なぜ「法務の生成AI活用」が情シスの論点になるのか

法務部門で生成AIの活用が当たり前になるにつれ、社内で必ず立ち上がるのが情報システム部門・セキュリティ部門との調整です。契約書には、取引条件、価格、知的財産、個人情報、未公表のM&A情報など、社内でも最も機密性の高い情報が詰まっています。それを外部の生成AIに入力する——この一点が、情シスにとって看過できない論点になります。

情シスが懸念しているのは、多くの場合「AIのレビュー精度」ではありません。精度は法務が評価すればよい話です。情シスが見ているのは、投入した契約データがどう扱われ、どこに残り、誰がアクセスでき、後から追跡できるかという、データガバナンスの一点です。

この記事では、情シス・セキュリティ決裁者の視点に立って、生成AIで契約書を扱う際に本当に気にすべきリスクを整理し、それを構造的に最小化する「生成AI×CLM」の設計を解説します。結論を先に言えば、鍵は契約データを1箇所に集約しつつ、接続するAIは情シスが評価・承認したものだけに絞るという設計思想にあります。

情シスが本当に気にしている5つのリスク

生成AIで契約書を扱うとき、情シス・セキュリティ部門が評価しているリスクは、おおむね次の5つに整理できます。

この5つのうち、①〜④は「どのAIプランを使うか」で大きく変わり、⑤は「どう運用設計するか」で決まります。順に見ていきます。

主要AIの法人プランは、契約データをどう守っているか

まず押さえておきたいのは、主要な生成AIの法人プランは、いずれも投入データをモデル学習に使わないことを契約上明確に担保しているという事実です（2026年6月時点）。情シスが警戒しがちな「入力が勝手に学習に使われる」という事態は、適切なプランを選べば構造的に防げます。

つまり、「生成AIに契約書を入れること」そのものが危険なのではなく、どのプランで使うかが決定的だということです。法人向けのエンタープライズプランを選べば、学習利用・暗号化・監査といった情シスの要件は、AIベンダーのエンタープライズ契約とTrust Center（信頼性に関する公開情報）の上で担保できます。

なお、Copilotのようにテナント内のデータを参照する設計では、もう一つ注意点があります。AIはそのユーザーがアクセス権を持つ範囲のデータをそのまま参照できるため、社内の権限設定が緩いと、本来見えるべきでない情報まで出力に混ざるリスクがあります。生成された出力が元ファイルの機密ラベルを必ずしも引き継がない点も含め、契約データのアクセス権限を整理しておくことが前提になります。これは後述のCLMによる一元管理が効いてくるポイントです。

最大の盲点は「個人プランの罠」とシャドーAI

法人プランが安全なら、なぜ情シスは神経を尖らせるのか。理由は、個人プランの挙動が法人プランとはまったく違うからです。

生成AIの個人向けプラン（無料版や個人課金のPlus／Pro／Maxなど）は、入力データがモデル学習に使われるのがデフォルトであったり、設定を切らない限り学習・人によるレビューの対象になったりします。たとえばChatGPTの個人プランは学習が既定で、止めるにはオプトアウト操作が必要です。Claudeも2025年9月以降、消費者向けプランは学習に使われる扱いとなり、学習を有効にしたままだと保持期間が最長5年に延びます。Geminiの個人利用も「Gemini Apps Activity」の設定次第で扱いが変わります。

ここから導かれる情シスの最大の盲点が、シャドーAIです。会社がどれだけ立派な法人プランを契約していても、現場の担当者が「自分のChatGPTアカウントのほうが慣れているから」と個人アカウントに契約書を貼り付けてしまえば、そこから先のデータ保護はまったく効きません。

シャドーAIが起きる典型パターン ・法人プランの導入が遅れ、現場が先に個人アカウントで使い始めている ・法人プランはあるが、契約データを呼び出す「正規ルート」が面倒で使われない ・どのAIを使ってよいか・いけないかのルールが曖昧で、各自の判断に委ねられている

シャドーAIは、製品の優劣で解決する問題ではありません。承認されたAIを、現場が自然に使いたくなる正規ルートとして整備するという、運用設計の問題です。ここに、契約データの置き場であるCLMが効いてきます。

AI内蔵型CLMと連携型CLMを、セキュリティ設計の観点で比べる

CLM（契約ライフサイクル管理）製品にも、AIの組み込み方によって2つのタイプがあります。ベンダー独自のAIを内蔵したAI内蔵型CLMと、外部の汎用AIを接続して使う連携型CLM（Open CLM）です。この違いは、情シス・セキュリティ部門の視点で見ると、単なる機能差ではなく統制のかけ方の違いとして現れます。

AI内蔵型は、契約レビュー単体ではセットアップ済みで立ち上がりが早い反面、情シスから見るとAIの中身がブラックボックスになりやすく、評価の単位を自社で握れません。連携型は、情シスがすでに評価して契約しているChatGPT EnterpriseやClaude Enterpriseを、そのまま契約データに対しても使う形を取れます。つまり、新しいセキュリティ評価を一から増やすのではなく、既存のAIガバナンスの上に契約レビューを乗せられるわけです。

