DeepSeekは社内で使ってよい?|海外製AIを審査する項目

「現場から、こちらのAIのほうが安くて速いので使わせてほしいという申請が上がってきました」「そもそも、うちの審査票には、そのサービスがどこの国の会社のものかを書く欄がありません」。海外で公開されたモデルが社内の話題に上がるたび、この2つが並んで持ち込まれます。片方は現場からの要望、もう片方は審査する側の足元の話です。審査で決めているのは、モデルの出来ではなく、そのモデルがどんな形で提供されているかです。同じ名前のモデルでも、提供している会社が変われば、入れたものの行き先も、適用される法令も、止めるときにできることも入れ替わります。この記事では、審査が止まる原因を3つに割ったうえで、海外で公開されたモデルを社内で審査するときに見る項目を1つずつ立てます。審査の作業をどこまで機械に渡せるかも、独立した節で扱います。
カメ先生海外で公開されたAIを社内で使ってよいか、という相談は、たいてい性能と料金の比較表を添えて持ち込まれます。ところが審査で結論が出るのは、その表の中ではありません。
カメ子性能が高くて安いのなら、良い選択だということにならないのでしょうか。
カメ先生良い道具かどうかと、社内で使ってよいかは別の問いです。モデルそのものは計算の重みの集まりで、それをどう手に入れて動かすかには複数の経路があります。経路が違えば、契約の相手も、及ぶ法令も、止め方も変わります。
カメ子モデルの名前ではなく、契約の相手を見る、ということになりますね。
- 審査の対象はモデルではなく提供の形。同じモデルでも契約の相手が変われば、行き先も及ぶ法令も止め方も入れ替わる
- 国内なら委託は第三者提供にあたらないが、相手が外国にあると個人情報保護法第28条が正面から働く。ここが審査票の穴になりやすい
- 規約や技術資料の読み比べと審査票の下書きは機械に回せる。使わせるかの決定、例外を認める判断、止める実行は人の側に残す
AIの導入・活用、何から始めるべきかお悩みですか?
デボノはアカウント開設・初期設定など「そもそものAI導入」から社内定着まで伴走支援。マーケティング活用など一歩進んだご相談にも対応します。
「安い」も「性能が高い」も、審査の答えにならない
申請書に書かれてくるのは、たいてい料金と速さと精度です。同じ問いを国内のサービスと比べさせた出力を添えて、こちらのほうが良い答えを返すので使わせてほしい、という形で上がってきます。審査する側が困るのは、その比較が間違っているからではありません。審査が知りたいことが1つも書かれていないからです。
審査で確かめるのは、入れたものがどこへ行くか、誰との契約でそれが決まっているか、その契約はどの国の法律の下で読まれるか、そして止めたいときに止められるかの4点です。料金と精度は、この4点が通ったあとに初めて意味を持ちます。順番を入れ替えると、通す理由も止める理由も社内で説明できなくなります。
性能の高さは、審査から見ると逆向きに働くこともあります。よく答えるほど、現場は長い文脈を渡すようになるからです。短い質問しかしないうちは入力も短いのに、使えると分かった途端に会議の記録や顧客とのやり取りを丸ごと貼るようになる。精度が上がることは、渡す情報が増えることと同じ意味を持ちます。審査で見るのは、いま渡している量ではなく、通したあとに渡すようになる量です。
審査しているのはモデルではなく、提供の形
ここで一度、言葉を整理しておきます。モデルは学習の結果として得られた計算の重みの集まりで、それ自体は場所を持ちません。業務で使うときには、その重みを誰かが動かしている必要があり、動かしているのが誰かによって契約の相手が決まります。つまり審査の対象は「そのモデル」ではなく「そのモデルの動かし方」です。
政府の文書にも、この区別に近い分け方が置かれています。2023年9月に取り決められた政府の生成AIの業務利用に関する申合せは、「不特定多数の利用者に対して提供する、定型約款や規約等への同意のみで利用可能となるクラウドサービス」を約款型クラウドサービスと呼び、この形では「セキュリティ対策やデータの取扱いなどについて機関等への特別な扱いを求めることができない場合が多く、必要十分なセキュリティ要件を満たすことが一般的に困難である」として、要機密情報を扱えないとしています。
