AI開発の再委託はどこまで確認するか。6項目の質問と契約に書く4行

見積書の体制表に「PM 1 名、AI エンジニア 2 名、アノテーター 3 名」と書かれていたとする。この 6 人が全員、契約する相手の社員であるとは限らない。

AI 開発は工程の幅が広い。モデルを扱う技術、学習データに正解を付ける作業、業務システムとつなぐ開発、クラウドの構築、画面の設計。これらを 1 社で全部抱えている会社のほうが少ない。再委託（下請けへの外注）は、悪いことではなく普通に起きる。

問題になるのは、再委託があること自体ではない。自社のデータがどこまで広がるかを、発注者が把握していないことである。

まず、法律上の立て付けを押さえる

個人データの取扱いを外部に委託する場合、委託した側（発注者）が、委託先に対して「必要かつ適切な監督」を行う義務を負う。個人情報保護法第 25 条である。

個人情報保護委員会のガイドライン（通則編）は、この「必要かつ適切な監督」の中身として 3 つを挙げている。

1. 適切な委託先の選定（委託先の安全管理措置が、自社が講ずべき措置と同等以上であることを事前に確認する）
2. 委託契約の締結（双方が合意した安全管理措置を契約に盛り込む）
3. 委託先における取扱状況の把握（定期的に監査し、必要に応じて見直す）

再委託についても記載がある。委託先が再委託をしようとする場合、委託元は、再委託先・業務範囲・取扱方法について事前に報告を受けるか承認すること、および委託先が再委託先を適切に監督しているかを定期的に確認することが挙げられている。さらに再々委託があっても同じ考え方が及ぶ。

そして重要なのが次の点である。委託元の監督が不十分で、再委託先が個人データを漏らした場合、委託元自身が法に違反したと判断されうるとされている。

つまり、「知らなかった」は発注者の側の言い分にならない。発注者が確認しなければならないのは、開発会社の体制だけではなく、その先にいる会社まで含めた管理の形である。

個人データを扱わない案件（公開情報だけを使う、ダミーデータだけで開発する）であれば、この義務は生じない。だからこそ、自社の案件が個人データを扱うのかどうかを先に決めておく必要がある。外部へ出してよいデータの線引きはAI開発で外部APIに送ってよいデータの決め方。4区分と見積依頼に書く5行にまとめた。

発注者が確認する 6 項目

商談で聞くのは、次の 6 つで足りる。相手を疑う質問ではなく、体制を書面にするための質問として出すのがよい。

1. 再委託の有無と、その工程

「どの工程を自社で、どの工程を外部で行いますか」と聞く。AI 開発で外に出やすいのは、おおむね次である。

工程	外に出やすい理由
アノテーション（学習データへの正解付け）	人手が大量に要る。専業の会社やクラウドソーシングがある
データ入力・整形	同上
インフラ構築・運用	クラウドの専門性。監視は 24 時間体制が要ることもある
画面・UI の実装	デザイン会社やフリーランスが入りやすい
評価・テスト	独立性を持たせるために意図的に分ける場合もある

データ整備の工程がどこまで広いかはAI開発のデータ整備費用はなぜ膨らむか。5工程に分けて試算する4ステップで分解している。

2. 再委託先の社名と所在地（国）

社名まで出せない場合もある。それでも、国と、法人か個人かは必ず確認する。海外に出る場合、そのまま外国への個人データの提供に当たることがあり、別の手続きが要る。国内と海外の体制差は国内開発と海外オフショア、AI開発での比較と注意点で扱った。

3. 再委託先が触るデータの範囲

ここが本題である。同じ「再委託あり」でも、次の 3 つはまったく違う。

• 本番の個人データに触る（氏名・連絡先・顧客の問い合わせ本文など）
• 加工済みのデータに触る（匿名化・仮名化された状態）
• データには触らない（ダミーデータだけ、またはコードだけ）

3 番目なら論点は著作権と秘密保持に絞られる。1 番目なら、ガイドラインが求める監督がそのまま必要になる。

4. 再委託先との契約で、同じ義務が引き継がれているか

元請けと結ぶ秘密保持条項・安全管理措置が、その先の会社にも同じ内容で課されているかを聞く。「同等の義務を課している」という回答の根拠として、契約書の該当条項の写し（金額部分は黒塗りで構わない）を見せてもらえる会社もある。

