ざまくりプランツざまくりプランツZAMAKURI PLANTS

AI導入 / 2026-08-04

生成AIサービスの選び方：調達・契約で確認する実務チェックリスト

データ、権限、知財、変更、終了条件まで含めて生成AIサービスを比較・契約する10項目。

生成AIサービスの比較では、モデル性能や料金だけが目立ちます。しかし業務利用では、データの扱い、権限、知的財産、サービス変更、事故対応、終了時の移行まで確認しなければ、導入後に使えないことがあります。

デジタル庁は2026年6月、政府向けの「生成AIの調達・利活用に係るガイドライン」第2.0版を公表しました。対象や法的義務は組織によって異なりますが、調達と利活用を分けず、ガバナンスやリスク管理と一体で考える視点は民間の選定にも参考になります。経済産業省は、AI・データの利用に関する契約ガイドラインや、AIの利用・開発に関する契約チェックリストを公開しています。

本記事は一般的な調達観点の整理であり、個別の法務、個人情報、契約、著作権判断や導入成果を保証するものではありません。実際の条項と適用条件は所定の専門担当者が確認してください。

まず「サービス」ではなく「利用条件」を定義する

提案依頼や比較表を作る前に、次を明確にします。

  • 対象業務と利用者
  • 扱うデータ区分
  • 外部公開や意思決定への利用有無
  • 必要な連携と権限
  • 品質・安全性の合格基準
  • 保存・監査・削除の要件
  • 中止・移行の条件

要件が曖昧なままでは、高機能な製品を選んでも安全に使えるか判断できません。

調達・契約の10項目

1. 対象製品と提供範囲

法人向け画面、API、追加機能、外部コネクタなど、契約対象を特定します。無料版や個人向けプランを前提に評価しないようにします。

2. 入力・出力データの利用

モデル学習、品質改善、人手レビューへの利用有無、オプトアウト、設定範囲を確認します。営業説明ではなく契約文書と管理画面で照合します。

個人データを扱う場合は生成AIと個人情報の入力前確認も行います。

3. 保存、削除、データ所在地

保存期間、削除依頼、バックアップ、ログ、データの保存・処理地域を確認します。組織の法令・契約・顧客要件と合うか判断します。

4. アクセス管理

SSO、多要素認証、役割、管理者権限、退職者の無効化、共有制御、監査ログを確認します。

5. セキュリティとインシデント

第三者認証だけでなく、対象サービスの範囲、脆弱性対応、侵害通知、ログ提供、責任分担を確認します。認証取得は無事故の保証ではありません。

技術・運用統制の確認は生成AIのセキュリティ対策で具体化します。

6. 知的財産と補償

入力・出力の権利、利用許諾、第三者請求への対応、補償条件と除外を確認します。「出力は利用者のもの」という表現だけで、非侵害が保証されるとは限りません。

7. サービス変更

モデル、機能、利用上限、価格、規約、データ処理条件の変更通知と、受け入れられない場合の選択肢を確認します。

8. 品質と制限

対応言語、文脈長、可用性だけでなく、用途別の評価を自社データで行えるか、制限事項が文書化されているかを確認します。

9. サブプロセッサと外部連携

再委託先、プラグイン、モデル提供者、検索基盤など、データへ触れる関係者を把握します。変更通知も確認します。

10. 終了と移行

データ、設定、プロンプト、評価結果をエクスポートできるか、終了後に削除されるか、業務を代替手順へ戻せるかを確認します。

比較表に「不明」を残す

ベンダー回答がない項目を、推測で「対応」としません。CONFIRMED、UNVERIFIED、NOT_APPLICABLEを分け、重要なUNVERIFIEDが残る場合は契約条件、追加確認、利用範囲の制限で対応します。

契約後の検収

契約締結を完了とせず、管理者設定、権限、データ制御、ログ、削除、インシデント窓口を実環境で一度確認します。営業資料と実設定が一致しない場合は、利用開始前に解消します。

まとめ

生成AIの調達は、性能比較ではなく「自社の利用条件を、契約と実設定で満たせるか」の確認です。データ、権限、知財、変更、終了までを最初から比較表へ入れると、導入後の手戻りを減らせます。

Sources