AI契約レビューは安全？法的リスクを5分で判定するチェックと基準

① 事実認定チェックリスト｜10項目で一次スクリーニングする

下記10項目を「YES／NO／不明」で確認してほしい。 NOや不明があるから直ちに違法になるわけではない。 重要なのは、法的評価に必要な事実が確認できているかを把握することである。

• AI契約レビューが自社業務の補助なのか、第三者に有償で契約レビュー・法的評価を提供するサービスなのかを区別している
• 入力する契約書に個人情報・個人データ・営業秘密・技術情報・価格情報・未公表情報・NDA対象情報が含まれるか確認している
• 利用規約・プライバシーポリシー・法人契約等により、入力データの学習利用・サービス改善利用・人による閲覧等を確認している
• 入力データの保存期間・削除方法・アクセス権限・再委託先・処理地域・秘密保持等の条件を確認している
• 個人データを入力する場合、AIサービス提供者がその個人データを取り扱う契約・実態なのかを確認している
• NDA・秘密保持条項上、外部AIサービスへの入力が許容されるかを確認している
• AIが示した法令・条番号・判例・契約解釈・修正文案について、案件の重要性に応じて人が検証している
• 定型NDAとM&A・紛争案件等で、AIへの依存度や人による確認水準を変えている
• 承認済みAI、入力禁止・要承認情報、エスカレーション、インシデント報告等の社内ルールがある
• 重要案件について、必要な範囲で利用サービス・主要入力条件・AI出力・人による修正や承認等の記録を残している

② 判定｜「適法・違法」ではなく確認優先度を決める

③ 法的評価｜6つの法令・ガバナンス軸で整理する

(1) 弁護士法72条｜自社利用と外部へのサービス提供を分けて考える

弁護士法72条は、弁護士又は弁護士法人でない者が、報酬を得る目的で、法律事件に関して鑑定、代理、仲裁、和解その他の法律事務を取り扱い、又はその周旋をすることを業とすることを原則として禁止している。

法務省が公表した資料の正式名称は 「AI等を用いた契約書等関連業務支援サービスの提供と弁護士法第72条との関係について」 である。 同資料は、AI等を用いた契約書等関連業務支援サービスの「提供」と72条との関係について、事業者の予測可能性を高めることを目的とする資料である。

したがって、自社の法務担当者がAIを補助ツールとして利用する場面は、第三者向けにAI契約レビューサービスを提供する場面とは事実関係が異なる。 もっとも、ここから直ちに「自社利用なら72条の構成要件を絶対に満たさない」と一般化することも適切ではない。

特に次のような場合は個別確認が必要になる。

• 他社・グループ会社に契約レビューをサービスとして提供している
• サービス提供と対価との関係が認められる
• 紛争・和解等の事件性の高い案件を扱う
• 個別具体的な法的判断を反復継続して第三者へ提供する

※法務省資料は弁護士法72条の適用に関する行政上の整理であり、個別案件における最終的な法解釈・適用は具体的事実関係に基づいて判断される。

(2) 個人情報保護法｜入力データとAI事業者の取扱いを確認する

生成AIに個人情報を入力する場合、まず利用目的との関係を確認する必要がある。 個人情報保護委員会の「生成AIサービスの利用に関する注意喚起等について」では、個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合、利用目的の達成に必要な範囲内で利用すること等が求められている。

また、本人同意を得ずに個人データを入力する場合には、生成AIサービス提供者が当該個人データを回答生成以外の目的、例えば機械学習等に利用しないこと等を十分に確認する必要がある。 利用規約やプライバシーポリシー等の確認が重要である。

2026年8月14日時点の現行個人情報保護法では、主な条文は次のとおりである。

特に重要なのは、AIサービス提供者が個人データを「取り扱う」契約・実態なのかという点である。 個人情報保護委員会Q&Aでは、クラウドサービスに個人データが保存されることだけで直ちに第三者提供や委託に該当するのではなく、サービス提供事業者が当該個人データを取り扱うこととなっているかを基準に判断すると整理されている。

したがって、「個人データを生成AIに入れた＝常に第三者提供」でも、「学習OFF＝個人情報保護法上問題なし」でもない。 契約、アクセス制御、二次利用、保存、利用目的、処理場所等を具体的に確認する必要がある。

※令和8年改正個人情報保護法は2026年7月17日に公布されているが、主要部分は公布から2年以内の政令で定める日から施行される。2026年8月14日時点では、現行法を基準に評価しつつ、今後の政令・規則・ガイドライン整備を継続確認する必要がある。

(3) 不正競争防止法｜生成AIへの入力だけで営業秘密性が消えるわけではない

不正競争防止法上の「営業秘密」として保護されるためには、一般に ①秘密管理性、②有用性、③非公知性 の3要件が必要である。

2025年3月改訂の経済産業省「営業秘密管理指針」は、不正競争防止法上の営業秘密として法的保護を受けるために必要となる最低限の水準の対策を示すものとして位置付けられている。 また、「秘密情報の保護ハンドブック」は、秘密情報の漏えい防止のための具体的な対策例を示す実務資料である。

ここから重要な点は、営業秘密を生成AIに入力したという一事だけで、直ちに秘密管理性や非公知性が失われると断定することはできないということである。

具体的には、次の事情から評価する。

• AIサービス提供者の秘密保持義務
• 入力情報の学習・サービス改善等への二次利用
• 保存期間・削除方法
• AI事業者側の人的アクセス
• 再委託先・第三者への提供
• 自社の秘密情報管理規程
• アクセス権限・情報分類
• 入力した情報の性質

