このページの要点
- NDAと本契約の優先関係を書き、受託者の立場ならNDAを経由した責任上限の迂回を防ぐ。
- 生成AIへの入力を、入力可・学習されない設定の下でだけ可・入力禁止の3区分で決め、無料プランを禁じる。
- 顧客の個人データは委託に伴う提供（個人情報保護法27条5項1号）。安全管理・再委託・漏えい通知・返還を定める。
- 秘密保持違反を上限の対象にするかは、情報を渡す側か受け取る側かで結論が変わる。
結論：本契約の秘密保持は、NDAとの関係、AIへの入力、個人データ、責任の上限の4点で設計する
コンサルの受託者は、顧客の経営数値、顧客名簿、従業員の情報、新しい事業の計画など、外に出せない情報を大量に受け取ります。業務委託契約の中に秘密保持の条項を置くのは当然ですが、近年の事務所の書類では、その条項だけでは足りない場面が増えています。商談の段階で先に秘密保持契約（NDA）を結んでいる、顧客のデータを生成AIに入れて分析したい、顧客の個人データの取扱いを任される、といった事情があるからです。
このページでは、業務委託契約（コンサル契約）の中で、秘密保持・個人情報・生成AIをどう設計するかを、次の4点に分けて説明します。
- 先に結んだNDAと、本契約の秘密保持の条項の関係。
- 顧客のデータを生成AIに入力してよい範囲と、その承諾の手続。
- 受託者が顧客の個人データの取扱いを任される場合の定め。
- 秘密保持の違反を、責任の上限の対象にするかどうか。
NDAを単独で結ぶ場合の論点（定義、存続期間、返還、上限の交渉）は秘密保持契約書（NDA）のページ、成果物の権利との関係は成果物・ノウハウ・知的財産のページで扱います。
NDAと本契約：先に結ぶ理由と、二つの秘密保持の優先関係
IT活用の個人コンサルの契約では、事務所の方針として、NDAを業務委託契約から切り離し、商談の段階で先に結べる独立の文書にしました。理由は3つです。情報の開示は契約の前から始まること、受注に至らなかった場合も情報を守れること、不正競争防止法上の秘密管理性（その情報を秘密として管理していたこと）の証拠になることです。
二つの文書に秘密保持の定めがあると、どちらが効くのかという問題が生じます。この契約では、業務委託契約とNDAの双方に「抵触する場合は、より厳格に秘密情報を保護する定めを適用する」と書きました。そのうえで、顧客のデータ、個人情報、成果物、知的財産に関する義務は、NDAに「追加して」適用すると定めています。NDAが結ばれていない場合や失効した場合に備えて、業務委託契約の側にも、目的外の使用の禁止、終了後の返還・消去、終了後5年の存続を定めた受け皿の条項を置きました。
| 契約の種類 | 関係の定め | ねらい |
|---|---|---|
| IT活用コンサル（業務委託＋独立のNDA） | 双方で「より厳格に保護する定め」を優先。NDAの違反の賠償の範囲と上限は、業務委託契約がある場合は業務委託契約の責任制限の条を適用 | 保護の水準は高い方にそろえつつ、NDAを経由して責任の上限が外れることを防ぐ |
| オンラインの事務代行（業務委託＋NDA） | NDAを結んだときは、秘密情報の定義や管理方法などの詳細はNDAを優先 | 細かな管理のルールはNDAに一本化する。責任の上限の基準が二つの文書で違う場合の優劣も書いておく必要がある |
| AIエンジニアへの委託（業務委託＋独立のNDA） | NDAは別個独立で、業務委託契約の無効・解除は存続すべき権利義務に影響しない。抵触時は「より厳格に保護する定め」を優先 | 業務委託が途中で終わっても、秘密保持の義務を残す |
IT活用コンサルのNDAでは、「より厳格な定めを優先する」という原則に、ひとつ例外を置きました。業務委託契約が結ばれている場合、NDAの違反による賠償の範囲と上限は、より厳格な定めの優先の規定にかかわらず、業務委託契約の責任制限の条によるとしたのです。NDAの側に上限がないと、より厳格な定めとしてNDAが選ばれ、業務委託契約で合意した責任の上限が実質的に迂回されてしまうからです。この設計は、受託者の側の依頼者を守るためのものです。後で見るように、委託する側の立場では反対の結論になることがあります。
