生成AIの個人契約と法人契約の違い｜業務で見るべき4点【2026】

「ChatGPTは会社で使っています」と言うとき、実態は社員が個人契約したアカウントで業務資料を扱っている、という会社は少なくありません。個人契約と法人契約は、画面も回答の質もほとんど変わらないので、違いが実感しづらいのが厄介なところです。しかし業務で見るべき差は、機能ではなく入力したデータの扱いと、会社が何を管理できるかにあります。この記事では、公式ドキュメントの記載を突き合わせて、業務利用の観点で見るべき4点を整理します。

結論として、業務で使うなら見るべきは①学習に使われるかの既定値、②保持期間を誰が決められるか、③管理者機能（アクセス制御・退職時の回収）、④契約の主体と出力の権利、の4点です。主要3社とも、法人向け・商用向けの契約では入力内容をモデル学習に使わないことを公式に明記している一方、個人向け（消費者向け）の契約は前提が異なります。料金の比較ではなく、この4点で決めるのが実務です。

なぜ「個人契約のまま」が問題になるのか

法的な起点は個人情報保護委員会の令和5年6月2日の注意喚起にあります。個人情報取扱事業者向けに、あらかじめ本人の同意を得ることなく個人データを含むプロンプトを入力し、当該個人データが「当該プロンプトに対する応答結果の出力以外の目的で取り扱われる場合」には個人情報保護法の規定に違反することとなる可能性があるとしたうえで、「当該生成AIサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること」を求めています。

ここで問われているのは「確認」です。個人契約が並んでいる状態では、この確認は社員一人ひとりの設定に依存します。誰かが設定を戻せば、会社は気づけません。法人契約に寄せる本質的な意味は、この確認を個人の善意から組織の契約条件に移すことにあります。把握できていない利用そのものへの対処はシャドーAI対策にまとめました。

①学習に使われるかの既定値

最も差が出るのがここです。各社の公式記載を並べます。

読み取れるのは、法人・商用の契約は「既定で学習しない」、個人向けは「設定次第」という非対称です。個人向けでも設定でオプトアウトはできますが、それは各人の画面での操作であり、会社が担保できるものではありません。設定手順そのものはAI学習オプトアウト設定にまとめています。

②保持期間を誰が決められるか

学習に使われないことと、データが残らないことは別の話です。会話履歴はサービス側に保持されており、その期間を誰がコントロールできるかがプランで変わります。

• OpenAI：Enterprise privacyのページは、コミットメントとして「データの保持期間をコントロールできる」対象をChatGPT Enterprise、ChatGPT for Healthcare、ChatGPT Eduと明示しています。ChatGPT Businessはこの列挙に含まれていません。Businessの保持期間の既定値については公式ページに明記がなかったため、この記事では断定しません。検討時は最新の公式ドキュメントと契約書で確認してください。
• Google Workspace：Privacy Hubは、管理者が会話履歴のポリシーを組織単位で選べると説明しています。利用者による個別削除の許可（既定で有効）と、非アクティブな会話に対する自動保持期間（3か月・18か月・3年といった選択肢）、あるいは無期限保持の指定が挙げられています。
• Anthropic：商用向けの保持は、消費者向けとは別のドキュメントで扱われています。消費者向けについては、モデル改善を有効にした場合に非識別化データを最長5年間保持し得ること、方針違反としてフラグが立った入出力は最長2年保持し得ることが説明されています。

実務的に効くのは、退職・異動・監査のタイミングです。「あの案件の検討時に何をAIに入れたか」を会社が確認できるか、逆に「もう消してほしい」を会社の判断で実行できるか。個人契約ではどちらもできません。

③管理者機能とアカウントの回収

ここは見落とされがちですが、事故が起きたときに最も差が出ます。

退職時の回収は、契約形態を変えるだけで解決する数少ない論点です。個人アカウントで業務をしていた社員が辞めると、その人が積み上げた指示や資料は会社に残りません。情報が出ていくリスクだけでなく、資産が残らないコストも発生しています。

④契約の主体と、出力の権利

個人契約は、社員個人とサービス提供元との契約です。会社は契約当事者ではないため、条件交渉も、条件変更時の通知も、会社には届きません。法人契約に切り替えると、契約当事者が会社になり、規約・データ処理条件・監査対応の窓口が会社側に立ちます。

出力の権利についても、商用向けの規約は明記があります。Anthropicの商用規約は、顧客がInputsの権利を保持しOutputsを所有するとし、Anthropicが持ち得る権利を顧客に譲渡すると定めています。OpenAIもEnterprise privacyで「入力と出力を所有する（法が認める範囲で）」としています。業務成果物としてAIの出力を使う場合、この一文の有無は無視できません。

なおセキュリティ面では、OpenAIはSOC 2監査の完了、保存時のAES-256暗号化と転送時のTLS 1.2以上を公表しています。Google Workspaceは、Gemini利用時のデータがCloud Data Processing Addendumの対象となる顧客データとして扱われると説明しています。

では、どう決めるか

意思決定の順番は次のとおりです。料金から入ると判断を誤ります。

1. 扱う情報の最悪ケースを1つ決める：もっとも機微な業務（顧客の個人データ、単価、契約書）を1つ挙げ、それを入れてよい環境かで判断します。分類の作り方はAIに入力してはいけない情報を参照してください。
2. 既存の基盤に合わせる：Google Workspaceを使っているならGemini側、Microsoft 365ならその周辺と、認証と権限が揃っている側が運用は圧倒的に楽です。
3. 使う人数を数える：全社に配る必要はありません。まず頻繁に使う10〜20人に法人契約を出し、それ以外は用途を限定する形が現実的です。
4. 移行のコストを見る：個人契約からの巻き取りは、アカウント作成より「今までの会話をどうするか」で止まります。移行前に方針を決めておきます。
5. 最後に費用を見る：各社の料金は改定が続いているため、この記事では金額を載せていません。必ず当日の公式ページで確認してください。値上げが続く前提での考え方は生成AI料金の値上げ対策にまとめています。

どのサービスを選ぶかという機能面の比較はChatGPT・Gemini・Claudeの比較、技術的な漏洩対策は生成AI利用の情報漏洩対策、外部に出せないデータの扱いは社内専用のAI環境の構築で扱っています。万一入力してしまった場合の判断は生成AIへの個人情報の入力は漏えい報告の対象かを参照してください。

契約形態を変えることは、機能を増やす投資ではなく、会社が説明責任を果たせる状態を買う投資です。使い方を変えなくても、事故が起きたときに調べられる／止められるという一点で価値があります。契約の切り替えと社内運用の設計をあわせて進めたい場合は、Mihataでも相談を受けています。

契約書そのものの中身をAIでチェックできるかどうかはAI契約書レビューは中小企業に使える？で解説しています。

法人契約に切り替えたあとの社内ルール整備については生成AIの社内ルールの作り方もあわせてご覧ください。