ChatGPTに契約書を入れる前のチェックリスト｜個人情報・営業秘密・NDA情報をどう扱うか

契約書レビューにChatGPTをはじめとする生成AIを使う場面は、企業法務の現場でも一般的になりつつあります。要約、論点抽出、コメント案の作成、修正文案のたたき台など、契約審査の補助として有用な使い方は多くあります。

一方で、契約書には、相手方の氏名や担当者情報、契約金額、価格条件、技術情報、NDAで授受した秘密情報、紛争・クレームに関する情報など、社外への持ち出しに慎重を要する情報が含まれます。これをそのままChatGPT等の外部AIサービスに入力すると、秘密保持義務、個人情報保護、営業秘密管理、契約上の目的外利用禁止、社内情報セキュリティ規程、AI利用ルールといった複数の観点で問題が生じ得ます。

本記事では、ChatGPTに契約書を入れる前に何を確認し、何をマスキングし、どこまで抽象化するか、また入力を避けるべき情報は何かを、企業法務担当者向けに整理します。あわせて、2026年3月31日に公表されたAI事業者ガイドライン第1.2版、同年4月9日に公表されたAI利活用における民事責任の解釈適用に関する手引き〔第1.0版〕、2026年4月7日に閣議決定された個人情報保護法改正案を踏まえ、AI出力を人間が確認することの重要性についても触れます。

まず結論：契約書をChatGPTに入れる前に「入力してよい情報か」を確認する

契約書をChatGPTに入力する前に確認すべき事項は、ひとことで言えば「その情報を外部AIに送ってよいか」です。具体的には、次の流れで確認します。

1. 契約書・資料の内容を分類する（一般条項か、固有情報か）
2. 相手方との秘密保持義務（NDAおよび契約本体の秘密保持条項）を確認する
3. 個人情報・要配慮個人情報が含まれていないか確認する
4. 営業秘密・ノウハウに該当する情報が含まれていないか確認する
5. AIサービスの利用規約・社内AI利用ルールを確認する
6. 必要に応じて、マスキング・匿名化・抽象化を行う
7. 入力後のAI出力を人間（法務担当者・関係部門）が検証する
8. 記録として残す場合、根拠と確認者を明確にする

AIは契約審査を代替する判断者ではなく、レビュー観点・コメント案・修正文案を整理する補助者として位置づけることが、後述するAI利活用における民事責任の手引き（補助／支援型AI）の整理とも整合します。

図解：契約書をChatGPTに入れる前の確認フロー

以下は、契約書・取引資料を外部AIに入力する場合の代表的なフローです。各ステップで「AIに任せやすいこと」と「人間が確認すべきこと」を分けて示します。

契約書をChatGPTにそのまま入力するリスク

契約書や取引資料をマスキング等の前処理なしにChatGPTに入力すると、次のようなリスクが具体化し得ます。

1. 秘密保持義務違反のリスク

契約本体の秘密保持条項や別途締結したNDAでは、相手方から受領した秘密情報を「契約目的の範囲内でのみ使用する」「第三者に開示・提供しない」と規定されていることが一般的です。外部AIサービスへの入力が、ここでいう「第三者提供」や「目的外利用」と評価され得るかは、入力先の事業者がデータをどう取り扱うか（学習利用の有無、保存、サブプロセッサーの存在等）と、契約の文言の解釈に依存します。AIサービスの利用形態によっては、慎重な検討を要します。

2. NDA対象情報の外部送信リスク

NDA本文そのもの、NDAで授受した秘密情報の中身、交渉経緯、相手方の名称や担当者名などをそのまま外部AIに入力する行為は、NDAの目的条項・第三者提供禁止条項に抵触する可能性があります。NDA上「第三者提供は事前書面同意を要する」等の規定がある場合は特に注意が必要です。

3. 個人情報・要配慮個人情報の入力リスク

契約書には、署名欄、担当者の氏名・メールアドレス・電話番号、別紙の個人データ、要配慮個人情報（健康情報、職歴詳細など）が含まれていることがあります。これらを外部AIに入力する場合、個人情報保護法上の利用目的の範囲、委託・第三者提供の整理、安全管理措置、国外移転に関する整理が問題となる可能性があります。

