取引先のセキュリティ確認でAIツールを聞かれたときの答え方
取引先から届くセキュリティチェックシートに「AIツールを業務で使用していますか」 という質問が増えています。この質問に正直に、かつ相手を不安にさせずに答えるには、 社内で使っているAIツールと、そこに何のデータを入れているかを先に洗い出す必要があります。 一般的な業務量から試算すると、この洗い出しと回答文の作成に、 初めての場合で4〜8時間程度かかる計算になります（前提は後述の表）。 「使っていない」と偽って答えることは避けてください。あとから発覚した場合の 信用の毀損の方が大きくなります。
なぜ取引先はAIツールの利用を聞いてくるのか
取引先が委託先（自社）にセキュリティチェックシートを送る理由は、 自社の情報漏えいが取引先の情報漏えいにもつながるためです。 自社が預かった取引先の情報（顧客名簿、商品情報、契約条件など）を AIツールに入力すると、そのAIツールの提供会社のサーバーに情報が渡ります。
この経路が、取引先にとって「委託先経由の情報漏えいリスク」として チェック対象に入るようになりました。IPA（情報処理推進機構）が2026年3月に発表した 「情報セキュリティ10大脅威2026」の組織編では、「AI利用に伴うサイバーリスク」が 初めて選出され3位に入っています。生成AIの業務利用が広がったことで、 取引先側のチェックシートにAI関連の質問項目が加わる動きが出てくる背景といえます （出典: IPA「情報セキュリティ10大脅威2026」https://www.ipa.go.jp/security/10threats/10threats2026.html）。
質問の意図は「AIを使うな」ではなく「何にどう使っているか把握したい」 であることがほとんどです。正直に、整理して答えることが最も安全な対応になります。
何を聞かれるのか（質問パターン)
チェックシートの書式は取引先ごとに異なりますが、聞かれる内容は おおむね次のパターンに集約されます。
| 質問の種類 | 具体例 | 何を答える必要があるか |
|---|---|---|
| 利用の有無 | 生成AIツールを業務で使用していますか | Yes/Noと、使用している場合はツール名 |
| データの範囲 | 貴社の情報（顧客データ・機密情報含む)をAIに入力していますか | 入力するデータの種類、御社の情報が含まれるか |
| 利用目的 | どの業務でAIを使用していますか | 文書作成、問い合わせ対応、分析など具体的な業務名 |
| 管理体制 | AI利用に関する社内規程はありますか | 規程の有無、利用可否の判断者 |
| 委託先管理 | AIツール提供会社との契約・利用規約は確認済みですか | 規約確認の有無、データの取り扱いに関する条項 |
すべての項目に完璧な体制で答えられる会社は多くありません。 「規程はまだ整備中だが、利用ツールと範囲は把握している」という 現状のまま正直に答えることが、次善の対応になります。
回答する前に社内で確認すべきこと
チェックシートに回答する前に、次の3点を社内で確認しておくと、 どの質問にも一貫した内容で答えられます。
- 社内で使われているAIツールを洗い出す。 会社として契約しているツールだけでなく、 従業員が個人アカウントで使っているツールも含めて確認します。 後者は「気づいたら使われていた」というケースが実際にあります。
- 各ツールに、どんなデータを入力しているかを確認する。 社内文書の下書きなのか、 取引先の情報を含む資料なのかで、回答の重みが変わります。
- 入力してはいけないデータの線引きを決める。 まだ規程が無い場合でも、 「取引先の顧客情報はAIに入力しない」程度のルールを口頭・簡易文書で 決めておくと、チェックシートに「管理体制あり」と答えられる根拠になります。
この3点が整理できていれば、取引先ごとに書式が違っても、 同じ内容を書式に合わせて転記するだけで済みます。
回答文の書き方
チェックシートの自由記述欄には、次のような書き方が実務で使いやすい形です。
良い例
社内での文書作成・議事録要約の目的で、法人契約の生成AIツール（1製品）を 使用しています。貴社から提供いただく顧客情報・契約情報は入力対象外とし、 入力してよいデータの範囲を社内で申し合わせています。
避けたい例
- 「AIは一切使用していません」（実態と異なる場合、あとで発覚すると 信用の毀損が大きくなります）
- 「便利なので色々使っています」（具体性が無く、相手の不安を解消できません）
