長年の開発現場で、老舗製造業のDXプロジェクトに関わった際、倉庫の扉を開けたときの光景は非常に印象的でした。そこには、創業以来の技術者たちの汗と涙の結晶――数十年分に及ぶ「手書き日報」や「図面」、「技術メモ」が、天井まで積み上げられていたのです。
「これをAIに読ませて、自社の頭脳を作りたい」
経営トップの熱意は痛いほど理解できます。その紙の山には、ベテラン職人の暗黙知、過去の失敗事例、独自の加工ノウハウといった、まさに「企業のDNA」が刻まれているからです。最新のAI OCR技術とLLM（大規模言語モデル）を組み合わせれば、この物理的な山をデジタルな「ナレッジベース」へと変換し、新人エンジニアが対話形式で検索できるシステムを構築することは、技術的には十分に可能です。「まず動くものを作る」プロトタイプ思考でアプローチすれば、仮説を即座に形にして検証することも難しくありません。
しかし、そこで即座に開発を進める前に、一度立ち止まる必要があります。
なぜなら、その紙の山は「宝の山」であると同時に、法的な「地雷原」でもあるからです。昭和、平成、令和と時代をまたぐ資料の中には、現代のコンプライアンス基準では到底許容されない個人情報の記述や、権利関係が曖昧なスケッチ、すでに時効かもしれないが契約書が残っていない他社の機密情報が混在しています。
「技術的にできるか」ではなく「法的にやっていいか」。そして「どうすれば安全にできるか」。
多くのDX担当者や法務責任者が、この壁の前で足踏みをしています。本記事では、経営者視点とエンジニア視点を融合させ、この「過去の亡霊」たちとどう向き合い、リスクをコントロールしながら貴重なナレッジを蘇らせるかについて、実践的なプロトコルを解説します。
「昭和の遺産」がAI時代に抱える3つの法的地雷原
単に紙をスキャンしてPDF化するだけであれば、社内サーバーの容量を気にする程度で済みます。しかし、それを「AIの学習データ」として利用し、RAG（検索拡張生成）などの仕組みで活用しようとした瞬間、リスクの質が変わります。
AIは文脈を理解し、情報を繋ぎ合わせ、新たな回答を生成します。このプロセスにおいて、かつては「紙の束」の中に埋もれて見えなかったリスクが、顕在化・増幅される可能性があるのです。これは「タイムカプセル的リスク」と呼ぶべきものです。
AIによる「暗黙知の可視化」が招く予期せぬプライバシー侵害
手書き文字には、活字にはない情報が含まれています。筆跡です。筆跡は個人の識別が可能な場合があり、広義には生体情報に近い性質を持ちます。
さらに、AIが日報の内容を解析することで、単なる業務記録以上の情報が浮き彫りになることがあります。例えば、「特定の従業員は毎週水曜日の午後に作業効率が落ちる」といった傾向や、「特定のメンバー間の共同作業時はミスが多い」といった人間関係の相関などです。
これらは業務改善のヒントになる一方で、従業員のプロファイリングや監視に繋がる恐れがあり、プライバシー侵害のリスクを孕んでいます。特に、本人の同意なくこうした分析を行い、人事評価などに利用することは、労働法や個人情報保護の観点から慎重な判断が求められます。
「昔はOKだった」記述が現代のコンプライアンス基準で炎上するリスク
30年前の日報を想像してみてください。そこには、現代では不適切とされる表現（ジェンダー、国籍、身体的特徴に関する記述など）や、安全配慮義務を欠いた作業記録（「気合で直した」「保護具なしで突貫作業」など）が含まれている可能性があります。
これらをそのままAIに学習させるとどうなるでしょうか。AIチャットボットが新人に対して、「納期が厳しいときは保護具を外して効率を上げろ」とアドバイスしたり、不適切な表現を含む回答を生成したりするリスクがあります。これを「ハルシネーション（幻覚）」と片付けるのは簡単ですが、企業としてはコンプライアンス違反の証拠を自らデジタル化し、社内に拡散させる行為になりかねません。
技術伝承と権利侵害の境界線：退職者の「手書きメモ」は誰のものか
「このノートは俺の魂だ」と言って退職した職人が残していった手書きの技術メモ。これは会社の資産でしょうか、それとも個人の著作物でしょうか。
形式的には会社の備品であるノートに書かれていたとしても、内容が業務指示に基づかない個人的な備忘録や、独自に考案した工夫のメモであれば、著作権が個人に帰属する可能性があります。退職済みの元従業員から、AI利用についての許諾を得るのは現実的に困難です。