4. 営業秘密・ノウハウの秘密管理性への影響

不正競争防止法上の営業秘密は、秘密管理性・有用性・非公知性の3要件を満たす必要があります。営業秘密に該当し得る情報（顧客リスト、価格戦略、製造ノウハウ、技術仕様、ソースコード、事業計画等）を、社内承認なく外部AIに送信した場合、秘密管理性の評価に影響を与え得ると指摘されることがあります。

5. 契約上の目的外利用リスク

契約や取引基本契約の中には、「相手方提供資料を本契約の履行目的以外に使用してはならない」とする目的外利用禁止条項が含まれていることがあります。AIサービスへの入力が「目的外利用」と評価されるかは、契約の文言と利用態様に応じて判断する必要があります。

6. 社内情報セキュリティ規程違反リスク

多くの企業では、情報セキュリティ規程・データ取扱規程において、外部クラウドサービスへの社内データ送信、社外秘情報の取扱範囲が定められています。AIサービスもクラウドサービスの一形態として、社内規程の対象に含まれることが通常です。

7. AIサービス利用規約上のリスク

各AIサービスには、入力データの取扱い、学習利用の有無、データ保持期間、サブプロセッサー、地理的所在地等に関する規約があります。法人プラン・ビジネスプランと一般プランで取扱いが異なる場合も多く、利用者として規約を確認することが基本となります。

8. AI出力をそのまま使った場合の民事責任・注意義務リスク

AIが出力したレビュー結果には、存在しない条項を前提とした記載、引用の誤り、契約全体との不整合、取引実態とのズレが含まれることがあります。AI出力をそのまま契約審査結果として用いた結果、損害が生じた場合の責任関係は、後述するAI利活用における民事責任の手引きの整理を参考に検討する必要があります。

AI事業者ガイドライン第1.2版・民事責任手引きから見た注意点

AI事業者ガイドライン第1.2版（2026年3月31日公表）

総務省・経済産業省は、2026年3月31日にAI事業者ガイドライン（第1.2版）を公表しました。AI事業者ガイドラインは、AIの開発・提供・利用に関する基本的な考え方を整理した非拘束的なソフトローです。第1.2版では、AIエージェントやフィジカルAIといった新たな技術動向を踏まえたリスク整理、AIガバナンスの具体化、人間中心の原則に基づくHuman-in-the-Loopの考え方がより明確化されています。

契約書をAIに入力する場面では、AI利用者（事業者）として、特に以下の観点が参考になります。

• 入力データの管理（マスキング、入力範囲の限定、利用規約の確認）
• 人間による確認の介在（AI出力をそのまま判断結果としない）
• 説明可能性・トレーサビリティ（誰がいつ何を入力し、どう確認したか）
• 社内ルール整備（AI利用ガイドライン、情報セキュリティ規程との整合）
• リスクベースアプローチ（情報の機密度・案件の重要度に応じた取扱い）

AI利活用における民事責任の解釈適用に関する手引き〔第1.0版〕（2026年4月9日公表）

経済産業省は、2026年4月9日に「AI利活用における民事責任の解釈適用に関する手引き〔第1.0版〕」を公表しました。同手引きは、AIを利用して損害が生じた場合の民事責任について、現行法（民法709条の一般不法行為、製造物責任法3条等）の解釈の考え方を整理したものです。法的拘束力を持つものではなく、関係者の予測可能性を高めるための実務的な指針として位置づけられています。

手引きは、AIの利用形態を次の2類型に整理しています。

• 補助／支援型AI：AI利用者の判断の補助・支援としてのみ用いられ、最終的に人の判断・行動を介在させることが予定される類型
• 依拠／代替型AI：人の判断・行動の全部または一部を代替する前提で提供され、AIの出力に依拠して用いられることが予定される類型

手引きでは、補助／支援型AIに該当する想定事例として、配送ルート最適化AI、弁護士業務支援AI、画像生成AI、取引審査AIが取り上げられています。契約書AIレビューも、典型的には補助／支援型AIとして位置づけられる利用形態と整理することができます。

