三点セット2.0の「AI運用契約」

質問（現場の視点）

三点セット2.0の「AI運用契約」とは、どのような契約ですか。

Chat先生の回答（AI）

一言でいうと

AI運用契約とは、会社と、AIを設定したり動かしたりする外部の相手（制作会社、保守業者、AIの導入を支援する業者など）との間で、AIに渡す鍵の範囲、AIを使うことの開示、記録の残し方、止める人、事故が起きたときの責任を定める契約です。社会保険労務士の小山田政義（AI労務デザイン室）が提唱する「三点セット2.0」のうち、外の相手の角を担う文書です。

三点セット2.0の中での位置

経営者の角：AI行動規範
外の相手の角：AI運用契約（この文書）
社内の角：AI職務権限規程

経営者がAI行動規範で外に約束したことを、外の相手との間で守らせるための約束です。

誰と誰が結ぶのか

会社：サイトやサーバーの名義人です。
外の相手：会社のサイトやシステムに、AIを使って手を入れる業者です。

AIそのものを提供する会社（AIのサービスを運営する大手企業など）とは、この契約を結びません。そちらは利用規約の世界で、中小企業が交渉することはできないからです。交渉できない相手の穴を、交渉できる相手との契約で埋める。それがAI運用契約の考え方です。

何を決めるのか

AIを使うことの開示：外の相手が作業にAIを使う場合は、そのこと、どのAIを使うのか、AIにどこまでの権限を渡しているのかを、会社に知らせる。
鍵の範囲：AIには、人の担当者とは別のAI専用の鍵を使わせ、権限は必要な範囲に絞る。鍵を渡すときは、会社の承認を得る。
操作の線引き：AIが一人でしてよい操作、会社の承認が要る操作、させない操作を、別表で決める。この別表は、社内のAI職務権限規程の権限表と食い違わないようにする。
記録：誰の、どのAIが、いつ、何をしたのかを、人の操作と区別して記録に残す。
止める人：AIの様子がおかしいとき、どちらが、どうやって止めるのか。悪用のおそれが高いときに外の相手が先に止めてよい場合と、その後の報告を決める。再開は会社が決める。
第一報：異常に気づいたときに知らせる期限と、メールともう一つの経路（電話など）を決める。
会社自身のAIの扱い：会社が自分のAIでサーバーを触った場合、その変更は外の相手の責任の外とする。その代わり、何を変えたかを外の相手に知らせる。
事故のときの説明：原因、順序、影響を、記録に基づいて説明する。
AIの切り替えや終了：外の相手が使うAIを別のものに切り替えるときや、AIのサービスが終わるときの通知と、移行の手伝い。
費用と賠償：AIの運用にかかる費用と、AIの事故を前提にした賠償の範囲や上限。

1.0との違い

1.0の「Web安全管理契約」は、人の担当者が保守をする前提で、更新の期限、事故の報告の期限、誰が鍵を持つのかを決めていました。AI運用契約は、そこに「AIという働き手」が出入りすることを前提にした約束を加えます。

中小企業では、まったく別の契約書を作る必要はありません。1.0のWeb安全管理契約に、「AIの運用に関する特約」として付け加える形でも十分です。

よくある誤解

「AIの会社と結ぶ契約でしょう」：いいえ。AIを提供する大手企業とは交渉できません。結ぶ相手は、会社のサイトやシステムにAIを使って手を入れる、身近な業者です。
「うちの制作会社はAIを使っていないから要らない」：使っていないかどうかを、確かめる方法がない状態がいちばん危険です。開示の約束があって、初めて「使っていない」と言えます。また、会社自身が自分のAIでサーバーを触る場合の線引きも必要です。
「保守契約があるから十分」：今の保守契約の多くは、人が作業する前提で書かれていて、AIのことはほとんど書かれていません。一つのサーバーに、外の相手のAI、会社のAI、サーバー会社のAIが出入りする時代には、誰が触ったのかを区別する約束が欠かせません。

保守契約は、AIの交通整理役に

AIが保守をしてくれるなら、保守契約は要らなくなるのでは、と考える人もいるかもしれません。実際はその逆です。人が保守をしていた時代には、誰が触ったのかは明らかでした。AIが何人も出入りする時代にこそ、それぞれの役割と責任を書いた約束が要ります。AI運用契約は、その交通整理のための契約です。

さらに詳しく

制作会社との「Web安全管理契約」の全文と別表、そして三点セット2.0の考え方は、書籍『ホームページは誰が守っているのか』（2026年10月31日発売予定、Kindle）に収録しています。自社の点検には、iPhoneアプリ「Web安全管理 実践力手帳」をご利用ください。