AI導入を外部に任せるとき、委託先のセキュリティはどう確認する？——保存場所・アクセスできる人・再委託・データ削除・事故時の連絡の質問例

委託先のセキュリティは「どこに保存され、誰が触れ、いつ消えるか」の3点で確かめる

セキュリティ（情報を守るための仕組みや決まりごと）と聞くと、専門的な技術の話に思えるかもしれません。しかし、経営者が委託先に確かめるべきことは、技術の細部ではありません。自社が渡すデータについて、次の3つの問いにはっきり答えてもらえるかどうかです。

1. どこに保存されるか：データはどの会社のどの場所（サーバーやクラウドサービス）に置かれ、どの国にあるのか
2. 誰が触れるか：委託先の社員のうち誰が見られるのか、さらに別の会社（再委託先やAIサービスの提供会社）に渡るのか
3. いつ消えるか：どれくらいの期間保存され、契約が終わったらどう消されるのか

この3つに答えるには、委託先が自社のデータの流れを把握している必要があります。そこでおすすめなのが、最初の打ち合わせで「御社に渡したデータが、どこを通って、どこに保存され、いつ消えるかを1枚の図で示してください」と頼むことです。AIの仕組みでは、データが委託先のシステム、AIサービスの提供会社、保存用のクラウドなど、いくつもの場所を通ることがよくあります。図にしてもらうと、説明があいまいな部分がすぐに見えてきます。

確認する6つの項目と、安心できる答え・注意が必要な答え

委託先に確かめる項目は、次の6つにまとめられます。それぞれ、安心できる答えと、注意が必要な答えの目安を表にしました。

3つ目の「学習に使われないか」は、AIならではの確認項目です。法人向けサービスの選び方や設定、規約の見方は「社内データをAIの学習に使わせないには？」の記事で詳しく説明していますので、ここでは「委託先がこの点を自分の言葉で説明できるか」を確かめれば十分です。

表の中で、経営者が見落としやすく、後から問題になりやすいのが、2・4・5・6の4項目です。次のセクションから順に説明します。

「アクセスできる人」と「再委託」は、人の範囲と会社名で答えてもらう

アクセスできる人：人数ではなく「役割」と「記録」を確かめる

情報漏れの原因は、外からの攻撃だけではありません。データを見られる人が必要以上に多いことや、退職した人のアカウントが残っていることも、よくある原因になります。委託先には、次の点を確かめましょう。

• 自社のデータを見られるのは、どの役割の人か（構築の担当者だけか、営業やサポートも見られるのか）
• 誰がいつデータを見たかの記録（ログ）が残るか
• 担当者が替わったり退職したりしたとき、見る権限をすぐに外す決まりがあるか
• 委託先の社員が、自宅や私物のパソコンからデータを扱うことがあるか

また、委託先が自社のシステム（メールや共有フォルダ、販売管理など）につなぐ場合は、どの範囲まで中に入れるのかも決めておきます。「全部見られる管理者の権限」を渡すのではなく、AIの仕組みに必要な範囲だけに絞った権限を渡すのが基本です。

再委託：「協力会社」がどこなのかを書面に残す

再委託とは、依頼を受けた会社が、作業の一部をさらに別の会社に任せることです。AIの仕組みづくりでは、開発の一部を外部の技術者に頼むことは珍しくありません。再委託そのものが悪いわけではありませんが、自社のデータが知らない会社に渡ることになるため、次の点を確かめます。

• 再委託をするか、するならどの作業を、どの会社に任せるか
• 再委託先にも、委託先と同じ情報の扱いのルールを守らせるか
• 新しく再委託するときに、事前に自社の同意をとる決まりにできるか

なお、AIの仕組みでは、ChatGPTやClaudeのようなAIサービスの提供会社にもデータが送られます。これも広い意味では「データが渡る先」です。どのAIサービスを使い、そのサービスにどんなデータが送られるのかも、あわせて答えてもらいましょう。

顧客情報など個人情報の扱いを外部に任せる場合は、任せた側にも委託先をきちんと管理する責任があるとされています。具体的に何が求められるかは個人情報保護委員会などの公式情報で最新の内容を確認し、迷う場合は専門家に相談してください。

契約終了時のデータ削除と、事故が起きたときの連絡は、契約前に決めておく

契約終了時：返してもらうものと、消してもらうものを分ける

契約を結ぶときに、終わるときのことまで考えるのは気が進まないかもしれません。しかし、契約が終わってから「データを消してください」とお願いしても、どこに何が残っているのかを委託先しか知らない状態では、本当に消えたのか確かめようがありません。契約前に、次の3つを決めておきましょう。