このように、古い資料をAI活用するプロジェクトは、スタートラインに立つ前に「データの権利と倫理」という複雑なパズルを解く必要があります。
法的論点①：個人情報保護法と「故人のプライバシー」
ここからは具体的な法的論点に入っていきます。まず最も頻出するのが「個人情報」の問題です。日報には、社内の人間だけでなく、取引先の担当者名や、時にはその担当者の個人的な事情（家族構成や趣味など、営業トークのためにメモしたもの）が含まれていることが多々あります。
日報に含まれる「取引先担当者の私的情報」の扱い
個人情報保護法において、特定の個人を識別できる情報は保護の対象です。日報に記載された取引先の特定担当者の情報は、ビジネス上の連絡先であれば名刺情報と同等に扱える場合もありますが、「その担当者は甘いものが好き」「最近離婚して元気が無い」といった機微な情報が含まれていた場合、取り扱いは非常にデリケートになります。
AIモデル（特にLLM）にこれらを学習させる際、RAGのデータベースとしてベクトル化して保存する場合、これらの情報は検索可能な状態でシステム内に保持されます。もし情報漏洩が起きた場合、あるいはAIが不適切な文脈でこの情報を出力した場合、企業の信頼失墜に繋がります。
対策のアプローチ：
基本的な対策は、AI OCRでテキスト化した後に個人識別情報（PII）を検出して加工する前処理パイプラインの構築です。
従来的な固有表現抽出（NER）技術に加え、現在は文脈を理解するLLMを用いた匿名化手法や、クラウドベンダーが提供するPII検出サービス（Amazon Comprehend、Google Cloud DLP、Azure AI Languageなど）を組み合わせるのが一般的です。これにより、人名や組織名を「[PERSON]」「[ORG]」といったタグや、仮名（特定の企業名や人名に置き換える処理）に自動的に置換します。
ただし、自動処理は完璧ではないため、特に機微な情報が含まれる可能性が高いデータセットについては、人間による確認プロセス（Human-in-the-loop）を組み込むか、リスク許容度に応じたフィルタリングルールを設計することが重要です。
退職者・物故者の手書き文字は個人情報に該当するか
日本の個人情報保護法では、原則として「生存する個人」の情報が保護対象です。したがって、すでに亡くなっている方（物故者）の情報は、法律上の「個人情報」には該当しません。しかし、だからといって無制限に利用して良いわけではありません。
遺族の感情への配慮や、死者の名誉毀損といった別の法的・倫理的問題が存在します。また、退職者であっても生存している場合は当然保護の対象となります。
特に注意が必要なのは、手書き文字そのものを画像として学習させる場合です。筆跡から個人が特定できる場合、それは生体情報に近い扱いを受ける可能性があります。テキストデータ化してしまえば筆跡情報は消えますが、元画像を参照できる仕組みにする場合は注意が必要です。
改正個人情報保護法における「仮名加工情報」としての活用可能性
令和2年の改正個人情報保護法で新設された「仮名加工情報」という概念は、この分野でのAI活用における追い風となります。これは、他の情報と照合しない限り特定の個人を識別できないように加工した情報のことです。
社内での分析・利用目的に限定すれば、開示請求への対応義務などが緩和されます。古い日報データを「誰が書いたか」という紐付けを完全に削除するのではなく、ID管理などで仮名化することで、適法にAIの学習データや分析データとして利用できる道が開けます。法務部門とは、この「仮名加工情報」としての運用が可能かどうかを協議するのが建設的です。
法的論点②：職務著作と「著作者人格権」の壁
次に、著作権の問題です。「会社の業務で書いたものだから会社の著作物だろう」と安易に考えるのは危険です。
業務日報は会社の著作物か？職務著作の要件確認
著作権法第15条では、法人などの発意に基づき、その業務に従事する者が職務上作成する著作物で、その法人が自己の著作名義の下に公表するもの（または公表しないものも含む契約がある場合）は、その著作者を法人とする「職務著作」が定められています。
