発注者編
結論：委託先へのNDA徹底は、業務に必要な範囲ならかなり具体的に求めていいです。
ただし、相手を疑うためではありません。クライアント、委託元、委託先の全員を守るためです。業態問わずさまざまな仕事で、未公開情報や個人情報に触れる場面はどうしても出てきます。だからこそ、「信頼しているから大丈夫」ではなく、「信頼しているからこそ、ルールを明確にする」という考え方が大切です。
NDAは「契約書にサインして終わり」ではない
NDAというと、契約書に署名するだけのものだと思われがちです。しかし、実務上は署名よりも、その後の運用の方が重要です。たとえば、委託先には次のような情報を共有することがあります。
- クライアントの未公開情報
- 取材対象者の個人情報
- 制作前の企画案
- 広告運用やSEOの内部データ
- ログイン情報、共有ドライブ、管理画面
- LINE、フォーム、CRMなどの顧客情報
- 公開前の記事、動画、音声、台本
これらは、漏れた後に「すみません」では済まない情報です。個人情報保護委員会のガイドラインでも、個人データの取扱いを委託する場合、委託元は委託先に対して必要かつ適切な監督を行う必要があるとされています。つまり、委託したから責任が完全に移るわけではありません。
どこまで求めていいのか
私の整理では、委託先に求めてよいNDA徹底は、主に次の5つです。
- NDAまたは契約書への同意
- 再委託の事前承認
- アクセス権限の制限
- AIツールへの入力ルール
- 事故発生時の即時報告
順番に整理してみようと思います。
NDAまたは契約書への同意
まず、秘密情報の範囲を明確にしたNDAや業務委託契約を結ぶこと。ここで重要なのは、「秘密情報」とだけ書いて終わらせないことです。たとえば、次のような情報は明記しておいた方がいいです。
- クライアント名、案件名、担当者情報
- 未公開の企画、記事、動画、画像、台本
- アカウント情報、ログイン情報、管理画面情報
- アクセス解析、広告、SEO、AIO関連の内部データ
- 取材内容、音声、文字起こし、未公開原稿
- 委託元またはクライアントが秘密と指定した情報
経済産業省の「営業秘密管理指針」でも、営業秘密を特定した秘密保持契約を締結することは、秘密管理の意思を相手に明らかにする手段の一つとして示されています。つまり、「これは秘密です」と相手が認識できる状態を作ることが重要です。
再委託の事前承認
委託先がさらに別の人に作業を振る場合は、必ず事前承認制にするべきです。特に、動画編集、文字起こし、デザイン、広告運用、LINE構築、AIツールへの入力作業などは、実作業者が見えにくくなりがちです。ここを曖昧にすると、次のような事故が起きます。
- 知らない人がクライアント資料を見ていた
- 個人のGoogle Driveにデータが複製されていた
- AIツールに未公開情報が投入されていた
- 再委託先がさらに別の人へ共有していた
- 退職者、元メンバー、知人に情報が残っていた
個人情報保護委員会のFAQでも、再委託が行われる場合、最初の委託者は委託先を通じて再委託先にも必要かつ適切な監督が行われるようにする必要がある旨が示されています。「外注先がさらに誰かに投げたので知りません」は通りにくい、ということです。
そのため、再委託については少なくとも次の条件を入れておきたいところです。
- 再委託は委託元の事前承認が必要
- 再委託先にも同等のNDAを課す
- 誰が作業するのかを明らかにする
- 再委託先の情報漏えいも委託先の責任範囲に含める
- 案件終了後のデータ削除、返却まで確認する
アクセス権限の制限
NDAを結んでいても、全資料を全員に見せる必要はありません。実務では、契約よりもアクセス権限の設計の方が事故防止に効きます。たとえば、次のような運用です。
- 必要なフォルダだけ共有する
- 編集権限ではなく閲覧権限にする
- 案件終了後にアクセス権限を削除する