この言い方が実務で効くのは、会社の大小や技術の良し悪しではなく、契約の作り方で線を引いているところです。規約に同意するだけで始められるものは、条件をこちらから動かせません。だから審査票の1行目は「どのサービスか」ではなく「どの形で使うのか」にします。この1行を先に埋めるだけで、後の設問の半分は自動的に決まります。
同じモデルでも、契約の相手が変われば行き先が変わる
提供の形は、実務では大きく3つに分かれます。重みを公開した会社が自分で運営しているサービスをそのまま使う形、別の会社が自社の基盤の上で同じ重みを動かしているものを使う形、そして重みを受け取って自社の環境で動かす形です。申請書に同じモデルの名前が書かれていても、この3つは審査の結論が別々になります。
| 提供の形 | 契約の相手 | 入れたものの行き先 | 止めるときにできること |
|---|---|---|---|
| 公開元のサービスをそのまま使う | 重みを公開した会社(海外の場合が多い) | その会社が定めた場所。適用される法令もその国のもの | 解約する。すでに渡したものの扱いは規約しだい |
| 別の会社の基盤の上で同じ重みを使う | 基盤を運営している会社 | 基盤の契約で決めた範囲。国や保持期間を指定できることがある | 基盤側の管理で経路を閉じる。記録も基盤側に残る |
| 重みを受け取って自社の環境で動かす | 契約の相手はいない(利用条件のみ) | 自社の環境の外に出ない。監督の対象は自社になる | 動かしている環境を止める。誰が面倒を見るかは自社の負担 |
表のうち、審査でいちばん見落とされるのは2行目です。現場は「同じモデルを使いたい」と言い、審査する側は「そのモデルは海外の会社のものだ」と読んでしまう。ところが2行目の形では、契約の相手は基盤を運営している会社であり、入れたものの行き先も、その基盤の契約で決まります。モデルの出身国と、データの行き先の国は、別々に確かめる必要があります。
逆に、3行目を選べば行き先の問題は消えますが、消えるだけです。動かす機材と、更新を追う人と、出力の質を測る仕組みが自社の負担として残ります。審査の場面で大事なのは、どの形が優れているかを決めることではなく、申請がどの形なのかを、申請者に言葉で書かせることです。ここが曖昧なまま先に進んだ審査は、後から必ず巻き戻ります。
審査が止まる3つの原因
審査が長引く案件を並べてみると、原因は3つに集まります。どれも担当者の力量の話ではなく、審査票の作りと、社内の決め方の側にある問題です。
原因の1つ目は、審査票がツール単位で作られていることです。1つの名前に1枚の票をひもづける作りだと、同じ名前で提供の形が3つある場合に票が書けません。結果として、担当者が「これはどの形か」を口頭で確かめる往復が発生し、その往復のあいだ審査は動きません。票の作りを、名前ではなく形と契約の相手にひもづけると、この往復は消えます。
2つ目は、結論を自社の規程のどこに置くかが決まっていないことです。通す場合も止める場合も、その判断が基本方針の話なのか、外部サービスの利用基準の話なのか、部門の運用手順の話なのかで、承認する人が変わります。決める人が決まっていない案件は、審査そのものが終わっていても社内で止まります。
3つ目は、審査した時点の記載が後から変わることです。実際にあった例として、海外で公開された対話型のAIについて個人情報保護委員会事務局が2025年2月3日に情報提供を出した際、その時点では提供元の規約が中国語と英語の表記だけでした。ところが2月28日に日本語の記載が公表されたため、同事務局は3月5日の更新で「中国語と英語表記のもののみとなっている旨の記載を削除」しています。読んだ規約が3週間で差し替わることを、審査の作りに織り込んでおく必要があります。
項目1 契約の相手は誰で、どの国の法令が及ぶか
ここから審査で見る項目を1つずつ立てます。最初は、契約の相手と、その契約に及ぶ法令です。先に挙げた個人情報保護委員会事務局の情報提供は、驚くほど短い2点しか述べていません。「当該サービスの利用に伴い取得した個人情報を含むデータは、中華人民共和国に所在するサーバに保存されること」と、「当該データについては、中華人民共和国の法令が適用されること」です。
