ChatGPT業務利用のリスク｜取引先情報とNDAの線引き

取引先からもらった資料をChatGPTなどの生成AIに入れる前に見るのは、NDA（秘密保持契約）の条項です。自社の契約書で探して読むのは、次の3つの中身です。

• 第三者への開示の禁止
• 目的外利用の禁止
• 再委託や複製の条件

契約書の書式は会社ごとに違うので条項の名前は一致しません。見出しの言葉ではなく中身で探して読めば、その資料をAIに渡していいかの見当がつきます。

この記事は、取引先と秘密保持契約を結んでいて、その資料をAIで要約・翻訳・整理したい中小企業の担当者に向けて書いています。読み終わる頃には、手元の1件について「入れていい／社内で確認する／弁護士に聞く」のどれかを自分で決められる状態を目指します。

扱うのは取引先の秘密情報とNDAの話です。氏名や連絡先などの個人情報は根拠にする法律が別（個人情報保護法）なので、そちらはAIに入力してはいけない個人情報の線引きと社内ルールの作り方で解説しています。同じ資料に両方が混ざっていることは多いので、先にそちらを読んでから戻ってきても構いません。

Contents / 目次

1. 取引先情報をAIに入れる前の、確認3点
2. NDAで見にいく3条項と、確認の手順
3. 営業秘密の3要件から見る、入れていい情報の線引き
4. 判断を型にしたあとの変化と、効果の測り方
5. ChatGPT業務利用の注意点。NDA違反に近づく5つの失敗
6. 現場で必ず詰まる場所と、割り切りどころ
7. よくある質問
8. 今日の一歩

取引先情報をAIに入れる前の、確認3点

結論から書きます。生成AIに社内情報を入れるとき、判断が割れるのは「取引先から受け取った情報」です。ここでやることは3つあります。

1. その情報の出どころを確かめる。自社で作ったものか、取引先からもらったものか
2. もらったものなら、NDAの原本で3つの中身（第三者提供の禁止・目的外利用の禁止・再委託や複製の条件）を読む
3. 読んでも判断がつかない場合は、情報を加工して渡すか、取引先に確認する

多くの人が1つ目の「出どころの確認」を飛ばして、「機密っぽいかどうか」の感覚で判断しています。ここが分かれ目です。自社の情報を漏らすのは自社の判断でできますが、取引先の情報は契約上の約束なので、自社の判断だけでは決められません。

出どころ別に整理すると、次のようになります。

渡そうとしている情報	よくある例	AIに入れる前にやること
取引先から受領した資料そのもの	仕様書、図面、見積書、顧客リスト、未公表の企画書	NDAの3条項を確認。判断がつかなければ取引先に確認するか、渡さない
取引先の情報が入った自社のメモ	打ち合わせメモ、議事録、社内共有用の要約	取引先名・型番・数量・価格を外してから渡す。外せないなら受領資料と同じ扱い
自社だけの情報	自社の商品説明、社内規程の下書き、自社が作った営業資料	自社ルールに従えば入れられる。判断の主体は自社にある
すでに公開されている情報	取引先のプレスリリース、公式サイトの掲載内容、公開済みカタログ	そのまま入れて問題ない。ただし「近く公開予定」はまだ非公開扱い

ポイント。ここで決めているのは「AIが安全かどうか」ではなく「その情報を社外に出す約束をしているかどうか」です。ツールの安全性の話とは別のレイヤーだと分けて考えると、判断が速くなります。

この章の結論として、AIに入れる前の最初の一手は、ツールの設定画面を開くことではなく、その資料の出どころを言えるようにすることです。出どころが「取引先」なら、次の章の手順に進んでください。

NDAで見にいく3条項と、確認の手順

NDAの原本を開いて見るのは、条項の見出しです。契約書の書き方は会社ごとに違いますが、確認したい中身は共通しています。順番に進めましょう。

ステップ1。その取引先のNDA原本を探す

まず、対象の取引先と結んだNDAの原本（PDFまたは製本された紙）を手元に出します。ここで多くの会社が止まります。署名済みPDFが当時の担当者のメールボックスにしかない、という状態がとても多いからです。