補助／支援型AIにおいては、AI利用者には、AIを使うかどうかにかかわらず、自身の職業・地位に応じた本来の注意義務のもとで適切な判断や行動を行うことが求められると整理されています。法務担当者がAIを使って契約書をレビューする場合も、AI出力をそのまま結果とするのではなく、法務担当者として本来求められる注意義務（条項の正確な理解、契約全体との整合性確認、取引実態に即した判断等）を果たす必要がある、ということになります。

個人情報保護法改正案を踏まえた慎重な姿勢

2026年4月7日、「個人情報の保護に関する法律等の一部を改正する法律案」が閣議決定され、第221回特別国会に提出されました。本改正法案には、課徴金制度の導入、特定生体個人情報（顔特徴データ等）の新設、こどもの個人情報保護、漏えい等の本人通知義務・報告義務の見直し、不適正利用・不正取得の禁止強化など、複数の重要な改正項目が含まれています。

課徴金制度については、対象となる行為類型が①不適正利用の禁止違反、②不正取得、③違法な第三者提供、④統計特例違反の4類型に絞り込まれており、さらに「相当の注意を怠った者でないと認められる場合」を除く、本人数1,000人を超える大規模事案、といった主観的要件・量的要件で限定されています。すなわち、通常の事業活動において直ちに課徴金が課される制度設計ではありませんが、大量の個人データを取り扱う事業者にとっては、内部統制・モニタリング体制を見直す契機となる改正と評価されています。

もっとも、個人情報を含む契約書・取引資料を外部AIに入力する場面では、施行を待つまでもなく、現行の個人情報保護法上の利用目的、委託、第三者提供、安全管理措置、国外移転といった既存の規律が当然に適用されます。改正法案が示す方向性（執行強化、企業のコンプライアンス体制強化への要請）も踏まえ、AI入力前の確認をより慎重に行うことが望ましい場面が増えていくと考えられます。

個人情報をAIで取り扱う実務については、次回（第27話）「個人情報対応にAIを使う方法」で詳しく扱います。

図解：入力可否判断マップ

契約書や取引資料を外部AIに入力する際の判断は、情報の性質に応じて3区分で整理することができます。

ChatGPTに入れる前に確認すべきチェックリスト

以下のチェックリストは、契約書・取引資料を外部AIに入力する前に、最低限確認すべき項目を整理したものです。社内ルール・案件特性に応じて項目を追加してください。

マスキング・匿名化・抽象化の違い

「マスキング」「匿名化」「抽象化」は似た言葉ですが、実務上の意味合いはそれぞれ異なります。場面に応じて使い分けることが、AI入力前の前処理の品質を左右します。

• マスキング：特定の情報（氏名、社名、金額等）を伏字・記号・仮名で置き換えること。レビュー観点を維持しつつ機密情報を外部送信しない目的に適しています。
• 匿名化：個人・会社・案件を識別できない状態にすること。個人情報保護法上の「匿名加工情報」「仮名加工情報」とは別の、実務上の用語として使われることが多い点に注意します。
• 抽象化：具体的事実を一般化し、論点・条文構造のみを残すこと。「ある業務委託契約において、再委託禁止条項の例外規定の妥当性が論点」といったレベルまで抽象化すれば、固有情報をほぼ含まずにAIに相談することが可能です。

契約書レビューの場面では、すべてを抽象化すると具体的なコメント案が得にくくなる一方、マスキングが不十分だと機密情報が外部に出てしまいます。条項の性質ごとに、どこまで具体性を残すかを設計することが実務的な工夫です。

図解：マスキング対象マップ

契約書レビューでマスキング対象になりやすい情報を、カテゴリ別に整理します。「なぜ伏せるか」「どう伏せるか」をあわせて記載します。

契約書類型別：入力前に注意すべき情報

契約書の類型ごとに、含まれやすい機密情報と入力前の対応の典型例を整理します。実際の案件では、案件特性や相手方との関係に応じて個別に判断してください。

NDA情報をChatGPTに入れるときの注意点

NDA（秘密保持契約）の対象情報は、相手方から「秘密情報」として受領した情報である可能性が高く、契約上、第三者提供・目的外利用・外部送信が制限されているのが通常です。AIサービスへの入力が「第三者提供」「目的外利用」「外部送信」と評価されるかは、AIサービスの仕様（学習利用の有無、データの保存・取扱い）と、NDAの文言の解釈に依存します。