- 空欄のまま提出する（回答漏れとして扱われ、追加の問い合わせが発生します）
ツール名や入力データの範囲を具体的に書くほど、相手は安心して読めます。 逆に、抽象的な表現ほど「隠しているのでは」という印象を与えやすくなります。
準備にかかる時間の試算
チェックシート1件あたりの回答作業を分解すると、次のようになります。
| 業務 | いまの時間（都度対応） | 準備を先に済ませた場合 | 差 |
|---|---|---|---|
| 社内のAIツール利用状況の洗い出し | 都度、関係者に聞き取り（2〜4時間） | 一覧表を用意済み（10〜20分で確認） | 1.5〜3.5時間/件 |
| データ入力範囲のルール確認 | 都度、判断に迷い相談（1〜2時間） | ルール文書を参照するだけ（5〜10分） | 1〜2時間/件 |
| チェックシートへの記入 | ゼロから文章を作成（1〜2時間） | 定型の回答文をコピーし調整（15〜30分） | 45分〜1.5時間/件 |
前提：担当者1名がAIツール利用状況の把握から回答文の作成までを一人で行う想定。 「準備を先に済ませた場合」は、社内のAIツール一覧とデータ入力ルールを あらかじめ文書化しておいた状態を指します。取引先からのチェックシートは 年に1〜数回届くことが多く、最初に一覧表とルールを作っておけば、 2件目以降は大幅に時間を圧縮できる計算になります。実際の時間は、 社内で使われているAIツールの数や、取引先からの追加質問の有無によって変わります。
失敗しやすいパターン
- 個人契約のAIツールの存在を把握していない。 会社として契約したツールだけを 数え、従業員が個人で使っているツールを見落とすと、回答が実態とずれます。
- 「使っていない」と答えたあとに使用が発覚する。 取引先側の監査や 問い合わせで実態と異なることが分かると、信頼関係の立て直しに 時間がかかります。最初から正直に答える方が結果的に早く済みます。
- 質問の意図を読まず、機能の説明に終始する。 「AIの何が便利か」ではなく 「御社の情報がどう扱われるか」を聞かれています。論点をずらさず答えます。
- 一度作った回答文を使い回して、実態の変化を反映しない。 新しいAIツールを 導入した際は、既存の回答文も更新が必要です。
チェックシートに答える前の確認リスト
- 社内で使われているAIツール（個人契約含む)を洗い出した
- 各ツールにどんなデータを入力しているか把握した
- 取引先の情報をAIに入力しない、または入力範囲を限定するルールがある
- 回答文にツール名と入力データの範囲を具体的に書いた
- 実態と異なる回答（過小申告・虚偽)をしていない
よくある質問
Q. AIツールを使っていることを正直に答えると、取引を切られませんか。 使用の有無そのものより、管理体制の有無を重視する取引先が多い傾向にあります。 使っていないと偽るより、入力データの範囲を限定していることを 具体的に説明する方が、評価されやすくなります。
Q. 従業員が個人で使っているAIツールも申告する必要がありますか。 取引先の情報がそのツールに入力される可能性がある場合は、 把握しておく必要があります。申告するかどうかは書式の質問文次第ですが、 社内で把握していないこと自体がリスクとして扱われます。
Q. 社内規程がまだ無い場合、チェックシートにどう書けばよいですか。 正式な規程が無くても、「入力してよいデータの範囲を申し合わせている」 という運用ルールがあれば、その旨をそのまま書いて問題ありません。 規程の整備は並行して進める前提で回答します。
Q. どのAIツールを使うと信頼されやすいですか。 特定のツールを使えば安心という単純な話ではありません。 IPA「テキスト生成AIの導入・運用ガイドライン」（2024年7月）は、 サービス選定時の確認点として「入力データを学習に使うかどうかの方針」と 「セキュリティ認証の有無」を挙げています。提供会社がデータをどう扱うかの規約を確認し、 業務に必要な範囲で使っているかどうかが評価の対象になります （出典: IPA「テキスト生成AIの導入・運用ガイドライン」 https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2024/generative-ai-guideline.html）。
Q. チェックシートの回答は誰が作成すべきですか。 AIツールの利用実態を把握している担当者と、 取引先対応の窓口担当者が連携して作成することが望ましい形です。 どちらか一方だけで作成すると、実態と回答内容がずれることがあります。