- 個人アカウントではなく業務用アカウントを使う
- ダウンロード可否を制限する
- パスワードや認証情報は別経路で共有する
- ログイン情報は個人チャットに残さない
NDAは紙の約束です。一方で、アクセス権限は現実の防波堤です。両方が必要です。IPAの情報セキュリティ関連資料でも、委託先を含むサプライチェーン全体の状況把握や、委託先の対策状況確認が重要な観点として示されています。
AIツールへの入力ルール
最近は、ここがかなり重要です。委託先がChatGPT、Claude、Gemini、Notion AI、CapCut、文字起こしAI、画像生成AIなどを使うこと自体は、悪いことではありません。むしろ、制作や業務効率化では自然な流れです。ただし、クライアントの未公開情報や個人情報を、どのAIツールに、どの設定で、どこまで入れてよいかは明確に決める必要があります。最低限、次のルールは必要です。
- 個人情報を含むデータを無断でAIに入力しない
- クライアント名、担当者名、未公開情報をマスキングする
- 学習利用の有無が不明なツールには重要情報を入れない
- 音声、動画、文字起こしのアップロード先を確認する
- AIで生成した成果物も最終的に人間が確認する
- プロンプトや出力結果を第三者に共有しない
経済産業省の「秘密情報の保護ハンドブック」では、企業が管理すべき秘密情報について、営業秘密に限らず、個人情報、取引先から預かった情報、事業上重要な情報なども含まれ得ることが示されています。つまり、今のNDA運用では「AIに入れていいか」まで含めて設計しないと不十分です。
事故発生時の報告義務
情報漏えい、誤送信、誤共有、アカウント紛失などが起きた場合の報告ルールも必ず入れるべきです。理想は、次のようなルールです。
- 漏えい、誤送信、誤共有、紛失、第三者閲覧の可能性を認識した場合は、直ちに委託元へ報告する
- 自己判断で削除、隠蔽、放置しない
- 影響範囲、対象データ、発生日時、関係者、初動対応を報告する
- 再発防止策を提出する
- 必要に応じてクライアントへの説明に協力する
ここで重要なのは、ミスをした人を責めることではありません。情報事故で一番危ないのは、発生そのものよりも、報告が遅れることです。早く報告してもらえれば、被害を小さくできる可能性があります。
逆に、求めすぎると危ないこと
一方で、委託先に何でも要求してよいわけではありません。たとえば、次のような要求は慎重に考えるべきです。
- 業務に関係ない個人情報の提出
- 委託先の全取引先情報の開示
- 私用端末の中身の全面確認
- 家族や知人関係まで含めた過度な制限
- 合理的な範囲を超えた高額な違約金
- 業務終了後も無期限に広すぎる行動制限をかけること
- SNS利用そのものを一律禁止すること
NDAは、相手を縛るための道具ではありません。守るべき情報を明確にし、事故が起きないように運用を揃えるための道具です。「厳しいけれど合理的」であることが大切です。
私たちの運用で大事にしていること
我々TOKYO LICKSやTAM LABOのように、インタビュー・記事制作、Web制作、AIO施策などを扱う場合、情報の種類がかなり多くなります。公開前の記事、取材音声、個人の経歴、クライアントの事業構想、Webサイトの管理情報、広告やSEOの内部データなど、扱う情報は軽くありません。だからこそ、案件ごとの個人情報の取り扱いについては、契約書類やNDA等を優先する、という考え方を明確にしておくことが重要です。
また、インタビューやメディア運営では、掲載者、発注者、委託先の信頼を守る情報管理が必要になります。さらに、クライアントワークでは、悪い知らせほど早く伝えること、事実と解釈を切り分けること、ミスが起きた際は即時報告、被害最小化、再発防止の順で動くことが重要です。NDAは、こうした姿勢を契約と運用に落とし込むものです。
委託先に伝えるなら、このくらいでいい
実際に委託先へ伝えるなら、私は次のように言います。
