生成AIサービス提供者の著作権・学習データリスク

はじめに

生成AIサービスを提供する企業にとって、著作権リスクは「生成物に著作権があるか」という問題だけではありません。むしろサービス提供者側では、モデルの学習・追加学習・ファインチューニング・RAG用データベース構築等のために、どのデータを、どの権限で取得し、どの条件で利用したのかを説明できる状態にしておくことが重要です。

とりわけ、公開ウェブ上のコンテンツ、第三者から購入・提供を受けたデータセット、ユーザーが入力したデータ、業務委託先が収集したデータなどが混在すると、著作権法上の権利制限だけでは整理できません。利用規約、データライセンス、ウェブサイトの利用条件、契約上の表明保証、個人情報・秘密情報、海外規制まで重なり、サービス提供者の説明責任と契約責任が問題になります。

1. 本記事の対象――一般的なAI著作権論とは分けて考える

生成AIと著作権をめぐる論点は広く、AI生成物が著作物となるか、プロンプト作成者に著作権が帰属するか、生成物が既存著作物に類似する場合に侵害となるか、といった問題も重要です。ただし、本記事ではそれらを中心には扱いません。

ここで扱うのは、生成AIサービスやモデルを提供する事業者が、学習データを調達・管理し、第三者から権利侵害を指摘された場合に備えるための実務です。サービス提供者にとって重要なのは、モデル開発前のデータ調達から、リリース後の権利者対応までを一つの管理プロセスとして設計することです。

2. 生成AIサービス提供者のリスクは「データの入口」で決まる

データセットの適法性を評価するときは、最終的なデータファイルだけを見るのでは不十分です。どのサイト・データベース・契約先から、いつ、どの方法で取得したのかという「データの来歴（provenance）」を保持しなければ、後から権利者への説明や契約上の求償ができなくなります。

3. 日本法――著作権法第30条の4は「AI学習なら何でも自由」という規定ではない

日本の著作権法第30条の4は、著作物に表現された思想又は感情を自ら享受し、又は他人に享受させることを目的としない場合について、一定の範囲で著作物を利用できる旨を定めています。文化庁も、AI開発のための情報解析を同条が問題となる代表例として整理しています。

3-1. まず「享受目的」があるかを分ける

AI学習であっても、既存作品の創作的表現を利用者に鑑賞させること自体を目的とするなど、著作物の表現を享受する目的が併存する場合には、第30条の4だけで当然に適法となるわけではありません。学習目的、データセットの選定方法、モデルの用途、出力制御など、具体的な事情を確認する必要があります。

3-2. 権利者の利益を不当に害する場合は除外される

同条には、著作権者の利益を不当に害することとなる場合を除くという限定があります。したがって、技術的に「学習処理」であれば無条件に許されるという理解は危険です。特定のデータベースやコンテンツ市場との競合関係、利用態様、ライセンス市場への影響などが問題となり得ます。

3-3. 学習段階と生成・提供段階は分けて評価する

仮に学習段階の複製等について第30条の4の適用が認められる場合でも、モデルが生成する出力が既存著作物の創作的表現と類似し、依拠性も認められるような場合の侵害判断まで同条が免責するわけではありません。サービス提供者は、データ取得の適法性と、モデル提供後の出力リスク管理を分離して設計する必要があります。

3-4. RAGは「モデル学習」と同じ法的評価ではない

RAG（検索拡張生成）は、モデルのパラメータに知識を取り込む学習とは異なり、外部データベースから関連文書を検索・取得し、その内容をプロンプト等に組み込んで回答生成に用いる設計です。したがって、RAG用データベースの構築時の複製、検索・抽出、回答生成時の利用、ユーザーへの表示・提供という各段階を分けて検討する必要があります。

