会社が社内向けの法務AIアシスタントを作るときの法的チェックリスト―弁護士法７２条のガイドライン，個人情報保護法，営業秘密，データの保存期間及び誤判定への備え（AI作成）

第１　本記事の対象と結論

１　対象と基準日

本記事は，会社が汎用の生成AIサービスに自社の契約書の雛形，チェックリスト及び過去の判断基準を読み込ませ，事業部門の担当者が契約書の確認や法務部門への依頼に使う「社内向けの法務AIアシスタント」を作る場面を対象とする。
このような仕組みを外部の弁護士が支援して構築する例も紹介されるようになっているが，実際に作る際には，弁護士法，個人情報保護法，営業秘密の管理，データの保存期間及びAIの誤判定という法的な確認事項がある。
本記事では，これらを導入前のチェックリストの形で整理する。
法令は令和８年９月２８日現在の条文をe-Gov法令検索で確認し，行政機関の資料とサービス提供事業者の公表資料は同日に原文を確認した。

法律事務所自身が生成AIを使う場合のルール作りは，法律事務所の生成AI利用ガイドラインの作り方で扱っている。
本記事は，法律事務所ではない一般の会社が，自社の法務のために作る場面を扱う。

２　結論

①会社が自社の業務のために社内向けの法務AIアシスタントを使うことは，法務省のガイドライン（令和８年８月２１日）が利用者に求める「自己の業務にのみ利用」するという考え方と整合する。
ただし，取引先や従業員個人の相談に答えるような使い方をさせない設計が必要である。

②同ガイドラインは，法的紛議が現に顕在化している案件等については弁護士に相談してその判断を仰ぐ必要があることを利用者側の遵守事項に挙げている。
社内向けの法務AIアシスタントでも，この種の案件を法務部門や弁護士へ回す仕組みを，画面の案内と判定の条件の両方に組み込むのがよい。

③社内のチャットの過去ログや契約書に個人データが含まれる場合，生成AIサービスの提供事業者がその個人データを取り扱うことになっているかどうかで，本人の同意や委託先の監督の要否が変わる（個人情報保護委員会のＱ＆Ａ７－５３）。
プランや契約条件を確認せずに入力させてはならない。

④取引先から受領した秘密情報や自社の営業秘密を入力するときは，秘密保持契約の条項と，営業秘密の秘密管理性への影響を確認する必要がある。

⑤データの保存期間と管理者が削除できる範囲は，サービスとプランによって異なる。
組織向けのプランでも，設定しなければ無期限に保存されるものや，利用者の端末に保存されて管理者が一元的に削除できないものがある。

⑥「この契約は法務の確認が不要」という判定をAIに任せる場合は，誤判定が起きたときの責任の所在と，事後に確認する仕組みを先に決めておく必要がある。

第２　社内向けの法務AIアシスタントとは

１　典型的な機能

TR & Associates法律事務所のnote連載「生成AIで法務機能を洗練化する、という選択」（第１回・令和８年９月２５日，第２回・同月２８日）は，法務組織の課題を処理コスト，品質のばらつき及び組織の記憶の３つの層に分け，汎用AIで作った社内向けの法務AIアシスタントの実装例を紹介している。
第２回に掲載された画面の例では，次の７つの使い方が挙げられている。
①契約書の要約
②先方から届いた契約書と自社の雛形との差分の確認，修正案及び修正要求文の作成
③案件に合う雛形の提案
④取組みに関係する法律上の注意点の整理
⑤事業の法的リスクの洗い出し
⑥法務部門への依頼文の作成
⑦法務レビューの要否の判定

同じ画面の冒頭には，クラウドサービスであることの注意と，第三者の機密情報を貼り付ける場合は社内のAI利用ガイドラインを確認するよう求める表示が置かれている。
以下では，このような仕組みを自社で作る場合の法的な確認事項を順に述べる。