この2点の意味は、性能の評価でも安全性の断定でもありません。データがどこに置かれ、どの国の法令の下に入るかという事実の提示です。参考として同事務局が挙げた法令は、中華人民共和国個人情報保護法、サイバーセキュリティ法、データセキュリティ法、そして中華人民共和国国家情報法などです。審査票に持つべき欄は、この形をそのまま借りればよく、「保存される場所」と「及ぶ法令」の2つになります。
ここで、断定を避けるべき点が1つあります。及ぶ法令が違うことは、それだけで違反を意味しません。問題になりうるのは、自社が扱っている情報の種類と、その法令の下で情報が求められうる条件が重なる場合です。だから審査の書き方は「使ってはならない」ではなく、「この情報階級のものは渡さない」「この業務では使わない」という条件の形にします。条件で書いた結論は、後から情報階級だけを見直して更新できます。
項目2 入れたものが学習や改良に使われるか
2つ目は、入力が学習や改良に使われるかどうかです。規約には「学習に利用しない」という趣旨の記載が置かれていることが多いのですが、審査ではその文の効き方を3つに分けて読みます。既定でそうなっているのか、契約書や個別の合意で確保されているのか、契約のプランや設定によって変わるのか、です。
この3つを分ける理由は、効き方が違うと、後から変わる可能性も違うからです。既定の設定は提供側の都合で変えられることがあります。個別の合意は変えるには双方の手続きが要ります。プランで変わるものは、社内の誰かがプランを下げた時点で条件も下がります。審査票には「学習に使わない」の可否だけでなく、それが3つのどれで確保されているかを書く欄を置きます。
あわせて確かめるのが、保持期間と消える経路です。答えを作る過程で外部のモデル提供元にデータが渡る作りになっている場合、そちらの保持期間が別に定められていることがあります。また、検索や要約のために本文とは別の索引が作られる作りでは、本文を消しても索引から消えるまでに時間差が生じます。消したはずのものが、どこかに残っている期間の長さを、数字で聞く。これは規約の文言よりも、技術資料や公式の説明のほうに書かれていることが多い項目です。
項目3 データが通る国と、越境のときに要る手続き
3つ目が、審査票にいちばん穴が空きやすい部分です。国内の委託であれば、個人情報保護法第27条第5項第1号により、「利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合」は第三者に該当しません。外部のサービスに顧客の情報を預ける話が、社内で第三者提供の問題として扱われないのは、この規定があるからです。
ところが相手が外国にある場合は、この常識が通じません。同法第28条第1項は、外国にある第三者に個人データを提供する場合には「あらかじめ外国にある第三者への提供を認める旨の本人の同意を得なければならない」と定め、続けて「この場合においては、同条の規定は、適用しない」として第27条を外しています。国内なら委託で済む話が、越境になると本人の同意の話に変わります。この段差を審査票に持っていない会社が、実務では少なくありません。
同意によらずに進める道は2つあります。1つは、相手の国が委員会規則で定める同等水準の国にあたる場合です。施行規則第15条は、その要件として同法第4章または第5章に相当する法令とその履行の確保、委員会に相当する独立した外国執行当局の存在、相互理解に基づく連携などを挙げています。もう1つは、相手が基準適合体制を整備している場合で、施行規則第16条は、提供を受ける者の取扱いについて「適切かつ合理的な方法により、法第四章第二節の規定の趣旨に沿った措置の実施が確保されていること」または「個人情報の取扱いに係る国際的な枠組みに基づく認定を受けていること」のいずれかとしています。
同意で進める場合は、渡す情報も決まっています。同法第28条第2項と施行規則第17条第2項により、同意を得る前に本人へ提供するのは3つ。当該外国の名称、適切かつ合理的な方法により得られたその外国の個人情報の保護に関する制度の情報、そして当該第三者が講ずる保護のための措置の情報です。名称が特定できない場合は、同条第3項によりその旨と理由、代わりの参考情報を出すことになります。審査の段階で「どの国か答えられない」サービスは、この時点で説明の負担が跳ね上がることが分かります。
