委託先のAI利用確認は、「使っているか」だけでは終わらない

委託先との定例で、作業効率化やツールの話題が出たときに、AIの利用について確認する場面があります。

「業務でAIは使っていますか」

その場では「効率化のために少し使っています」程度の軽いやり取りで終わり、深く確認しないまま次の話題に移ることもあります。ただ、その内容を社内のセキュリティ担当や法務に共有すると、追加で確認すべきことが出てきます。

「具体的に何を入力しているのか」 「アカウントの契約形態は確認したのか」 「再委託先はどうなっているのか」

軽い確認のつもりが、共有したそばから範囲が広がっていく。委託先のAI利用は、こうして「使っているかどうか」だけでは終わらないことになりがちです。

AI利用そのものが問題なのではない

前提として、委託先がAIを使うこと自体は悪いことではありません。

リサーチの下調べ、資料のたたき台づくり、コードレビューの補助。適切に取り入れれば作業は速くなり、発注側にとっても納期や品質の面でメリットがあります。

そのため「リスクがあるから一律禁止」とするよりも、すでに現場で使われている前提で、どう付き合うかを考える方が現実的です。

引っかかるのは、使うか使わないかではなく、何に使っているのか、何を入力しているのか、出てきたものを誰が確認しているのか、という実態が外から見えにくい点にあります。

確認したくなるのは、利用の中身

「社内ルールに従って、適切に使っています」

こう返ってくると、ひとまず安心したくなります。ただ、確認を進めようとすると、その先が気になってきます。

まず入力しているデータの中身です。公開情報を要約しているだけなら問題ありませんが、自社から渡した資料や、預かっている顧客情報が、そのままプロンプトに入っていないか。

アカウントの種類も気になります。入力したデータが学習に使われない法人向けの契約なのか、作業者が個人の判断で取った無料アカウントなのか。聞かないと区別がつきません。

出てきた成果物を最後に人が確認しているかどうかも重要です。AIがそれらしく書いた事実誤認や、出どころの怪しい文章が、そのまま納品物に混ざる可能性はないか。

一つずつ確認しようとすると、聞く項目はあっという間に増えます。かといって細かく問い詰めると、相手の手間になり、関係にも影響しかねません。このどこまで踏み込むか、の距離感が、最初の悩みどころになりやすいところです。

委託先を確認しようとして、自社の曖昧さに気づく

確認する項目を考えているうちに、別の問題が出てくることがあります。

そもそも、自社のAI利用ルールはどうなっていたか、という足元の話です。

委託先に「適切な管理」を求めるなら、こちらにも明確な基準が必要になります。ところが自社のルールを見返すと、案外あいまいなまま残っているところが見つかります。社内ではなんとなくChatGPTを使っていい空気になっているけれど、無料版と法人契約の線引きまでは決まっていない。営業資料には使っていいが顧客情報を含む要約はNG、という線引きが現場まで浸透しているかは怪しい。コードや設計書、議事録、契約書のレビューと、場面ごとに判断がばらついていることもあります。

自社内でも判断が揺れている状態で、委託先にだけ厳しい基準を求めるのは難しいものです。結果として、委託先に確認する前に、まず自社の基準を決め直すという、手前の作業が先に出てくることが少なくありません。

開発の現場は、もっと見えにくい

開発や運用を委託している場合は、確認の難易度がさらに変わってきます。

いまの開発現場では、GitHub CopilotやCursorのようなツールが、すでに普通に使われています。何かのときに起動するというより、コード補完やバグ調べ、テストの下書き、リファクタリングの補助と、日々の作業のなかに溶け込んでいます。

そのため、納品されたコードや設計書を見ても、そこにAIがどれくらい関わったかを判別するのは、ほぼ不可能です。

ここで「AIを使いましたか」と一つずつ問い詰めても、あまり意味がありません。それよりも、ソースコードや仕様書のような機密情報を入力していないか、出てきたものを最後に人がレビューしているか。確認する先をそのあたりに絞ったほうが、開発の効率を損なわずにリスクを抑えやすくなります。

再委託先まで含めると、さらに見えにくくなる

もう一段ややこしくなるのが、再委託先の存在です。

委託契約に「再委託先にも同等のルールを守らせてください」という条項を入れることはよくあり、契約書の上では話がついたように見えます。

ただ、運用は別問題です。再委託先に直接連絡して実態を確かめられるわけではないため、どうしても委託先を経由したやり取りになります。委託先自身はきちんと法人契約のAI環境を用意していても、その先の作業者がどんな環境でツールを使っているか、委託先がそこまで把握できているかどうか。それを、こちらから委託先に確認することになります。

「再委託先への展開はどうなっていますか」と一項目挟むだけで、伝言ゲームのようになり、返事が来るまでにそれなりの時間がかかります。

毎回メールで確認すると、記録が残りにくい

こうした確認を、案件が始まるたび、あるいはセキュリティの見直しのたびに、メールやチャットで一から聞いていくのは、なかなか大変な作業です。

聞く人によって項目が変わりやすく、相手の回答もメールやチャットのあちこちに散らばります。あとで監査や社内審査の場で「どういう確認をしたのか」と聞かれて、すぐにエビデンスを出せないということも起きがちです。

そのため、最低限ここは聞いておきたい、という項目を先に決めておく方が、運用しやすくなります。たとえばこのあたりです。

1. 業務での生成AI利用の有無

2. 使っているツールと契約形態（法人契約か、個人アカウントか）

3. データの入力ルール（機密情報をどう扱うか）

4. 再委託先へのルール展開の状況

項目を先に決めておくと、毎回「今回はどこまで聞こうか」と悩まずに済みます。回答をそのまま記録として残しておけば、次の更新時や、社内への説明もしやすくなります。

委託先のAI利用は、完全に管理しようとするのも、すべてを委託先の善意に預けて見ないことにするのも、どちらも現実的ではありません。禁止か放任かの二択ではなく、自社として最低限確認する項目を決めておくことが、まず先にきます。

そのうえで、毎回メールで個別に聞くのではなく、確認した項目と回答を残せる形にしておく。それだけでも、次回の確認や監査時の説明はしやすくなります。

Excel作業はもう不要。
そのチェックシート運用管理、回収・催促・履歴管理まで効率化。
マモリス　https://www.mamorisu.jp

ここまで書いたことが自社に当てはまるかどうかは、10問の診断でだいたい分かります。登録は要りませんし、3分で終わります。結果はその場で表示されます。 ▷ チェックシート運用の状況を診断する（無料・登録不要）