される場合には適用されるなど、域外適用される強力な規制です。
違反時の制裁金も巨額（最大で全世界売上高の7%等）であるため、現地の法令遵守は必須です。
生成AIの用語に関する質問
Q1. 「生成AI」と従来のAIは何が違いますか？
A. 従来のAIがデータの「予測・判断（識別）」を行うのに対し、生成AIは学習データからパターンを学び、新しい「コンテンツ（テキスト、画像等）」を生成できる点が特徴です。
Q2. 「LLM」とは何ですか？
A. 大規模言語モデル（Large Language Models）の略で、大量のテキストデータを学習し、人間のように自然な文章を生成したり理解したりできるAIモデルのことです。
ChatGPTなどの基盤となっています。
Q3. 「ハルシネーション」とはどういう現象ですか？
A. AIが事実に基づかない情報を、もっともらしく嘘として生成してしまう現象のことです。
「幻覚」という意味です。
Q4. 「プロンプトエンジニアリング」とは何ですか？
A. 生成AIから望ましい回答を引き出すために、入力する指示（プロンプト）を工夫・最適化する技術や手法のことです。
Q5. 「RAG」とは何ですか？
A. 検索拡張生成（Retrieval-Augmented Generation）の略です。AIが回答を生成する際に、外部のデータベースや社内文書などを検索し、その情報を参照して回答精度を高める技術です。
Q6. 「ファインチューニング」とは何ですか？
A. 既存の学習済みモデルに対して、特定のタスクやデータセットを用いて追加の学習を行い、モデルを微調整・カスタマイズすることです。
Q7. 「基盤モデル（Foundation Model）」とは何ですか？
A. 広範なデータで学習され、様々な下流タスク（翻訳、要約、画像生成など）に適応可能な、AIシステムの核となる大規模なモデルのことです。
Q8. 「機械学習」と「ディープラーニング」の関係は？
A. 機械学習はAIの中核技術であり、データから規則性を見つける技術です。
ディープラーニングはその一種で、人間の脳神経回路を模した多層構造（ニューラルネットワーク）を用いて、複雑なパターンを学習する手法です。
Q9. 「パラメータ」とはAIにおいて何を指しますか？
A. AIモデルが学習によって獲得した係数や数値のことで、入力データに対してどのような出力をするかを決定づける要素です。
LLMではこの数が数千億に及ぶこともあります。
生成AIの学習に関する質問
Q1. ネット上の画像を勝手にAIに学習させても著作権侵害にならない？
A. 日本の著作権法（第30条の4）では、情報解析（学習）目的であれば、原則として著作権者の許諾なく利用できます。ただし、「著作権者の利益を不当に害する場合」は例外とされます。
Q2. 「享受目的」があると学習に使えないと聞きましたが、どういう意味ですか？
A. 例えば、特定のクリエイターの作品のみを学習させ、そのクリエイターの作品とそっくりな（創作的表現が共通する）画像を生成して楽しむ・販売するといった目的がある場合です。
この場合は「情報解析」の範囲を超え、著作権侵害となる可能性があります。
Q3. 海賊版サイトのデータを学習に使ってしまったらどうなりますか？
A. 権利侵害複製物（海賊版）と知りながら学習データとして収集することは厳に慎むべきとされています。これを行って生成されたAIが著作権侵害を起こした場合、AI開発者も責任を問われる可能性が高まります。
Q4. 特定の作家の画風を真似るための追加学習（LoRA等）は違法ですか？
A. 単なる「画風（アイデア）」の模倣は著作権侵害になりませんが、特定の作家の少量の作品を学習させ、その「創作的表現」を意図的に出力させる目的がある場合は、権利制限の対象外（違法）となる可能性があります。
Q5. 自分のサイトのデータがAI学習されるのを拒否（オプトアウト）できますか？
A. robots.txtなどでクローリングを禁止する措置は可能ですが、法的に直ちに学習が禁止されるわけではありません。
ただし、将来的にデータベースとして販売する予定があるのに、それを回避して収集された場合は違法となる可能性があります。
Q6. 学習済みモデルを商用利用することはできますか？
A. 一般的には可能ですが、利用するベースモデルのライセンス（利用規約）に従う必要があります。
一部のモデルは研究目的以外での利用を禁止している場合があります。
Q7. 学習データに個人情報が含まれている場合、本人の同意は必要？
A. 個人情報保護法上、特定の個人を識別できる情報を学習データとして収集して利用（データベース化）する場合、原則として利用目的の通知・公表が必要です。
第三者が提供するデータを利用する場合は、適正に取得されたものか確認が必要です。
Q8. 要配慮個人情報（病歴や犯罪歴など）を学習データに使ってもいい？
A. 要配慮個人情報の取得には原則として本人の同意が必要です。
ネット上で公開されている情報であっても、それを収集してデータベース化（取得）する際には慎重な対応が求められます。
Q9. 学習用データセット（集めたデータ群）に著作権はありますか？
A. データの選択や体系的な構成に創作性がある場合は、「データベースの著作物」として保護される可能性があります。
Q10. AI開発を依頼する場合、学習データの権利は誰のものになりますか？
A. 元の「生データ」の権利は提供者（ユーザ）にありますが、加工して作成された「学習用データセット」の権利や利用権限は、契約で定める必要があります。
通常、加工にノウハウがある側（ベンダー）が権利を主張するケースが多いですが、協議事項です。
生成AI開発時に関する質問
Q1. AI開発はどのように進めるのが良いですか？