原本が見つからない場合は、次の順に進めてください。

• 取引基本契約書を探す：基本契約書の中に秘密保持の条項が入っていることがあります。その場合、NDAを別に結んでいないケースもあります
• どちらも見つからない場合：この時点では「取引先の資料はAIに入れない」でいったん止めます

ステップ2。3つの条項を読む

NDAの中で読むのは次の3か所です。条項名は契約書によって表現が変わるので、見出しの言葉ではなく中身で探してください。

• 第三者への開示・提供の禁止：「事前の書面による承諾なく第三者に開示してはならない」といった条文。自社と取引先以外にその情報が渡る場面が、この条文に触れないかを見ます。使おうとしているAIサービスが入力内容をどこで処理し、どこに保存するかは、提供元の公式ドキュメントで先に確認してください。その扱いがこの条文に当たるかどうかは自己判断で決めきらず、条文の書き方を確認したうえで次のステップに進んでください
• 目的外利用の禁止：「本契約の目的以外に使用してはならない」といった条文。契約書の冒頭に書かれた「目的」の記載とセットで読みます。目的が「◯◯製品の共同開発の検討」なら、その検討のための要約はぎりぎり目的の内側、別案件の提案書づくりに流用するのは外側です
• 再委託・複製・保管の条件：「あらかじめ承諾を得た場合に限り再委託できる」「複製を禁止する」「指定した場所以外に保管しない」といった条文。AIへのアップロードが複製や保管に当たると読める書き方になっていないかを見ます

条項の解釈は契約ごとに違います。この記事は「どこを見るか」までを扱います。実際にその条文がAI利用を許すかどうかの最終判断は、契約書の全体と取引の経緯を見ないと決まらないため、金額の大きい取引や紛争になりそうな案件では弁護士に確認してください。

ステップ3。情報を減らして渡せないか検討する

条項を読んでも判断がつかないときの現実的な逃げ道が、渡す情報を減らすことです。AIに全文を読ませなくても、目的が果たせる場合がかなりあります。

やりたいことの種類ごとに、渡し方を変えます。

• 取引先からもらった仕様書を分かりやすくまとめたい：固有名詞と数値を自分で伏せた要約文を作り、その文章の整形だけをAIに頼む
• 英語のメールを訳したい：社名・製品名・型番を［A社］［製品X］に置き換えてから渡す
• 打ち合わせメモを整理したい：取引先名・担当者名・型番・金額を外し、決まったことと次にやることだけを箇条書きにしてから渡す
• 社内共有用の要約を作りたい：受け取った資料を貼らず、自分の言葉で書き直した下書きを作り、その文章を読みやすくする作業だけをAIに頼む

手間はかかりますが、判断が要らなくなるぶん、結果的に早いです。

置き換えるときの目安は次のとおりです。これを外しても文章の意味が通るなら、まず外してください。

• 組織が特定できる語：会社名、部署名、担当者名、支店名、屋号
• ものが特定できる語：型番、品番、商品名、案件コード、現場名
• 取引条件：単価、数量、納期、値引き率、支払条件
• 組み合わせで特定できる語：「県内で3社しか扱っていない設備の名称」のように、単体では一般名詞でも業界内では相手が分かってしまうもの

最後の項目が抜けがちです。社名を消しても、寸法と数量と納期がそろっていれば分かる人には分かります。伏せたつもりで伏せられていない状態が、いちばん危ないです。

ステップ4。取引先に確認するときの文面

減らしても足りない、どうしても原本を渡したい。その場合は取引先に確認します。ここで結果を分けるのが聞き方です。「AIを使っていいですか」とだけ聞くと、判断材料がないので「だめです」と返ってくる確率が上がります。

