NDA（秘密保持契約）のポイントとAI開発特有の注意点
AI開発の相談では、初期の段階から自社の業務データやシステム構成といった機密情報を開発会社に共有することが多くなります。本格的な情報共有を始める前に、NDA（秘密保持契約）を締結しておくことが一般的な進め方です。
NDAを締結するタイミング
多くの場合、初回の商談で概要をヒアリングした後、より具体的な業務データやシステム詳細を共有する段階でNDAを締結します。開発会社によっては、初回の商談前にNDAの締結を求めてくることもあり、これは開発会社側も自社のノウハウ（過去の類似案件の知見など）を安心して共有するための措置であることが多いです。
発注を確約する前の情報交換の段階からNDAを結んでおくことで、双方が安心して具体的な話をしやすくなります。
複数社に相談する場合の運用
AI開発会社を複数社比較検討する場合、各社とそれぞれ個別にNDAを締結することになります。相談する社数が多いほど契約書の管理も煩雑になるため、雛形となるNDA（自社の標準フォーマット）をあらかじめ用意しておくと、各社とのやり取りをスムーズに進められます。
開発会社側から提示されたNDAをそのまま使う場合は、秘密情報の定義や有効期間が自社の基準と大きくずれていないか、内容を必ず確認してから締結することをおすすめします。
片務契約と双務契約の違い
NDAには、発注者側のみが情報を開示する「片務契約」と、双方が情報を開示し合う「双務契約」があります。AI開発の商談では、発注者が業務データを開示する一方、開発会社側も過去の類似案件で得た知見やノウハウの一部を説明することが多いため、実務上は双務契約の形で締結されるケースが一般的です。
片務・双務のどちらの形式であっても、自社が開示する情報の範囲と、相手から受け取る情報の範囲の両方を意識して契約書を確認することが望ましいでしょう。
秘密情報の定義範囲を確認する
NDAの効力は「何を秘密情報とするか」の定義次第で大きく変わります。口頭で伝えた情報も対象に含まれるのか、書面や電子データで明示的に「秘密」と表示されたものに限定されるのか、契約書の定義条項を確認しましょう。
AI開発では、業務データそのものだけでなく、社内の業務フローや意思決定プロセスといった情報も学習・設計の前提として共有することが多いため、これらが秘密情報の範囲に含まれているかも確認しておくと安心です。
口頭共有が多い商談初期こそ注意する
商談の初期段階では、資料を渡すよりも口頭で業務の背景や課題を説明する場面が多くなりがちです。秘密情報の定義が「書面で明示的に秘密と示したものに限る」となっているNDAの場合、口頭で伝えた重要な業務情報が秘密保持の対象外になってしまう可能性があります。
口頭で伝えた情報も一定期間内に書面で「秘密情報である」と通知すれば対象に含まれる、という補完的な条項が入っているかどうかも確認しておくと、実務上の抜け漏れを防げます。
秘密情報から除外される情報の範囲
多くのNDAには、既に公知の情報や、相手方から開示される前から自社が保有していた情報など、秘密保持義務の対象外となる例外事項が定められています。この除外規定が不必要に広く設定されていると、実質的に秘密保持義務が骨抜きになってしまうおそれがあるため、除外事項の文言も一通り目を通しておくことをおすすめします。
データの取り扱いと保管・削除義務
AI開発特有の論点として、共有したデータが開発会社側でどのように保管され、プロジェクト終了後にどう削除されるのかを明記してもらうことが重要です。学習用に加工されたデータのコピーがどこかに残り続けていないか、削除の証明（削除完了報告書等）を求められるかどうかも確認ポイントです。
クラウド環境で開発が行われる場合は、データが保存されるサーバーのリージョン（国内・海外）についても、社内のセキュリティポリシーと照らして問題がないか確認しておきましょう。
再委託先へのデータ共有にも注意する
