IT企業・インターネットビジネスの法律相談

従業員が業務効率化のため、顧客から預かった情報を個人契約の生成AIサービスに入力していたことが判明したとします。

従業員に悪意はなく、入力情報が生成AIの学習に利用されない設定にしていたようです。しかし、会社はその生成AIサービスの利用を許可しておらず、顧客との業務委託契約では秘密情報の外部提供が制限されていました。

この場合、会社は個人情報保護法違反や契約違反の責任を負うのでしょうか。また、顧客への報告は必要なのでしょうか。

このような問題の背景にあるのが「シャドーAI」です。

生成AIは業務効率化に役立つ一方、従業員が会社の把握・管理していない生成AIサービスを利用すると、企業が想定していなかった情報管理上の問題が生じることがあります。

特に、顧客から個人情報や秘密情報を預かるIT企業では、情報セキュリティ上の問題にとどまらず、顧客との契約関係にも影響が及ぶ可能性があります。

そこで本記事では、シャドーAIに伴う法的リスクを整理したうえで、IT企業が確認しておきたい委託契約の条項、社内規程の整備、無断利用が発覚した場合の対応について解説します。

1．シャドーAIの意味とIT企業で起こりやすい3つの事例

（1）シャドーAIの意味とシャドーITとの違い

シャドーAIとは、一般に、企業の承認や管理を受けずに、従業員などが業務でAIサービスを利用することをいいます。

例えば、会社が認めていない生成AIサービスを従業員が個人で契約し、資料の作成やプログラムの修正などに利用するケースが考えられます。

これまでも、会社が許可していないクラウドストレージやチャットツールなどを従業員が業務で利用する「シャドーIT」が問題とされてきました。シャドーAIは、そのAI版と位置付けることができます。

もっとも、生成AIの場合、入力された情報がサービス提供事業者によって処理され、サービスの仕様や設定によっては、モデルの学習やサービス改善などに利用される可能性があります。

また、会社が承認した生成AIサービスであっても、禁止された情報を入力するなど、不適切な使い方がされる場合があります。このような行為は厳密にはシャドーAIと区別されることがありますが、情報管理上は共通する問題があるため、本記事では関連する不適切利用についても取り上げます。

関連記事：生成AIを業務で使うときに注意すべき法律とは？入力・学習・出力・利用の場面別に弁護士が解説

（2）事例① 顧客の問い合わせ履歴の私用生成AIへの入力

SaaS事業者のカスタマーサポート担当者が、問い合わせへの回答文を作成するため、顧客の問い合わせ履歴を個人契約の生成AIサービスに入力したとします。問い合わせ履歴には、顧客企業の担当者の氏名、メールアドレス、契約内容などが含まれていました。

従業員としては、回答業務を効率化する目的で利用したにすぎません。しかし、会社が確認していない生成AIサービスに個人情報を入力したことで、個人情報保護法上の問題や、顧客との秘密保持契約違反が問題となる可能性があります。

（3）事例② 顧客のソースコード・設計資料の生成AIへの入力

受託開発会社のエンジニアが、プログラムの不具合を修正するため、顧客システムのソースコードを生成AIサービスに入力したとします。ソースコードには個人情報が含まれていないかもしれません。しかし、顧客独自の業務処理ロジックやシステム構成など、外部に知られたくない情報が含まれている可能性があります。

この場合、個人情報保護法違反が問題とならなくても、秘密保持契約や業務委託契約に違反するおそれがあります。

「個人情報が含まれていなければ生成AIに入力してよい」と考えるのは危険です。

（4）事例③ 会社が承認した生成AIへの禁止情報の入力

会社が法人契約した生成AIサービスを利用している場合でも、問題が生じないとは限りません。

例えば、会社が議事録の要約や一般的な文書作成に限って利用を認めているにもかかわらず、従業員が顧客データベースをそのまま入力するケースです。

法人向けサービスでは、入力情報をモデルの学習に利用しない設定が用意されていることがあります。しかし、そのことだけで、顧客との契約上、情報の入力が許されるとは限りません。会社が生成AIサービスの利用を承認していることと、特定の情報を入力してよいことは別問題です。

