顧客のソースコードや機密をAIツールに入れる前の確認──「学習されない設定だから大丈夫」で止めない、契約・ツールの設定・社内の手順の3段チェック

この記事は、顧客のソースコードや機密情報をAIツールに入れる前に、制作会社が確認すべきことを扱います。

「うちのリポジトリ、AIに読ませていますか」と聞かれた

保守を受けているお客様の情報システム担当から、メールが届きました。
「御社の開発で、当社のソースコードをAIツールに入力していますか。入力しているなら、ツール名と設定を教えてください」

現場に聞くと、エンジニアの一人が、AIのエージェントにリポジトリごと読ませて改修していました。
設定ファイルには、本番のデータベースの接続情報も入っていました。

AIツールへの入力の確認とは、「契約で許されているか」「ツールがどう扱うか」「社内で誰が確かめたか」を、入力の前に順に確かめることである

黒字化の外科医です。お客様の機密をAIツールに入れる前の確認を、3段の手順として解剖します。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

3段で確かめる理由は、三つあります。

第一に、ツールの設定より先に、お客様との契約があるから。
秘密保持の条項で「第三者への開示」や「目的外の利用」が禁じられているとき、外部のAIサービスへの送信をどう扱うかは、お客様と確かめるべき事柄です。

第二に、ツールのデータの扱いは、プランと設定で変わり、改定もあるから。
同じツールでも、法人向けと個人向けで、学習への利用の扱いが違うことがあります。

第三に、エージェント型のツールは「貼った分」ではなく「読ませた分」が送られうるから。
ファイルを読んで作業するツールでは、読ませたファイルの内容がやり取りの一部になります。設定ファイルや鍵を、作業の場所から外しておく必要があります。

主なAIコーディングツールのデータの扱い（公式の資料で確認できた範囲）

各社の公式の資料で、2026年10月25日に確認した内容です。プランと設定で変わり、改定もあるため、使う前に必ず最新の公式の規約・設定で確認してください。

【Claude Code】（Anthropic 公式ドキュメント「Data usage」）
・法人向け（Team・Enterprise・API など）：商用の規約のもとで送られた
　コードやプロンプトを、生成モデルの学習に使わない
　（顧客が提供を選んだ場合を除く）。標準の保持期間は30日
・個人向け（Free・Pro・Max）：学習への利用を設定で選ぶ。
　許可した場合の保持は5年、許可しない場合は30日
・手元のPCにも、会話の記録が既定で30日、平文で保存される

【GitHub Copilot】（GitHub Docs）
・Copilot Business・Copilot Enterprise：顧客のデータをAIモデルの学習に使わない
・個人向けのプラン（Free・Pro・Pro+ など）：2026年4月24日から、
　操作のデータが学習に使われうる。個人の設定で無効にできる

【Cursor】（公式サイトの Security・Data Use のページ）
・Privacy Mode が有効：データを学習に使わない。
　モデルの提供者とデータを保持しない契約を結んでいる
　（不正利用の検知に当たった場合の例外の記載あり）
・Privacy Mode が無効：データが学習に使われうる
・チームの既定の設定：公式の資料では確認できず。管理画面と公式で確認

【上記以外のツール】
・公式の規約・設定で確認

Claude Codeの「手元に保存される」は見落としがちです。お客様のコードは、社員のPCにも残ります。PCの管理と、保存期間の設定もあわせて確かめてください。

今すぐ試せる：入力の前に確かめることを整理するプロンプト

私はWeb制作会社の経営者です。お客様の案件で、AIコーディングツールに
情報を入力してよいかを整理してください。

【前提】
・お客様と案件：〔例：保守中のECサイトの改修〕
・秘密保持の条項：〔貼り付け〕
・入力したい情報：〔ソースコード、設定ファイル、データベースの一部など〕
・使うツールとプラン：〔　〕
・ツールの設定（学習への利用、保持）：〔公式で確認した内容と確認日〕

1. 秘密保持の条項に照らして、お客様に確認すべき点を挙げる。
2. 入力したい情報を「入れない・加工して入れる・入れてよい」に分ける。
3. 作業の場所から外すべきファイル（鍵、接続情報、個人情報）を挙げる。
4. お客様に送る確認のメールの下書きを作る。
法的な最終判断はしないこと。