開発会社が一部の作業を別の協力会社（再委託先）に依頼するケースは珍しくありません。NDAの対象が発注先の開発会社のみに限定されていると、再委託先に対する秘密保持義務が不明確になるおそれがあります。再委託を行う場合は事前承諾を必要とする条項や、再委託先にも同等の秘密保持義務を課す条項が含まれているかを確認しましょう。
海外拠点・海外リージョンを利用する場合の注意
開発会社が海外の開発拠点やクラウドリージョンを利用している場合、データが国外に持ち出されることになります。自社の業界や取り扱うデータの性質によっては、データの越境移転に関する社内規程や取引先との契約上の制約がある場合もあるため、開発を委託する前に、どの国・地域でデータが処理・保管されるのかを開発会社に確認しておくことが望ましいです。
有効期間と存続条項
NDAには有効期間が定められますが、契約終了後も秘密保持義務が一定期間存続する「存続条項」が設けられているのが一般的です。特にAI・データ分野は情報の陳腐化が早い一方で、業務ノウハウのような情報は長期間にわたって機密性を持つこともあるため、存続期間が自社の情報の性質に見合っているか確認しましょう。
情報の性質に応じた期間設定の考え方
一時的な数値データや短期間で陳腐化する情報であれば1〜2年程度の存続期間でも十分なことが多い一方、独自の業務ノウハウや将来の事業計画に関わる情報は、より長期の存続期間を求めたほうが安全です。すべての情報を一律の期間で扱うのではなく、重要度に応じて期間を分ける交渉も選択肢の一つです。
契約終了時の情報返還・破棄義務
契約や商談が終了した際に、開示した秘密情報（資料・データ）を相手方が返還または破棄する義務が定められているかも確認しておきたいポイントです。単に「破棄する」とだけ書かれている場合、実際に破棄が行われたことをどう確認するのか（破棄証明書の発行等）まで定められていないことも多いため、必要であれば具体的な確認手段を交渉の中で提案するとよいでしょう。
AI開発ならではの確認ポイント
通常のシステム開発のNDAと比べて、AI開発では以下の点を追加で確認しておくと安心です。
- 共有データが他社案件の学習データとして混入しない仕組みになっているか
- 生成AIの外部APIを経由する場合、そのAPI提供元にデータが送信され学習に利用されないか
- プロジェクト終了後のデータ削除範囲（バックアップも含むか）
- 社内の複数担当者がデータにアクセスする場合の管理体制
NDAだけで安心せず運用ルールも確認する
NDAはあくまで法的な取り決めであり、実際の情報漏えいを防ぐのは開発会社側の日々の運用体制です。契約書の内容だけでなく、開発会社が普段どのようなセキュリティ体制（アクセス権限の管理、外部への持ち出し制限等）で開発を行っているのかを、商談の中で具体的にヒアリングしておくことをおすすめします。
契約書の文言は案件ごとに個別性が高いため、重要な契約を締結する際は弁護士等の専門家に確認することをおすすめします。
商談時に聞いておきたい具体的な質問例
「データにアクセスできる担当者は何名で、どのように権限管理していますか」「社外への端末持ち出しに制限はありますか」といった具体的な質問を投げかけることで、開発会社のセキュリティ意識の高さを実際に確認できます。回答が抽象的な場合は、より詳細な運用ルールの提示を求めてもよいでしょう。
第三者認証の取得状況も参考にする
ISMS（情報セキュリティマネジメントシステム）やプライバシーマークなど、第三者機関による認証を取得している開発会社であれば、一定水準のセキュリティ運用体制が外部からも確認されていると判断できます。認証の有無だけで開発会社の良し悪しを決めるべきではありませんが、初めて取引する開発会社を評価する際の客観的な材料の一つとして参考にするとよいでしょう。
認証を取得していない会社であっても、独自にしっかりとしたセキュリティ体制を敷いている場合は多くあります。認証の有無にかかわらず、実際の運用体制についてヒアリングする姿勢が重要です。
