取引先から生成AIの利用状況を聞かれたら｜答えられる体制と提出資料

結論

取引先や元請からの照会で評価が下がる原因は、生成AIを使っていること自体ではありません。会社として利用実態を把握できておらず、聞かれた項目に一貫した説明ができないことです。回答は、実態を偽らずに「現在どこまでできているか」と「いつまでに何を整えるか」を期日付きで並べる形にしてください。現状と計画が分けて書かれていれば、余計な追加要求を招きにくくなります。

裏づけとして提出する社内資料は5種類です。生成AI利用規程、承認済みツール一覧、教育実施記録、秘密情報の取扱手順、インシデント報告フローが、その内訳になります。すべて未整備の状態で照会を受けても、着手の順序を決めれば骨格は回答期限内に作れます。ただし「整備中・実施予定」という書き方がどこまで受け入れられるかは、取引先の要求水準と契約関係によって変わります。一般的な組み立て方として扱ってください。

取引先が生成AIの利用状況を聞いてくる背景

生成AIの取り扱いを文書で確認する動きは、まず政府調達の側で形になりました。デジタル庁は2026年6月12日に「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」の第2.0版（DS-920）を定め、調達と契約の局面で確認すべき事項をチェックシートの形で整理しています（デジタル庁 DS-920 第2.0版）。政府情報システムのクラウドサービスを評価するISMAPも、生成AIサービスの扱いについて留意点を公表しています（ISMAPポータル 生成AIサービスに関する留意点について）。

この2つは、いずれも政府調達と政府情報システムを対象とする制度です。民間企業同士の取引に直接の義務を課すものではなく、民間の元請から照会を受けている会社に、これらへの適合を求められる法的根拠もありません。それでも目を通す価値はあります。発注側が確認項目を作るときの下敷きになりやすく、何を聞かれるかの輪郭を先に把握できるからです。

民間取引の側でも、委託先の管理状況を確かめる枠組みづくりが進んでいます。経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の制度構築方針を公表しました。委託元が委託先へ求めるセキュリティ水準を、共通の基準で示す任意の制度として設計されたものです（経済産業省 SCS評価制度、IPA SCS評価制度の詳細情報）。生成AIに限った制度ではありません。ただ、委託先へ書面で水準を示し、その充足を確認するという形式そのものが用意されつつあります。

発注側が確かめたいのは、生成AIを使っているか否かという一点ではありません。預けた情報が管理外の場所へ流れない仕組みが、委託先の側にあるかどうかです。委託先から情報が漏れれば、発注側が預けた設計情報や顧客情報も一緒に外へ出ます。この見方に立てば、利用を伏せた回答よりも、利用範囲と管理方法を書いた回答のほうが確認に耐えます。

あわせて読みたい

法人の生成AI利用リスクと情報漏洩対策｜経営者が導入前に確認する判断軸

2026 . 07 . 24

調達アンケート・監査で問われる確認項目の全体像

照会文書の様式は取引先ごとに違います。それでも、聞かれている中身はおおむね次の7領域に収まります。政府調達で明文化されている確認事項と、委託先の管理で一般に問われる項目から組み立てた一覧です。手元の照会文書と突き合わせ、どの行に答えられて、どの行が空欄になるかを先に見てください。

空欄が多くても構いません。この段階の一覧は、回答方針を決めるための材料です。評価が分かれるのは、空欄を埋めないまま「対応済み」と書くか、未整備と認めたうえで期日を添えるかという点にあります。

回答方針の決め方

回答は「利用している」「利用していない」の二択に見えますが、どちらを選んでも取引先側の反応が伴います。

追加要求が重くなるのは、「利用している」と答えたときではありません。利用しているのに、管理の説明が薄いときです。ツール名、契約形態、入力してよい情報の線引き、違反時の扱いが一続きの説明になっていれば、取引先が誓約書やログで裏を取る理由は小さくなります。

未導入の会社の回答

会社として導入しておらず、社員も業務で使っていないなら、そのまま「業務利用していない」と回答します。あわせて、利用を検討する場合に踏む手順、つまり承認者と事前確認の存在を1行添えてください。これがないと、将来の利用について取引先側から条件を先に置かれ、後から緩める交渉が重くなります。

この段階で規程を作り込む必要はありません。ただ、本当に使われていないかだけは確かめてください。裏を取らないまま「利用していない」と書けば、次に挙げる黙認利用と区別のつかない回答になります。

黙認利用の会社の回答

判断が割れるのは、会社としては承認していないものの、社員が個人アカウントや無料版で使っている状態です。これを「利用していない」と回答すると、取引先の実地確認や社員へのヒアリングで食い違いが表面化したときに、回答全体の信頼性まで疑われます。

現実的な組み立ては、把握できた実態の範囲で書くことです。棚卸しに着手していれば、次の4点はいずれも事実として記載できます。

• 現時点で会社が承認した生成AIツールはないこと
• 利用実態の棚卸しを実施中であること
• 承認済みツールと入力禁止情報を定めた規程を、期日までに整備すること
• 整備までの間は委託業務の情報を入力しないよう全社へ周知したこと

規程がある会社の回答

規程が既にあるなら、回答作業の中心は対応づけです。どの文書が確認項目のどこに答えているかを、項目ごとに示します。ただし、その前に確かめることがあります。規程の内容が、現在の利用実態と一致しているかどうかです。制定後に利用ツールが増えていたり、個人アカウントから法人契約へ移行していたりすると、提出した規程と現場が食い違います。

