取引先のセキュリティチェックシート2026｜生成AIの利用を聞かれたときに答えを揃える5つの準備

生成AIを社内で使い始めると、しばらくして外から質問が来ます。顧客や取引先が送るセキュリティチェックシートに、生成AIの利用状況を尋ねる項目が増えているためです。自社がツールを審査する手順は整えていても、聞かれる側の準備をしていない会社は少なくありません。この記事では、質問票が届いてから慌てないための5つの準備を整理します。

なぜ生成AIの利用状況を聞かれるのか

取引先が確認したいのは、預けた情報が生成AIの学習に使われないかどうかです。委託先が生成AIに顧客データを入力すれば、実質的に情報の預け先が増えます。委託元には委託先を監督する立場があるため、その経路を把握する必要があります。

質問票の項目は、既存のセキュリティ設問に後から追加された形が多く見られます。そのため聞き方が会社ごとに揃っていません。「生成AIを利用しているか」だけを問う簡素なものから、モデル名や保存期間まで求めるものまで幅があります。

自社がツールを審査するときの観点はAIツールのベンダーセキュリティ審査で扱っています。答える側の準備は、その裏返しとして考えると整理しやすくなります。

準備1：質問の意図を3つに分ける

届いた設問は、文面が違っても意図は3種類に収まります。回答を作る前に、どれを聞かれているのかを仕分けます。

1つ目は利用の有無です。業務で生成AIを使っているかという事実確認にあたります。2つ目は学習利用の有無で、入力したデータがモデルの学習に使われる設定かを問うものです。3つ目は再委託の連鎖です。自社が使うツールの先で、さらに別の事業者が処理していないかを確認する設問です。

この3分類を先に決めておくと、設問の文言が変わっても同じ回答部品を組み替えるだけで済みます。取引先ごとに文章を書き起こす運用は続きません。

準備2：回答の根拠を一次資料で揃える

回答は、記憶や印象ではなく資料に紐づけます。追加の確認を受けたときに出せるものがないと、回答全体の信頼が落ちます。

揃えるのは、利用ツールの一覧、各ツールの契約プラン、学習利用の設定状況、入力してよい情報の区分を定めた社内規程の4点です。ツール一覧はアカウント・ライセンスの棚卸しの結果をそのまま使えます。入力可否の線引きはデータ分類と入力ルールで整理しています。

学習利用の設定は、プランや契約形態によって既定値が異なります。提供元の規約とデータ取扱条項を確認する手順は利用規約・データ条項のレビューにまとめています。ここは推測で答えず、必ず提供元の記載を根拠にします。

準備3：回答の窓口と履歴を一本化する

同じ質問に部署ごとが別々に答えると、後で矛盾が問題になります。営業が「使っていない」と答え、開発が「使っている」と答える状態は避けなければなりません。

窓口は情報システムか法務のどちらかに寄せ、営業経由で届いた質問票も必ず経由させます。あわせて、どの取引先にいつ何と答えたかの履歴を残します。翌年の更新時に前回の回答と照らせるようにするためです。

履歴の保存先は、契約書の管理台帳と同じ場所にすると探す手間が減ります。社内での利用記録そのものの取り方は利用ログと監査証跡で扱っています。

準備4：「使っている」と答えるときの書き方

利用している場合に、事実だけを短く書くと相手に不安を与えます。使い方の範囲と歯止めを添えると、追加質問が減ります。

書き添えるのは、対象業務の範囲、入力を禁じている情報の種類、その禁止を定めた規程の名称、違反時の対応の4点です。規程の名称を挙げられると、口約束ではないことが伝わります。社内ポリシーの作り方は生成AIの社内利用ポリシーにまとめています。

逆に「使っていない」と答える場合は、その断定が成立するかを確認します。部署が個別に契約したツールや、ブラウザ拡張の形で入り込んだ利用が残っていることがあります。把握できていない利用の洗い出しはシャドーAIの管理を参照してください。事実と違う回答は、後から発覚したときの損害が大きくなります。

準備5：回答後に変わったときの通知経路

質問票の回答は、提出した時点の状態を示すものです。ツールを追加したり、プランを変更したりすれば内容が変わります。

そこで、回答済みの取引先の一覧と、通知が必要になる変更の種類を先に決めておきます。対象になるのは、新しいツールの導入、学習利用設定の変更、処理を行う国の変更の3つです。国をまたぐ扱いはデータ保管国と越境移転で整理しています。

提供元側の仕様変更も見落としやすい点です。ツール側の更新を拾う仕組みはツール更新の変更管理で扱っています。契約上の通知義務がある場合は、秘密保持契約の条項と突き合わせて確認します。範囲の考え方は顧客NDAと機密保持にまとめています。

よくある質問

質問票が届く前に準備すべきですか

先に準備しておくほうが負担は軽くなります。届いてから資料を集めると、回答期限に間に合わせるために推測で埋める箇所が生まれます。

自社が委託先に同じ質問をする必要はありますか

処理を外部に出している場合は必要です。委託先に守らせるルールの決め方は外部委託先の生成AI利用ルールで扱っています。

設問がモデル名まで求めてきた場合はどうしますか

提供元が公開している範囲で答え、公開されていない部分は非公開と記載します。想像で埋めないことが原則です。

各ツールの料金やデータの取り扱いは変更されるため、回答前に提供元の公式情報でご確認ください。また本記事は一般的な運用の整理であり、個別の法的助言ではありません。契約上の通知義務や表明保証の判断は顧問弁護士にご相談ください。