今回の案件では、クライアント情報・未公開情報・個人情報を扱う可能性があります。作業に必要な範囲で情報を共有しますが、第三者共有、再委託、AIツールへの入力、個人環境への保存は事前確認をお願いします。万が一、誤共有や漏えいの可能性がある場合は、自己判断で処理せず、すぐに報告してください。これは疑っているというより、クライアント・委託先・こちら側の全員を守るための運用です。
このくらいの言い方で十分です。強く言う必要はあります。ただし、相手のことを疑うような言い方をする必要は決してないのです。
まとめ（発注者編）
委託先にNDA徹底をどこまで求めていいのか。私の答えは、「業務上必要な範囲では、かなり具体的に求めていい」です。特に、次の5つは遠慮なく求めるべきです。
- NDAまたは契約書への同意
- 再委託の事前承認
- アクセス権限の制限
- AIツールへの入力ルール
- 事故発生時の即時報告
一方で、業務に関係ない私生活や、必要以上の個人情報まで踏み込むのは違います。NDAは相手を縛るものではなく、プロジェクトを安全に進めるための共通ルールです。クライアントワークにおいて、情報管理の甘さはそのまま信用の毀損につながります。だからこそ、NDAは「契約書を交わしたか」ではなく、「現場で守れる運用になっているか」まで見た方がいい。そのくらいの温度感で、ちょうどいいと思っています。
受託者編
結論：受託側もNDAは守るべきです。ただし、無制限に責任を背負うものではありません。前編では、委託元の立場から委託先にNDA徹底をどこまで求めていいのかを整理しました。結論としては、個人情報・未公開情報・クライアント情報・アクセス権限を扱う以上、委託先に対してNDAの徹底を求めること自体はかなり強くやっていいという話でした。ただし、これは委託元側の視点です。では、受託側の立場で考えた時はどうでしょうか。受託側は、NDAを守るべきです。これは当然ですよね。しかし同時に、「言われたことをすべて無条件で飲むべき」という話でもありません。NDAは大切です。ただ、受託側にとっても、守れる範囲、守れない範囲、事前に確認すべき範囲があります。今回はそんなお話。
受託側も、NDAを軽く見てはいけない
まず大前提として、受託側がNDAを軽く見るのは危険です。「外注だから」「副業だから」「小さい案件だから」「知り合い経由だから」「まだ正式契約前だから」こういう感覚で、情報管理が緩くなることがあります。しかし、案件規模が小さくても、扱う情報が軽いとは限りません。たとえば、次のような情報です。
- 公開前の記事
- 取材音声
- 文字起こし
- クライアントの社内資料
- 顧客情報
- 未公開の企画
- 広告やSEOの内部データ
- ログイン情報
- 撮影データ
- LINE、フォーム、CRMの情報
これらを扱う場合、受託側も「自分は外部の人間だから関係ない」とは言えません。個人情報保護委員会のガイドラインでも、個人データの取扱いを委託する場合、委託元には委託先を必要かつ適切に監督することが求められています。つまり、委託元は委託先を管理する必要があるし、受託側もその管理に応じる前提で仕事を受ける必要があります。受託側から見ても、NDAは「面倒な書類」ではありません。自分を守るための境界線でもあります。
ただし、NDAは「何でも背負う契約」ではない
一方で、受託側が注意すべきなのは、NDAを「何でも背負う契約」として受け入れてしまうことです。たとえば、次のような契約は慎重に見るべきです。
- 秘密情報の範囲が広すぎる
- 何が秘密なのか分からない
- 損害賠償の範囲が無制限
- 違約金が過大
- 再委託やAI利用が一律禁止だが、作業内容と合っていない
- 契約終了後の義務が極端に長い
- 業務と関係ない私生活やSNS利用まで制限している
- 委託元側の情報管理義務がほとんど書かれていない