一方で、AI事業者が入力情報を広く二次利用できる、第三者への開示が可能である、不特定多数がアクセスし得る等の条件で重要な秘密情報を入力すれば、秘密管理性・非公知性の評価で不利な事情となる可能性があるほか、NDA違反等が問題となり得る。

したがって、実務上は「営業秘密ならすべてマスキング」という一律基準だけではなく、 どの情報を、どのAIサービスに、どの契約・設定で入力できるか を分類することが重要である。 マスキングはそのための有力なリスク低減策の一つである。

(4) 著作権法30条の4｜「AIへの入力＝すべて情報解析」ではない

著作権法30条の4は、著作物に表現された思想又は感情を自ら享受し、又は他人に享受させることを目的としない場合に、必要と認められる限度で著作物を利用できると定めている。 ただし、著作権者の利益を不当に害することとなる場合は除かれる。

文化庁は「AIと著作権に関する考え方について」を公表しているが、生成AIと著作権について裁判例の十分な蓄積があるわけではない。 そのため、 「AIに入力すれば30条の4で常に適法」でも、「ライセンス市場があるから直ちに30条の4ただし書に該当する」でもない。

契約書・契約雛形をAIへ入力する場合には、少なくとも次の点を確認する。

• 入力対象がそもそも著作物に該当するか
• 利用目的が表現の享受を目的としないものか
• 利用範囲が必要な限度か
• 著作権者の利益を不当に害する利用ではないか
• AI出力が既存著作物の表現を再現していないか
• 書式集等の利用規約・ライセンス条件に反しないか

(5) AIの誤りと責任｜「最終レビュー者と取締役が当然に責任を負う」わけではない

AIが誤った条文を引用したり、重要な契約リスクを見落としたりした場合でも、 最終レビュー担当者や取締役が当然に個人責任を負うという一般的な法定ルールが存在するわけではない。

責任の有無は、例えば次の事情によって判断される。

• 当事者の法的地位・職務内容
• 契約関係・権限分配
• 求められる注意義務の水準
• AIへの依存方法
• 人による確認の有無
• 損害の予見可能性
• 損害との因果関係
• 社内規程・承認体制

経済産業省は2026年4月、「AI利活用における民事責任の解釈適用に関する手引き」を公表している。 同手引きでは、AI利用を「補助／支援型」と「依拠／代替型」等に分けながら、個別具体的な責任判断の考え方を整理している。

AI契約レビューでも、AIを単なる補助者として使ったのか、それとも人の判断を実質的に代替させたのかは、責任評価上の重要な事情になり得る。

(6) プロンプト・ログ保存｜法定義務ではなくリスク管理上の措置

一般的な企業のAI契約レビューについて、 すべてのプロンプトや使用モデル・バージョンを保存することを直接義務付ける一般法上の規定があるわけではない。

一方で、次の目的から記録を残すことには実務上の意味がある。

• 判断経緯の説明
• AI事故の原因分析
• 内部監査
• 品質管理
• 再現性
• 訴訟・紛争時の証拠保全
• 規制対応

もっとも、定型的な低リスク契約まで大量のログを長期保存すれば、個人情報・秘密情報の保存量を増やすことにもなる。 そのため、 契約金額、契約類型、AIへの依存度、規制リスク等に応じて保存範囲を決める というリスクベースの設計が合理的である。

④ リスク整理｜法的リスクと実務上の管理策を分ける

⑤ ケース分岐｜企業タイプ別の判断

⑥ 行動｜一次スクリーニング後に何をするか

一次スクリーニングで問題が見つかった場合は、法的な「即アウト判定」ではなく、次の順序で確認すると整理しやすい。

AI事業者ガイドライン第1.2版では、AIリスクへの対応について、想定される被害の重大性や発生可能性等を踏まえて対応水準を決めるリスクベースアプローチが採られている。 AI契約レビューでも、この考え方を基本にすると過剰規制と無管理の双方を避けやすい。

共通して整備を検討したい実務物は、次の4つである。

1. 生成AI利用ルール（承認済みAI・入力区分・エスカレーション・事故対応）
2. 契約レビュー用の標準プロンプト集（属人化防止・レビュー観点の標準化）
3. 重要案件のレビューログ運用（再現性・品質管理・監査対応）
4. AIサービス条件の定期確認（学習利用・保存・アクセス・規約変更等）

⑦ 次に読むべき記事｜判断を深めるための導線

ここまでで、自社のAI契約レビューについて「どこを優先確認するか」は整理できる。 次は個別論点を深掘りするフェーズである。

⑧ 判断したあと、実務に落とすために

AI契約レビューで重要なのは、「AIを使うか、使わないか」という二択ではない。 どの情報を、どのAIに、どの条件で入力し、どこまでAIに任せ、どこから人が判断するのか。 ここまでを明文化することで、生成AIは初めて法務業務の安定したツールになる。

LegalGPTでは、この「リスク判断 → 実務運用」の間を埋めるため、契約レビュー用の標準プロンプトや生成AI利用ルールのひな型を整備している。

参考一次資料

※本記事は2026年8月14日時点の法令・行政資料に基づく。 法務省「AI等を用いた契約書等関連業務支援サービスの提供と弁護士法第72条との関係について」、 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」、 経済産業省「営業秘密管理指針」（2025年3月改訂）、 「秘密情報の保護ハンドブック」、 「AI事業者ガイドライン第1.2版」（2026年3月31日）、 「AI利活用における民事責任の解釈適用に関する手引き」等を参照している。 実際の個別事案の適法性は、具体的事実関係、契約条件、利用するAIサービスの最新仕様等によって異なる。