法務と情シスのすれ違いを減らす進め方|SaaS規約・委託先・生成AIの確認の型

「この規約、問題ないか見てもらえますか」と情シスが聞き、法務は「どう使うサービスですか」と聞き返す。聞き返された側は、少しむっとする。実は、どちらも同じものを守ろうとしています。見ている場所が、違うだけです。

この記事では、法務と情シスが行き違いやすい4つの場面を取り上げ、確認の依頼の型、役割の表、チェックリストにしました。公開されている声と、個人情報保護委員会や総務省・経済産業省の資料をもとにしています。法律の細かい判断は、自社の法務や専門家に確認してください。

すれ違いが起きる4つの場面

公開されている声を読んで整理すると(公開されている声5件、編集部)、場面は次の4つに分かれます。どちらかが悪いわけではありません。

場面1: SaaSの規約。見る順番をそろえる

SaaSの規約は、提供する側が決めた文面で、利用する側が交渉できる余地はほとんどありません。実務法務の筆者は、導入前に見る点を、データの扱いと所有権、個人情報との関係、停止と解約、責任の制限、知的財産の5つに整理しています。そのうえで、現場の事情にも触れています。

すべてのSaaSを導入前に法務確認するのは、リソース的に現実的ではないことも分かっています。

法務に全部を持ち込めば、法務が止まります。持ち込まなければ、情シスが規約の判断をひとりで背負います。そこで、法務に見てもらうものの基準を、先に決めておきます。この筆者は、基準の例として次を挙げています。

• 個人情報や機密情報を入れるもの
• 高額なもの
• 基幹業務に組み込まれるもの
• 契約相手先のデータを扱うもの

基準の線引きは、会社ごとに違います。情シスが案を出し、法務が直す形にすると、決まりが早くなります。

場面2: 個人情報の委託先。契約後を誰が見るか

クラウドのサービスに従業員や顧客の情報を入れると、サービスの提供者が「委託先」に当たることがあります。個人情報保護委員会のQ&Aは、クラウドの利用が委託や第三者への提供に当たるかを、提供者が個人データを「取り扱うこととなっているか」で見ると説明しています。契約で取り扱わない旨を定め、アクセス制御も適切に行われている場合などが、取り扱わない例として挙げられています。

取り扱わない場合でも、利用する会社に安全管理の責任は残ります。Q7-54は、委託先の監督義務は課されないとしつつ、自ら適切な安全管理措置を講じる必要があるとしています。どちらに当たるかの判断は、サービスの中身によって変わるため、法務や専門家に確認してください。

個人情報保護委員会は、2024年12月に、クラウドの人事労務サービスで起きた個人データの漏えいを受けて、利用する会社側への注意喚起も出しました。そこには、法務と情シスの行き違いがよく出る点が、こう書かれています。

本件利用規約の合意のみであったこと自体が、個人情報保護法上や番号法上、直ちに問題というわけではありません。問題は、本件利用規約において、本件個人データの取扱いについてどのような内容が規定されていたかという点です。

同じ注意喚起には、調べた範囲で次のことが書かれています。

• 利用する会社の多くは、契約の前に、提供者のセキュリティ対策を確認していた
• 多くの会社では、定期的な監査や、提供者からの安全管理の報告の受け取りが行われていなかった
• 一部の会社は、覚書や自社のチェックシートで、取扱状況を把握していた

契約の前は法務が規約を見て、情シスが対策を聞き取る。契約のあとは、どちらの仕事か決まっていない。ここに穴ができやすい、ということです。

場面3: 生成AIのルール。禁止の紙だけにしない

生成AIは、法務が「情報漏えいが怖い」と言い、現場が「使いたい」と言い、情シスが間に立つ形になりがちです。ひとり情シス向けの文章では、全面禁止の問題が、次のように書かれています。

禁止はリスクをなくすのではなく、リスクを見えなくするだけ

この文章は、使ってよいツールを示す公式の道、申請の窓口、失敗しても責めずに記録する場、の3つを用意する案を出しています。総務省・経済産業省のAI事業者ガイドライン(第1.2版、2026年3月31日)も、AIの利用者に、個人情報や機密情報を不適切に入力しないよう注意を払うことと、提供者の規約を守ることを求めています。

分担の例は、審査のチェックリストを公開している事業者の文章に出ています。認証、権限、ログは情シスと一緒に決め、契約、個人情報、責任の分け方は法務に確認する。利用目的、対象業務、入れるデータは、業務部門が書く、という形です。

ルールの書き方は、生成AIの社内ルールは何を書く?にまとめています。ひな形は、テンプレートの「生成AI利用ガイドライン」から使えます。

場面4: データの保存場所。紙の「国内」と実際を合わせる

保存場所は、契約書の文面と、実際の設定が別の場所にあります。SaaS企業でセキュリティを担当する筆者は、外部サービスの利用ガイドラインを法務と作った経験から、こう書いています。

その過程で得た最大の学びは、外部サービスの利用判断は最初から法務と協働で設計すべきだということです。

この文章は、「自社が国内で処理する」ことと、「使う外部サービスも国内で処理する」ことは別の話だとも述べています。ISMSなどの認証があっても、それだけで使ってよいとは言えず、越境移転や生成AIの学習への利用は、規約を読み解く必要があるという整理です。

情シスが法務に渡せる材料は、事実です。保存先の地域、バックアップの場所、保守担当者が接続する場所、再委託先の有無。この一覧があれば、法務は契約の文面と照らし合わせられます。外国にあるサーバに個人データを保存することの法的な扱いは、個人情報保護委員会のQ&A(Q12-3)に整理があります。自社のケースがどちらに当たるかは、法務や専門家に確認してください。

確認の依頼の型

法務への依頼は、情報が足りないと、何度も聞き返しが起きます。法務の依頼フォームを扱う事業者の文章は、必要な情報が足りないことを悩みの1つに挙げ、案件名、目的、希望の期限を必須にして、期限の理由も書いてもらう設計を紹介しています。情シスから法務へ出す依頼も、同じ項目で書けます。

言い方の例も挙げます。

役割の表。迷ったらこれに戻る

委託先に聞く項目の雛形は、上のテンプレートが使えます。経理との請求の合わせ方は、SaaSの請求書とカード払いは誰が管理する?に書きました。

今日からできること

1. 直近に契約したSaaSのうち、個人情報や機密を入れているものを3つ選び、保存先の地域と、規約の削除の項目を書き出す
2. 法務に、「どんなSaaSなら事前に見たいか」を聞く。答えを基準の案にして、次の相談で見せる
3. 法務への依頼の型(上の表)を、コピーできる場所に置く
4. 個人データを入れている委託先のうち1つについて、契約後の確認が最後にいつだったかを調べる。無ければ、年1回の受け取りを決める
5. 生成AIの申請の窓口を、名前を決めて法務と一緒に周知する

法務は言葉と責任の整理を、情シスは設定と運用の事実を持っています。どちらの手元の情報もなくては、委託先の管理は完成しません。依頼の型と役割の表を共有しておくと、「聞き返された」が「一緒に整理できた」に変わります。