この記事で分かること／分からないこと
- 分かること: 経済産業省の契約ガイドラインがどのような構成で、どう改訂されてきたか
- 分かること: 自社が委託先向けRAGの権限をどう考えているか(テナント分離までで運用実績は無いこと)
- 分からないこと: 個々の契約・NDAの条件をシステム側でどこまで自動反映できるか
- 分からないこと: ガイドラインの契約条項例が自社の契約に使えるかの法的評価
編集部は法律の専門家ではなく、本記事は法的な助言ではない。契約条項の作成は、必要に応じて専門家に確認してほしい。
経済産業省の契約ガイドラインは何を整理した文書か
経済産業省は2018年6月、(1)データの利用等に関する契約と、(2)AI技術を利用するソフトウェアの開発・利用に関する契約について、課題・論点・契約条項例・考慮要素等を整理した「AI・データの利用に関する契約ガイドライン」を策定した(出所: 経済産業省「AI・データの利用に関する契約ガイドライン1.1版」策定について、https://www.meti.go.jp/press/2019/12/20191209001/20191209001.html、確認日2026-09-06)。データ利活用やAI技術開発の契約作成の手引きとして、国内実務で広く参照されていると記されている(出所: 同URL、確認日2026-09-06)。
2019年に「データ編」が改訂された経緯
2018年の不正競争防止法改正(2019年7月施行)により「限定提供データ」の不正取得・使用等に関する民事措置が創設されたことなどを受け、ガイドラインのデータ編がアップデートされ、2019年12月9日に「1.1版」として公表された。AI編はこの改訂の対象にはならず、別のPDFとして引き続き提供されている(出所: 同URL、確認日2026-09-06)。
委託先は社員と同じ粒度で権限を切れない
契約ガイドラインが整理するのは契約書の条項例だが、実際にRAGを委託先に開放する場面では、契約・NDAで定められた業務範囲そのものを文書アクセスの範囲として切り出す必要がある。社員向けの権限設計が部署・役職という組織構造を前提にできるのに対し、委託先はその外側にいるため同じ粒度を当てはめられない。詳細は委託先向け権限設計の記事で扱っている。
契約範囲を絞っても、回答自体は手元に残る
委託先向けの文書アクセスを契約の範囲に絞ったとしても、生成された回答自体は委託先の手元に残る。委託先がその回答を社外の別の場所に転記したり共有したりすることは、文書単位のアクセス制御の外側で起きる。契約条項の議論とシステム側の権限設計は、別の層の問題として両方を検討する必要がある。
自社の実装は契約先単位の分離までにとどまる
自社の実装は、契約先(テナント)ごとに索引を分離する構成であり、確定配信で参照する索引はテナントIDで分けて引く(出所: 自社の運用記録、確認日2026-09-06)。この構成は契約単位でデータを隔てるものであり、1契約の中で一部情報だけを委託先に開放する、より細かい粒度の権限管理までは対象にしていない。自社に委託先向けアクセス制御の運用実績は無い。
出力の検証責任は出力の検証責任の記事、事故後の報告手続きは事故対応手順の記事で扱う。相談はお問い合わせから編集部まで。
よくある質問
Q1. 「AI・データの利用に関する契約ガイドライン」とはどのような文書か
経済産業省が2018年6月に策定した、データ利用契約とAI技術の開発・利用契約の課題・論点・契約条項例・考慮要素を整理した文書である。国内の契約実務で広く参照されている。
Q2. このガイドラインは2019年にどう改訂されたのか
2018年の不正競争防止法改正を受け、「限定提供データ」に関する記述を反映したデータ編の改訂版が、2019年12月9日に「1.1版」として公表された。AI編はこの改訂の対象ではなかった。
Q3. 委託先向けの文書アクセスを契約の範囲に絞れば十分か
十分ではない。文書アクセスの範囲を絞っても、生成された回答自体は委託先の手元に残るため、含めてよい情報の範囲を別に検討する必要がある。
Q4. 自社では委託先向けのアクセス制御を運用しているか
運用していない。自社の実装はテナント単位の索引分離までで、より細かい粒度のアクセス制御は実装しておらず、運用実績も無い。