生成AI業務利用の著作権とコンプラ 中小企業が守るべき線引き

生成AIの業務利用は「著作権」「個人情報」「機密情報」の3点を線引きすれば事故は防げます。中小企業向けに実務ルールを整理します。

「生成AIを社内で使いたいけれど、著作権とかコンプラが気になって踏み込めない」——中小企業の管理者からの相談で、この半年で最も増えたのがこの声です。ニュースで訴訟や情報漏えい事故が流れるたびに、社内から「うちは大丈夫か」の問い合わせが来る、というパターンがよくあります。

結論から言うと、生成AIの業務利用で押さえるべきコンプラは、実務では**「著作権」「個人情報」「機密情報」の3領域だけ**です。この3つに絞って社内で線引きすれば、致命的な事故はほぼ防げます。この記事では、中小企業の管理者・経営者が「明日から社内で運用ルールを回せる」水準まで、それぞれの線引きと実務手順を整理します。

図1: 生成AI業務利用でまず押さえるべき3リスク領域。この3つの線引きが社内ルールの骨格になる。

生成AIの業務利用で押さえるべきコンプラは「著作権・個人情報・機密情報」の3点

結論を先に置くと、中小企業が生成AIを業務利用するとき、実務で管理すべきリスクは著作権・個人情報・機密情報の3種類に集約できます。ここ以外の細かい論点は、この3つの線引きが決まってから足していけば十分です。

なぜこの3つに絞れるかというと、①法的な訴訟リスクとして経営インパクトが大きい、②社内の誰でも判断が求められる場面が頻繁に発生する、③曖昧なまま運用すると事故が起きやすい、という条件が揃うからです。逆に、「AIが学習に使うデータの学術的な議論」や「著作権法の改正動向」まで手を広げると、社内ルールが分厚くなりすぎて誰も読まないポリシーになります。

実際に相談を受けた中小企業の多くは、この3領域のうち①個人情報が抜け落ちて事故りかけたり、②著作権の入力/出力の区別が曖昧なまま使い始めていたりします。次のセクションから、3領域それぞれの線引きを具体的に整理していきます。

著作権の線引き：入力（AIに渡す）と出力（AIが作る）で分けて考える

著作権の線引きで最初にやるべきは、「AIに何を入力するか」と「AIが作った出力を何に使うか」を分けて判断することです。この2つを混ぜて考えると、社内ルールが混乱します。

**入力側（AIに渡すデータ）**では、他社の記事本文・書籍・論文・画像などの著作物を丸ごとコピペして「これを参考にして書いて」と指示するのは、著作権侵害に近づくグレー領域です。2024年に文化庁が公表した「AIと著作権に関する考え方について」でも、生成AI開発・利用時の権利者への影響と著作権法の解釈が整理されています（文化庁：AIと著作権に関する考え方について）。要約・翻訳・スタイル模倣の指示に他社著作物本文を貼るのは避け、テーマ・キーワード・構成観点を言葉で伝える形に切り替えます。

**出力側（AIが作った成果物）**は、多くの有料/法人プランで「生成物の商用利用を許諾」と規約に書かれています。ただし「AIが出した=自社の著作物」とは限らず、既存作品との類似性チェックは自社で必要です。ロゴ・広告ビジュアル・書籍のように第三者に配布する用途では、公開前に人が既存商標・著作物との衝突を確認する運用にしておきます。

図2: 著作権判定フロー。入力側は「他社著作物本文をコピペしない」、出力側は「規約の商用利用許諾＋人が類似性確認」の2ステップ。

個人情報を生成AIに入れないための実務ルール

個人情報の線引きは、「原則、生成AIには入れない」を既定ルールにするのが実務的です。個別に「これは入れていいか」と毎回判断する形にすると、判断が属人化して事故ります。

個人情報保護法の対象になるのは、氏名・生年月日・住所・電話番号・メールアドレスなど「特定の個人を識別できる情報」全般です。生成AIに顧客名簿を貼って「営業リストとして整形して」と指示すれば、それだけで個人情報の第三者提供に該当し得ます。個人情報保護委員会も生成AIサービス利用時の注意喚起を出しています（個人情報保護委員会：生成AIサービスの利用に関する注意喚起等）。

実務では次の3層で運用します。

• 第1層：原則入力禁止。顧客氏名・連絡先・購買履歴・従業員個人情報は、生成AIに入れない
• 第2層：匿名化して入力。分析や要約で必要な場合は、氏名→「A様」、企業名→「B社」に置換してから渡す
• 第3層：有料/法人版＋オプトアウト。どうしても入力が必要な業務は、学習利用オプトアウトが可能な有料/法人プランに一本化する

「うちの規模ならバレない」と無料版のチャットで顧客対応の下書きを作っていた企業が、後から情報漏えい事故として発覚するケースがあります。中小企業ほど、社内ルールを最初にシンプルに1枚のメモにまとめて、全員に配る方が事故を防げます。

自社の業務でどこに個人情報が入り込みやすいかの棚卸しを一度やっておくと、社内ルールの精度が変わります。棚卸しの進め方に迷ったら、記事末の初月無料の経営AI診断で、実際の業務フローを一緒に見ながら「入力禁止ライン」を決めていく形が早いです。