したがって、シャドーAI対策では、利用できるサービスを指定するだけでなく、どのような情報を、どのような目的で入力してよいのかを明確にする必要があります。

2．シャドーAIに伴うIT企業の法的責任

（1）生成AIへの情報入力と個人情報保護法上の問題

個人情報保護法は、個人情報取扱事業者に対し、個人データの安全管理措置（23条）や従業者の監督（24条）などを義務付けています。

例えば、顧客から預かった個人データを従業員が自由に外部サービスへ入力できる状態にしており、適切な利用ルールや情報管理体制も整備していなかった場合、安全管理措置や従業者監督の適切性が問題となる可能性があります。

もっとも、従業員による無断利用が一度発生したからといって、会社が直ちに個人情報保護法に違反するわけではありません。会社が講じていた措置や監督の内容、情報の性質、利用状況などを踏まえた判断が必要です。

次に、生成AIサービスへの入力が、個人データの「第三者提供」に該当するかという問題もあります。

個人情報保護法27条1項は、原則として、本人の同意を得ない個人データの第三者提供を制限しています。ただし、個人データの取扱いの委託に伴う提供など、同条5項により第三者提供規制の対象外となる場合があります。この点、生成AIについても、サービスの契約条件や技術的な仕組みを踏まえ、個人データの第三者提供に該当するか、第三者提供に該当する場合には「委託」と整理できるかなどを確認することが重要です。

関連記事：クラウドサービス提供事業者へ個人情報を提供する際の留意点

以上のとおり、生成AIへの入力が常に違法というわけではありませんが、従業員が会社の確認していないサービスを独断で利用することには、相応の法的リスクがあります。

なお、海外の事業者が提供する生成AIサービスを利用する場合には、個人情報保護法28条に定める「外国にある第三者への提供」の問題も生じ得ます。この場合、同法27条上の「委託」に該当するとしても、同法28条への対応は別途検討する必要があります。

この点については、別記事をご参照ください。

外部AIサービスへの個人データ送信と越境移転～サービスの開発・提供者が押さえるべき個人情報保護法上のポイント

（2）秘密保持義務違反と営業秘密の流出リスク

IT企業が顧客と締結する秘密保持契約（NDA）や業務委託契約では、秘密情報の目的外利用や第三者への開示・漏えいを禁止する条項が定められていることが一般的です。

このため、従業員が顧客から預かったソースコードや仕様書を、会社が承認していない生成AIサービスに入力した場合、契約上の秘密保持義務違反が問題となることがあります。

関連記事：秘密保持契約（NDA）違反で損害賠償請求はできる？認められるための条件と対応方法を弁護士が解説

特に注意したいのは、生成AIサービス提供事業者が入力情報を学習に利用しない場合でも、秘密保持義務違反が成立する可能性があることです。契約によっては、秘密情報を外部事業者に取り扱わせること自体が制限されているためです。

また、不正競争防止法では、秘密管理性、有用性、非公知性の要件を満たす情報が「営業秘密」として保護されます。この点、生成AIサービスへの情報入力の状況によっては、営業秘密の保護に影響する可能性があります。

ただし、従業員が無断で生成AIに情報を入力したという事実だけで、その情報の秘密管理性や非公知性が直ちに失われるわけではありません。個別の事情に応じた検討が必要です。

（3）委託契約違反による損害賠償・契約解除のリスク

顧客から業務を受託するIT企業にとって、特に問題となるのが契約違反です。

例えば、業務委託契約において、顧客情報の外部提供には事前承諾が必要とされている場合、従業員による無断の生成AI利用が契約違反になる可能性があります。

契約違反が発生した場合、契約内容や違反の程度によっては、是正措置の要求、損害賠償請求、契約解除などにつながることがあります。

ただし、契約違反があれば必ず損害賠償義務が発生するわけではありません。損害の発生や因果関係、帰責事由、責任制限条項の適用などを検討する必要があるからです。

関連記事：契約書に定める「損害賠償条項」の考え方・チェックポイントを解説

もっとも、実際の情報流出が確認されていなくても、情報管理体制に対する不信感から、取引継続に影響が及ぶ可能性があります。

（4）従業員の無断利用と会社の法的責任

従業員が会社の指示に反して生成AIを利用した場合、会社は「従業員が勝手に行ったことだから責任を負わない」と主張できるのでしょうか。

必ずしもそうとは限りません。顧客との契約上、会社が従業員を用いて業務を履行している場合、従業員の行為について会社自身の契約上の責任が問題となることがあります。また、従業員の不法行為が成立し、民法715条に定める要件を満たす場合には、会社の使用者責任が問題となる可能性もあります。