２　本記事が扱う確認事項

①弁護士法７２条との関係
②個人情報保護法
③営業秘密と取引先の秘密情報
④データの保存期間と管理者の権限
⑤誤判定への備え

第３　弁護士法７２条との関係

１　条文

弁護士法７２条本文は，「弁護士又は弁護士法人でない者は、報酬を得る目的で訴訟事件、非訟事件及び審査請求、再調査の請求、再審査請求等行政庁に対する不服申立事件その他一般の法律事件に関して鑑定、代理、仲裁若しくは和解その他の法律事務を取り扱い、又はこれらの周旋をすることを業とすることができない。」と定めている。
同条と生成AIをめぐる見直しの経過は，AI活用に伴う弁護士法７２条見直しの動きで詳しく扱っている。

２　法務省のガイドラインの位置付け

法務省の「ビジネス分野におけるAI等法務業務支援サービス提供と弁護士法第72条の関係について」（令和８年８月２１日）は，主として，弁護士でないサービス提供者が報酬を得る目的で企業等にAI等法務業務支援サービスを提供する場面を対象としている（同ガイドライン１頁～２頁）。
対象には，「いわゆる汎用型ＡＩのサービス提供者」が，法律事務を行い得る機能を有するサービスを提供する場合も含まれている（同２頁）。

３　会社が自社の業務のために使う場合

同ガイドラインは，サービス提供者が利用規約等で利用者に遵守を求めるべき事項として，「サービス利用者（法人の場合は、当該法人）の自己の業務にのみ利用し、他人の法律事務を取り扱うためには使用しないこと」を挙げている（同１８頁）。
その注１８は，「例えば、企業グループ内において親会社の法務部門が令和５年ガイドライン及び本ガイドラインの範囲内で子会社・関連会社の法務業務を支援するためにサービスを利用することは、通常これに該当しないものと考えられる。」と述べている。

また，同ガイドラインは，通常の業務に伴う，文献その他のリサーチ・法的問題点の検討業務支援，書面作成・審査・管理業務支援，社内における研修・経営判断の適法性確認等を含むガバナンス・リスク管理・コンプライアンス業務支援等を目的とするサービスの提供は，一定の条件の下で「価値中立的なサービス提供であるといい得るものと考えられる」としている（同１０頁～１１頁）。
会社が自社の契約書の確認や社内の相談のために社内向けの法務AIアシスタントを使うことは，これらの記述と整合する使い方であると考えられる。

もっとも，これは社内向けの利用を前提とした整理である。
取引先，顧客又は従業員個人の私的な法律問題の相談に答えさせるような使い方は，自社の業務の範囲を超えるおそれがあるので，利用できる者と用途を利用規程で限定しておく必要がある。

４　弁護士への相談を促す仕組み

同ガイドラインは，利用者側の遵守事項として，「法的紛議が現に顕在化している案件や法的紛議が生じることがほぼ不可避に想定され得る案件に関しては、内容及び必要性等に応じて、弁護士に相談し、その判断を仰ぐ必要があること」も挙げている（同１８頁）。
社内向けの法務AIアシスタントでは，相手方から内容証明郵便が届いた，損害賠償を請求されている，訴訟の予告を受けた等の事情が入力されたときに，AIが結論を示すのではなく，法務部門又は弁護士への相談に回すよう案内する設計にするのがよい。
この案内は，画面の注意書きに書くだけでなく，AIへの指示（プロンプト）と要否判定の条件の両方に組み込む。

５　法律事務所が構築を支援する場合

同ガイドラインは，弁護士又は弁護士法人が自らサービスを開発するなどしてサービス提供者となる場合等を「弁護士提供モデル」と呼び，これらの場合は直ちに弁護士法７２条に抵触するものではないとしている（同１５頁注１６）。
ただし，その場合でも，同条の趣旨等を踏まえた慎重な設計と運用が期待されている。

６　裁判例

AIを用いた契約書の審査や法務相談が弁護士法７２条に違反するかを判断した裁判例は，令和８年９月２８日時点で，裁判所ウェブサイトの裁判例検索でも判例秘書でも見当たらなかった。
現時点では，法務省のガイドラインとグレーゾーン解消制度の回答が主な判断材料である。