何を・どのツールで・どの範囲でやるのかを書いて聞くと、話が進みやすくなります。そのまま使える文面を置いておきます。

2番目の「使いたいツールと契約形態」を書くときは、入力データの扱いが契約や設定でどうなっているかを、使っているサービスの公式ドキュメントと自社の契約内容で先に確認してから記入してください。サービスやプランによって扱いが違うため、確認せずに書くと事実と食い違います。

件名：貴社からお預かりした資料の、AIツール利用可否のご確認

［取引先名］
［担当者名］様

いつもお世話になっております。［自社名］の［氏名］です。

［案件名］の件でお預かりしている資料について、
社内での作業効率化のため、AIツールの利用可否をご確認させてください。

1. 対象の資料
   ［例：2026年8月20日にメールでお送りいただいた仕様書（PDF・全12ページ）］

2. 使いたいツールと契約形態
   ［サービス名・法人契約か個人契約か・入力データの扱いを公式ドキュメントで確認して記入］

3. 使う目的と範囲
   ［例：社内検討用の要約作成のみ。出力は社外に出しません］

4. 保管と削除
   ［例：作業後に履歴を削除し、原本は貴社指定の場所のみで保管します］

差し支えある場合は、資料の一部を伏せた形での利用に切り替えます。
ご判断のうえ、ご返信いただけますと幸いです。

対象の資料・ツールと契約形態・目的と範囲・保管と削除。この4つを先に書いておくと、往復が1回で済むことが多くなります。返信は必ず文面で残してください。口頭の了承は、担当者が代わった時点で無かったことになります。

ステップ5。判断の記録を残す

1件ごとに判断していると、同じ取引先で毎回悩むことになります。次の項目を1行で残すだけで、2回目からの判断が速くなります。スプレッドシート1枚で十分です。

1. 取引先名と案件名
2. NDAの有無と、原本の保管場所（フォルダのパスやURL）
3. AI利用の可否と、その根拠（条項番号、または取引先からの返信日）
4. 許可された範囲（対象資料・ツール・目的）
5. 判断した日と判断した人

この記録は、社内ルールと一緒に運用すると効きます。ルール本体の作り方は生成AI社内ルールのサンプル。A4一枚12項目のひな形と決め方にまとめています。

ステップ6。渡す前の最終チェックリスト

実際に入力する直前に、この5つを見てください。1分で終わります。

• 出どころ：この文章の中に、取引先からもらった情報が混ざっていないか
• 特定できる語：社名・型番・数量・価格を消したつもりで残っていないか
• 添付とスクリーンショット：本文は伏せたのに、貼り付けた画像の隅に社名やファイル名が写っていないか
• アカウント：いま開いているのは会社が契約したアカウントか、個人アカウントか
• 出力の行き先：AIの出力をそのまま社外に送る予定になっていないか

3つ目のスクリーンショットは本当によく起きます。画面を撮って貼る操作は本文を伏せる意識が働かないので、ファイル名やタブのタイトル、通知のポップアップまで一緒に渡ってしまいます。

この章の結論として、判断が難しいのは条文の解釈だけで、そこに至るまでの「原本を出す・情報を減らす・聞き方をそろえる・記録する」は今日から手を動かせます。まず1件、いま手元にある案件でステップ1を試してみてください。

営業秘密の3要件から見る、入れていい情報の線引き

NDAの条文だけでは白黒がつかないとき、判断の物差しになるのが「営業秘密」の考え方です。営業秘密とは、不正競争防止法で保護される情報のことで、法律上の定義があります。

営業秘密は「秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの」と定義されています。条文そのものは、e-Gov法令検索の不正競争防止法のページで確認できます。この一文が、3つの要件に分解されます。

要件	意味	取引先の資料で考えると
秘密管理性	秘密として管理されていること	「社外秘」の表示、限られた人だけがアクセスできる共有フォルダ、NDAを結んだうえでの受け渡しなど、秘密として扱っている形跡があるか
有用性	事業活動に役立つ情報であること	製造条件、原価、顧客名簿、開発中の仕様など、他社が知れば得をする内容か
非公知性	公然と知られていないこと	まだ発表されていないか。公開済みの資料と同じ内容なら、この要件は外れる