会社が生成AIの利用を禁止していたという事情だけで、これらの責任が当然に否定されるわけではありません。

したがって、禁止規定を設けるだけでなく、実際にそのルールを運用し、従業員を適切に管理することが重要です。

3．顧客情報を預かるIT企業の契約上の留意点

（1）委託元から預かった情報の生成AIへの入力の可否

IT企業が生成AIを業務に利用する場合、自社の判断だけで入力できる情報と、委託元との契約を確認する必要がある情報を区別することが重要です。

例えば、一般的なプログラミングに関する質問を生成AIに入力することと、顧客から預かったソースコードを入力して不具合の原因を分析させることでは、法律上・契約上の問題が異なります。

特に、顧客から預かった情報については、会社がその情報を取り扱う権限をどの範囲で与えられているかを確認する必要があります。

また、業務委託契約に「生成AI」という言葉が登場しない場合でも、既存の秘密保持条項、目的外利用禁止条項、再委託条項などによって利用が制限される可能性があります。

そこで、実際の契約書で用いられることが多い条項を例に、生成AI利用との関係を検討します。

（2）NDA・業務委託契約における目的外利用禁止・再委託条項との関係

①秘密保持条項との関係

例えば、次のような条項が定められている場合です。

この場合、乙の従業員が甲から預かったソースコードや仕様書を外部の生成AIサービスに入力する行為は、第三者への秘密情報の開示に該当するのでしょうか。

まず確認すべきなのは、契約上の「開示」の意味と、生成AIサービス提供事業者による入力情報の取扱いです。

例えば、サービス提供事業者が入力情報を取得・閲覧できる仕組みとなっている場合には、秘密情報の第三者への開示に該当する可能性があります。

他方、サービス提供事業者による情報へのアクセスや利用が契約上・技術上制限されている場合などには、当該サービスへの入力が第三者への開示に当たるかについて、契約の文言や具体的な利用形態を踏まえた検討が必要です。

ただし、ここで注意したいのは、「入力情報がAIの学習に利用されないこと」と「秘密保持条項に違反しないこと」は同義ではないという点です。入力情報がAIの学習に利用されない場合であっても、生成AIサービス提供事業者に秘密情報が開示される可能性は残るためです。

そのため、生成AIへの入力が第三者への開示に該当するかどうかについては、秘密保持条項の文言と生成AIサービスにおける入力情報の取扱いを踏まえて判断する必要があります。

②目的外利用禁止条項との関係

例えば、次のような条項が定められている場合です。

例えば、受託開発会社のエンジニアが、顧客から預かった仕様書を生成AIに入力し、開発作業を効率化した場合を考えます。

生成AIを本業務の遂行のために利用しているのであれば、直ちに目的外利用に該当するとは限りません。もっとも、生成AIの利用が「本業務の遂行に必要な範囲」に含まれるかどうかは、委託された業務の内容や契約締結時の合意などによって異なります。

また、生成AIサービス提供事業者が、入力情報をモデルの学習やサービス改善など、自社の目的のためにも利用する場合があります。このような場合には、乙による秘密情報の利用が本業務の遂行を目的とするものであっても、当該サービスへの情報入力が契約上許されるかについて、秘密保持条項なども含めて確認する必要があります。

したがって、業務効率化を目的とした利用であっても、契約上当然に許されるわけではないことに注意が必要です。

③再委託禁止条項との関係

業務委託契約では、次のような条項が定められていることがあります。

この場合、外部の生成AIサービスを利用すると、再委託禁止条項に違反するのでしょうか。

ここで重要なのは、外部サービスの利用と、本業務の全部又は一部を第三者に再委託することは、必ずしも同じではないという点です。

例えば、エンジニアが一般的なプログラミングに関する質問を生成AIに入力し、その回答を参考にしながら自ら開発作業を行う場合、生成AIの利用が直ちに再委託に該当するとは限りません。

一方、顧客から預かったデータの分析・分類などを、受託業務の一部として外部のAI事業者に行わせる場合には、再委託への該当性を慎重に検討する必要があります。この判断では、外部サービスに行わせる処理の内容、委託業務との関係、契約上の再委託の定義などが重要になります。

