業務利用での注意点(法人契約とガバナンス)

ざっくり言うと

ただし、これを聞いて「じゃあ全部法人プランにしないと」と慌てる必要はありません。1〜数名の規模なら、個人プランの設定をちゃんとやって + 簡単なルールを書いておくだけで、かなりのリスクを減らせます。

イメージ

正確には

各社の公式情報を見ると、法人向けプラン(Enterprise / Business 系) には、個人プランにない共通の特徴があります。OpenAI の Enterprise privacy ページ、Anthropic の Claude for Enterprise ページ、Google Workspace の Gemini 紹介ページ、Microsoft 365 Copilot のページ、いずれも次のような項目を「法人プラン」の強みとして挙げています。

個人プラン vs 法人プラン(共通の構造)

観点	個人プラン	法人プラン(Enterprise / Business 系)
入力データの学習利用	設定でオフにできることが多いが、初期設定や扱いは各社で異なる	契約上、学習に使わないことが明記されているのが一般的
管理者機能	なし(自分のアカウントだけ)	管理コンソール・利用者の追加削除・ログ確認など(プランによる)
SSO(シングルサインオン)	なし	上位プランで提供されることが多い
監査ログ	基本なし	プランによって提供範囲が分かれる
契約・請求	クレジットカード個人契約	法人請求書・年契約・専任サポート等
データ取り扱いの契約書	利用規約への同意のみ	別途データ処理契約(DPA)等を結べる

Web UI と API はそもそも契約が別

各社とも、Web画面から使う場合と API(プログラム経由)から使う場合で、データの扱いが分けて説明されています。たとえば OpenAI は、API 経由で送られたデータについて「既定で学習には使わない」という方針を公式に出しています(Enterprise privacy ページ)。Anthropic も同様に、API 経由の業務データを学習に使わないことを明記しています。

つまり、社内システムに組み込むなら API、人が画面で使うなら Web UI、というのが大筋の使い分けです。API は技術者が必要なので、個人事業主が一人で扱うには重い選択肢になることが多いです。

ガバナンスとは「禁止リスト」のことではない

「ガバナンス」というと堅苦しいですが、要するに「うちはAIをこう使う・こうは使わない」を文章で1枚にまとめることです。総務省や経済産業省も、AI事業者ガイドラインで「利用範囲の明確化」「教育」「ログ・点検」を組織側の責務として挙げていますが、1〜数名の事業なら A4 1枚で十分です。

最低限、次の3つが書かれていれば形になります。

1. 入れていい情報・ダメな情報のリスト(顧客の個人情報・未公開の財務数字・他社の機密はNG、など)
2. どのツール・どのプランを使うか(私物アカウントの業務利用は禁止、など)
3. 出力をそのまま使わないルール(必ず人間が確認、固有名詞と数字は一次情報で裏取り)

読者(個人事業主)の落とし所

やってみよう

「学習データに使われない設定」の詳しいやり方は別記事(オプトアウト設定)、「AIに何を入れてはいけないか」は別記事(情報漏えいリスク)で詳しく扱います。本記事は全体の地図として押さえておきましょう。