AI活用コンサルの依頼者からは、「商談用のNDAは1年、本契約の秘密保持は終了後3年で、期間が違うが問題ないか」という質問を受けました。事務所は、目的が違う文書なので期間が違うこと自体は問題ないと回答しつつ、商談の段階で開示された情報が本契約の秘密情報にもなる場合に、どちらの義務が適用されるのか（どちらかが優先するのか、両方が並んで適用されるのか）を整理しておくよう勧めています。存続条項が秘密保持の条全体を挙げていて、期間の限定なく存続するとも読める点も、確認を勧めました。
顧客のデータを生成AIに入れてよい範囲：3つの区分
コンサルの分析や資料作りに生成AIを使う場合、顧客のデータをAIに入力してよいのかを契約で決めておく必要があります。IT活用コンサルのNDAでは、入力する情報を3つに区分しました。
| 区分 | 対象 | 条件 |
|---|---|---|
| 入力してよい | 秘密情報に当たらない情報 | 特になし |
| 条件付きで入力してよい | 秘密情報 | 入力した情報が学習に使われない契約条件と設定の下でだけ入力できる |
| 入力してはならない | 要配慮個人情報、個人番号、口座やカードの情報、認証情報、開示者が指定した情報 | どのような設定でも入力しない |
あわせて、学習への利用を排除できない無料のプランなどへの入力を禁じ、AIの出力も秘密情報として扱うこととしました。業務ツールに組み込まれたAI機能が継続してデータを参照する場合は、参照の範囲、権限、終了時の削除を事前に確認するとしています。
この区分の根拠として、方針説明では個人情報保護委員会の「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日）を挙げています。経営マーケティングのコンサルの改訂版では、外国の事業者のクラウドや生成AIなどに委託された個人データを入力するには顧客の事前の承諾が必要とし、別紙で利用するサービスを列挙しました。Web会議、クラウドストレージ、生成AI（入力した情報が学習に使われない設定に限る）を挙げ、SNSや検索の媒体は調査のための閲覧に使い、委託された個人データは入力しないとしています。AI活用コンサルの基本契約では、入力できる情報の範囲を個別契約で事前に合意し、範囲外の入力を禁じ、個人情報は原則として扱わず、扱う場合は範囲・目的・方法・返却削除を事前に合意し、顧客の同意なく生成AIなどの外部サービスに入力しないとしていました。
外部のAIを使わせるときの承諾の手続とアカウントの名義
委託する側の立場で、AIエンジニアに業務の自動化を委託する会社のNDAを作った案件では、外部のAIサービスへの入力を、さらに細かく定めました。
条文例外部AIサービスへの入力（委託する側のNDAで事務所が組んだ形の要素）
- 受領者は、開示者の事前の書面による承諾を得ないで、秘密情報を外部AIサービスに送信し、入力し、アップロードし、又は連携させてはならない。
- 受領者は、開示者の承諾の有無にかかわらず、外部AIサービスの提供者に、秘密情報を基礎モデルの学習、追加学習、性能評価、サービスの改善その他これらに類する目的に利用させてはならない。
- 受領者が前項の承諾を求めるときは、サービスの名称、プラン、利用の目的、入力する範囲、保存の期間と場所、第三者への提供と学習への利用の有無を明示する。
- 承諾を得た場合でも、受領者は、入力を必要最小限にとどめ、識別できる情報の削除・置換・マスキングを行い、認証情報を入力せず、学習に利用されない契約条件と設定を採用し、目的を達した後は消去する。
- 外部AIサービスを利用するためのアカウント及びAPIキーは、すべて開示者の名義で発行し、管理する。
書き方の要点AIの生成結果のうち秘密情報を反映したものは、秘密情報として扱うと定めました。外部AIサービスの提供者は、第三者への開示の規定でいう「第三者」に当たると明記しています。