関連記事：システム開発の再委託は可能なのか？リスクを最小化するためのポイントを解説

また、契約によっては、再委託に該当するかどうかとは別に、外部サービスの利用自体について事前承諾を求めている場合もあります。

なお、個人情報保護法上の「個人データの取扱いの委託」と、業務委託契約上の「再委託」は、必ずしも同一の基準で判断されるものではありません。

再委託に該当しないことだけを理由として、生成AIを自由に利用できると判断することは適切ではありません。

④複数の契約条項を確認する必要性

上記①から③で解説したとおり、生成AIの利用については、秘密保持、目的外利用、再委託という異なる観点から検討する必要があります。

例えば、生成AIへの入力が再委託に該当しないとしても、秘密情報の外部開示が禁止されていれば、契約違反となる可能性があります。

逆に、再委託について事前承諾を得ていても、秘密情報を生成AIの学習に利用させることまで許可されているとは限りません。

また、基本契約だけでなく、個別契約、NDA、情報セキュリティに関する別紙などに、生成AIの利用を制限する規定が設けられている場合もあります。

したがって、特定の条項だけでなく、関連する契約書全体を確認することが重要です。

（3）2026年改正個人情報保護法による委託先規律の見直し

個人情報保護法については、2026年7月17日に改正法が公布されました。

今回の改正では、個人情報の取扱いについて委託を受けた事業者に対する規律が見直されています。

特に重要なのが、新設される個人情報保護法30条の3です。

同条は、他の個人情報取扱事業者などから個人情報の取扱いの委託を受けた事業者について、法令に基づく場合などを除き、委託された業務の遂行に必要な範囲を超えて当該個人情報を取り扱うことを禁止するものです。これにより、委託先自身に対して、委託業務の範囲を超える個人情報の取扱いを制限する義務が明文化されることになります。

例えば、顧客から預かった個人情報を、受託業務とは関係のない自社のAI開発やサービス改善のために利用する場合などは、この規定との関係が問題となります。

もっとも、受託業務の遂行に生成AIを利用することが、直ちに同条に違反するかは別途検討を要します。委託業務の内容や情報の具体的な取扱方法などによって判断する必要があるからです。

なお、本記事執筆時点（2026年10月）では、これらの改正規定は施行されていません。関連する政令・規則・ガイドラインについても整備が進められている段階です。

ただし、改正規定が未施行であるからといって、委託先による個人データの取扱いが無制限に許されるわけではありません。現行法においても、個人情報保護法25条に基づき、委託元には委託先の監督義務が課されています。

関連記事：個人情報保護法上の委託先監督義務とは？委託先の選定・契約・監査・漏えい対応を弁護士が解説

顧客情報を預かるIT企業としては、改正法の施行を待たず、委託された情報の利用範囲を契約上明確にしておくことが重要と考えられます。

関連記事：DPA（データ処理契約）とは？取引先から突然締結を求められた中小IT企業が知っておきたい基礎知識

（4）委託元からAI利用の禁止・事前承諾を求められた場合の対応

委託元から、業務委託契約に「生成AIの利用を全面的に禁止する」といった条項を追加するよう求められることも考えられます。

しかし、IT企業が生成AIを開発補助、資料作成、テストコードの生成などに幅広く利用している場合、全面禁止条項をそのまま受け入れると、業務効率やサービス提供に支障が生じる可能性があります。

そこで、例えば、次のような対応が考えられます。

ただし、委託元が厳格な情報管理を必要としている場合や、特定の情報について外部利用を認められない事情がある場合には、その制約を尊重する必要があります。

受託側としては、生成AIを利用する業務上の必要性と、委託元が懸念するリスクを整理したうえで、契約条件を調整することが重要です。

（5）AI利用を認める場合の契約条項と確認事項

生成AIの利用を認める場合、単に「乙は生成AIを利用できる」と定めるだけでは、利用範囲が不明確になるおそれがあります。

そこで、例えば、次のような条項を設けることが考えられます。

※契約条項の構成を示すための例示であり、実際の契約では、秘密情報の定義、再委託条項、個人情報の取扱い、事故報告、責任分担などとの整合性を確認する必要があります。

上記は、生成AIを利用する受託側の業務上の必要性に配慮しながら、委託元の情報を保護することを想定した条項例です。

実際の契約では、生成AIの利用が再委託に該当する場合に、再委託条項に基づく承諾も必要となるのか、生成AI利用条項に基づく承諾と兼ねるのかを明確にしておくことが望まれます。