文化庁のFAQも、業務内でRAG等を実装する場合には、第三者著作物の複製等について適用可能な権利制限規定を確認し、その適用が難しい場合にはライセンス契約等による権利処理を検討すべきとしています。「AIに使うデータだから第30条の4だけ確認すればよい」という発想を、RAGにそのまま持ち込まないことが重要です。

4. 「公開ウェブにある＝学習に自由に使える」ではない

公開ウェブからの収集では、著作権法だけでなく、サイトの利用規約、アクセス制御、robots.txt等の技術的意思表示、データベース利用契約、不正アクセスその他の法的論点が重なることがあります。特に、ログイン後の領域、有償データベース、API経由でのみ利用を認めているサービス、スクレイピングを契約上制限しているサイトなどは、単に閲覧可能であることだけを根拠に収集対象とすべきではありません。

実務では、収集対象ドメインを一律に処理するのではなく、権利処理済み・利用条件確認済みのホワイトリスト、要個別確認のグレーリスト、収集禁止のブロックリストに分ける方が管理しやすくなります。

4-1. 海賊版・権利侵害コンテンツを収集対象から外す

文化庁は、海賊版等の権利侵害複製物であることを知りながらAI学習に用いた事情は、生成・利用段階で著作権侵害が生じた際に、事業者自身が侵害主体として責任を問われる可能性を高める事情になり得ると整理しています。また、海賊版サイトからの収集が広告収入等を通じて権利侵害を助長するものとならないよう配慮することも重要です。

実務では、明白な海賊版サイト、違法配布を主目的とするサイト、継続的に権利侵害の申立てが寄せられているドメイン等をブロックリスト化し、収集委託先にも同一の除外基準を適用します。後から説明できるよう、除外ルールの版、適用日、例外承認者、ブロック理由を記録しておくと、データ来歴管理と権利者対応をつなげやすくなります。

5. オプトアウト対応――日本とEUを同じルールで考えない

「権利者がオプトアウトしたら必ず学習から除外しなければならない」という単一の世界共通ルールが存在するわけではありません。日本法では、権利者による学習拒否の表示が直ちに著作権法第30条の4の適用を失わせるという単純な制度設計ではありません。一方、契約上の利用条件や技術的措置、具体的な利用態様によって別の問題が生じ得るため、権利留保の表示を無視してよいという意味でもありません。

EUでは、DSM著作権指令上のテキスト・データ・マイニングに関する権利留保との関係が重要で、EU AI Actの一般目的AI（GPAI）モデル提供者には、EU著作権法を遵守する方針を整備し、権利留保を識別・尊重することが求められています。そのため、EU市場を対象とするモデルでは、権利留保の検知・反映プロセスをシステム面でも持つ必要があります。

5-1. EUでは機械可読な権利留保を「収集時」に処理する設計が重要

EU向けGPAIモデルでは、権利者から個別の削除依頼を受け付ける窓口を設けるだけでは足りません。欧州委員会が承認したGPAI Code of PracticeのCopyright Chapterでは、署名者について、robots.txt等に加え、権利留保を表す適切な機械可読プロトコルを識別し、ウェブをクロールする時点で遵守するための措置を整える方向が示されています。

2026年7月のAI OfficeのGPAI Signatory Taskforceでも、使用するウェブクローラやrobots.txt機能、クロール時に権利留保を識別・遵守するための追加措置を公表し、情報更新を権利者が追跡できる仕組みが論点となっています。個別プロトコルの標準化はなお進行中であるため、固定の一方式だけに依存せず、権利留保の検知・記録・除外ルールを更新できる設計にしておくことが重要です。

6. データセット調達契約では「AI学習利用」を明示する

第三者からデータセットを購入・提供してもらう場合、「研究目的で利用できる」「サービス開発に利用できる」といった抽象的な許諾だけでは、生成AIモデルの事前学習、追加学習、ファインチューニング、評価、RAG、合成データ生成等まで含まれるか争いになることがあります。用途を具体化し、モデル提供後の利用まで見通して契約することが重要です。