一般的な業務日報であれば、以下の要件を満たすことで職務著作となり、権利は会社に帰属します。
- 法人等の発意: 会社が日報の提出を命じていること。
- 業務従事者による作成: 雇用関係にある従業員が書いたこと。
- 職務上の作成: 業務の一環として書かれたこと。
- 公表名義: （社内文書なので公表は前提としないが）会社名義で扱うことが慣習となっていること。
- 契約や就業規則での別段の定めがないこと: 「日報の著作権は従業員にある」といった特約がないこと。
就業規則を確認し、「業務成果物の権利帰属」に関する条項がどうなっているかをチェックしてください。古い就業規則では、この点が曖昧な場合があります。
個人的な技術メモやスケッチブックの権利帰属
問題になりやすいのは、会社が命じた形式的な日報ではなく、職人が個人的に書き留めていた「技術メモ」や「アイデアスケッチ」です。これらが退職後に会社に残されていた場合、それを勝手にAIに学習させて良いのでしょうか。
もしそのメモが、「会社の指示ではなく、自発的に学習のために書いていた」「自宅で書いていた」といった事情がある場合、職務著作の要件を満たさず、著作権は元従業員個人にあると判断されるリスクがあります。
この場合、著作者人格権（公表権、氏名表示権、同一性保持権）も考慮する必要があります。AIがそのメモを改変して学習したり、一部を切り取って回答を生成したりすることが、同一性保持権の侵害にあたる可能性もゼロではありません。
実践的対応:
明らかに個人的な色彩の強いノートやメモについては、AI学習の対象から除外するか、あるいは権利関係がクリアな「公式な技術資料」のみをデータソースとするフィルタリングを行うのが安全策です。
AI生成物が元データと酷似した場合の著作権侵害リスク
生成AI、特に画像生成やコード生成において議論されていますが、テキストベースのナレッジ活用でも「依拠性」と「類似性」の問題は発生します。
もしAIが、ある退職者の技術メモと「酷似した」文章を出力し、それを社外への提案書などに転用した場合、著作権侵害を問われる可能性があります。社内利用（検索・閲覧）に留めるのであれば、著作権法上の「情報解析のための利用（第30条の4）」などが適用されやすく、リスクは低減されますが、生成されたコンテンツをどう使うか（Out-putの利用範囲）を厳密に定義しておく必要があります。
法的論点③：営業秘密と契約違反リスク
3つ目の地雷原は、他社との関係における「秘密保持」です。
数十年前のNDAは有効か？時効と秘密情報の定義
倉庫の資料の中には、過去の共同開発プロジェクトや、下請けとして参加した案件の図面・仕様書が含まれているはずです。これらには、当時の秘密保持契約（NDA）が適用されています。
「30年前の話だから時効だろう」というのは早計です。多くのNDAには有効期間が定められていますが、中には「性質上秘密として保持されるべき情報は期間満了後も存続する」といった条項が含まれている場合があります。また、営業秘密（不正競争防止法）としての管理要件を満たしている情報は、契約期間に関わらず保護されるべき対象となります。
入力データがAIベンダーの学習に使われるリスク（Opt-outの重要性）
ここが最も現代的かつ深刻なリスクです。ChatGPTの最新モデルをはじめとするパブリックなAIサービスは、コーディング能力や長文脈の理解、推論機能が飛躍的に向上しており、業務で利用したい誘惑に駆られることでしょう。しかし、これらのサービスの無料版や個人向けプランに機密情報を含むテキストをそのまま入力してしまうと、そのデータがAIモデルの再学習（トレーニング）に利用される可能性があります。
結果として、自社が入力した「過去の秘密」が学習され、他社のAI利用者の回答として生成されてしまうという情報漏洩リスクが生じます。特に、最新のAIエージェント機能やDeep Researchのような高度な調査機能を利用する際は、意図せず大量のコンテキストデータを送信してしまう可能性があるため注意が必要です。
これを防ぐためには、以下のいずれかの対策が必須です。