アカウントやAPIキー（外部のサービスを呼び出すための鍵）を委託先の名義で作らせると、契約が終わった後に、どのデータがどこに残っているのかを委託する側が確かめられません。すべて委託する側の名義で発行・管理するとしたのはそのためです。
この案件では、NDAとは別に「外部AIサービス利用に関する確認書（覚書）」を作りました。確認書は、NDAが求める事前の書面の承諾と明示事項を満たすための書面と位置づけています。業務委託契約の中での外部AIの利用の承諾は契約を結んだ時点で効力を生じていて、確認書はその対象と条件を具体化するものだ、という整理です。確認書を結んで初めて承諾の効力が生じると読まれると、確認書を結ぶ前の利用がすべて無承諾になってしまうからです。確認書では利用するサービスを3つ列挙し、ほかのサービスやプランへの変更には事前の承諾が要るとしました。
受託者が顧客の個人データを預かるとき
コンサルの受託者が、顧客の顧客リストや従業員の情報を受け取って分析する場合、個人情報保護法の上では、顧客（委託元）から受託者（委託先）への「委託に伴う提供」となり、本人の同意は要りません（同法27条5項1号）。その代わり、委託元は委託先を監督する義務を負います（同法25条）。外国にあるサーバーを使うAI事業者などに提供する場合は、外国にある第三者への提供の規律（同法28条）が問題になります。
経営マーケティングのコンサルの改訂版では、委託された個人データについて、目的外の利用の禁止、安全管理措置、再委託は顧客の事前の書面の承諾を要すること、外国の事業者のクラウドや生成AIへの入力は事前の承諾を要すること、漏えいのときは直ちに通知すること、終了時に返還・消去して報告すること、顧客が報告を求められることを定めました。人事・組織開発の顧問型コンサルでは、顧客が提供する従業員の情報を必要な範囲に限り、できる限り匿名化・仮名化すること、特定個人情報（マイナンバーを含む情報）や要配慮個人情報は原則として提供しないことを、顧客の側の義務として書いています。受託者が専門家や再委託先に提供する場合に同等の義務を課すことは、努力義務ではなく確定の義務にしました。
受託者の再委託の3つの書き方（SNS運用・内製化コンサルの報告書の比較）
無制限
機動性は最も高い
- 委託元は情報の流れを把握できない
- 委託元の監督義務と両立しにくい
- 大きな顧客は受け入れない
事前通知制（報告書の推奨）
機動性と透明性の両立
- 再委託先を事前に知らせれば足りる
- 受託者が再委託先を監督する義務を明記する
- 委託元は異議を述べる機会を持てる
承諾制
委託元の管理が最も強い
- 再委託のたびに承諾を待つ必要がある
- 急な外注が難しくなる
- 承諾の方法（メールで可か）を決めておく
報告書では、受託者が再委託するときの受託者自身の監督の義務を明記する文言を勧め、秘密保持の例外（公知、既に持っていた、第三者から適法に得た、独自に開発した）を加えることも、受託者自身のノウハウを守るうえで有益だと説明しました。
秘密保持の違反を、責任の上限の対象にするか：立場で答えが変わる
秘密保持や個人情報の違反を責任の上限の対象から外すかどうかは、事務所の書類でも、依頼者の立場によって結論が逆になっています。
| 依頼者の立場 | 結論 | 理由 |
|---|---|---|
| 受託者（経営マーケティングコンサル） | 秘密保持・個人情報の違反を上限の外に出さず、故意・重過失だけを外した | 外に出すと、軽い過失による漏えいでも受託者の責任が無制限になる |
| 受託者（SNS運用・内製化コンサル） | 秘密保持・個人情報・知的財産の侵害・故意重過失を上限から外す文言を勧めた | 顧客の側の許諾の取得義務の違反で第三者から請求を受けた場合に、受託者の求償が上限で切られるのを防ぐため（上限が双方に同じくかかる契約だった） |
| 委託する側（AIエンジニアへの委託） | NDAの賠償を業務委託契約の上限にそろえる相手方の案に対し、削除を求めた | 下の3つの理由による |