この「どちらの設計を選ぶか」という論点は、業務の連続性の観点からも整理できます。詳しくはAI内蔵型CLM vs AI連携型（Open）CLM 徹底比較、設計思想そのものの解説はOpenCLMとは？ChatGPT/Claude時代のCLM選定基準もあわせてご覧ください。

情シスが安心できる「生成AI×CLM」設計の5原則

ここまでを踏まえ、情報漏洩リスクを構造的に最小化するための設計原則を5つに整理します。

原則1：契約の正本はCLMに集約する

情報漏洩リスクの多くは、契約書が散在していることから生まれます。個人フォルダ、メール添付、共有ドライブのあちこち——どこに何があるか把握できなければ、アクセス権限も監査も成立しません。まず契約の正本をCLMに一元管理し、アクセス権限・版管理・監査ログをCLM上で統一的にかけること。これがすべての前提になります。前述したCopilot等の「ユーザー権限がそのまま参照範囲になる」リスクも、契約データの権限がCLMで整理されていれば抑えられます。

原則2：AIは情シスが承認した法人プランだけを接続する

契約データに接続してよいAIを、情シスが評価・承認したエンタープライズプランに限定します。個人アカウントの接続は許可しない。データ非学習が契約上担保され、暗号化・監査ログ・SSOが揃ったプランだけを正規ルートとして開放することで、①学習利用・②保管・④監査のリスクを一括で抑えられます。

原則3：SSO・権限・監査ログをCLMとAIで揃える

ID基盤をSSO／SCIMで一本化し、入退社・異動時のアクセス制御をCLMと接続先AIの両方に効かせます。「誰が・いつ・どの契約を・どのAIに渡したか」を追跡できる状態を作ることで、④監査証跡の要件を満たします。

原則4：機密グラデーションを明文化する

すべての契約を一律に扱う必要はありません。M&A関連・人事関連などの高機密契約は内部に閉じたAIや限定環境のみ、一般的な業務委託契約・NDAはエンタープライズのクラウドAIまで——という機密レベルとAI利用先の対応表を明文化しておくと、現場が迷わず、過剰な制限で利便性を損なうこともありません。

原則5：シャドーAIを「設計」で撲滅する

最後に、承認したAIを現場が自然に使いたくなる正規ルートとして整備します。CLM上の契約データを、承認済みのAIから「ワンクリックで呼び出せる」状態にする。正規ルートが個人アカウントより便利になれば、シャドーAIに流れる動機そのものが消えます。⑤シャドーAIは、禁止の通達ではなく、この導線設計で解決するのが本筋です。

導入時に情シスと法務で詰めておくチェックリスト

実際に生成AI×CLMを導入する際、情シスと法務が事前にすり合わせておきたい項目を挙げます。

このチェックリストは、法務側の「AI活用をどう続けるか」という要件と表裏一体です。すでにAIを使っている法務がCLMに求める観点はすでにAIを使う法務がCLMに求める3条件に整理しているので、情シス要件と突き合わせる際の参考にしてください。

まとめ：「AIは選び、契約は1箇所に集める」は、情シスのための設計でもある

生成AIで契約書を扱うことは、適切に設計すれば、情シス・セキュリティ部門にとって脅威ではなく、むしろ統制を効かせやすい形にできます。ポイントは2つです。

一つは、契約の正本をCLMに1箇所に集約すること。散在をなくし、アクセス権限・監査・版管理を一元化することで、情報漏洩リスクの土台を抑えます。もう一つは、接続するAIを、情シスが評価・承認した法人プランだけに絞ること。データ非学習が担保されたエンタープライズプランを正規ルートにし、シャドーAIに流れる動線を断ちます。

この2つを同時に実現できるのが、連携型（Open CLM）の設計です。契約データはCLMに集約しつつ、AIは自社のセキュリティ基準を満たしたものだけを選んで接続する。「AIは選び、契約は1箇所に集める」——この設計思想は、法務の利便性のためだけでなく、情シス・セキュリティ部門が統制を握りつづけるための設計でもあります。

ContractS CLMは、この連携型（Open CLM）の考え方に基づき、契約データの一元管理と、自社で選んだ生成AIとの安全な連携を両立させることを目指した製品です。生成AI活用とセキュリティガバナンスを対立させず、両立させたいとお考えの法務・情シスのご担当者は、ぜひ設計のたたき台としてご検討ください。

本記事はContractS株式会社のコンテンツマーケティングチームが、エンタープライズ企業の法務・情報システム・セキュリティ部門向けに執筆したものです。各生成AIのデータ取り扱いは2026年6月時点の各社公開情報に基づくものであり、最新の仕様・契約条件は必ず各ベンダーの公式情報をご確認ください。本記事はリーガルアドバイスではありません。

ContractS編集部

ContractSは、契約プロセスの構築や契約管理・案件管理を通じて、契約業務を最適化するシステム「ContractS CLM」を開発・販売しています。大企業から中小企業、スタートアップまで、幅広い企業の契約業務改善を支援してきた実績があり、そのコンサルティング経験を活かして、契約業務に関わる読者が参考にできる情報を発信しています。

私たちについて