6-1. データ提供契約の終了時に「原データ」と「学習済みモデル」を分ける

そのため、契約終了後も学習済みモデル・重み・特徴量等を利用できるか、契約終了後の追加学習には使用しないのか、データ提供者に重大な権利瑕疵が判明した場合は例外的に再学習・利用停止を求められるのかを明記しておくことが重要です。

データライセンスの契約期間が終了した場合、提供された原データを削除・返還する義務と、契約期間中に適法に学習して生成されたモデルを継続利用できるかは別問題です。契約上この点が曖昧だと、更新交渉の際に「モデルも利用停止すべきか」という重大な事業継続リスクになります。

7. データ提供者の表明保証は広く取り過ぎない

サービス提供者側としては、データ提供者に「一切の第三者権利を侵害しない」と保証させたくなります。しかし、大規模データセットでは、提供者自身も全件について完全な権利調査を行えない場合があります。実現不可能な表明保証は、契約締結を困難にするだけでなく、実際に紛争が起きたときの責任分担も不明確にします。

そこで、データの取得方法・権利処理プロセスについての表明保証、既知の権利侵害がないこと、特定の除外リストを遵守したこと、権利者から申立てがあった場合の協力義務など、検証可能な事項に分解する方法が有効です。高リスクデータだけ個別保証を厚くする設計も考えられます。

8. 補償条項は「誰が何をコントロールできるか」で切り分ける

データ提供者、モデル開発者、生成AIサービス提供者、顧客の間では、それぞれが管理できるリスクが異なります。補償条項は、単に「知財侵害は相手方が全て補償する」とするのではなく、原因とコントロール可能性に応じて分けるべきです。

また、知財補償には、対象となる権利の種類、対象地域、防御権限、和解権限、通知期限、利用停止・代替・修正の選択肢、責任上限との関係を定める必要があります。単に「知的財産権侵害を補償する」という一文だけでは、実際のクレーム対応に十分ではありません。

また、データ提供契約では、第三者から申立てを受けた場合に、提供者が権利処理資料や取得記録を提出する義務、訴訟・和解への協力義務、代替データの提供義務を定めておくと、サービス提供者だけが証拠収集を負担する事態を避けやすくなります。

8-1. 権利者からクレームを受けたときの対応手順を契約前に決める

学習データに関する権利者の申立てが来た場合、法務部門だけで回答すると、実際にどのモデル・バージョンに当該データが含まれているか確認できないことがあります。受付窓口、データセット検索、モデル影響範囲の特定、将来学習からの除外、暫定的な出力制御、相手方への回答という一連のフローを決めておく必要があります。

8-2. 上流の補償と顧客向け知財補償のギャップを管理する

生成AIサービス提供者は、上流のデータ提供者から受けられる保証・補償と、自社が下流の顧客に約束する知財補償を並べて確認する必要があります。例えば、上流契約では補償上限が年間利用料まで、対象権利が著作権のみ、防御費用は対象外である一方、顧客には第三者知的財産権侵害全般を広く補償している場合、その差額リスクは自社に残ります。

そこで、データ調達契約、モデル提供契約、顧客向け利用規約をバック・トゥ・バックで比較し、対象権利、対象地域、通知期限、防御権限、和解条件、責任上限、利用停止時の代替・修正・返金を確認します。完全に揃えられない場合には、顧客向け責任上限、除外事由、価格、保険、代替データへの切替え等を組み合わせて、残るギャップを意識的に管理する必要があります。

9. ユーザー入力を学習に使う場合は、利用規約とUIを一致させる

生成AIサービスでは、ユーザーが入力したプロンプト、ファイル、画像、会話履歴等をサービス改善やモデル学習に利用する設計があります。この場合、利用規約上の許諾だけでなく、ユーザーが画面上でどのように説明を受け、学習利用を拒否できるか、法人顧客向けプランでは学習対象外としているかなど、実際のUI・運用との整合性が重要です。