実務上、NDA関連で特に注意すべき情報は次のとおりです。

• NDA本文そのもの：NDA自体に守秘義務が課されているケースがあります。
• 秘密情報の中身：技術情報、事業計画、財務情報、顧客情報など。
• 交渉経緯・ドラフト履歴：相手方の主張内容や妥協ライン。
• 相手方名・担当者名：取引関係の存在自体が秘密扱いの場合があります。

原則としてマスキング・抽象化を行い、案件の重要度に応じて社内承認・弁護士確認を経るプロセスを設計することが望ましいといえます。

営業秘密をChatGPTに入れるときの注意点

不正競争防止法上の営業秘密は、秘密管理性・有用性・非公知性の3要件を満たす情報を指します。秘密管理性は、情報にアクセスできる者を限定し、客観的に秘密として管理されている状態であることを意味します。

営業秘密に該当し得る情報を外部AIに送信する場合、社内承認なく、あるいは社内規程に反する形で送信したとの評価がなされると、秘密管理性の判断において不利に働く可能性が指摘されています。営業秘密管理規程・情報セキュリティ規程との整合を確認する必要があります。

典型的に入力を避けるべき情報の例：

• 顧客リスト、価格戦略、原価情報
• 製造ノウハウ、レシピ、工程設計
• 未公開の技術情報、設計図、ソースコード
• 事業計画、買収候補リスト、開発ロードマップ

営業秘密管理にAIをどう使うかについては、別記事「営業秘密管理にAIを使う方法」で扱っています。

個人情報をChatGPTに入れるときの注意点

契約書には、個人名、メールアドレス、電話番号、署名印影、勤務先情報、別紙としての従業員リスト・顧客データなどが含まれることがあります。これらを外部AIに入力する場合、現行の個人情報保護法上の以下の論点を確認することが基本となります。

• 利用目的：取得時の利用目的の範囲内か。
• 委託・第三者提供：AIサービス事業者への提供は委託として整理されるか、第三者提供に該当するか。
• 安全管理措置：入力経路・保存・アクセス権限の管理。
• 国外移転：AIサービスがデータを国外で処理する場合の整理。
• 漏えい等への備え：万一の漏えい時の対応フロー。

2026年4月7日に閣議決定された改正法案では、課徴金制度の導入や、特定生体個人情報（顔特徴データ等）の新設、こどもの個人情報保護等が盛り込まれており、個人情報を含むデータの取り扱いは、より慎重な管理が求められる方向にあります。改正法案は施行を待つ段階ですが、その方向性を踏まえ、契約書に含まれる個人情報のAI入力については、伏字化や入力範囲の限定をより丁寧に検討することが望ましい場面が増えると考えられます。

個人情報をAIで実務的に扱う方法については、第27話「個人情報対応にAIを使う方法」で改めて整理します。

契約金額・価格条件・取引条件をChatGPTに入れるときの注意点

金額・価格表・見積書・値引き条件・支払条件は、営業上重要な情報であり、競争上の情報や交渉情報としての性質を持ちます。実務上は、AIに入れる前に次のような前処理が行われることが多くあります。

• 仮数値化：「X円」「Y%」と置き換える。
• レンジ化：「数千万円規模」「概ね10〜20%」など範囲表記にする。
• 伏字化：「[金額]」「[支払条件]」とプレースホルダー化する。

下請法、購買コンプライアンス、独占禁止法上の優越的地位濫用などが論点となる資料では、特に取扱いに注意が必要です。これらの法的論点はAIに整理させること自体は有用ですが、具体的な数値や取引先名を伴う形で入力する必要があるかは慎重に検討してください。

図解：契約書AIレビューでAIに任せやすいこと・人間が判断すべきこと

AI事業者ガイドラインの「人間中心」、民事責任手引きの「補助／支援型AI」の整理を踏まえると、契約書レビューでAIに任せやすいこと、人間が判断すべきことは、おおむね次のように整理できます。

AI出力を契約審査結果として使う前のチェックポイント

AI出力には、もっともらしい誤りが含まれることがあります（いわゆるハルシネーション）。AI出力を契約審査結果として用いる前に、少なくとも次の項目は人間が確認することが望ましいといえます。

