外注先が使うAIはどこまで確認する？発注会社が決める情報の境界

自社ではAIに入力しないと決めている資料を、外注先にはそのまま渡している。もしそうなら、外注先でどう処理されるかまで確認したいです。

「AIは使っていますか」と聞くだけでは、判断材料が足りません。公開されている文章の整理に使うのか、顧客情報を含むファイルを読み込ませるのか。同じ「使う」でも、話が違います。

私なら、AIという道具の名前より先に、今回渡す情報がどこまで移るのかを確認します。相手の作業を細かく監視したいのではなく、自社が預ける情報の条件を決めるためです。

一律禁止より仕事ごとの境界を決める

たとえば、自社サイトで公開している文章の表記を揃える依頼と、未公開の事業計画を分析する依頼を考えてください。説明用の想定で、特定企業の事例ではありません。

前者でAIの使用を認められても、そのまま後者へ広げてよいとは限りません。資料の性質、契約上の制約、扱う目的が違うからです。

外注先の「法人向けのAIを使っています」という説明も入口にとどめます。その契約が何を認め、どんな設定で、どの情報を処理するのかを聞きます。法人向けという呼び名だけで、自社の条件を満たすと判断しません。

扱いの条件が分からない資料は、合意ができるまで渡さない。公開情報だけで先に進められる作業があれば、そこを分けて依頼する。全部を止めるか、全部を任せるかの二択にする必要はありません。

情報の行き先を一段先まで聞く

自社から外注先へ渡した資料が、外注先のAIサービスへ送られる。さらに別の連携機能を使うなら、その先へ情報が移る場合も考えておきます。

次の図は、確認する範囲の見取り図です。利用条件を合意する相手は、自社が仕事を発注する外注先です。その外注先が使うAIや保存先まで、必要な情報を確認します。

確認する項目は、仕事に合わせて絞ります。利用するサービスと契約、入力する資料、保存先、ほかの人や外部機能からアクセスできる範囲、作業後の情報の扱いです。

外注先が詳しくない項目を、こちらも分からないまま承認しないことです。公式の契約条件を調べたり、管理者に確認したりする必要があれば、相手の確認事項として残します。「有名なサービスだから大丈夫」は、今回の依頼の条件の説明にはなりません。

個人情報保護委員会は、生成AIへ入力する情報に応じ、利用規約やプライバシーポリシーなどを確認して利用を判断するよう注意喚起しています。外注する場合も、実際に使う条件を把握する参考になります。個人情報保護委員会：生成AI利用の注意喚起

渡さなくてよい資料を先に外す

確認項目を増やす前に、そもそも全部の資料が必要か考えます。完成物に不要な顧客名や社内情報まで一緒に渡していないでしょうか。

たとえば、デザインの構成を相談する段階なら、実際の顧客データではなく、内容を置き換えたサンプルで進められるかもしれません。必要な部分だけ抜き出す、対象期間を絞るといった方法も検討できます。

ただし、名前を消せば何でも安全になるとは言いません。ほかの情報と組み合わせると、誰の情報か分かることも考え、加工後の内容を確認します。法的な意味で匿名化できたと、独自に決めつけないことです。

資料を減らしても仕事が成立するなら、その方が確認する範囲も小さくなります。私が先にやりたいのは、長い禁止事項を作ることより、渡す必要のない情報を外すことです。

変更は納品後ではなく実行前に分かるようにする

最初に確認したAIサービスを、途中で別のものへ替えることもあるでしょう。作業をする人が増えたり、別の会社へ一部を頼んだりする場合もあります。

その変更が自社の資料の扱いに影響するなら、事前にどんな連絡が必要か決めます。毎回すべての操作の許可を求めるのではなく、合意した範囲から外れる変更を明確にします。

たとえば、認めた資料を、認めた契約の範囲で処理する通常作業と、別のサービスへ資料を移す変更を分けます。再委託の条件や個人データの取扱いについては、実際の契約や法令に照らして確認が必要です。

「変更があれば相談してください」だけでは、相手が何を変更と考えるか分かりません。サービス、利用者、目的、保存先など、今回の依頼で連絡が必要な変更を挙げて合意します。

AIが作ったものも納品物として確認する

AIを使用しているから、間違いは仕方がない。そういう納品条件にする必要はありません。何を納品し、どの条件を満たすかは、使用する道具とは分けて話せます。

文章なら、必要な事実の確認や出典の記録を誰が行うか。データ処理なら、元の資料と結果をどう照合するか。コードなら、どこまで動作を確認して引き継ぐか。依頼する仕事に即して決めます。

私は、AIを使った作業時間の長さより、納品物を受け取った後に自社で何をしなければならないかを見ます。全部の調査や確認が発注側へ戻ってくるなら、その前提で費用と担当者を用意する必要があります。

外注先ができる確認と、自社しか判断できない方針を分けておくと、やり取りも具体的になります。外部の仕様を調べる仕事まで、自社の「判断待ち」にしないことです。

終了時に残る情報を確認する

納品が終わった時点で、何を返し、何を削除し、何を一定期間残すか。契約前に扱いを決め、終了時に確認する形を勧めます。

削除の対象は作業用ファイルだけでよいのか。連携の権限は残っていないか。継続利用する成果物に必要な設定や資料を自社が受け取れているか。完成品が届いたこととは別に確認します。

サービス側の保持やバックアップの条件まで、外注先が即時に変えられるとは限りません。できないことを削除済みと報告させるより、削除できた範囲と、条件上残る範囲を分けて説明してもらいます。

問題が判明したときの連絡先も残します。契約が終わったから連絡できない、という状態を避けるためです。どの連絡が契約上必要かは、個別に確認してください。

外注先のAI利用を確認する目的は、新しい道具を止めることではありません。自社が渡す情報と、相手に完成させてほしい仕事を、説明できる状態にすることです。

道具の選び方は相手の専門性を頼ってよいと思います。ただし、情報をどこへ渡してよいかまで、説明なく丸ごと任せる必要はありません。境界を合意してから、仕事を任せましょう。