入力前の確認工場：3段のチェックと記録

1段目：契約

□ 秘密保持の条項で、外部のサービスへの送信をどう扱うか確認した
□ 判断がつかない場合、お客様に書面（メール）で確認した
□ お客様の社内規程で、AIツールの利用に条件があるか聞いた
□ 外注先が作業する場合、同じ条件を外注先にも課した

2段目：ツール

□ 会社が契約したプラン（法人向け等）で使っている
□ 学習への利用の設定を、公式の資料と管理画面で確認した
□ 保持の期間を、公式の資料で確認した
□ 確認日と、確認した資料の名前を記録した
□ 個人のアカウントで、お客様の案件を扱っていない

3段目：社内の手順

□ 鍵・接続情報（.env など）を、ツールが読める場所から外した
□ 本番のデータ（顧客名簿、注文データ）を使わず、ダミーにした
□ ツールに「読ませないファイル」を指定できるか、公式で確認して設定した
□ 作業の後、手元に残った記録の扱いを決めた
□ 誰が、いつ、どの案件で、どのツールを使ったかを記録した

お客様への確認のメール

〇〇様

いつもお世話になっております。〇〇の〇〇です。

今回の改修で、開発の効率を上げるため、AIコーディングツールの利用を予定しています。
御社のソースコードの一部を入力することになるため、事前にご確認をお願いします。

・使用するツール：〔ツール名〕（法人向けプラン）
・入力の扱い：学習に使われない設定であることを確認済み
　（公式の資料で〇年〇月〇日に確認）
・入力しない情報：パスワード・接続情報、御社のお客様の個人情報

御社の規程上、ご懸念がある場合は、AIを使わない範囲を決めてお進めします。
〇月〇日ごろまでに、ご意向をお知らせいただけますと幸いです。

案件ごとの記録の型

案件：〇〇　お客様の確認：〇年〇月〇日（メール）
ツール：〇〇（プラン：〇〇）　設定の確認日：〇年〇月〇日
入力した情報：ソースコード（〔対象のフォルダ〕）
入力しなかった情報：.env、本番データ
作業者：〇〇　確認者：〇〇

個人情報を含む預かりデータ全般の線引きは、こちらで扱っています。

▶ AIの情報漏えい対策、制作会社は「預かり物」から線を引く──原稿・顧客名簿・アクセス解析・ログイン情報の4分類と、取引先に説明できる管理の型

構造的なリスク

逆説を指摘しておきます。

「学習に使われない設定」を確かめると、安心して何でも入れたくなります。
けれど、学習に使わないことと、送らないことは違います。送った情報は、規約で定められた期間、事業者の側に保持されえますし、手元のPCにも残りえます。

一番安全なのは、入れなくても済む情報を入れないことです。鍵と本番データを作業の場所から外すことは、設定の確認より先にやってください。

よくあるQ&A

Q. お客様に確認すると、「AIは使わないで」と言われないか？

言われることはあります。そのときは、使わない範囲を決め、工数を見直した見積もりを出してください。黙って使い、あとで分かるほうが、取引への影響は大きくなります。

Q. 社員が個人で契約したツールを使ってもいいか？

お客様の案件では、使わないルールをおすすめします。個人向けのプランは、学習への利用の扱いが法人向けと違うことがあるうえ、会社から設定を確かめられません。

Q. 確認は一度やれば十分か？

十分ではありません。規約や既定の設定は変わります。半年に一度、公式の資料を確認し直し、記録の確認日を更新してください。

最後に

お客様の機密をAIに入れる前に確かめるのは、契約、ツール、社内の手順の3段です。

契約で許されているかを先に聞き、ツールの扱いを確認日つきで記録し、入れなくて済むものを外した会社だけが、AIの速さとお客様の信頼を、両方とも手放さずにいられるのです。

AIツールへの入力の条件を、契約の条項にする文例は、キットにまとめました。

▶ AI駆動開発の契約条項キット──AI利用の告知、レビューとテストの責任分担、ライセンス、機密情報、検収と不適合の期間の文例と、そのまま添える別紙3種

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #AIツール #機密情報 #情報漏えい対策 #秘密保持 #AI駆動開発 #制作会社経営 #中小企業 #セキュリティ #生成AI