項目4 出力の権利と、責任の切れ目
4つ目は、出てきたものの扱いです。規約で確かめるのは3か所です。出力を業務や商用で使ってよいと書かれているか、出力の内容について提供側がどこまで責任を負わないと書かれているか、そして争いになったときにどの国の法律で読まれ、どこで解決するとされているかです。
3つ目の準拠法と解決地は、審査で軽く扱われがちですが、実際に困ったときにできることの範囲を決めているのはここです。遠い国の裁判所が指定されている契約は、法的には有効でも、自社が現実に動かせる手立てとしては数えられません。審査票には可否だけでなく、「困ったときに現実に取れる手段」という欄を1つ置きます。
出力の権利そのものについては、規約に書かれている範囲を超えて別の論点があります。生成物にどこまで権利が生じるかは国内でも整理の途上で、契約で移すと書いても移す中身が生じていない場合があります。審査の場面では深入りせず、「出力をそのまま外に出す業務では使わない」という運用の線に落とすほうが早く済みます。権利の議論を審査の中で決着させようとすると、案件が止まります。
項目5 世代が変わると条件も変わる。定期の確認と、止める段取り
5つ目は、審査を一度で終わる作業として設計しないことです。根拠になる考え方が、越境の規定の中にすでに書かれています。施行規則第18条第1項第1号は、基準適合体制を根拠に越境で提供した場合、「当該第三者による相当措置の実施状況並びに当該相当措置の実施に影響を及ぼすおそれのある当該外国の制度の有無及びその内容を、適切かつ合理的な方法により、定期的に確認すること」を求めています。
同項第2号はさらに踏み込んで、「当該相当措置の継続的な実施の確保が困難となったときは、個人データの当該第三者への提供を停止すること」としています。止めるところまでが求められている、という形の規定です。これを社内の運用に写すと、審査票の最後の2行は「次に確かめる日」と「止める条件」になります。この2行が無い審査票は、通した瞬間に古くなります。
生成AIの分野では、条件が変わる速さがほかの外部サービスと違います。モデルの世代が変わって旧世代の提供が終わる、料金の数え方が変わる、既定で有効な機能が増える、規約が一方的に差し替わる。政府機関等の対策基準策定のためのガイドラインが挙げるリスクの例にも、提供者側の都合で定型約款が変更され「変更後の定型約款の条項について合意があったものとみなし、個別に相手方と合意をすることなく契約の内容を変更することができる場合がある」ことが入っています。
政府が約款型のサービスに求めていることを、物差しとして借りる
自社の審査票をゼロから作ると、必ず抜けが出ます。手っ取り早いのは、公表されている物差しから欄を借りることです。先に触れた政府の申合せは、要機密情報を扱えないという原則を置いたうえで、要機密情報を扱わない場合についても手順を示しています。「リスクを考慮した上で利用可能な業務の範囲をあらかじめ特定し、個々の利用に当たっては、利用手続に従って、利用目的や利用者の範囲などの利用者からの申請内容を許可権限者が審査した上で利用の可否を決定し、その利用状況について管理することが必要である」という書き方です。
この一文には、審査の型が4つ入っています。業務の範囲を先に特定する、申請の中身を審査する、許可の権限を持つ人が可否を決める、使われ方を後から管理する。自社の審査が長引くときは、このうちどれが抜けているかを見ると当たりがつきます。多くの場合、抜けているのは1つ目です。業務の範囲を決めずに、サービスの可否だけを議論しているために結論が出ません。
同じ物差しには、要機密情報を扱わない場合でも考慮すべきリスクの例が並んでいます。「クラウドサービス提供者は、保存された情報を自由に利用することが可能である。また、定型約款、利用規約等でその旨を条件として明示していない場合がある」、国外に機器を置いている場合は「現地の法令等が適用され、現地の政府等による検閲や接収を受ける可能性がある」、「突然サービス停止に陥ることがある。また、その際に預けた情報の取扱いは保証されず、損害賠償も行われない場合がある」、「情報の取扱いが保証されず、一旦記録された情報の確実な消去は困難である」。自社向けに書き換える必要はほとんどなく、そのまま審査票の設問になります。
