連載「AI時代の機密情報管理とNDA」#0（まとめ）
取引先と秘密保持契約（NDA）を結び、預かった資料をMicrosoft 365やGoogle Workspace、Boxなどのクラウドに保存する。今やごく当たり前の業務風景です。ところがここ数年で、そのクラウドにAIが組み込まれました。利用者が資料を指定しなくても、AIが社内のファイルを探し、要約し、回答を作ります。
この連載では、「預かった機密情報を、AIが取り扱える状態にあることをどう管理するか」を、技術・契約・法令・運用の4つの面から整理します。そして最後に、2026年度末ごろに始まる予定の「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」にどう備えるかをお伝えします。
「保管場所」と「人の権限」だけでは足りなくなった
これまでの情報管理は、主に2つの問いで成り立っていました。
- どこに保存してよいか（保管場所）
- 誰が見られるか（人・組織のアクセス権）
AIが業務基盤に入った今、bitgateはこれに次の問いを加えるべきだと考えています。
- どのアプリ、AI、外部連携が情報に触れられるか（サービス・AIのアクセス権）
- 検索・要約・生成・学習のうち、どの処理を許すか（処理の目的と方法）
「AIに資料を入力しないように」という社内教育だけでは、この3つ目、4つ目は管理できません。利用者が入力しなくても、AIはその人が見られる情報を探しに行くからです。
連載の全体像
- #1 NDAで預かった資料、Copilotは読めるのか？――「学習に使われない」と「回答に使われない」は別の話です。
- #2 保存したときには無かったAIが、既定でONになる――導入時の審査だけでは足りない理由。（近日公開）
- #3 NDAの条文から読み解く――目的外使用、開示範囲、第三者開示、複製。AIが関わるとどう読めるか（bitgate解釈）。（近日公開）
- #4 個人情報保護法・営業秘密とAI検索――公的な指針は何を言っているか（bitgate解釈）。（近日公開）
- #5 Copilot導入前の「過剰共有」棚卸し――設定でできること、できないこと。（近日公開）
- #6 社内規程と取引先との協議――ルールに書き、相手に説明する。（近日公開）
- #7 SCS評価制度が始まる前に――SECURITY ACTIONから段階的に始める。
この連載で一番お伝えしたいこと
1つ目は、NDAは「交わして終わり」の契約ではないということです。NDAは最終的に、2社（または複数社）の間の約束です。条文の解釈には当事者同士の相互理解が欠かせません。契約を結んだ時点では存在しなかったAI機能やシステムを追加・変更するときは、「契約しているから大丈夫」ではなく、相互に話し合うことが大切です。
2つ目は、その話し合いの土台として、自社のセキュリティ対策を「説明できる状態」にしておくことです。経済産業省とIPAが準備を進めるSCS評価制度は、取引先の対策状況を共通の基準で可視化する仕組みです。ただし、いきなり★を取りに行く必要はありません。IPAの自己宣言制度「SECURITY ACTION」から段階的に始めるのが、bitgateのおすすめです。詳しくは#7で解説します。
AIとクラウドの情報管理、まずはご相談ください
bitgateは静岡市のIT企業です。Microsoft 365の設定見直し、情報セキュリティの規程整備、SECURITY ACTIONの宣言からSCS評価制度への備えまで支援しています。初回1時間のご相談は無料です。
※本連載の製品仕様・制度情報は2026年10月時点のものです。法令・契約に関する記述はbitgateの解釈であり、法的助言ではありません。