AIエンジニアへの委託の案件では、受託する側から「NDAに基づく金銭の責任の総額は、業務委託契約の上限による」という項を加える修正案が届きました。事務所が作成し、委託する側から相手方に示した説明書では、この項の削除を求めました。理由は3つです。第一に、個人情報の漏えいは、個人情報保護法26条による委員会への報告と本人への通知の義務を委託する側に生じさせ得るうえ、営業秘密が外部のAIの学習データに取り込まれて公知になれば、不正競争防止法上の保護を取り戻せません。成果物の品質や納期のリスクとは性質が違い、委託の対価の水準をはるかに超えます。第二に、NDA自身が定める「より厳格な定めを優先する」という設計を、NDAの内側から緩めることになります。第三に、通常の業務の中での不測の事態には、上限の条項ではなく、賠償責任保険の加入の確認や再発防止の協議で対応できます。この修正案は最終的に削除され、元の本文に戻りました。
受託者の立場なら上限を外さないことを求め、委託する側の立場なら上限に含めないことを求める。どちらが正しいということではなく、守るべきものが違うということです。自分がどちらの立場で、何を守りたいのかを先に決めてから、上限の条項を読みます。
返還・消去の例外と、存続の期間
契約が終わったときに秘密情報を返還・消去する条項は、例外を書いておかないと守れない約束になります。人事・組織開発の顧問型コンサルの最終版では、返還・消去の例外として、法令で保存が義務づけられているもの、経理や紛争への対応のために必要なもの、自動で作られるバックアップ、匿名化した事例、受託者の知的財産を挙げました。存続の期間は5年とし、個人情報などは秘密性を失うまで存続するとしています。経営マーケティングのコンサルの改訂版では、雛形の秘密保持の終期があいまいだったため、不正競争防止法2条6項の営業秘密に当たる間は存続する、と特定しました。
技術コンサルのプラン制の契約では、秘密保持は終了後2年としつつ、営業秘密は秘密性を失うまで存続するとし、契約が終わった後7営業日以内に資料やアカウントの権限を返還・削除して報告書を出すと定めました。大企業向けのITコンサルのNDAでは、存続期間を開示日から10年と終了日から10年の遅い方とし、許容された目的の範囲内であっても生成AIや機械学習、クラウドでの解析に情報を投入することを禁じていました。相手方の規模や扱う情報によって、期間の長さも禁止の範囲も大きく変わります。このNDAでは、情報を開示した相手の記録（氏名、所属、開示日、範囲）を求めに応じて出すこと、情報セキュリティの規格への準拠を努力義務とすること、返還や破棄を外部の業者に委ねた場合はその業者の証明書を添えることも定めていました。
技術開発の案件で設計の支援を受託する側のNDAを修正したときは、事前の書面の承諾なく秘密情報を国外に持ち出したり、国外のサーバーに保存したり、外国の法人や外国にいる者に開示したりすることを禁じました（相手方が承認したクラウドの利用などは例外）。そのうえで、輸出管理や安全保障に関する法令の該当性の判断の義務を受託者に負わせるものではなく、その判断と必要な対応は相手方の責任で行うと明記しています。扱う技術の性質によっては、秘密保持の条項が、情報の持出しの規制と結び付くことがあり、その判断を誰が担うかまで書いておく必要があります。
ヒヤリングの問い秘密保持とAIの条項を決めるための問い
問商談の段階でNDAを結んでいますか。本契約の秘密保持と期間や上限は一致していますか。
理由どちらが優先するのか、並んで適用されるのかを決めます。NDAを経由して責任の上限が外れないかも確かめます。
問業務で生成AIを使いますか。どのサービスの、どのプランですか。
理由入力してよい情報、学習に使われない設定、無料プランの禁止、出力の扱いを決め、利用するサービスを別紙に列挙します。
問顧客の顧客リストや従業員の情報を受け取りますか。
理由委託先としての定め（安全管理、再委託、漏えいの通知、返還・消去、報告）を置き、外国のサーバーを使うサービスへの入力の扱いを決めます。
問業務の一部を外注しますか。
理由再委託を無制限・事前通知・承諾のどれにするかを決め、再委託先の監督の義務を書きます。
