生成AI活用に伴う企業の法的リスクとAI利用ルールの整備 ― 情報漏えい（個人情報保護法・不正競争防止法の秘密管理性）、AI出力の誤りと法的責任、AIを悪用した詐欺への対策、AI推進法・AI事業者ガイドライン・会社法上の内部統制システム整備義務を踏まえたルール化の要点

生成AIの業務利用は、文書作成・要約・翻訳・問い合わせ対応など幅広い業務で急速に普及しています。他方で、当事務所へのご相談においても、従業員が顧客情報を外部の生成AIサービスに入力していた事案、AIが生成した資料の誤りが取引先に交付されていた事案、経営者を装った音声・映像による送金指示が実行された事案など、AIの利用に起因する損害が現実のものとなっています。これらの損害は、AI技術そのものの欠陥というより、社内に利用ルールが存在しない、または存在しても実効性を欠くことに起因する場合がほとんどです。本稿では、生成AI活用に伴う企業の法的リスクを、入力段階（情報漏えい）、出力段階（誤回答・権利侵害）、外部からの攻撃（AIを悪用した詐欺）の3つに整理したうえで、AI推進法・AI事業者ガイドライン・会社法上の内部統制システム整備義務を踏まえたルール整備の要点を解説します。

1. 生成AI活用に伴う法的リスクの構造

生成AIの業務利用に伴うリスクは、情報の流れに沿って3つの局面に分けて捉えると整理しやすくなります。第1に、従業員がプロンプトとして情報を入力する段階で生じる情報漏えい・秘密管理性喪失のリスク。第2に、AIが出力した文章・画像・数値を業務に用いる段階で生じる誤情報・権利侵害のリスク。第3に、外部の攻撃者がAIを悪用して自社を標的とする詐欺・サイバー攻撃のリスクです。

この3局面に共通するのは、損害が発生した場合の法的責任がAIではなく会社に帰属するという点です。AIは権利義務の主体ではなく、従業員がAIの出力を用いて行った対外的行為は会社の行為として評価され、AIの利用環境を整備しなかったことは取締役の体制整備義務の問題として評価されます。「AIが誤ったから」「従業員が勝手に使ったから」という説明は、対外的な責任を免れる根拠にはなりません。

2. 情報漏えいと秘密管理 ― 個人情報保護法・不正競争防止法の観点

(1) 個人情報を含むプロンプト入力の規律

個人情報取扱事業者は、個人情報の利用目的をできる限り特定し（個人情報保護法17条）、その範囲を超えて個人情報を取り扱ってはならず（18条）、個人データを第三者に提供する場合には原則として本人の同意を要します（27条）。個人情報保護委員会は、令和5年6月2日付「生成AIサービスの利用に関する注意喚起等」において、①個人情報を含むプロンプトを入力する場合には特定された利用目的を達成するために必要な範囲内であることを十分に確認すること、②本人の同意なく個人データを含むプロンプトを入力し、当該個人データが応答結果の出力以外の目的で取り扱われる場合には同法違反となる可能性があるため、サービス提供事業者が当該個人データを機械学習に利用しないこと等を十分に確認することを求めています。

実務上は、利用するサービスの利用規約・データ処理条件（学習利用の有無、保存場所・期間、削除の可否）を管理部門が確認したうえで、法人契約のサービスに利用を集約することが出発点となります。安全管理措置（23条）および従業者の監督（24条）の観点からも、個人アカウントの無料版サービスを業務に用いる状態を放置することは、それ自体が措置義務違反を問われ得る状態です。なお、令和8年7月17日に公布された改正個人情報保護法は、個人情報の違法な取扱い等によって財産上の利益を得た場合に個人情報保護委員会が課徴金の納付を命じる制度を新設しており（公布から2年以内に施行）、違反の経済的帰結は従来より重くなります。

(2) 営業秘密の秘密管理性

自社の技術情報・顧客情報等が不正競争防止法上の営業秘密として保護されるためには、秘密管理性・有用性・非公知性の3要件を満たす必要があります（同法2条6項）。経済産業省「営業秘密管理指針」（最終改訂：令和7年3月31日）は、生成AIの利用に関する記述を追加し、秘密管理されている情報を生成AIに利用した場合であっても、当該情報が社内で秘密管理されている限り、AI生成物として出力されたことの一事をもって秘密管理性が否定されることはないとする一方、当該情報が生成AI提供事業者等の第三者に提供される場合には秘密管理性が否定される場合もあり得ると注記しています。

すなわち、従業員が営業秘密を自由に外部サービスへ入力できる状態は、漏えいリスクにとどまらず、漏えい後の差止請求・損害賠償請求の前提となる法的保護そのものを失わせるおそれがあります。営業秘密の入力を、秘密保持条項と十分なセキュリティ措置を備えたサービスに限定すること、および入力可能な情報の区分を社内規程で明示することは、秘密管理意思を対外的にも示す措置として重要です。取引先との秘密保持契約（NDA）に基づき受領した情報については、契約上の目的外利用・第三者開示の禁止に抵触し得る点にも留意が必要です。

