AI業務代行のセキュリティ確認項目｜機密情報・個人情報・誤出力を契約前に確認

「機密情報を任せてもよいか」「個人情報はどこまで扱えるか」「AIが誤った場合は誰が確認するか」。AI業務代行を比較するときは、機能や費用だけでなく、データの流れ・人の権限・成果物の確認方法・事故時の対応を具体的に確認する必要があります。

本記事では、AI業務代行の候補事業者に確認したい6つの論点を、質問例と契約チェックリストに分けて整理します。各社の対応範囲や条件は異なるため、公開ページの表現だけで判断せず、実際の業務・データ・責任範囲に合わせて書面で合意してください。

執筆・確認：伊藤 広宣（合同会社Promotize 代表）。この記事は一般的な選定観点をまとめたもので、特定サービスの契約条件、セキュリティ認証、納期、保証内容を示すものではありません。Promotizeへのご相談時も、対象業務に応じた個別条件をご確認ください。

AI業務代行で確認したい6つの論点

1. 機密情報はどこを通るか

顧客情報・売上データ・契約書・社内議事録などを扱う場合は、受け渡しから処理、保存、削除までのデータフローを確認します。「安全です」という説明だけでなく、次の質問に具体的に答えられるかが判断材料です。

• どの情報を、どのシステムへ送るのか
• 外部のAIサービスや再委託先を利用するか
• 保存場所と保存期間はどう決めるか
• 担当者のアクセス権限をどう付与・失効するか
• 業務終了時にデータを返却・削除する手順はあるか

2. 個人情報を扱う範囲はどこまでか

個人情報を含む業務では、委託する情報の種類、利用目的、安全管理措置、再委託の有無、委託元による監督方法を整理します。マイナンバーや要配慮個人情報など、より慎重な管理が必要な情報は、候補事業者が扱えるかを個別に確認してください。

3. AIの誤出力を誰が確認するか

AIの出力には、事実誤認・転記ミス・要件の読み違いが残る可能性があります。業務ごとに、AIが担当する工程、人が確認する工程、最終承認者を決めることが重要です。

• 成果物は下書きか、そのまま利用できる納品物か
• 事実確認・数値照合・表記確認を誰が行うか
• 誤りが見つかった場合の修正手順と連絡先は何か
• 法務・税務・医療など専門判断が必要な業務をどう除外するか

4. 人が関与する範囲は明確か

「人間による確認あり」という説明だけでは、確認の深さは分かりません。全件確認か抽出確認か、確認者に必要な知識は何か、承認記録を残すかまで確認します。速度を優先する業務と、正確性を優先する業務で、レビュー方法を分けることも検討します。

5. 利用するAIサービスの条件を確認できるか

入力データがモデル改善に使われるか、保存期間を設定できるか、管理者が利用状況を確認できるかは、利用するサービスと契約プランによって異なります。製品名や「法人向け」という呼称だけで判断せず、実際に適用される利用規約・データ利用条件・設定を確認してください。

6. データの利用目的と終了時の扱いは明確か

委託データを何のために使うか、成果物や業務手順の権利をどう扱うか、契約終了後に何を返却・削除するかを事前に決めます。削除の対象、時期、バックアップの扱い、完了確認の方法も合意項目です。

契約前に整理するセキュリティチェックリスト

この表は一般的な確認項目です。実際の条項は、情報の機密度、業務内容、適用法令、社内規程に応じて、法務・情報システムなどの担当者と確認してください。

SLAは「速さ」だけでなく測り方を決める

SLA（サービスレベル合意）を設ける場合は、納期だけでなく、起算点・対象範囲・測定方法・例外条件を明確にします。例えば「依頼を受けた時点」なのか「必要情報がそろった時点」なのかで、同じ納期表現でも意味が変わります。

確認候補は次のとおりです。

• 受付時間と対応開始の起算点
• 業務別の目標納期
• 品質を測る指標と検査方法
• 修正依頼の受付方法と対応範囲
• 障害・遅延時の連絡方法
• 定例レビューの頻度と改善項目

数値目標や未達時の扱いは、候補事業者の公開情報だけで推測せず、対象業務に合わせて個別に合意します。

関連記事: AI業務代行そのものの仕組み・費用相場は「AI業務代行(AI外注)とは｜費用相場・選び方・始め方を中小企業向けに解説【2026年最新】」、BPOやコンサルとの使い分けは「AI業務代行 vs BPO vs コンサル徹底比較｜中小企業に最適な選び方【2026年版】」で解説しています。

比較時に確認したい資料

候補事業者に次の資料や説明を依頼すると、抽象的な回答を具体化しやすくなります。提供可否は事業者や契約段階によって異なります。

• データフローまたは業務フローの説明
• 利用するAI・クラウドサービスとデータ利用条件
• アクセス権限の管理方法
• インシデント発生時の連絡・対応手順
• データの返却・削除手順
• 匿名化した成果物例、またはレビュー工程の説明

認証の有無だけで安全性を判断せず、実際の委託範囲に対して、どの管理策が適用されるかを確認することが大切です。

小さく始める場合も条件を先に決める

試行導入や限定業務から始める場合は、期間より先に「何を検証するか」を決めます。実データを使う前に、対象業務・入力データ・成果物・評価基準・終了条件を整理してください。

評価項目の例は次のとおりです。

• 委託前後で変化した作業時間
• 成果物の修正回数と修正理由
• 委託元に残る確認・調整の負荷
• 問い合わせや修正への対応品質
• データ管理とアクセス権限の運用状況

試行終了後に本契約へ自動移行するか、データをどう返却・削除するかも、開始前に確認します。

よくある質問（FAQ）

個人情報を含む業務は依頼できますか？

対応範囲は事業者と業務内容によって異なります。情報の種類、利用目的、保存場所、再委託、安全管理措置を示したうえで、取り扱いの可否を個別に確認してください。

業務データはAIの学習に使われませんか？

利用するAIサービス、契約プラン、設定によって条件が異なります。候補事業者に、使用サービスと適用されるデータ利用条件を確認し、必要な条件を契約書や仕様書に記載します。

AIが誤った成果物を出した場合、誰が責任を負いますか？

業務範囲と契約条件によって異なります。AIが担う工程、人が確認する工程、委託元の最終承認、修正対応、損害発生時の責任分界を契約前に確認してください。

どんな業務は慎重に判断すべきですか？

法令上の資格や専門判断が必要な業務、誤りが人命・財産・権利に大きく影響する業務、即時判断が必要な業務、管理方法を確認できない機微情報を含む業務は、対象範囲と人による確認体制を特に慎重に設計します。

契約終了後、データはどうなりますか？

事業者ごとに異なります。返却対象、削除対象、バックアップ、削除時期、完了確認の方法を契約前に合意してください。