A. 最初から完成品を目指すのではなく、「アセスメント（可能性検証）」→「PoC（概念実証）」→「開発」→「追加学習」というように、段階的に進める「探索的段階型」の開発方式が推奨されています。
Q2. PoC（概念実証）はなぜ必要なのですか？
A. AIはやってみないと精度が出るかわからない「不確実性」が高いため、本格的な開発契約を結ぶ前に、データとモデルの相性や実現可能性を検証するためです。
Q3. 開発を委託した場合、AIは必ず「完成」しますか？
A. AI開発は試行錯誤を伴うため、通常のシステム開発（請負契約）のような「完成義務」を負わない「準委任契約」とするのが一般的です。したがって、期待した性能が出ない場合でも、ベンダーは善管注意義務を果たしていれば責任を負わないことが多いです。
Q4. 性能保証（精度99%以上など）を契約に入れることはできますか？
A. 未知のデータに対するAIの挙動を保証することは技術的に困難であるため、ベンダーは性能保証を行わない（非保証とする）契約が一般的です。もし保証を求める場合は、特定のテストデータに限るなどの条件が必要です。
Q5. 開発されたAIモデルの知的財産権は誰のものになりますか？
A. プログラムの著作権は原則として作成者（ベンダー）に帰属します。パラメータ（係数）は著作権の対象外ですが、要件を満たせば営業秘密として管理されるケースがあります。契約でユーザに権利を譲渡することも可能ですが、ベンダーのノウハウ保護との調整が必要です。
Q6. 納品されたAIモデルをリバースエンジニアリングしてもいいですか？
A. 通常、契約で禁止されます。特にSaaS型で提供される場合や、ノウハウ流出を防ぐためにバイナリ形式で提供される場合などは、解析行為（リバースエンジニアリング）は禁止事項とされます。
Q7. 開発したAIモデルをベンダーが他社に使い回すことはありますか？
A. ベンダーは開発したモデル（汎用的な部分）を他社案件でも再利用（横展開）したいと考えるのが通常です。ユーザ固有のデータやノウハウが含まれる場合は、契約で再利用を制限したり、条件を設けたりする必要があります。
Q8. 「セキュリティ・バイ・デザイン」とは何ですか？
A. 開発の企画・設計段階からセキュリティ対策を組み込む考え方です。AI開発においても、後付けではなく初期段階からリスク（データ汚染や漏洩など）を考慮した設計をすることが重要という考え方です。
Q9. 開発過程の記録は残すべきですか？
A. はい。AIの出力結果に対する説明責任や、将来的なトラブル（著作権侵害など）の際に検証可能性を確保するため、使用したデータやアルゴリズム、意思決定のプロセスを文書化し、ログを保存することが推奨されます。
Q10. AIのテストでは何を確認すべきですか？
A. 精度の確認だけでなく、著作権侵害（類似物の生成）がないか、ハルシネーション（嘘）がないか、バイアス（差別的表現）が含まれていないか、セキュリティ脆弱性（プロンプトインジェクションへの耐性）がないか等を検証します。
生成AIに情報を入れる際の質問
Q1. 社外秘の情報を生成AIに入力しても大丈夫ですか？
A. 入力データがAIの学習（再学習）に使われる設定の場合、情報漏洩のリスクがあります。オプトアウト（学習拒否）設定をするか、学習に利用されない契約の法人向けプランなどを利用する必要があります。
Q2. 顧客の個人名をプロンプトに入力してもいいですか？
A. 原則として避けるべきです。当該サービスが個人データを機械学習に利用する場合、個人情報保護法違反になる可能性があります。入力する場合は、個人が特定できないように仮名化するなどの加工が必要です。
Q3. 既存のキャラクターや作品を「〇〇風に描いて」と入力するのは問題ですか？
A. 入力自体は私的使用の範囲内であれば可能ですが、それを目的として生成された類似画像を公開・利用すると、生成物に依拠性が認められ著作権侵害となる可能性が高まります。
Q4. 生成AIサービスの利用規約で禁止されている入力内容はありますか？
A. 多くのサービスで、他人の権利を侵害する内容、暴力的・性的・差別的な内容、マルウェア生成を目的とした内容などの入力が禁止されています。
Q5. 入力したプロンプトの履歴は保存されますか？
A. 多くのサービスで履歴は保存されます。企業で利用する場合は、誰がどのような入力を行ったか監査できるように、システム側でログを保存・管理することが推奨されます。
Q6. 「プロンプトインジェクション」とは何ですか？
A. 悪意のある命令を入力することで、AIが本来持っている安全装置（ガードレール）を回避し、不適切な回答や機密情報を引き出そうとする攻撃手法です。
Q7. 入力するデータに偏りがあるとどうなりますか？
A. AIの出力にもその偏り（バイアス）が反映されます。
例えば、特定の性別や人種に偏ったデータを入力して判断を求めると、差別的な結果が出力されるリスクがあります。
Q8. AIの回答をそのまま業務に使ってもいいですか？
A. そのまま使うのは危険です。
必ず人間が内容の正確性や適切性を確認（Human-in-the-loop）し、最終的な判断を行う必要があります。
Q9. 入力した情報がAI提供者に見られることはありますか？
A. クラウドサービスの場合、サービス提供者がシステムの保守や改善のためにデータにアクセスする権限を持っている場合があります。
契約条件やプライバシーポリシーを確認し、極めて機密性の高い情報は入力しない等の対策が必要です。
Q10. 社員が個人のアカウントで業務利用してもいいですか？
A. 情報漏洩のリスクが高まるため、多くの企業で禁止されています。
会社が管理・契約した安全な環境（エンタープライズ版など）のみを利用させるべきです。