3. AI出力の誤りと法的責任

(1) 誤情報（ハルシネーション）の法的帰結

生成AIの応答は確率的な相関関係に基づいて生成されるため、存在しない法令・判例・統計を含む不正確な内容が出力されることがあります。個人情報保護委員会の前記注意喚起も、応答結果に不正確な内容が含まれるリスクを明記しています。従業員がAIの出力を検証せずに見積書・契約書・提案書・広告に用い、その誤りにより取引先や消費者に損害が生じた場合、会社は契約上の債務不履行責任（民法415条）、不法行為責任（民法709条）、従業員の行為についての使用者責任（民法715条）を負い得ます。広告表示に誤りがあれば、景品表示法上の優良誤認・有利誤認表示の問題も生じます。

海外では、航空会社のウェブサイト上のチャットボットが運賃の割引申請条件について誤った案内を行った事案において、2024年に現地の審判所が、チャットボットは別個の法的主体であり会社は責任を負わないとする会社側の主張を退け、会社に損害賠償を命じた例が報じられています。認容額自体は少額ですが、自社のウェブサイトやツールが提供する情報について会社が責任を負うという考え方は、わが国の法制でも同様に妥当します。

(2) 著作権侵害

文化庁は令和6年3月15日に「AIと著作権に関する考え方について」を公表し、AIの開発・学習段階（著作権法30条の4）と生成・利用段階を区別したうえで、生成・利用段階の著作権侵害は、通常の著作権侵害と同様に既存著作物への依拠性と類似性の有無によって判断されるとの整理を示しました。AI生成物を広告・商品・公表資料に用いる場合には、特定の作家・作品に似せる指示の禁止、公表前の類似性確認、生成物の利用範囲の限定といった運用上の措置が求められます。

4. AIを悪用した詐欺・サイバー攻撃への対策

警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）は、特集として「AIをめぐる脅威の情勢と警察の取組」を掲げ、生成AIを悪用してフィッシングサイトを改修していた被疑者の検挙（令和7年6月）、生成AIを悪用して作成した不正プログラムにより企業のサーバに約724万件の不正な指令を送信して会員情報を漏えいさせた少年の検挙（令和7年12月）、日本人を標的としたサポート詐欺グループが標的の特定・ポップアップの生成・日本語への翻訳に生成AIを悪用していた事実、感染先端末が利用する生成AIサービスを悪用して不正な命令を生成するマルウェアの確認などを報告しています。情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」（令和8年1月29日公表）においても、組織向け脅威として「AIの利用をめぐるサイバーリスク」が初選出で3位に位置づけられました。

経営者に直接関わるのが、ディープフェイクを用いた送金詐欺です。2024年には、香港において、財務担当役員等を装ったAI生成の映像・音声によるビデオ会議を信じた担当者が約2億香港ドルを送金した事案が現地警察の発表として広く報じられました。公開されている経営者の動画・音声から映像・音声を合成することが可能である以上、「本人が映像で指示した」という事実は送金の正当性を担保しません。

対策は、AIの真偽判定に依存するのではなく、送金・振込先変更の承認手続そのものを設計することにあります。具体的には、①指示を受けた経路と異なる経路（事前登録した電話番号への発信）による確認の義務化、②金額基準による複数名承認、③「至急」「内密」を伴う指示を一律に保留してよいとする明示のルール、④多要素認証の導入と取引先の口座変更に対する書面・公式窓口による裏付けの確認、が基本となります。これらは会社法上の内部統制システム（後述）の一部として位置づけるべき事項です。

5. ルール化の法的位置づけ ― AI推進法・AI事業者ガイドライン・会社法

(1) AI推進法

令和7年6月4日に公布され、同年9月1日に全面施行された「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号。いわゆるAI推進法）は、基本理念において、AI関連技術の研究開発及び活用が不正な目的又は不適切な方法で行われた場合には、犯罪への利用、個人情報の漏えい、著作権の侵害その他国民の権利利益が害される事態を助長するおそれがあることに鑑み、その適正な実施を図るための施策が講じられなければならないと定めています（3条4項）。また、AI関連技術を事業活動において活用しようとする「活用事業者」に対し、基本理念にのっとり、積極的な活用により事業活動の効率化及び高度化並びに新産業の創出に努めるとともに、国・地方公共団体の施策に協力することを求めています（7条）。同法は事業者に直接の罰則を伴う義務を課すものではありませんが、「活用は推進する、ただし適正に」という国の基本方針を示すものであり、企業のAI利用ルールもこの方向性に沿って設計することが求められます。

(2) AI事業者ガイドライン

総務省・経済産業省「AI事業者ガイドライン」（令和6年4月19日に第1.0版を公表。以後、Living Documentとして改訂）は、AI開発者・AI提供者・AI利用者の各主体に共通する指針として、人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティ等を掲げ、AI利用者に対しても、安全を考慮した適正利用、入力データや出力結果の適切な管理、関係者への情報提供等を求めています。法的拘束力はありませんが、企業が講ずべき措置の水準を判断する際の基準となり、事故発生時に善管注意義務の履行状況を評価する上でも参照され得ます。

