生成AIサービスの利用は外部サービスの利用にあたるため、委託先やクラウドサービスと同様に、ベンダー評価の一環として契約書や利用規約を確認することが重要です。
確認すべき主なポイントとしては、以下が挙げられます。
- 入力したデータがAIの学習に利用されるか(学習利用の有無やオプトアウトの可否)
- 入力データの保持期間や保存場所(海外への移転の有無を含む)
- 出力データの権利帰属や商用利用の可否
- 生成AIサービス提供者と利用者のそれぞれの責任（免責事項等の確認）
- 準拠法等の契約上の要求事項
- 提供事業者のセキュリティ体制やサポート内容
また、契約や利用規約の確認結果、選定理由、利用範囲を記録として残しておくことで、審査や内部監査の際に管理状況を示す証跡となります。