3要件の詳しい考え方は、経済産業省の営業秘密～営業秘密を守り活用する～のページで公開されている「営業秘密管理指針」に整理されています。同じページでは「秘密情報の保護ハンドブック」も公開されていて、秘密保持契約の結び方や社外に情報を出すときの管理方法まで扱っています。

契約書の書式や条項の立て方を自社で見直すときは、こちらを先に読んでください。指針もハンドブックも改訂されることがあるので、最新版をページ上で確認してください。

3要件をAI利用の判断にどう使うか

使い方はシンプルです。手元の情報が3要件を全部満たすなら、AIに入れる前に必ずNDAを確認します。どれか1つでも明確に外れるなら、判断のハードルは下がります。

いちばん使えるのが非公知性です。取引先のプレスリリースに書いてある内容、公式サイトに載っている製品仕様、公開済みのカタログは、すでに世の中に出ています。これらをAIに要約させるのは、判断に迷う話ではありません。

注意したいのは「もうすぐ公開するから公開情報と同じ」という判断です。発表前の情報は非公知です。発表日の前と後で扱いが変わることを、社内で共有しておいてください。

秘密管理性は、自社が渡す側になったときにも効く

3要件は、自社の情報を守る側でも同じように働きます。自社の情報が営業秘密として法律の保護を受けるには、秘密として管理していた事実が必要です。誰でも見られる共有フォルダに置いたまま、社外秘の表示もしていない資料は、この要件を満たしにくくなります。

ここがAI利用と直結します。社員が自由にAIへ貼り付けられる状態を放置していると、後から「秘密として管理していた」と言いにくくなる可能性があります。管理している証拠を作るという意味でも、利用ルールと記録は意味を持ちます。

なお、業務で使うアカウントの契約形態によって、入力データの扱いや管理者が設定できる範囲は変わります（2026年8月28日時点）。 この違いはAIの法人プランと個人プランの違い。学習利用と管理機能で選ぶで整理しています。

この章の結論として、3要件は「この情報はそもそも守るべきものか」を判定する物差しです。守るべきものだと分かったら、次はNDAの条文で「どう扱う約束をしたか」を確認する。この2段構えで見ると、迷いが減ります。

判断を型にしたあとの変化と、効果の測り方

この確認を型にすると、いちばん変わるのは「聞かれる回数」ではなく「止まっている時間」です。今まで担当者が判断できずに数日寝かせていた案件が、その場で処理できるようになります。

うまく回っている会社に共通しているのは、次の3つです。

• 取引先ごとに答えを固定している：案件ごとに毎回考えるのではなく、取引先単位で「A社の資料は要約のみ可」と決めて記録している
• 判断できる人を1人決めている：全員が法務に聞くのではなく、社内の窓口を1人にして、その人だけがNDA原本を見る
• 迷ったときの逃げ道を用意している：禁止で終わらせず、「伏せて渡す」「自社の言葉で書き直してから渡す」という代替手段を先に決めている

自社で測る3つの数字

効果を語るときに、他社の削減率を持ち出しても自社の説得材料にはなりません。自分たちで測れる数字を3つ挙げます。どれも記録用のスプレッドシートから拾えます。

1. 判断待ちの日数。担当者が迷ってから答えが出るまでの日数を、案件ごとに記録する
2. 取引先への確認1件あたりのメール往復回数。文面をそろえる前と後で比べる
3. NDA原本を探すのにかかった時間。1件目は30分かかっても、台帳ができれば数十秒になる

導入前の値がなければ、最初の1か月を「今のままの記録期間」にしてください。比較対象がないまま改善を語ると、社内で信用されません。

あわせて、AIそのものの効果を測る方法はAI業務効率化の効果を数字で出す方法。削減時間の測り方にまとめています。

この章の結論として、この取り組みの成果は「使えるようになった業務の数」で見るのが実態に合っています。禁止項目が増えたのではなく、安心して使える範囲が増えたかどうかで判断してください。

