生成AIの規約は4か所だけ読む。学習利用、保持期間、再委託先、準拠法

生成AIサービスを入れるかどうか判断するとき、規約を頭から読もうとすると必ず止まります。利用規約、プライバシーポリシー、データ処理補遺、それに各種のヘルプ記事。1サービスで数万字あり、4サービスを比べるとなると、それだけで数日かかります。

実際に判断を変えるのは4か所です。学習に使われるか、どれだけ保持されるか、誰に渡るか、揉めたときどこの法律で裁くか。これだけ並べれば、稟議に必要な材料はそろいます。

この記事では、その4つが規約のどこに書いてあるかを示します。確認したのは、2026年9月時点のOpenAI、Google、Anthropic、Microsoftの公開文書です。

学習に使うかどうかは、利用規約に書いていない

4社とも、入力した内容を学習に使うかどうかは、利用規約の本体に書いていません。ヘルプ記事か製品ドキュメントにあります。利用規約をいくら精読しても出てきません。

理由は想像がつきます。学習利用の扱いはプランごとに違い、改定も多い。契約書の本体に書き込むと変えにくいので、別の文書に切り出されています。

困るのは2点です。規約のPDFを保存しただけでは、学習利用を確認した証跡になりません。そしてその文書はいつ変わってもおかしくないので、URLと確認した日をセットで残す必要があります。

プラン名を特定しないと、答えが出ない

見るのは、そのプランが既定で学習に使われるかどうか、この一点です。

4社に共通する境界は、個人契約と法人契約です。個人向けプランは既定で学習に使われ、設定で外せます。法人向けプランとAPIは既定で使われません。同じChatGPTでも、個人のPlusと会社のBusinessでは答えが逆になります¹²。

だからプラン名を正式名称まで特定しないと、この項目は埋まりません。ところが、そのプラン名がよく変わります。2026年だけでも Microsoft 365 Copilot が Microsoft Copilot に、Microsoft 365 Copilot Chat が Microsoft Copilot Chat になりました³。ChatGPT Team は2025年8月に ChatGPT Business へ改称されています。改称前の名前で書かれた社内文書は、そのままだと読み合わせができません。

ここで書き留めること契約するプランの正式名称と、確認した日。そのプランが既定で学習対象かどうか。設定で外せるか、外したときの例外があるか。

例外は必ずあります。たとえばOpenAIは、学習をオフにしていても、回答の良し悪しを送信した場合はその会話全体が学習に使われることがあると書いています²。設定そのものの場所は別の記事にまとめました。

保持期間より、削除がどこまで遡るか

保持期間そのものより、削除がどこまで遡るかのほうが効きます。

会話を削除すると、履歴からはすぐ消えます。ただしシステムから消えるまでには期間があり、多くは30日です⁴。さらに、すでに学習に取り込まれた分や、人によるレビューを経た分は、削除しても残る場合があります。

つまり、誤って機密を入力したとき、消せば済むわけではありません。事故対応の手順を書くときは、この点を前提にしてください。

法人プランでは管理者が保持期間を選べることが多く、最短30日から選べるものもあります。保持そのものをなくす申請ができるサービスもありますが、事前承認制です⁵。

再委託先の一覧は、4社とも公開している

規約ではサブプロセッサと呼ばれます。そのサービスが自社のデータを預ける先、つまり再委託先のことです。

4社とも、一覧をログイン不要で公開しています⁶⁷⁸⁹。社名、所在地、担当する処理の内容まで載っています。新規追加を事前に公表する期間も決まっていて、Microsoftは6か月前としています⁹。

見るのは2点です。データがどの国に渡るか。そして追加のとき通知が来るか、来るなら何日前か。

準拠法に日本の裁判所が出てくるのは例外

法務が最初に聞くのはここです。

主要な生成AIサービスの規約で指定されている準拠法は、ほとんどがカリフォルニア州法です。裁判所もサンフランシスコかサンタクララ郡。OpenAIの利用規約は加えて、NAMという機関による仲裁と、集団訴訟の放棄を定めています¹⁰。Anthropicは、EEA・スイス・英国の顧客はアイルランド法、それ以外はカリフォルニア州法という切り分けです¹¹。

日本法と日本の裁判所が出てくるのは、確認できた範囲で2つだけでした。

1つはMicrosoftのサービス規約です。第10条(e)で、日本のユーザーについて日本法と東京地方裁判所を指定しています¹²。ただしこれは個人向けサービスの規約です。法人契約は別の文書なので、そちらを確認してください。

もう1つはGoogle Workspaceの利用規約です。2026年1月19日の改定で入った第14.12項(d)に、こう書かれています¹³。

日本の公的機関に限った規定です。民間企業には適用されません。

準拠法が海外だからといって導入できないわけではありません。ただ、法務から必ず聞かれる項目なので、先に埋めておくと稟議が止まりません。

どこを見るかの一覧

データ処理補遺は4社とも締結方法を公開しています。Anthropicのように、法人契約に自動で組み込まれる形のものもあります¹⁴。

稟議に残すもの

• 契約するプランの正式名称
• 学習利用の既定と、根拠にしたページのURLと確認日
• 保持期間と、削除がどこまで遡るか
• 再委託先一覧のURLと、追加時の通知の期間
• 準拠法と裁判管轄
• データ処理補遺を締結するかどうかと、その手続き

上から順に埋めれば、1サービスあたり30分ほどです。4社そろえても半日かかりません。規約を頭から読むより、はるかに早く結論が出ます。