加えて、利用者側に何が期待されているかは、総務省と経済産業省のAI事業者ガイドライン第1.2版(令和8年3月31日)のAI利用者に関する部分に整理されています。提供側が設計で想定した範囲内で使うこと、個人情報や機密情報を不適切に入力しないよう注意を払うこと、そして提供側から示された文書を適切に保管して活用することが挙げられています。最後の1つは審査の実務に直結します。読んだ規約と技術資料を、読んだ日付とともに保管するのは、後から条件の変化を追うための材料になります。
自社の規程のどの階層に当てはめるか
審査の結論が出ても、それを置く場所が決まっていないと社内で動きません。多くの会社の規程は3階層になっています。上に方針、真ん中に規程、下に手順や基準。海外で公開されたモデルの可否は、このどこに書くのが正しいかで迷いが生じます。
結論から言うと、新しい規程を作らないのが早道です。すでにある外部サービスの利用基準に、提供の形と、及ぶ法令と、入れてよい情報階級の3列を足すだけで足ります。生成AI専用の規程を1本立てると、既存の外部サービスの基準と二重管理になり、どちらが優先するかで現場が止まります。新しい技術のたびに規程が増える会社は、この形で膨らんでいます。
そのうえで、例外の扱いを先に決めます。誰が例外を承認できるか、承認した例外はいつまで有効か、有効期限が来たときに自動で失効するのか再審査になるのか。例外に期限が付いていないと、通した1件が前例になって基準そのものが溶けていきます。期限は、先に挙げた「次に確かめる日」と揃えておくと管理が1本で済みます。
審査票を1枚に組み立てる5工程
ここまでの項目を、実際の1枚に落とします。順番の要点は、サービスの評価より先に、業務の範囲と情報階級を決める工程を置くことです。逆にすると、良いか悪いかの議論が延々と続きます。
公開元のサービスをそのまま使うのか、別の会社の基盤の上で使うのか、重みを受け取って自社で動かすのか。申請者に選ばせ、選べない場合は差し戻します。ここが決まらないと、以降の設問はどれも答えが定まりません。
どの業務で、誰が、何を渡すのか。自社の情報階級のどこまでを入れてよいとするのか。サービスの評価はまだしません。この工程で範囲が広すぎることが分かれば、審査そのものが不要になる場合もあります。
契約の相手は誰か。保存される場所はどこか。どの国の法令が及ぶか。個人データを渡すなら、同等水準の国か、基準適合体制か、本人の同意か。同意で進めるなら、外国の名称と制度の情報と保護の措置の3点を説明できる状態にあるかを見ます。
学習に使わないことが既定なのか契約なのかプランなのか。外部のモデル提供元に渡る場合、その保持期間は何日か。本文を消したとき、索引から消えるまでに何日かかるか。答えの出どころとして、読んだ資料と日付を票に残します。
いつ再確認するか。どういう変化があったら止めるか。止めるとき、実際に誰が何を操作するのか。例外を認めた場合は、承認者と有効期限をここに書きます。この2行があると、票が古くなったことに気づけます。
5工程で回すと、案件ごとに埋め直すのは2と3だけになります。1は選択肢から選ぶだけ、4と5は自社の型として固定できます。毎回すべての設問を作り直している会社ほど、実際に変わっているのは業務の範囲と契約の相手の2か所だと気づきます。ここが見えると、審査に掛ける日数も見積もれるようになります。
AIに渡してよい審査の作業と、人が背負う決定
審査の仕事は、読む量が多い割に判断そのものは短いという偏りがあります。だから機械に渡せる部分は少なくありません。渡してよいのは4つです。規約と技術資料を並べて読み比べること、自社の基準と照らして差分を洗い出すこと、審査票の下書きを作ること、社内向けの説明文の下書きを作ることです。どれも材料を整える工程で、結論を出す工程ではありません。
人の側に残すのは3つです。使わせるかどうかの決定、例外を認めるかどうかの判断、そして止めると決めたときに実際に止める実行です。この3つを人に残す理由は、難しいからではありません。判断の材料が資料の中に無いからです。その業務を止めたときに誰が困るのか、現場との関係をどこまで詰められるのか、他部門で通した前例とどう揃えるのか。どれも社内の事情で決まる話で、規約を何度読んでも答えは出てきません。