問あなたは情報を渡す側ですか、受け取る側ですか。
理由秘密保持の違反を責任の上限の対象にするかどうかは、立場で結論が変わります。
起きがちなこと
本契約の秘密保持について、事務所の書類で繰り返し見てきたこと
- NDAと本契約の両方に秘密保持があり、どちらが優先するか、期間と上限がどうなるかが決まっていない。
- NDAに上限がなく、本契約で合意した責任の上限がNDAを経由して外れる。
- 生成AIへの入力について何も書かれていないか、「承諾があれば可」と「承諾があっても禁止」が同じ文書の中で衝突している。
- 外部サービスのアカウントやAPIキーを委託先の名義で作らせ、終了後のデータの所在が分からない。
- 顧客の個人データを受け取るのに、委託先としての定めがない。
- 返還・消去の条項に、法定の保存やバックアップの例外がない。
- 秘密保持の違反を上限から外すかどうかを、自分の立場を考えずに雛形のまま受け入れている。
AIで作った資料の位置づけと確認の手順は成果を保証しない条項のページで扱っています。
よくあるご質問
業務委託契約とNDAの両方に秘密保持の定めがあるとき、どちらが効きますか？
契約書に書いていなければ、文言の解釈の争いになります。事務所では、双方に「抵触する場合は、より厳格に秘密情報を保護する定めを適用する」と書くことが多くあります。ただし、受託者の立場では、NDAを経由して責任の上限が外れないよう、NDAの違反の賠償には業務委託契約の責任制限を適用するという例外を置くことがあります。
顧客の資料を生成AIに入れてよい範囲は、どう決めますか？
入力してよい情報、学習に使われない設定の下でだけ入力してよい情報、どんな設定でも入力しない情報（要配慮個人情報、個人番号、口座や認証の情報など）の3つに分けるのが分かりやすい方法です。無料プランへの入力の禁止、出力も秘密情報として扱うこと、利用するサービスの列挙もあわせて決めます。
委託先に外部AIのアカウントを作らせてもよいですか？
委託先の名義で作らせると、契約が終わった後に、どのデータがどこに残っているかを委託する側が確かめにくくなります。委託する側の名義で発行・管理し、委託先をメンバーとして登録する形にすると、終了時の権限の解除と削除の確認がしやすくなります。
コンサルが顧客の顧客リストを受け取るとき、本人の同意は必要ですか？
委託された業務のために受け取る場合は、個人情報保護法上の「委託に伴う提供」として、本人の同意は要りません。その代わり、顧客は受託者を監督する義務を負うため、契約書に安全管理措置、再委託の扱い、漏えいの通知、終了時の返還・消去、報告の定めを置きます。
秘密保持の違反は、責任の上限から外すべきですか？
立場によって答えが変わります。受託者の立場では、外すと軽い過失による漏えいでも責任が無制限になるため、故意・重過失だけを外すのが一つの方法です。情報を渡す側の立場では、漏えいの損害は委託の対価をはるかに超え得るため、上限に含めないことを求める理由があります。
あわせて読みたい、関連する別のガイド
- 保守で生まれる資料の権利・秘密保持・生成AIシステム保守・SES契約書ガイド
- 制作での生成AIの使用と、契約での取り決めWeb制作・デザインの契約書ガイド
あわせて読みたいページ
本ページは一般的な情報提供です。個別の取引への当てはめは、業務の内容や当事者の属性、契約に至った経緯によって異なることがあります。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきたコンサルティング契約書、顧問契約書、業務委託契約書、成果報酬・収益分配型の契約書、業務提携・共同事業の契約書、秘密保持契約書、PoCの覚書、各種の覚書、レビュー報告書、ヒヤリングシートなどを、個別の依頼者・相手方が特定できない形に整理したものです。条文は e-Gov法令検索（法令API）で確認しています（最終確認日：2026年10月16日）。参考: e-Gov法令検索 / 消費者庁 / 個人情報保護委員会 / 公正取引委員会 / 経済産業省