• □ AIが存在しない条項を前提にしていないか
• □ 条文番号・条項引用が契約書本文と一致しているか
• □ 契約全体の文脈と整合しているか（他条項との矛盾がないか）
• □ 取引実態とズレた前提を置いていないか
• □ 引用している法令・ガイドラインが最新の内容か
• □ 相手方との交渉方針・社内方針に沿っているか
• □ コメントが過剰または過少になっていないか
• □ 修正文案が他の条項と矛盾しないか
• □ 機密情報を含む出力を社外に共有していないか
• □ 最終確認者・確認日時が記録されているか

契約書をAIに入れるときのプロンプト設計

契約書AIレビューでAIの出力品質を高めるためには、プロンプト設計（指示の書き方）が重要です。最低限、以下の方針を意識すると、後工程の確認負荷が下がります。

• マスキング済みであることをプロンプトに明記する
• AIに法的判断を断定させない（「要確認」「論点として整理」と出させる）
• 不明点・前提を明示させる
• 修正文案は複数レベル（強め・中間・弱め）で出させる
• コメント案と修正文案を分けて出力させる
• 契約当事者名・金額等を出力で復元しないよう明示する
• 必要に応じて参照すべき条文・ガイドラインを示す

図解：契約書AIレビューのプロンプト活用フロー

契約書AIレビューでは、目的別に複数のプロンプトを段階的に使うと、出力の品質と確認のしやすさが向上します。

プロンプト例1：入力前チェック

契約書本文をまだ入力しない前提で、入力可否の整理だけをAIに依頼するプロンプトです。

あなたは企業法務担当者を支援する立場です。
これから外部AI（ChatGPT等）に契約書を入力する予定ですが、
入力前に、入力してよい情報、マスキングすべき情報、
入力を避けるべき情報を整理してください。

確認観点：
- 個人情報、要配慮個人情報
- 営業秘密、ノウハウ
- NDA対象情報
- 契約金額、価格条件
- 取引先名、担当者名
- 未公表情報、紛争情報
- 社内情報セキュリティ規程
- AIサービスの利用規約

契約書本文そのものはまだ入力しません。
出力形式：情報項目／リスク／推奨対応／確認先 の表形式。
最終判断は法務担当者が行う前提で、判断材料の整理に
とどめてください。

プロンプト例2：マスキング方針作成

以下の契約書類型に対し、AI入力前のマスキング方針を
整理してください。契約書本文はまだ入力しません。

【契約書類型】業務委託契約（システム開発、再委託あり）

整理項目：
1. マスキング対象（個人名／会社名／金額／技術情報等）
2. マスキング方法（仮名化／レンジ化／削除等）
3. マスキング後も残してよい情報（条項の構造・論点）
4. 注意点（伏せ漏れが起きやすい箇所）

出力は表形式。
「マスキングすれば常に安全」とは記載しないでください。
最終確認は人間が行う前提で整理してください。

プロンプト例3：マスキング済み契約書レビュー

以下は、当事者名・金額・固有情報をマスキング済みの
業務委託契約ドラフトです。
レビュー観点を整理し、コメント案と修正文案を出してください。

【レビュー観点】
- 契約目的の明確性
- 業務範囲・成果物の特定
- 再委託の取扱い
- 検収・支払条件
- 個人情報・秘密保持
- 解除・損害賠償
- 反社条項・コンプライアンス

【出力形式】
1. 条項ごとの要約（1〜2行）
2. リスク観点（高／中／低）と理由
3. コメント案（社内検討用）
4. 修正文案（強め／中間／弱めの3パターン）
5. 要確認事項（人間が判断すべき点）

【制約】
- 法的判断を断定しない
- 不明点は「要確認」と明示する
- 当事者名・金額等を出力で復元しない

【契約書本文】
（ここにマスキング済み本文を貼り付け）

プロンプト例4：AI出力検証

以下は、契約書AIレビューで得たAI出力です。
このAI出力を契約審査結果として使う前に、確認すべき
チェックポイントを整理してください。

確認観点：
- 存在しない条項を前提にしていないか
- 条文番号・引用が正しいか
- 契約全体と整合しているか
- 取引実態とズレていないか
- 法令・ガイドラインが最新か
- コメントが過剰／過少でないか
- 修正文案が他条項と矛盾しないか