- 学習データとして利用されない契約を結ぶ: Azure OpenAIやAWS Bedrockなどのエンタープライズ向けサービス、あるいはChatGPTのTeam/Enterpriseプランなどを利用し、入力データがモデル学習に使われない（Opt-out）設定を確実に行うことが重要です。最新の公式ドキュメントで、データ利用ポリシー（Data Usage Policies）を必ず確認してください。
- ローカルLLMの構築: 機密性が極めて高い場合、外部通信を行わないオンプレミス環境やプライベートクラウド内で、自社専用のLLM（Llamaモデル等のオープンソースモデルを活用）を運用する選択肢もあります。
エンタープライズ向けのAI導入では、基本的にエンタープライズグレードのAPIを利用し、自社のデータが基盤モデルの学習に利用されないアーキテクチャを採用することが推奨されます。これにより、AIの進化を享受しつつ、情報流出のリスクを遮断します。
社外秘情報を含むプロンプト送信の法的責任
もし従業員が、秘密保持義務のある他社の図面データをAIに入力し、それが原因で情報漏洩が起きた場合、企業は善管注意義務違反を問われます。
AIシステムを導入する際は、「どのレベルの情報まで入力して良いか」というデータ区分（機密性レベル）を策定し、システム側で制御するか、運用ルールとして徹底する必要があります。特に、生成AIの機能が急速に進化している現在、古いガイドラインでは対応しきれないケースも増えています。定期的なポリシーの見直しをお勧めします。
導入を決定するための「法務デューデリジェンス」チェックリスト
ここまでリスクばかりを並べてしまいましたが、意図はDXを止めることではありません。リスクの輪郭をはっきりさせることで、逆に「ここまでは安全に進める」という領域を確定させたいのです。
導入の決裁を下すために、以下のチェックリストを活用して、法務部門と合意形成を図ってください。
1. 対象資料の選別基準（トリアージ）
- 作成年代: コンプライアンス基準が著しく異なる古い年代の資料（例：1990年以前）は、一旦学習対象から外すか、厳格なフィルタリングにかけるか。
- 作成者: 退職者の個人的メモが含まれていないか。業務日報として正式に提出されたものに限定しているか。
- 内容: 他社の秘密情報（「社外秘」スタンプがあるもの等）が混在していないか。
2. システム環境とデータガバナンス
- 学習利用の遮断: 導入するAIツールは、入力データをモデルの再学習に利用しない規約（Opt-out）になっているか。
- 匿名化処理: 個人名や機微情報を自動的にマスキングする機能がパイプラインに組み込まれているか。
- アクセス制御: 生成されたナレッジに対して、役職や部署ごとのアクセス権限（ACL）が適切に設定できるか。
3. 利用ガイドラインと法的防衛
- 利用目的の限定: AIの出力結果を社内利用（教育、検索、業務効率化）に限定し、そのまま社外へ公表しないルールになっているか。
- ハルシネーションへの免責: AIの回答が必ずしも正確でないこと、過去の不適切な表現が含まれる可能性があることをユーザー（従業員）に周知しているか。
- 侵害時の対応フロー: 万が一、著作権侵害や情報漏洩の疑いが生じた際の報告ルートと対応手順（キルスイッチ：システムの即時停止など）が決まっているか。
まとめ：リスクを制御して「宝の山」を掘り起こそう
「過去の遺産」をAI活用することは、確かに地雷原を歩くような慎重さが求められます。しかし、適切な防具（法務知識）と探知機（テクノロジーによるガバナンス）を持てば、安全に通り抜けることは可能です。
最も避けるべきは、リスクを恐れて何もしないこと、あるいはリスクを無視して無防備に突っ込むことです。その中間の、「リスクを管理可能なレベルに落とし込んで実行する」道こそが、AI駆動開発の正攻法です。
最新のAIプラットフォームは、こうしたエンタープライズ企業特有の法的要件やセキュリティ基準を満たすために設計されています。データの匿名化、学習利用の防止、アクセス制御といった機能があらかじめ組み込まれており、法務部門の方にも納得いただける仕様になっています。
まずは、自社の倉庫に眠る資料の一部を使って、セキュアな環境でプロトタイプを作成し、検証してみることをお勧めします。実際にどのようなナレッジが抽出でき、どのようにリスクが制御されているかを、ご自身の目で確かめてください。
「過去」を安全に「未来」へ繋ぐための第一歩を、ここから踏み出しましょう。
コメント