また、秘密情報を生成AIに入力しない場合でも、既存の契約条項によって生成AIの利用自体が制限されていることがあります。そのため、上記のような条項を追加する場合には、既存条項との優先関係や適用範囲の調整も必要です。

このほか、承諾の取得方法についても検討が必要です。上記の条項例は、承諾を個別に取得することを想定していますが、実務上は、利用するAIサービスや入力情報の種類をあらかじめ特定し、包括的に承諾を得る方法も考えられます。いずれの場合でも、利用できるサービス、入力できる情報、利用条件、事故発生時の対応を明確にしておくことが望まれます。

なお、委託元との契約で生成AIの利用が認められたとしても、それだけで従業員が自由に利用してよいことにはなりません。会社として利用を承認するサービスや用途を定め、その内容を社内規程にも反映させる必要があります。

4．シャドーAIを防ぐための5つの社内対策

（1）全面禁止に代わる安全な生成AI利用環境の整備

シャドーAIを防ぐために、生成AIの利用を全面的に禁止する方法が考えられます。

しかし、禁止規定を設けるだけでは、従業員が個人契約のサービスを利用するリスクを十分に抑えられない可能性があります。

特にIT企業では、プログラムの作成、仕様書の確認、テスト項目の整理など、生成AIを利用できる業務が多くあります。業務上の需要が高いにもかかわらず、安全に利用できる環境が用意されていない場合、従業員が独自にサービスを利用する動機が生じます。

したがって、会社として認める生成AIサービスを選定し、利用条件を明確にすることが重要です。その際には、入力情報の保存期間、学習利用の有無、管理者による設定機能、アクセス管理、外部事業者への情報提供の有無などを確認します。

（2）生成AI利用規程に定めるべき事項

会社として生成AIを利用する場合には、社内ルールを明文化しておくことが望まれます。

例えば、生成AI利用規程に次の事項を定めることが考えられます。

特に重要なのが、委託元との契約内容を社内ルールに反映させることです。

例えば、ある顧客との契約では外部AIへの情報入力が禁止されている一方、別の顧客との契約では一定の条件下で認められている場合があります。

このような違いがあるにもかかわらず、全案件に共通する一般的な生成AI利用規程だけを設けても、契約違反を防げない可能性があります。

そのため、全社共通の利用規程に加え、案件ごとの利用条件を管理する仕組みが必要です。

（3）顧客情報・ソースコードなどの入力情報の分類とルール化

生成AI利用規程を実効的なものにするには、入力してよい情報と禁止する情報を従業員が判断できるようにする必要があります。

例えば、情報を次の3段階に分類する方法が考えられます。

①原則として入力を禁止する情報

顧客から預かった個人データ、秘密保持義務の対象となる設計資料、認証情報、アクセスキーなど、外部入力によって重大な問題が生じ得る情報です。

②一定の条件を満たした場合に入力できる情報

顧客や個人を識別できる情報を適切に除去した資料、社内で作成した業務文書、技術的な検討資料などです。

もっとも、氏名などを削除しただけで、個人情報や秘密情報に該当しなくなるとは限りません。他の情報との照合可能性や契約上の制限を確認する必要があります。

③原則として入力できる情報

自社が利用権限を有する公開情報、秘密情報を含まない一般的な技術上の質問、架空のデータを用いたプログラムの例示などです。

これらの分類は一例であり、実際には利用する生成AIサービスの安全性や契約条件に応じて調整する必要があります。

（4）アクセス制御・ログ管理・承認手続などの技術的対策

社内規程を整備しても、実際の利用状況を把握できなければ十分な対策とはいえません。

例えば、会社が承認した生成AIサービスについて、法人アカウントによる利用を原則とし、管理者がアクセス権限や利用状況を確認できる環境を整える方法があります。

必要に応じて、未承認サービスへのアクセス制御や、機密情報の外部送信を検知・制限する仕組みを導入することも考えられます。

もっとも、従業員による個人端末・個人アカウントでの利用を、技術的手段だけですべて把握することは容易ではありません。

また、利用履歴の監視を行う場合には、従業員のプライバシーに配慮し、監視目的や範囲などを明確にする必要があります。

（5）従業員教育と早期報告体制の整備

シャドーAI対策では、従業員がルールの必要性を理解していることも重要です。

例えば、「会社が認めていない生成AIに顧客情報を入力してはいけない」と説明するだけでなく、なぜ入力が問題となるのか、顧客との契約にどのような制限があるのかを具体例とともに説明することが有効です。