運用として1つ決めておくことがあります。根拠の書かれていない指摘は採らない、です。規約の読み比べを機械にやらせると、「この条項は不利です」といった評価だけが返ってくることがあります。採るのは、条項の番号か原文の一文が添えられている指摘だけにします。そして添えられた番号は、必ず原典を開いて確かめます。審査票に載った条項番号が間違っていた場合、間違いは何年も社内の基準として残ります。
使わせないと決めたときに、社内で起きること
審査の結論が「使わせない」になったあとの話は、審査票に書かれていません。しかし実務でいちばん影響が出るのはここからです。止めた理由が現場に伝わらないと、同じ申請が別の部署から上がってくるか、申請を出さずに個人の判断で使い始めるかのどちらかになります。
防ぐ手立ては2つです。1つは、代わりに使える経路を同時に示すこと。同じ処理を、すでに通っているサービスや、別の会社の基盤の上の同じ重みで代替できるなら、止める通知と一緒にそれを出します。止めるだけの通知は、守られない確率が高いという前提で書きます。
もう1つは、止める理由を条件の形で書くことです。「安全でないから」ではなく、「顧客の情報を含む業務では使わない」「社外に出す文面の生成では使わない」のように、業務と情報の組み合わせで書きます。条件で書いておくと、現場は「では条件に当たらない業務なら通るのか」と相談に来ます。相談に来る状態が、審査が機能している状態です。そして結論には期限を付けます。半年後に見直すと書いてあれば、現場は待つ理由を持てます。
やりがちな失敗と、審査に入る前に揃えるもの
審査が止まる現場で欠けているのは、項目そのものではありません。どれも、項目の順番か、項目の粒度が合っていなかったために起きたものです。
- 申請書に書かれたモデルの名前だけを見て、公開元の会社との契約だと決めつけた。実際は別の会社の基盤の上で動かす申請で、契約の相手も行き先も違っていた
- 外部サービスへの提供は委託だから第三者提供にあたらない、という国内の整理をそのまま当てた。相手が外国にあるため、別の条文が正面から働く案件だった
- 規約に学習に使わないと書かれていることだけを確かめた。それが既定の設定なのか契約で確保されたものなのかを分けていなかった
- 本文を消せば消えると考えていた。検索のために別に作られていた索引から消えるまでの日数を、誰も聞いていなかった
- 審査票に「次に確かめる日」の欄が無かった。半年後に提供の条件が変わっていたことに、現場からの問い合わせで気づいた
- 止める通知だけを出し、代わりの経路を示さなかった。数か月後、同じ処理が個人の契約で行われていた
次は、審査に入る前に揃えるものです。申請者に出させる分と、審査する側が用意する分に分けてあります。
- 提供の形(公開元のサービス、別の会社の基盤、自社の環境のどれか)を、申請者の言葉で書かせる
- 使う業務の名前と、渡す情報の階級を、業務の側から書かせる(サービスの評価より先)
- 契約の相手の名称と所在、保存される場所、及ぶ法令の4点を票の欄として持つ
- 個人データを渡す場合、同等水準の国か、基準適合体制か、本人の同意かのどれで進めるかを決める
- 学習利用の可否が、既定と契約とプランのどれで確保されているかを分けて書く
- 読んだ規約と技術資料を、読んだ日付とともに保管する
- 次に確かめる日、止める条件、止めるときに操作する人を票の最後に書く
- ここに書いたのは、どの条件で問題になりうるかの整理である。特定の提供元について安全か危険かを断定するものではなく、個別の判断は自社の法務と専門家に確かめる
- 越境の判断は、渡すものが個人データかどうかで大きく変わる。個人データを含まない業務であれば、確かめる欄は契約と止め方に絞れる
- 審査の物差しは、政府が公表している文書から借りるのが早い。自社向けに書き換えるのは、情報階級の呼び名の部分だけでよい
- 生成AIをめぐる公的な枠組みは動いている。人工知能関連技術の研究開発及び活用の推進に関する法律(令和7年法律第53号)は2025年6月に公布され9月に全面施行、同法第13条に基づく指針が2025年12月19日に決定されている
よくある質問
重みが公開されているモデルなら、審査は要らないのでしょうか?