規程がある会社でも、教育実施記録は抜けがちです。規程を配布した記録しかない場合は、配布と教育を分けて書き、教育の実施計画を期日付きで示してください。

回答を裏づける社内資料と最低限の記載事項

回答の裏づけとして出せる資料は、次の5種類です。厚い文書を作る必要はありません。確認項目に対応する記載が漏れていないかを、分量より先に点検してください。

規程を新規に作る場合は、どの項目から決めるかで作業量が変わります。利用ツールの範囲、入力禁止情報、出力の検証と責任、機密・個人情報の扱い、例外承認、違反時対応という順で決めると、上表の記載項目はほぼ埋まります。決め方の詳細は経営者が研修前に決める生成AI利用ルールで整理しています。

未整備から回答期限までの整備手順

規程も教育も未整備のまま照会を受けた場合の順序です。回答期限が2週間程度なら、1から3までを実際に実行し、4以降は期日付きの計画として書きます。これが、実態を偽らずに出せる線になります。

1. 利用実態の棚卸し。部門長経由で、業務での生成AI利用の有無、使っているサービス名、契約形態、入力している情報の種類を集めます。完了条件は、全部門から回答が返り、承認していないツールの利用まで一覧化されていることです。申告を処分の対象にしない方針を先に伝えないと、正直な回答は集まりません。
2. 暫定ルールの明文化と周知。棚卸し結果をもとに、当面使ってよいツール、入力禁止情報、判断に迷ったときの相談先を1枚にまとめ、全社へ配布します。経営会議など決裁の場で承認され、配布日と配布先が記録に残った時点が完了条件です。
3. 回答文書の作成。確認項目の表に沿って、現状・裏づけ資料・未整備項目の期日を1行ずつ書きます。空欄がひとつも残らず、未整備の項目に担当者名と完了予定日が入っていれば、この段階は完了です。
4. 教育の計画確定。対象者、実施時期、扱う内容、記録の残し方を決めます。実施日が確定し、受講者名簿を残す様式が用意できていれば完了条件を満たします。ここまで決まって初めて「実施予定（期日）」と書ける状態になります。
5. 正式な規程と各資料の整備。暫定ルールを規程へ格上げし、ツール一覧・取扱手順・報告フローを揃えます。決裁を経て版数と施行日が入り、社内で参照できる場所に置かれた時点が完了条件です。

「整備中・実施予定」と書いてよいのは、担当者・完了予定日・完了時の状態の3つを示せる項目に限られます。この3つが埋まらないものは、計画ではなく希望です。なお、実態と異なる回答を提出した場合の契約上の扱いは個別の判断になるため、迷う記載があれば提出前に弁護士等へ確認してください。

回答の作成者・承認者と、提出後に維持する運用

照会への回答を、総務や品質保証部門の担当者が単独で書き切るのは難しい作業です。項目ごとに、事実を持っている部署が違うからです。作成の窓口は1名に集約し、事実確認の依頼先と最終承認者はそこから分けてください。

• 作成窓口：照会文書の受領、項目ごとの事実確認、回答文書の起草を担います。社外文書の様式を管理している品質保証・管理部門または総務に置くと、提出までの手戻りが減ります。
• 事実提供：情報システム部門（契約形態、管理者権限）、各部門長（利用実態）、人事・研修担当（教育記録）、営業（再委託の有無）。
• 承認：経営層または生成AIの管理責任者。対外的な約束が含まれるため、期日を伴う計画は決裁を経てから提出します。

提出して終わりにすると、次の照会で回答が実態からずれます。維持する運用は3つです。承認済みツール一覧は四半期ごとに棚卸しし、契約形態の変更を反映します。規程は年1回と、利用ツールを追加した時点で見直します。教育は新入社員と異動者へ継続し、そのつど受講記録を更新します。

この更新を個人の心がけに委ねると、次の照会でまた一から棚卸しをやり直すことになります。責任者と推進組織へ役割として割り当てておくほうが、回答を維持する負担は軽くなります。

あわせて読みたい

生成AIガバナンス体制の作り方｜責任者・推進組織・モニタリングの設計

2026 . 07 . 24

教育の実施記録を実体にする｜法人AI研修で支援できる範囲

社内だけで最後まで空欄が残りやすいのが、教育の実施記録です。規程は文書を作れば形になります。教育は違います。対象者を集めて実施しない限り、記録そのものが生まれません。

当社の法人AI研修は、4レベルの体系と部門別テーマを掛け合わせて設計しています。土台にあたるAIリテラシー研修は全社員を対象とし、生成AIにできること・できないこと、情報の取り扱いとリスク、社内ルールの考え方を講義とデモで扱います。研修時間は12.5時間です。取引先へ提出する教育実施記録に必要な対象者・実施時期・扱った内容は、実施の結果として残ります。

扱うデータの範囲と利用するAIサービスは、貴社のセキュリティポリシーに合わせて設計します。機密データを使わない題材設計にも対応できるため、委託業務の情報を演習へ持ち込まずに実施できます。研修後アンケートでは80%以上の受講者が業務でAIを活用しており、当社は満足度ではなく活用の定着を成果の指標に置いています。期間と料金は対象人数・レベル・題材によって設計が変わるため、個別にお見積りしています。