第４　個人情報保護法

１　個人情報保護委員会の注意喚起

個人情報保護委員会の「生成AIサービスの利用に関する注意喚起等」（令和５年６月２日）は，個人情報取扱事業者に対し，生成AIサービスに個人情報を含むプロンプトを入力する場合には，「特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること」を求めている。
また，本人の同意を得ることなく個人データを含むプロンプトを入力し，当該個人データが応答結果の出力以外の目的で取り扱われる場合には，個人情報保護法の規定に違反することとなる可能性があるとし，「当該生成AIサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること」を求めている。

２　提供事業者が個人データを取り扱うかどうか

個人情報保護委員会の「『個人情報の保護に関する法律についてのガイドライン』に関するＱ＆Ａ」のＱ７－５３は，クラウドサービスの利用が本人の同意が必要な第三者提供又は委託に該当するかどうかは，「クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。」としている。
同Ｑ＆Ａは，取り扱わないこととなっている場合の例として，「契約条項によって当該外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等」を挙げている。
この場合は，本人の同意も，委託先の監督（個人情報保護法２５条）も要しないが，利用する会社自身の安全管理措置（同法２３条）は必要である（同Ｑ＆Ａ７－５４）。
提供事業者が外国にある場合の同法２８条との関係については，同Ｑ＆Ａ１２－３が参照先とされている。

したがって，入力したデータを提供事業者が学習等に利用できる条件のプランを使うと，個人データの提供又は委託の問題が生じ得る。
社内向けの法務AIアシスタントを作る前に，利用するプランの規約で，入力データの学習への利用，提供事業者による取扱いの範囲及び保存場所を確認する。

３　社内のチャットの過去ログを読ませる場合

前記のnote連載は，使い始めるときに社内チャットの過去のやり取りを自動で検索させる設計を紹介している。
過去のやり取りには，従業員や取引先の担当者の氏名，顧客の情報等の個人データが含まれていることが多い。
検索させる範囲を法務関係のチャンネルに限ること，利用者本人が閲覧できる範囲を超えて検索させないこと，検索結果を回答に引用する際に不要な個人データを表示しないこと等を，設計の段階で決めておく。

４　令和８年の個人情報保護法改正

令和８年７月１７日に公布された個人情報の保護に関する法律等の一部を改正する法律は，令和８年９月２８日時点で，e-Gov法令検索の改正履歴上，主要部分が未施行である。
委託先の利用の制限等，クラウドや生成AIの利用に関係する改正の内容は，令和８年改正個人情報保護法と委託契約で扱っている。

第５　営業秘密と取引先の秘密情報

１　自社の営業秘密

不正競争防止法２条６項は，営業秘密を「秘密として管理されている生産方法、販売方法その他の事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの」と定義している。
経済産業省の「営業秘密管理指針」（最終改訂：令和７年３月３１日）は，社内で秘密管理されている情報を生成AIに利用し，その情報が生成AIから出力されることがあったとしても，その一事をもって秘密管理性が否定されることはないと考えられるとする一方，脚注２４で「当該企業にとどまらず、当該情報αが当該企業以外の第三者（例えば、生成AI提供事業者等）に提供される場合は、秘密管理性が否定される場合もあり得る。」と述べている（同指針２１頁）。
自社の営業秘密を入力する場合は，提供事業者が入力データをどのように扱う契約になっているかを確認することが，営業秘密としての保護を保つためにも必要になる。
従業員が会社の管理外で生成AIを使う問題は，シャドーAIの問題点で扱っている。

２　取引先から受領した秘密情報

事業部門の担当者が，取引先から秘密保持契約に基づいて受領した資料を，契約書の確認のために法務AIアシスタントへ入力する場面は多い。
この場合は，秘密保持契約の第三者開示の禁止や目的外利用の禁止の条項に触れないかを確認する必要がある。
この点は，学習オフの生成AIに秘密情報を入力することは第三者開示に当たるかで整理している。
前記の画面の例のように，入力の前に社内のガイドラインを確認するよう画面で案内するだけでなく，ガイドライン自体に入力してよい情報の区分を具体的に書いておく必要がある。

第６　データの保存期間と管理者の権限

１　プランによって異なること

同じ提供事業者のサービスでも，個人向けのプランと組織向けのプランとでは，入力データの学習への利用や保存期間の扱いが異なる。
また，組織向けのプランでも，初期設定のままでは保存期間が無期限になっているものがある。
会社が作る社内向けの法務AIアシスタントでは，契約書や相談内容が蓄積されるので，保存期間と削除の方法を導入前に決めておく必要がある。