また、従業員が誤って禁止情報を入力した場合に、速やかに報告できる仕組みも必要です。なぜなら、違反を報告すると必ず厳しい処分を受けるという認識が広がれば、従業員が問題を隠してしまう可能性があるからです。

重要なのは、違反者を発見することだけではありません。問題の拡大を防ぐため、会社が早期に事実を把握できる環境を整えることです。

5．シャドーAI発覚時の初動対応

（1）入力情報・利用サービス・利用状況の事実確認

シャドーAIの利用が判明した場合、最初に必要となるのは事実関係の把握です。

例えば、誰が、いつ、どの生成AIサービスを利用したのか、どのような情報を入力したのか、当該サービスが入力情報をどのように取り扱うのかを確認します。

また、個人情報や顧客の秘密情報が含まれていたか、同様の利用が他の従業員によって行われていないかも調査する必要があります。

これらの事実が不明確なままでは、法令上の報告義務や契約違反の有無を適切に判断できません。

（2）利用停止・証拠保全と情報漏えいリスクの評価

事実確認と並行して、問題となった生成AIサービスの利用停止など、被害の拡大を防ぐための措置を検討します。

例えば、追加の情報入力を停止し、必要に応じてサービス提供事業者に対する入力情報の削除申請などを行うことが考えられます。

ただし、情報の削除を急いだ結果、事実関係の調査に必要な証拠まで失われることがないよう注意が必要です。利用履歴、契約条件、管理画面の設定状況など、必要な情報を適切に保全することが重要です。

関連記事：データ漏えい等の事故が起こったら～中小ベンダのための「初動・証拠・説明」実務チェック

また、外部サービスに情報が入力されたことと、その情報が不特定多数に公開・流出したことは同義ではありません。サービス提供事業者による取扱条件などを確認し、どのようなリスクが生じているのかを評価する必要があります。

（3）個人情報保護委員会への報告・本人通知の要否

個人データが関係する場合には、個人情報保護法26条に基づく漏えい等報告・本人通知の要否を判断する必要があります。

現行法では、例えば、要配慮個人情報を含む個人データの漏えい等、不正に利用されることにより財産的被害が生じるおそれのある個人データの漏えい等、不正の目的をもって行われたおそれがある当該事業者に対する行為による漏えい等、本人の数が1,000人を超える漏えい等が報告対象とされています。なお、これらの類型については、実際に漏えい等が発生した場合だけでなく、漏えい等が発生したおそれがある場合も報告対象となります。

報告対象事態に該当する場合には、原則として、事態を知った後速やかに速報を行い、30日以内、一定の不正目的が疑われる事態では60日以内に確報を行う必要があります。速報の「速やか」の目安は、概ね3～5日以内とされています。

関連記事：個人情報が漏えいしたら誰に報告する？報告先・期限・内容をわかりやすく解説

もっとも、シャドーAIが発覚したからといって、必ずこれらの報告義務が生じるわけではありません。

また、委託先で報告対象事態が発生した場合、委託先が法令に従って報告義務を負う委託元に通知することで、委託先の個人情報保護委員会への報告義務等が免除される仕組みがあります。

したがって、委託元と委託先の関係も踏まえ、報告・通知の要否と対応方法を判断する必要があります。

（4）委託元への報告時期・報告内容の判断

個人情報保護委員会への報告が不要な場合でも、委託元への報告が必要となることがあります。

例えば、業務委託契約において、秘密情報の漏えい、情報セキュリティ事故、契約違反のおそれなどが発生した場合に、委託元へ報告する義務が定められていることがあります。

この場合、法令上の漏えい等報告の対象とならなくても、契約上の報告義務が問題となります。

また、報告期限が「直ちに」「速やかに」「24時間以内」などと定められている場合もあるため、契約内容の確認が重要です。

他方、十分な調査を行わず、情報漏えいが発生したと断定的に報告すると、事実関係について誤解を生じさせるおそれがあります。

そのため、報告が必要な場合には、現時点で確認できている事実、調査中の事項、実施した措置、今後の対応予定などを区別して伝えることが考えられます。

委託元への報告は、単なる事故の通知ではなく、その後の取引関係にも影響する重要な対応です。

契約上の報告義務を遵守しつつ、正確な情報提供と適切な説明を行うことが求められます。

（5）従業員への対応と再発防止策

シャドーAIの利用が判明した場合、従業員に対する注意・指導や、必要に応じた懲戒処分を検討することがあります。

もっとも、無断利用があったからといって、直ちに懲戒処分が認められるわけではありません。就業規則の規定、従業員に対する周知状況、違反行為の内容、故意・過失の程度、被害の有無などを踏まえ、労働契約法15条に定める客観的合理性・社会的相当性を考慮して判断する必要があります。