ChatGPT業務利用の注意点。NDA違反に近づく5つの失敗

ここからは、取引先の情報を扱う場面で実際に起きている失敗です。どれも悪意なく起きます。

失敗1。学習オフ設定を「NDA的にもOK」と読み替えてしまう

起きる状況は、入力データを学習に使わない扱いになっていることを確認した担当者が、社内に「これで安全になりました」と伝えたときです。現場は「じゃあ何を入れてもいい」と受け取ります。

ここでずれているのは論点です。学習に使うかどうかは、AI提供事業者がデータをどう扱うかの話。NDAで問われているのは、その情報を自社の外に出したかどうかの話です。前者を解決しても、後者は残ります。

防ぎ方は、社内の伝え方を変えることです。「学習には使われません。ただし取引先の資料は、契約の確認が別に必要です」と、2文セットで伝えてください。1文目だけが伝わると、必ずこの失敗が起きます。

失敗2。社名だけ伏せて、丸ごと貼り付ける

起きる状況は、取引先の仕様書や見積書をコピーして、社名の部分だけ［A社］に置き換えてAIに貼るときです。本人は匿名化したつもりでいます。

実際には、型番・寸法・数量・納期・単価が残っていれば、その業界の人には相手が分かります。取引先から見れば「うちの資料が外に出た」ことに変わりはありません。伏せたことが免罪符にならないのはここです。

防ぎ方は、ステップ3で挙げた4種類の語を機械的に外すことです。外したあとの文章を読み直して、自分でも何の案件か思い出せないくらいまで落とせていれば合格です。思い出せるなら、まだ特定できます。

失敗3。相手先常駐や共同開発で、複製禁止条項を見落とす

起きる状況は、共同開発や受託設計で相手先のシステムにアクセスしている案件です。この種のNDAでは、複製の禁止や、指定した環境の外に持ち出さないことを定めた条項が置かれている場合があります。自社の契約書に該当する条項があるかを確認してください。

この条項がある場合、AIへのアップロードは「持ち出し」や「複製」と読める可能性があります。第三者への開示の条項だけを見て「開示していないからセーフ」と判断すると、別の条項で引っかかります。

防ぎ方は、開示の条項を読んだあと、必ず複製・保管の条項まで目を通すことです。条項の見出しに「秘密保持」と書いていないところに、いちばん厳しい制限が置かれていることがあります。

失敗4。取引先が同席する会議を、AI議事録で自動録音する

起きる状況は、AI議事録ツールを社内会議で使い始めて便利になり、そのまま取引先とのオンライン会議でも動かしてしまうときです。使っているツールの設定次第では、本人が意識しないまま記録が始まります。

ここで問題になるのは2つです。相手の発言を録音することへの同意と、その音声データが自社の外のサービスに渡ることです。NDAの前に、会議の冒頭で伝えるべきことが抜けています。

防ぎ方は、取引先が入る会議の前に自分のツールの設定を確認し、開始時に「記録のため文字起こしツールを使わせていただいてよろしいでしょうか」と口頭で確認する運用に切り替えることです。音声を渡す前の確認項目はAI議事録の情報漏洩リスク。音声を渡す前に見る5項目にまとめています。

失敗5。外部の制作会社やシステム会社に、そのまま渡す

起きる状況は、取引先からもらった資料を、自社が依頼している制作会社やITベンダーに共有して「AIで整理しておいて」と頼むときです。自社は使っていないつもりでも、情報は外に出ています。

NDAに再委託の制限があると、この共有自体が条項に触れます。さらに、その委託先がどのAIサービスをどんな契約で使っているかを、自社は把握していないことがほとんどです。

防ぎ方は、委託先に渡す前に再委託条項を確認し、必要なら取引先の承諾を取ることです。あわせて、委託先との契約に「当社から預かった情報を生成AIに入力する場合は事前に書面で承諾を得る」という趣旨の条項を入れておくと、次から確認が要らなくなります。

この章の結論として、5つの失敗はすべて「AIの設定」ではなく「情報の流れ」で起きています。設定画面を見て安心する前に、その情報がどこから来てどこへ行くかを1本の線で追ってください。