特に法人顧客からは、入力データに営業秘密、顧客情報、著作物、ソースコード等が含まれることがあります。サービス提供者は、学習利用の有無、保持期間、人的閲覧の有無、サブプロセッサ、削除方法を契約資料と技術仕様で一貫して説明できる状態にしておく必要があります。

10. モデル学習後も「削除すれば終わり」とは限らない

権利者から特定データの削除要請を受けた場合、原データをストレージから削除することと、既にそのデータを使って学習したモデルへの影響を除去することは別問題です。学習済みモデルから個別データの影響を完全に取り除くことが技術的・経済的に困難な場合もあります。

そのため、データセット契約や権利者対応方針では、原データの削除、将来学習からの除外、再学習の要否、モデル・バージョンの扱い、機械的アンラーニング等の対応可能性を区別して定める必要があります。契約で「要請があれば直ちにモデルから完全削除する」と安易に約束すると、実行不能な義務になり得ます。

11. EU向けGPAIモデルでは2026年時点で著作権コンプライアンスが実装課題になっている

EU AI Actでは、一般目的AI（GPAI）モデルの提供者に、技術文書の整備等に加え、EUの著作権・著作隣接権法を遵守するための方針を策定し、権利留保を識別・尊重すること、学習に用いたコンテンツの十分に詳細な概要を公表することが求められています。これらの義務は2025年8月2日から適用され、欧州委員会のGPAIモデル提供者に対する執行権限は2026年8月2日から適用されています。

欧州委員会は2025年7月、学習コンテンツの公開サマリー用テンプレートを公表しました。公開サマリーでは、公開データセット、非公開データセット、ウェブスクレイピング、ユーザーデータ、合成データ等のソース類型を整理して開示する枠組みが示されています。EU市場でGPAIモデルを提供する事業者にとって、学習時点からデータソースを記録していなければ、後から透明性義務に対応することが難しくなります。

したがって、EU展開の可能性があるサービスでは、EU AI Actの適用が確定してから記録を始めるのではなく、モデル開発段階からデータセット台帳を持つ方が合理的です。EU向けモデルだけ別管理する場合でも、モデルごとの学習データ差分を説明できるようにしておく必要があります。

11-1. EUの公開サマリーはデータソース管理がなければ後付け対応が難しい

欧州委員会のテンプレートは、単に「インターネット上のデータを利用した」と記載するだけのものではなく、公開データセット、非公開データセット、オンライン上から収集したデータ、ユーザーデータ、合成データ等を区分し、一定の情報を整理して公表する枠組みです。モデル開発時にデータ取得元を集約していなければ、リリース後に数十億件規模の学習データの出所を再構成するのは現実的ではありません。

11-2. AIサービス提供者と「GPAIモデル提供者」は同じではない

Article 53等の義務主体は、原則としてGPAIモデルの「provider」です。他社のGPAIモデルをAPI経由で利用し、その上にアプリケーションや業務サービスを構築しているだけの事業者が、当然に同じGPAIモデル提供者義務を負うわけではありません。一方、既存モデルを大幅に改変し、自らが改変後モデルのproviderと評価される場合などには適用関係が変わり得るため、自社が「モデルを提供しているのか」「モデルを利用したAIシステムを提供しているのか」を区別する必要があります。

また、2025年8月2日より前にEU市場へ投入されたGPAIモデルについては、欧州委員会ガイドライン上、2027年8月2日までにGPAIモデル提供者としての義務への対応を整える経過措置があります。2025年8月2日以降に市場投入するモデルと同じタイムラインで扱わず、モデルごとに初回市場投入日、提供地域、主要な改変履歴を記録しておくことが重要です。

公開する学習コンテンツ概要についても、一度作成すれば終わりではありません。欧州委員会のFAQでは、追加学習によって開示内容が変わる場合、原則として6か月ごと、又は重要な変更があればそれより早く更新する考え方が示されています。継続学習を行うモデルでは、データセット台帳と公開サマリーの更新フローを連動させる必要があります。