出力は、確認項目／確認方法／確認者の表形式。
「AIが出力したから正しい」という前提は置かないでください。

【検証対象のAI出力】
（ここにAI出力を貼り付け）

プロンプト例5：社内記録化

以下のAI契約書レビューについて、社内記録用の
サマリーを作成してください。

記録項目：
- 案件名（マスキング後）
- 契約書類型
- 入力範囲（どの条項・どの範囲を入力したか）
- マスキング項目と方針
- 使用したAIサービスとプラン
- 確認者・確認日
- AI出力の利用範囲（社内のみ／相手方共有予定）
- 残課題・要確認事項
- 次のステップ

出力はWord/Excelに貼り付けやすい表形式。
「AIに任せたから安心」という表現は使わないでください。

【AIレビュー内容のサマリー】
（ここに概要を貼り付け）

契約書AIレビュー専用プロンプト集を使うメリット

契約書AIレビューにあたっては、毎回ゼロからプロンプトを設計するよりも、目的別のプロンプトテンプレートを用意しておくことで、レビューの品質と効率が安定します。契約書AIレビュー専用プロンプト集は、要約、リスク抽出、コメント案、修正文案、要確認事項を分けて出力させる設計になっており、マスキング済み契約書を入力する前提で使いやすいよう構成されています。

もっとも、プロンプト集を使えば法的判断が完成するわけではありません。AI出力を確認し、最終的な契約審査結果を判断するのは、引き続き法務担当者・責任者の役割です。プロンプト集は、その判断を支える「レビュー指示の型」を提供するものとして位置づけてください。

LegalOS マスキングとプロンプト集の使い分け

AI入力前の前処理と、AI入力後のレビュー指示は、目的が異なります。それぞれに対応する商品の位置づけを整理します。

この3つの使い分けの詳細は、第28話「法務AIプロンプト集とLegalOS マスキングの使い分け」で扱います。

契約書入力前チェックリストが向いている人・向いていない人

注意点：契約書AIレビューは「入力前」と「出力後」の両方が重要

契約書AIレビューの実務では、「入力前」と「出力後」の双方が重要です。どちらか一方だけ整えても、トータルでは十分なリスク管理になりません。

• 入力前：何を入力するか、何を伏せるか。秘密保持義務・個人情報・営業秘密・社内ルール・利用規約の確認。
• 出力後：AI回答が正しいか、契約全体と整合するか、最新法令と整合するか、最終的な契約審査結果として使ってよいか。

入力前だけ整えても、AI出力をそのまま使えば誤判断のリスクがあり、出力後だけ確認しても、入力時に秘密情報を漏らせばコンプライアンス上の問題が残ります。AI事業者ガイドライン第1.2版が示すAIガバナンス、民事責任手引きの「補助／支援型AI」の枠組みが示すように、人間による確認と記録化を入力前・出力後の両方に組み込むことが基本姿勢です。

まとめ

• ChatGPTに契約書を入れる前には、個人情報、要配慮個人情報、営業秘密、NDA対象情報、契約金額、取引先名、未公表情報の有無を確認する。
• そのまま入力しやすい情報、マスキングすれば入力検討可能な情報、原則として入力を避けるべき情報を分けて整理する。
• マスキング・匿名化・抽象化は目的が異なる。条項の性質に応じて使い分ける。
• 契約書レビューでAIを使う場合も、AIは判断者ではなく補助者であり、最終的な契約審査結果の判断は法務担当者・責任者、必要に応じて弁護士が行う。
• AI事業者ガイドライン第1.2版（2026年3月31日）、AI利活用における民事責任の解釈適用に関する手引き〔第1.0版〕（2026年4月9日）、個人情報保護法改正案（2026年4月7日閣議決定）が示す方向性を踏まえ、AI入力・AI出力の管理と記録化を社内運用に組み込む。
• 入力前の前処理にはLegalOS マスキング、AIレビュー指示には契約書AIレビュー専用プロンプト集、契約審査以外も含めた法務AI活用には法務AIプロンプト100選、という役割で使い分けると整理しやすい。
• 次回（第27話）は「個人情報対応にAIを使う方法」を扱う予定です。