1. 返してもらうもの：AIの仕組みのために整えた資料、設定した指示文、過去の処理結果など、自社で引き続き使いたいものを、どんな形式で返してもらうか
2. 消してもらうもの：委託先のシステム、バックアップ（予備の複製）、再委託先、AIサービスに残っているデータを、いつまでに消すか
3. 消したことの確認：削除が終わったことを、書面やメールで報告してもらうか

バックアップは見落としやすいポイントです。ふだん使う場所から消しても、予備の複製が一定期間残る仕組みになっていることがあります。「バックアップはいつ消えるのか」まで聞いておくと安心です。契約終了時にデータを返してもらえるかどうかは、乗り換えのしやすさにも関わります。費用面での見方は「AI導入の見積もりはどこを見て比べればよい？」の記事も参考にしてください。

事故時の連絡：期限・窓口・報告内容の3つを決める

情報漏れや、誤ってデータを消してしまうといった事故は、どれだけ気をつけていても起こる可能性があります。大切なのは、起きたときにすぐに知らされ、自社としてお客様への対応を始められることです。

• 期限：事故に気づいてから、どれくらいの時間で自社に連絡が来るか
• 窓口：委託先の誰から、自社の誰に連絡が来るか（夜間や休日も含めて）
• 報告内容：何が起きたか、どのデータが影響を受けたか、今どう対応しているか、再発をどう防ぐか

個人情報が漏れた場合などには、国への報告や本人への通知が必要になる場合があります。その判断と対応には時間がかかるため、委託先からの連絡が遅れると、自社の対応も遅れてしまいます。なお、AIの間違いによるミスが起きたときの責任の分け方は「AIを使った業務でミスが起きたら責任は誰にある？」の記事で説明しています。この記事では、情報の扱いに関わる事故の連絡に絞っています。

そのまま使える質問例と、契約前の確認チェックリスト

委託先との打ち合わせでは、次の質問をそのまま使ってください。口頭で答えてもらうだけでなく、メールや書面で回答をもらっておくことが大切です。

委託先への質問例

1. 「御社に渡したデータが、どこを通り、どこに保存され、いつ消えるかを、1枚の図で示していただけますか」
2. 「データを保存するサービスの名前と、保存される国や地域を教えてください」
3. 「当社のデータを見られるのは、御社のどの役割の方ですか。誰が見たかの記録は残りますか」
4. 「渡したデータや、AIへの入力内容が、AIの学習に使われない形になっていますか。そのことはどの契約や設定で確かめられますか」
5. 「作業の一部を別の会社に任せることはありますか。ある場合、相手先と任せる作業を教えてください」
6. 「契約が終わったとき、当社に返していただけるものと、その形式を教えてください」
7. 「契約終了後、バックアップも含めて、いつまでにデータを削除し、どのように報告していただけますか」
8. 「情報漏れなどの事故に気づいた場合、何時間以内に、誰から誰へ連絡をいただけますか」

すべての項目で満点の答えが返ってくるとは限りません。小さな委託先では、決まりごとが文書になっていないこともあります。その場合でも、質問に対して「調べてお答えします」「この案件ではこうします」と具体的に返してくれるかどうかで、情報の扱いに対する姿勢がわかります。

確認した内容は社内で記録し、導入後も年に1回は見直す

委託先の確認は、契約のときに一度行えば終わりではありません。AIの仕組みは、導入後に対象の業務を広げたり、使うAIサービスを変えたりすることがあります。そのたびに、データの流れも変わります。

社内での記録のしかた

委託先から受け取った回答は、委託先ごとに1枚の表にまとめて保存しておきましょう。項目は、この記事の6項目（保存場所・アクセスできる人・学習利用・再委託・契約終了時の削除・事故時の連絡）に、確認した日と確認した人を加えれば十分です。担当者が替わっても、どの委託先にどんな約束をしてもらったかがすぐにわかります。

見直すタイミング

• 年に1回：契約の更新前などに、6項目の回答に変わりがないかを確かめる
• 対象の業務やデータを広げるとき：顧客情報や人事情報など、より慎重に扱うべきデータを新しく渡す前に確かめる
• 委託先の体制が変わったとき：担当者の交代、再委託先の変更、使うAIサービスの変更があったときに確かめる

社内のAI利用のルールを作っている会社は、「外部に任せるときは、この6項目を確かめる」という一文をルールに加えておくと、確認が担当者まかせにならずに済みます。社内ルールの作り方は「AIの社内ルール（利用規定・ガイドライン）の作り方」の記事も参考にしてください。

当社はAI社員として、中小企業の業務に合わせたAIの仕組みづくりと、その後の運用をお引き受けしています。当社にご相談いただく場合も、この記事の質問をそのままお使いください。データの流れや保存場所、契約終了時の扱いまで、ご契約前に一つずつご説明します。料金は初期費用＋月5万円で、初期費用はヒアリング後にお見積もりします。「どんなデータを渡すことになるのか」を整理するところから、お気軽にご相談ください。