12. 日本のAI事業者ガイドラインも「データの来歴」とステークホルダー対応を重視する

経済産業省・総務省のAI事業者ガイドラインは2026年3月に第1.2版へ更新されています。法的義務そのものを定めるものではありませんが、AI開発者・提供者・利用者がライフサイクル全体でリスクを把握し、透明性・アカウンタビリティを確保するための実務上の基準として重要です。

生成AIサービス提供者では、著作権だけを法務部門が事後確認するのではなく、データエンジニアリング、モデル開発、プロダクト、セキュリティ、契約管理が共同でデータ来歴を管理する体制が必要です。

この台帳は法務監査のためだけではありません。EU向けの学習コンテンツ概要作成、権利者からの照会対応、データ提供契約更新、M&A・投資時のデューデリジェンス、モデル入替え時の再学習判断にも利用できます。

12-1. データセット台帳に最低限残す項目

実務上は、学習データをフォルダ単位で保存するだけでは足りません。少なくとも、データセット名、提供者・取得元、取得日、取得方法、対象URL又は契約番号、ライセンス・利用規約、利用可能な目的、除外条件、個人情報・秘密情報の有無、権利留保対応、削除要請の受付状況、利用したモデル・バージョンを台帳化することが望まれます。

13. 実務で使えるデータセット受入れフロー

1. データソースを特定する。提供者、URL、取得日、取得方法、ライセンス、規約を記録する。
2. 利用目的を特定する。事前学習、追加学習、評価、RAG、合成データ生成等を区別する。
3. 著作権・契約・個人情報・秘密情報等の権利制約を確認し、利用可否を判定する。
4. 高リスクカテゴリを除外・隔離する。権利留保、会員制、有償DB、個人情報等を重点確認する。
5. データ提供契約・委託契約の表明保証、補償、削除、監査、再委託条項を確認する。
6. 学習時点のデータセット構成とモデルバージョンを紐付けて記録する。
7. リリース後の権利者申立て、オプトアウト、削除・除外、再学習判断の窓口を定める。

14. 契約レビューのチェックリスト

15. よくある質問

一次資料・公的資料

• 文化庁「AIと著作権について」／「AIと著作権に関する考え方について」（2024年3月15日）
• 文化庁「AIと著作権に関するチェックリスト＆ガイダンス」（2024年7月31日）
• 経済産業省・総務省「AI事業者ガイドライン（第1.2版）」（2026年3月31日）
• European Commission, Template for the Public Summary of Training Content for General-Purpose AI models（2025年7月24日）
• European Commission, General-Purpose AI Code of Practice
• 文化庁「文化芸術活動に関する法的問題についてよくあるご質問」（RAG等に関する著作権Q&A）
• 文化庁「文化審議会著作権分科会」AI学習における海賊版等の権利侵害複製物に関する整理
• European Commission, Guidelines for providers of general-purpose AI models（2026年4月更新）
• European Commission, Q&A: Template for GPAI model providers to summarise their training content
• European Commission, GPAI Code of Practice / rights-reservation protocol implementation materials（2025–2026）

まとめ

生成AIサービス提供者の著作権リスクは、モデルのリリース後に生成物だけを確認しても管理できません。重要なのは、データを取得する時点で、出所・権利・取得条件・利用目的を記録し、モデルバージョンと紐付けることです。

日本では著作権法第30条の4がAI学習に重要な役割を果たしますが、万能な免責規定ではありません。また、EU向けGPAIモデルでは、権利留保を尊重する著作権ポリシーと学習コンテンツの公開サマリーが既に実装課題となっています。データセット管理と契約設計を一体化し、権利者から申立てがあったときに「どのデータを、なぜ、どの権限で利用したか」を説明できる状態を作ることが、生成AI事業の継続性を支えます。

弊所へのご相談