5. 作業する場所と環境

在宅か、社内か。自社のデータを個人の PC にダウンロードできる設計か。アノテーション作業は画面上だけで完結させ、ダウンロードを禁じている会社もある。

6. 責任の所在

不具合や漏えいが起きたとき、発注者の窓口は元請け 1 社で変わらないかを確認する。「再委託先の責任なので当社は関与しない」という立て付けになっていないかどうかである。

契約に書く 4 行

確認した内容は、口頭で終わらせず契約書に落とす。長い条文は要らない。次の 4 つが入っていればよい。

1. 事前承諾: 再委託する場合は、あらかじめ書面で通知し、発注者の承諾を得る
2. 範囲の限定: 承諾した工程・データの範囲を超えて再委託しない
3. 義務の承継: 本契約の秘密保持・安全管理措置・権利帰属と同等の義務を、再委託先にも課す
4. 責任: 再委託先の行為について、受託者が発注者に対して責任を負う

「包括的に承諾済み」としている契約書も実務では多い。その場合でも、承諾の対象が何かが書かれているかは確認したい。無条件の包括承諾は、3 の義務承継とセットでないと意味が薄くなる。

契約書全体の確認項目はAI開発の契約書で確認すべき12項目に、コードやプロンプトの権利の分け方はAI開発でコードとプロンプトは誰のものか。契約で分ける5つの権利にまとめた。

再委託は「減点」ではない

ここまで確認項目を並べたが、再委託がある会社を外す、という使い方はしないほうがよい。

専門の工程を専門の会社に出すのは、品質と費用の両面で合理的なことが多い。アノテーションを社内の開発者がやれば、人件費が高いぶん総額は上がる。24 時間の監視を少人数の会社が抱えれば、無理が出る。

見るべきなのは、再委託の有無ではなく管理されているかどうかである。判断の目安は次のようになる。

状態	見方
再委託の有無・工程・データ範囲を即答し、契約の形まで説明できる	管理されている
再委託はあるが、どこまで把握しているか曖昧	条件を書面にしてもらう
「すべて自社で対応します」と言うが、工程数と要員数が合わない	もう一度確認する

3 番目は、実際には外注しているのに言えていないだけ、という場合がある。避けたほうがよい会社の兆候は避けたほうがよいAI開発会社の12の兆候で整理している。

なお、元請けと再委託先の間の支払条件については、2026 年 1 月施行の取適法（旧・下請法）で規制が変わっている。発注者が直接の当事者になるわけではないが、取引の仕組みとして知っておくと体制の話が読みやすくなる（AI開発費の支払い条件。着手金の比率と、2026年1月に変わった支払いルール）。

相見積もりで揃える

再委託の条件は、会社によって答えが変わる。だからこそ、同じ質問を同じ文で出さないと比較にならない。見積依頼に次の 1 行を入れておくだけで、各社の回答が揃う。

本件で再委託を行う工程、再委託先の所在国、再委託先が取り扱うデータの範囲を記載してください。

無料で相見積もり・相談の案件票では、扱うデータの区分とセキュリティ要件を選択式で揃えている。同じ案件票が各社に届くため、再委託の条件も同じ前提のうえで並べて見られる。

まとめ

• 個人データを扱う案件では、発注者が委託先を監督する義務がある（個人情報保護法第 25 条）。再委託先についても、委託先を通じた確認が求められる
• 確認するのは 6 項目。有無・工程・国・データの範囲・義務の承継・責任の所在
• 契約には 事前承諾／範囲の限定／義務の承継／責任の 4 行を入れる
• 再委託があること自体は減点にしない。把握して説明できるかで見る

商談で 5 分あれば終わる確認である。聞かずに進めた案件で後から困るのは、契約した相手ではなく発注者のほうになる。

参考・出典

• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（委託先の監督） https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
• 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」 https://www.ppc.go.jp/all_faq_index/faq1-q12-16/