機密情報・営業秘密の扱いと利用規約のオプトアウト設定

機密情報・営業秘密の線引きは、利用規約の「入力データの学習利用」設定と、社内での分類ルールの2本立てで管理します。

生成AIサービスは、無料版・有料版・API・法人契約プランで、入力データの扱いが大きく違います。無料版は学習利用がデフォルトでオンの場合があり、社内の見積書・提案書・議事録をそのまま貼ると、モデルの学習データに混ざる可能性が残ります。有料版・法人契約・API経由は、多くのサービスで学習利用オプトアウトが既定オンになっていますが、契約プランとバージョンによって扱いが違うので、社内ルールにはサービス名とプラン名まで明記します（例：「ChatGPT Teamプラン」「Claude Pro」など）。

社内の機密情報分類は、次の3段で十分回ります。

• 公開情報（Webに載っている自社情報）：制限なし
• 社内限（Internal）（社員だけが見る資料・議事録）：有料/法人版でのみ入力可・オプトアウト必須
• 秘密（Confidential）（未公開の財務・戦略・M&A・特許・顧客との守秘契約対象）：生成AIに入れない

営業秘密は不正競争防止法の保護対象になり得るため、外部AIサービスへの入力は「秘密管理性」の主張が難しくなるリスクがあります。特許出願前の技術情報や、NDAで受け取った他社機密は、原則として生成AIには入れないルールにしておくのが安全です。

図3: 機密情報の3段分類とAI利用可否。この分類を1枚のメモで社内配布すれば、判断のブレが減る。

記事・画像・コードの生成物を業務利用するときのチェックポイント

生成AIの出力を業務で使うときは、「事実の裏取り」「既存作品との類似性」「表記の適正」の3点を人が確認してから公開・提出する運用にします。AI出力をそのまま出すと、法的リスクよりも先に、事実誤りや低品質による信頼低下で損をする場面が多いです。

記事・文章の出力では、AIは数値・固有名詞・法制度・日付を最も外しやすいので、これらは公開前に一次情報で必ず確認します。他社サイトと似た文章がAIから出ることもあるため、Webでの類似検索を軽く回すのも有効です。検索エンジンからも「AI丸投げの低品質コンテンツ」と扱われるリスクがあり、事実確認・自社視点の追加・トーン調整を人が入れるだけで結果的に品質と評価の両方が上がります。

画像の出力では、実在人物・既存キャラクター・ブランドロゴ・商標を含まない構図で生成させます。人物を含む画像は、AI生成の「架空の顔」がSNSで炎上する事例が出ているため、業務利用では顔を写さない構図（後ろ姿・手元・オブジェクト中心）に絞るのが安全です。

コードの出力では、AIが生成したコードにライセンス上の懸念があるコード片が混ざる可能性があります。オープンソースのコピペと判定される可能性が残るため、業務システムに組み込むコードは、①ライセンスチェックツールを通す、②人が読んでレビューする、の2段構えにします。

図4: 生成物別チェックポイント。全部の項目を毎回やる必要はないが、社内では1枚の表として掲示しておくと事故が減る。

中小企業が今日から始める3ステップの社内ルール整備

大掛かりなポリシー策定は不要です。中小企業なら、次の3ステップで今週から社内ルールを回せます。

ステップ1（今週）：現状の生成AI利用実態を把握する。誰がどのサービスを使っているか、無料版か有料版か、何を入力しているかを、匿名アンケートで1回だけ棚卸しします。ここで「実は営業担当がChatGPT無料版に顧客名簿を貼っていた」といった事実が見えることが多いです。

ステップ2（今月）：3領域の1枚メモを作って全員に配布する。①個人情報は入れない、②有料/法人プランに一本化、③生成物は人が確認してから外に出す、の3点を、A4 1枚にまとめて全社員に配ります。分厚いポリシー文書は作らない——読まれないため。

ステップ3（3ヶ月以内）：業務利用する生成AIサービスを有料/法人プランに集約する。無料版の個人アカウントで業務データを扱っている状態を、法人契約に切り替えて学習利用オプトアウトをオンにします。同時に、社内の機密情報3段分類を運用に載せます。

図5: 段階的整備の推奨順序。「棚卸し→1枚メモ→法人版集約」の順で進めると、抵抗少なく定着する。

3ステップの中で最も時間がかかるのはステップ3の法人契約への集約ですが、ステップ1・2は経営者の判断だけで今週動かせます。「うちの規模でどのプランに寄せるべきか」「どの業務が特に注意すべきか」の判断に迷う場合は、初月無料の経営AI診断（通常30万円相当）で、業務フローの棚卸しから社内ルール整備の順番まで、実データを見ながら一緒に組み立てられます。

関連記事

• AIアプリ本番化前のセキュリティ監査チェックリスト — 関連: 本番化直前のセキュリティ観点
• 生成AI×社内データのアクセス制御と権限設計の落とし穴 — 関連: 社内データを生成AIに接続する際のガバナンス
• 社内データとAIの境界線 どこまで渡してどこから守るか — 関連: 個人情報・機密情報の入力境界
• Claude Code安全利用ポリシーの作り方 — 関連: AI開発ツール導入時の社内ポリシー整備
• 中小企業のAIベンダー選定基準 — 関連: 有料/法人プラン集約時のベンダー選定観点