(3) 会社法上の内部統制システムと取締役の義務

取締役会設置会社においては、取締役の職務の執行が法令及び定款に適合することを確保するための体制その他業務の適正を確保するために必要な体制（内部統制システム）の整備は取締役会の専決事項であり（会社法362条4項6号）、取締役会非設置会社においても取締役の決定事項とされています（348条3項4号）。取締役は会社に対して善管注意義務を負い（330条、民法644条）、任務懈怠により会社に損害を生じさせた場合には損害賠償責任を負います（会社法423条1項）。生成AIの利用が業務に定着している以上、入力情報の管理、出力の検証、送金承認の手続といったAI利用に関する体制整備を怠ることは、体制整備義務の問題として評価される可能性があります。

(4) 就業規則・秘密保持誓約書との連動

AI利用ルールを実効的なものとするには、就業規則の服務規律・情報管理規程・秘密保持誓約書と連動させ、違反行為に対する注意指導・懲戒処分の根拠を明確にしておく必要があります。懲戒処分は就業規則上の根拠規定と、行為の性質・態様に照らした相当性を要しますので（労働契約法15条）、禁止事項と処分の対応関係をあらかじめ規程化しておくことが重要です。

6. AI利用ルール整備の要点

以上を踏まえ、企業がAI利用ルールとして最低限定めるべき事項は次の5点です。

① 利用可能なツールと契約形態：法人契約のサービスに利用を集約し、入力データの学習利用オプトアウト・保存条件・ログ管理を管理部門が設定する。個人アカウントの業務利用を禁止する
② 入力情報の区分：個人情報・営業秘密・NDAに基づき受領した情報・未公開の財務情報等を入力禁止情報として区分し、匿名化・マスキングの基準を定める
③ 出力物の取扱い：対外的な文書・広告・契約書は人による最終確認を必須とし、法令・数値・固有名詞の裏付け確認および著作物・商標との類似性確認の責任者を定める
④ 送金・契約承認の手続：AIを悪用した詐欺を前提に、別経路による確認と金額基準の複数名承認を必須とする
⑤ 教育・相談窓口・定期見直し：全従業員への研修、判断に迷った場合の相談窓口、技術・法令・ガイドラインの変化に応じた定期的な見直し（年1回程度）を定め、就業規則・誓約書と連動させる

点検事項

① 業務で利用されている生成AIサービスを把握しているか（個人アカウント・無料版の利用実態を含む）
② 利用サービスの利用規約上、入力データの学習利用の有無・保存場所・削除条件を管理部門が確認し、法人契約に集約しているか
③ 個人情報・営業秘密・NDA情報・未公開の財務情報について、入力禁止の区分とマスキング基準が規程化されているか
④ AI生成物を対外的に用いる場合の最終確認者・確認項目（法令・数値・固有名詞・著作権）が定められ、確認記録が残る運用となっているか
⑤ 送金・振込先変更について、別経路による確認と金額基準の複数名承認が手続として定められ、経営者の指示であっても例外としない運用となっているか
⑥ AI利用ルールが就業規則・情報管理規程・秘密保持誓約書と連動し、違反時の懲戒の根拠が明確か
⑦ 全従業員への研修と相談窓口が整備され、実施記録が残っているか
⑧ 令和8年改正個人情報保護法（課徴金制度等）の施行に向けた対応スケジュールが検討されているか

よくあるご質問

Q. 無料版の生成AIを業務で使うことだけ禁止すれば足りますか。

A. 無料版・個人アカウントの禁止は出発点にすぎません。法人契約のサービスであっても、入力する情報の区分（個人情報・営業秘密・NDA情報の扱い）、出力物の確認手続、送金承認の手続が定められていなければ、情報漏えい・誤情報・詐欺のリスクは残ります。また、禁止事項のみを列挙したルールは現場で形骸化しやすく、利用可能な範囲と条件を具体的に示すことが実効性の確保につながります。

Q. 従業員がAIで作成した契約書や見積書に誤りがあり、取引先に損害が生じた場合、責任は誰が負いますか。

A. 従業員が業務としてAIを利用し、その出力を用いて取引先に交付した以上、対外的には会社が契約上の責任（民法415条）や不法行為責任・使用者責任（民法709条・715条）を負います。AIの提供事業者に対する責任追及は、利用規約上の免責条項により実際上困難な場合が多く、従業員個人への求償も、使用者から被用者への求償を信義則上相当と認められる限度に制限した判例（最高裁昭和51年7月8日判決）の趣旨から限定的に解されます。損害の発生を防ぐ体制を平時に整備することが、実質的に唯一の対策です。

Q. 経営者の声や映像を偽った送金指示で従業員が送金してしまった場合、会社はどう対応すべきですか。

A. 直ちに金融機関へ組戻し・送金停止を依頼し、警察への被害申告と証拠（メール・通話記録・会議の記録）の保全を行います。あわせて、同一手口による追加被害を防ぐため、全社への注意喚起と承認手続の即時見直しが必要です。被害の回復は容易でないことが多く、事前に別経路確認と複数名承認を手続化しておくことが最も有効な対策となります。従業員の責任追及については、手続が定められていなかった場合には会社側の体制の問題として評価される点にも留意が必要です。