要ります。ただし、確かめる欄が入れ替わります。自社の環境で動かすのであれば、行き先の国と越境の欄はほとんど埋める必要がありません。代わりに、動かす環境の管理、更新を追う人、出力の質を測る仕組みが自社の責任として立ち上がります。利用条件の範囲も読む必要があります。審査が軽くなるのではなく、審査の重心が外から内に移るという理解が正確です。
社内の誰も個人情報を入れないのであれば、審査は簡単に済みますか?
越境に関する部分は軽くなります。ただし残る欄が2つあります。1つは、自社や取引先の非公開情報を入れないことをどう担保するか。もう1つは、出力を使った結果に責任を負う場面があるかどうかです。また、入れないと決めても、入れられる状態のままなら結局は入ります。決めるだけでなく、入れられない経路にするか、入れた場合に気づける記録を残すかまでを審査で見ます。
審査で落としたあと、現場から性能の差を持ち出されたらどう答えますか?
性能の話として答えないのが要点です。落とした理由は情報の行き先と契約の相手であって、出力の質ではありません。答え方としては、「同じ重みを別の会社の基盤の上で使う形なら、契約の相手が変わるので改めて審査できる」という形で、次の申請の道を示します。性能の議論に乗ると、審査は勝ち負けの話になります。条件の話に戻すと、申請の作り直しという建設的な話になります。
すでに使っている人が出てきた場合、どこから手を付けますか?
入れたものの棚卸しからです。止めるのが先だと考えがちですが、何が渡ったのか分からないまま止めると、後から確かめる手立てが消えます。先に、いつからどの業務で何を渡していたかを聞き取り、顧客や取引先の情報が含まれていたかを確かめます。そのうえで止め、含まれていた場合は自社の漏えい対応の手順に載せるかどうかを判断します。順番を間違えると、判断の材料が無くなります。
審査の結論は、どのくらいの期間もちますか?
生成AIに関しては、半年を目安にする会社が増えています。根拠は、条件が変わる速さです。モデルの世代が変わる、既定で有効な機能が増える、規約が差し替わる。越境の規定が定期的な確認を求めていることも、期限を切っておく理由になります。結論に日付を書き、その日に票を開く担当を決めておくのが実務的です。決めていない期限は、来ません。
まとめ
海外で公開されたモデルを社内で使ってよいかは、料金と性能では決まりませんでした。審査が見ているのは、提供の形と、契約の相手と、及ぶ法令と、止め方です。同じ名前のモデルでも、公開元のサービスをそのまま使うのか、別の会社の基盤の上で動かすのか、重みを受け取って自社の環境で動かすのかで、契約の相手も、入れたものの行き先も、止めるときにできることも入れ替わります。
押さえどころを1つだけ挙げるなら、越境の段差です。国内なら委託は第三者提供にあたりませんが、相手が外国にあると第28条が正面から働き、同等水準の国か、基準適合体制か、本人の同意かのどれかを選ぶことになります。そして施行規則が定期的な確認と、確保が困難になったときの停止を求めていることから、審査票の最後には「次に確かめる日」と「止める条件」の2行が必要になります。
確かめる順番として最初に手が付くのは、いま社内に上がっている申請の1行目です。そこに提供の形が書かれていなければ、その票は名前でしか審査していないことになります。書式を1行足すだけで、往復していた確認の半分は消えます。デボノはAIの導入を支援する立場から、審査の型づくりや、上がってきた申請の読み解きを代行する形でも入っています。自社の基準に何列足せばよいかから相談したい場合は、お気軽にお声がけください。
※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。
AIの導入・活用、何から始めるべきかお悩みですか?
デボノはアカウント開設・初期設定など「そもそものAI導入」から社内定着まで伴走支援。マーケティング活用など一歩進んだご相談にも対応します。
