ChatGPTは契約審査に使っていい？違法リスクと安全な使い方を5分で判定

結論だけ、先に言います

「AIだから怖い」で止まっている法務部は周回遅れ、「便利だから使う」だけで走っている事業部は来年の監査で必ず指摘されます。本記事は、その両方に明確な線を引くための判断記事です。最終結論は3行で言えます：

事実認定チェックリスト：30秒版と詳細版

▼ まず30秒で：簡易チェック（3項目）

▼ 詳細チェック（10項目）

次に自社の現状に当てはめてください。以下10項目のうち、「該当する」ものの数を数えるだけで判定できます。

判定：該当数で「使える／使えない」が決まる

この判定は「なんとなく不安」を数値化するためのものです。※4項目以上該当する会社は、すでに「違反状態に近い」と考えてください。ほぼ確実に個情法27条違反またはNDA違反の状態にあります。今すぐ後述の「行動」セクションに飛んで、今週中に3つだけ着手してください。

判定を可視化する意思決定フロー

法的評価：なぜこの判定になるのか（条文・実務根拠）

判定ロジックの根拠は、主に以下の3つの法律にあります。曖昧な「空気」ではなく、条文ベースで押さえておきましょう。

論点1：弁護士法72条（非弁行為）

弁護士法72条は、弁護士または弁護士法人でない者が、報酬を得る目的で、訴訟事件その他一般の法律事件に関して鑑定、代理、仲裁、和解その他の法律事務を取り扱うことを「業として」行うことを禁じる規定です。

社内法務が、自社が当事者となる契約についてAIを道具として使って審査する行為は、「業として他人の法律事務を取り扱う」には該当しません。なぜなら、①自社案件の処理は「他人の事務」ではなく、②社内処理は対外的な報酬を伴う役務提供ではないからです。

一方、注意すべきはAIベンダーが「契約書レビューサービス」として外部企業に提供する場合です。これは72条との関係で長年議論されてきましたが、法務省は2023年8月に「AI等を用いた契約書等関連業務支援サービスの提供と弁護士法第72条との関係について」というガイドライン（グレーゾーン解消制度の回答）を示しており、「具体的事件性がない」「最終判断は利用者自身が行う」等の条件下であれば72条違反とならない整理が示されています。

👉 より詳しい非弁論点は AI契約書レビューは弁護士法72条違反？｜非弁リスクと社内法務の安全運用を実務整理 を参照してください。

論点2：個人情報保護法 27条・28条（第三者提供・委託）

個人情報保護法27条1項は、個人データを第三者に提供するには原則として本人の同意が必要と定めています。契約書に相手方担当者の氏名・メールアドレス・部署が書かれていれば、それは「個人データ」に該当します。

では、ChatGPTに契約書を貼り付ける行為は「第三者提供」にあたるのか？──ここが実務上の分岐点です。

個情法27条5項1号は、「利用目的の達成に必要な範囲内で取扱いを委託する場合」は第三者提供にあたらないと定めています。つまり、OpenAIとの間で適切な委託契約（DPA）が締結でき、かつ入力データが学習に使われない構成なら、「委託」として整理できます。無料版・Plusではこの整理が困難なため、グレーではなく黒です。

⚠ さらに重要：個情法28条（外国にある第三者への提供）

見落とされがちですが、OpenAIのサーバーは原則として米国に所在します。そのため、たとえ「委託」として整理できたとしても、個情法28条の「外国にある第三者への提供」に該当し、本人の同意取得、または個人情報保護委員会規則で定める基準適合体制（OECDプライバシーガイドライン水準の措置＋継続的な確認）の確保が別途必要になります。

具体的には、以下のいずれかを整える必要があります：

• 本人から、外国（米国）にある第三者への提供を認める明示的な同意を取得する
• OpenAIとの契約（DPA）で、28条3項の基準適合体制（継続的適切措置の実施、本人の求めに応じた情報提供）を確保し、本人への情報提供を行う

要するに、「Team/Enterpriseに切り替えれば終わり」ではないということです。Enterpriseプランを契約していても、28条対応（プライバシーポリシー改定・本人情報提供体制）が抜けている会社は2026年現在でも多数存在します。

👉 委託・再委託の詳細は 個人情報保護法×生成AI時代の委託・再委託チェックリスト で網羅的に整理しています。

論点3：秘密保持義務・営業秘密（不正競争防止法2条6項）

取引先から受領した契約書に秘密指定（NDA対象）がある場合、これをChatGPTに投入する行為は、NDAが禁じる「第三者開示」または「目的外利用」に該当する可能性があります。

不正競争防止法2条6項の「営業秘密」に該当する情報（①秘密管理性 ②有用性 ③非公知性）を学習利用ONのAIに入れた瞬間、秘密管理性が失われる──つまり、後日自社がその情報を第三者に流用されたとき「営業秘密侵害」を主張できなくなるリスクがあります。

これは訴訟になったとき致命的です。「ChatGPTに入れたよね？それはもう秘密じゃないよね？」と相手方代理人に言われて終わりです。

リスク整理：放置したら具体的に何が起きるか

※最も多いのは「知らずに違反していた」ケースです。悪意がなくても、運用実態が規制に追いついていなければ、指導・勧告・損害賠償の対象になります。

ケース分岐：あなたの立場ごとの正解

行動：今週・今月・今四半期にやること

判断した。では次に何をするか

本記事で「自社の現在地」が判定できたはずです。判定結果ごとに、次に読むべき記事を示します。

「使う」と決めたら、次に差がつくのはプロンプトの設計

ここまでで「使う」と判断した場合、次に差がつくのはプロンプトの設計です。ChatGPTに「契約書をレビューして」と投げるだけでは、抽出できる論点は半分以下。実務の現場では、条項ごと・リスク観点ごとに設計された多段階プロンプトが圧倒的に効きます。

※本記事は2026年4月時点の法令・公表情報に基づいて執筆しています。個別事案の判断は必ず顧問弁護士にご相談ください。本記事の内容は一般的な情報提供であり、特定の案件に対する法的助言ではありません。