また、会社が生成AI利用に関するルールを設けていなかった場合には、従業員の責任を追及するだけでは十分とはいえません。

事故の原因を分析し、社内規程の整備、利用サービスの見直し、従業員教育などの再発防止策につなげることが重要です。

6．自社のシャドーAI対策に関するチェックポイント

ここまで、シャドーAIに伴う法的リスクと対策を解説してきました。

実際の対応では、まず自社の現状を確認し、どこに問題があるかを把握することが重要です。

以下の項目を確認してみてください。

これらの項目に対応できていないからといって、直ちに法律違反となるわけではありません。しかし、顧客情報を取り扱うIT企業であれば、少なくとも自社のリスクを確認する必要があります。

特に注意したいのは、社内規程では生成AIの利用を認めているにもかかわらず、委託元との契約では禁止されている場合や、委託元から利用承諾を得ているにもかかわらず、従業員が会社の認めていない生成AIを利用している場合です。

シャドーAI対策では、①委託元との契約、②AIサービス提供事業者との利用条件、③従業員に適用される社内規程という3つのルールを整合させることが重要です。そのため、まずは自社で利用している生成AIサービスを把握し、委託元との契約書や社内規程を確認することから始めるとよいでしょう。特に、生成AIの利用が既存の契約条項に違反しないか、社内規程と契約上の制限に矛盾がないかといった点が、確認すべきポイントとなります。

7．リーガルブレスD法律事務所による法務サポート

生成AIは、IT企業の業務効率化や生産性向上に役立つ技術です。その利用を過度に制限すると、本来得られるはずの業務上の利益を失う可能性があります。

一方で、十分な管理体制を整えずに利用を認めれば、個人情報保護法上の問題や、顧客との契約違反などにつながるおそれがあります。

したがって、生成AIの利用を一律に禁止するのではなく、業務上の必要性と法的リスクを踏まえて、適切な利用条件を整えることが重要です。

リーガルブレスD法律事務所では、IT企業における生成AIの利用に関連して、次のような法的サポートを行っています。

（1）生成AI利用規程・情報管理規程の作成・見直し

生成AIの利用目的や取扱情報の種類などを踏まえ、社内規程の作成・見直しを支援します。既存の情報セキュリティ規程や就業規則との整合性、従業員に対する周知・報告体制についても、法的観点から検討します。

（2）業務委託契約・NDA・AI利用条項のリーガルチェック

顧客との契約において生成AIの利用が認められるかを確認し、必要に応じて条項の追加・修正や契約条件の調整を支援します。特に、秘密保持義務、再委託、目的外利用、事故報告、責任分担などについて、受託側・委託側それぞれの立場を踏まえて検討します。

（3）シャドーAI発覚時の法的評価・委託元対応の支援

従業員による無断利用が判明した場合には、法令違反や契約違反の有無、個人情報保護委員会への報告・本人通知の要否、委託元への報告内容などについて、個別の事情を踏まえて検討します。また、委託元との説明・協議、再発防止策の検討などについても支援します。

【ご相談・ご依頼について】

当事務所では、社内規程の新規作成や契約書の全面的な見直しだけでなく、現在使用している規程・契約書の一部についての確認など、必要な範囲に絞ったご相談・ご依頼にも対応しています。

生成AIの活用を進めながら、顧客からの信頼を維持するためには、社内規程と契約実務を連動させた対応が欠かせません。

「現在の委託契約で生成AIを利用してよいか分からない」「まずは自社の規程や契約書に問題がないか確認したい」「従業員による無断利用が判明したものの、委託元への報告が必要か判断できない」といった場合には、リーガルブレスD法律事務所までご相談ください。

＜2026年10月作成＞

※本記事は2026年10月15日時点の法令・公表資料に基づく一般的な解説です。具体的な事案については、契約内容、情報の種類、AIサービスの仕様、適用法令などによって判断が異なります。