２　具体例

例えば，Anthropicは，組織向けの商用製品（Claude for Work等）の入力及び出力は，フィードバックを送信した場合等を除き，既定ではモデルの学習に使用しないとしている（Anthropicのプライバシーセンター）。
他方，保存期間については，Enterpriseプランでは管理者が保存期間を設定でき，設定しない限り無期限に保存され，プロジェクトも既定では無期限に保存されると説明している（Anthropicのヘルプセンター）。
また，利用者の端末上で動作する機能（Cowork）の会話履歴は利用者のコンピューターに保存され，同社の標準の保存期間の規律の対象外であり，管理者が一元的に管理又は削除することはできないと説明している（Anthropicのヘルプセンター）。
これらはいずれも令和８年９月２８日時点の説明であり，サービスの仕様は頻繁に変わるので，導入時と定期の見直し時に原文で確認する必要がある。

国内のリーガルテックや国産AIの規約の比較は，国内のリーガルテック・国産AIの規約は入力データをどう扱うかで，入力データを学習に使わないとしつつログ等の派生データを利用できるとする規約の読み方は，「学習に使わない」と書いてあってもで扱っている。

第７　誤判定への備え

１　要否判定をAIに任せることの意味

法務レビューの要否をAIに判定させると，法務部門へ回ってくる依頼は減る。
しかし，AIが「法務の確認は不要」と判定した契約で後に問題が生じた場合，その契約を締結した判断は，AIではなく会社の担当者と会社自身のものとして扱われる。
AIの利用に伴う民事責任の一般的な整理は，AI利活用に伴う民事責任で扱っている。

２　設計上の工夫

①要否判定の基準（契約金額，契約類型，自社の雛形からの変更の有無，準拠法・裁判管轄，損害賠償の上限の有無等）は，法務部門が文書で定め，AIへの指示に組み込む。
②判定の結果と理由を記録に残し，法務部門が定期的に抽出して確認する。
③判定が「不要」でも，担当者が不安を感じた場合は法務部門に依頼できる導線を残す。
④基準を変えたときは，版と変更日を記録する。
⑤AIの回答は，事業部門の担当者の一次的な理解を助けるものと位置付け，最終的な判断をAIの回答だけで行わない旨を利用規程に定める。

AIで作った社内ツールでアクセス権限の設計を誤ると，情報漏えいにつながることがある。
この点は，AIで作った社内ツールの情報漏えいで扱っている。

第８　導入前のチェックリスト

第９　関連記事

①AI活用に伴う弁護士法７２条見直しの動き
②法律事務所の生成AI利用ガイドラインの作り方
③令和８年改正個人情報保護法と委託契約
④学習オフの生成AIに秘密情報を入力することは第三者開示に当たるか
⑤シャドーAIの問題点
⑥AI利活用に伴う民事責任
⑦AIで作った社内ツールの情報漏えい

第１０　出典

１　法令

①弁護士法７２条（e-Gov法令検索）
②個人情報の保護に関する法律２３条，２５条，２７条及び２８条（e-Gov法令検索）
③不正競争防止法２条６項（e-Gov法令検索）

２　公的資料

①法務省「ビジネス分野におけるAI等法務業務支援サービス提供と弁護士法第72条の関係について」（令和８年８月２１日，法務省）
②個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和５年６月２日，個人情報保護委員会）
③個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するＱ＆Ａ」Ｑ７－５３，Ｑ７－５４（個人情報保護委員会）
④経済産業省「営業秘密管理指針」（最終改訂：令和７年３月３１日）２１頁（経済産業省）

３　その他

①TR & Associates法律事務所「生成AIで法務機能を洗練化する、という選択」第１回（令和８年９月２５日）及び第２回（同月２８日）（note）
②Anthropic「Is my data used for model training?」，「Configure custom data retention controls for Enterprise plans」，「Use Claude Cowork on Team and Enterprise plans」（令和８年９月２８日確認）