現場で必ず詰まる場所と、割り切りどころ

ここまでの手順は、そのとおりに進めば機能します。ただし現場では、たいてい別のところで止まります。実際に詰まる場所を先に書いておきます。

NDAの原本が、そもそも見つからない

いちばん多い詰まりがこれです。署名済みPDFが当時の担当者の個人メールにしかない、紙の原本がキャビネットのどこかにある、そもそも結んだかどうか誰も覚えていない。中小企業では珍しくありません。

ここで「全部の契約書を台帳化してから始めよう」と決めると、たいてい止まります。現実的なのは、AIで扱いたい案件の取引先だけを対象に、上位5社から順に原本を探すやり方です。全社ぶん揃うのを待つ必要はありません。

取引先に聞くと、判断されずに止まる

確認メールを送っても、相手の担当者が判断できずに社内で止まることがあります。特に相手が大企業だと、法務まで上がって数週間かかることも珍しくありません。

この場合の割り切りは、待つ前提で動線を分けることです。確認中の案件は「伏せて渡す」運用で先に進め、回答が来たら記録を更新する。回答を待って作業を止めると、現場は待たずに勝手に使い始めます。

全面禁止にすると、見えないところで使われる

判断が面倒だからと「取引先の情報は一切AIに入れない」と決めた会社ほど、個人のスマホや自宅のパソコンで使われています。禁止しても業務は減らないので、逃げ場に流れるだけです。

割り切りどころは、禁止の範囲を狭くして、代わりに使える手段を必ず1つ用意することです。「取引先の資料そのものは入れない。ただし自分の言葉で書き直したメモは入れてよい」と決めるだけで、現場は隠れなくなります。この構造はシャドーAI対策の3ステップ。禁止せず情報漏洩を止める仕組みで詳しく扱っています。

弁護士に聞くべき範囲と、聞かなくていい範囲

すべてを弁護士に確認していたら、費用も時間ももちません。線引きの目安を書きます。

• 自社で判断してよい：公開済み情報の利用、自社が作った資料の利用、情報を伏せたうえでの文章整形
• 社内の窓口が判断する：NDAに明確な条文があり、その条文どおりに読める場合の可否判断
• 弁護士に確認する：条文の解釈が分かれる場合、共同開発や技術情報を含む案件、海外の取引先とのやりとりで準拠法や越境移転が絡む場合、すでに入れてしまった後の対応

最後の「すでに入れてしまった後」は、自己判断でメールを送る前に相談してください。伝え方を間違えると、事実の確認より先に責任の話になります。顧問弁護士がいない場合は、商工会議所などの無料法律相談を入口にする手もあります。

ポイント。契約の解釈は個別の条文次第なので、この記事の内容がそのまま自社のNDAに当てはまるとは限りません。判断の型として使い、金額の大きい取引では専門家の確認を挟んでください。

この章の結論として、詰まるのは条文の理解ではなく、原本の管理と社内の運用です。ここを先に整えておくと、条文の確認は数分で終わる作業になります。

よくある質問

今日の一歩

今日できることは1つです。いま手元にある取引先の案件を1件だけ選んで、そのNDAの原本がどこにあるかを探してみてください。5分で見つかるか、見つからないか。それだけで、自社が次に何をすべきかがはっきりします。

原本が見つかって条項を読む段階に進んだ方は、使っているAIツール側の設定も一度そろえておくと安心です。管理画面で見る項目はChatGPT業務利用のセキュリティ設定。管理画面で見る6項目にまとめました。

読んだうえで「うちの契約と業務でどこまで許されるのか、自社だけでは決めきれない」と感じた方は、現状を整理するところからでもお手伝いできます。取引先ごとの扱いを決めて社内ルールに落とすまで、一緒に進めましょう。まずは今の困りごとを聞かせてください。

社内ルールづくりまでのAI導入支援では、契約の確認から運用の定着までをまとめてお引き受けしています。