NDAは、受託側を黙らせるための道具ではありません。本来は、守るべき情報を明確にして、双方が安全に仕事を進めるためのものです。だから、受託側は「守る意思」を持つと同時に、「何を守るのか」を確認する必要があります。
受託側が最初に確認すべきこと
受託側がNDAを結ぶ時、まず確認した方がいいのは次の5つです。
- 秘密情報の範囲
- 利用目的
- 保存方法
- 共有可能な相手
- 契約終了後の扱い
特に重要なのは、秘密情報の範囲です。「本件に関連して知り得た一切の情報」とだけ書かれている契約は、実務上かなり広いです。もちろん、案件によっては広めに書く必要があります。ただし、受託側としては、少なくとも次のように確認した方がいいです。
- 公開済み情報は除外されるか
- 自分が元々知っていた情報は除外されるか
- 第三者から正当に得た情報は除外されるか
- 委託元が秘密指定していない一般情報まで含まれるのか
- SNSや実績掲載の可否はどうなるのか
経済産業省の「営業秘密管理指針」では、営業秘密として保護されるには、秘密として管理されていること、有用な情報であること、公然と知られていないことが重要な要素として整理されています。また、秘密保持契約によって秘密管理意思を明らかにすることも典型例として示されています。逆に言えば、受託側から見ても「何が秘密なのか分かる状態」にしておくことが重要です。
「再委託禁止」は受け入れてよいが、実務に合うか確認する
NDAや業務委託契約では、「再委託禁止」や「再委託には事前承認が必要」と書かれることがあります。これは基本的には自然です。委託元からすれば、知らない第三者に情報が流れるのは避けたいからです。特に、個人情報やクライアント資料を扱う場合、再委託先も含めて管理が必要になります。個人情報保護委員会のFAQでも、委託先が再委託を行う場合、最初の委託者は委託先を通じて再委託先にも必要かつ適切な監督が行われるようにする必要がある旨が示されています。ただし、受託側としては、自分の業務実態と合っているか確認すべきです。
たとえば、次のようなケースです。
- デザインだけ一部別の人に依頼する
- 文字起こしだけ外部ツールや外部スタッフを使う
- 撮影補助者を現場に連れていく
- 動画編集の一部を別メンバーが担当する
- AIツールやクラウドサービスを利用する
この場合、「再委託禁止」とだけ書かれていると、実務が止まる可能性があります。そのため、受託側は契約前にこう確認した方がいいです。「作業補助者や外部ツールの利用がある場合、事前に共有・承認を取る形で問題ないでしょうか」。これは反抗ではありません。事故を防ぐための確認です。
AIツール禁止は、条件を分けて考える
最近の実務で特に重要なのが、AIツールの扱いです。受託側としても、GPT、Claude、Gemini、Notion AI、CapCut、文字起こしAI、画像生成AIなどを使う場面は増えています。ただし、NDA対象情報をAIに入れるかどうかは、かなり慎重に考えるべきです。特に次の情報は、無断でAIに入力しない方がいいです。
- 個人情報
- 取材音声
- 未公開原稿
- クライアント名が入った資料
- ログイン情報
- 社内資料
- 営業資料
- 契約書
- 顧客リスト
- 公開前の企画案
経済産業省の「営業秘密管理指針」でも、生成AI提供事業者等の第三者に情報が提供される場合、秘密管理性が否定される可能性に触れられています。これは、AI利用そのものを否定する話ではありません。ただ、秘密情報を外部サービスに投入する時点で、情報管理上の論点が発生するということです。受託側としては、次のように分けるのが現実的です。
- 公開情報の整理にAIを使う
- 一般論の構成案作成にAIを使う
- 固有名詞をマスキングして使う
- 個人情報や未公開情報は入れない
- クライアント確認済みの範囲だけ使う
- 利用ツール名を事前に共有する
つまり、「AIを使うか使わないか」ではなく、「何を入れるか」「どの状態で入れるか」「誰が承認するか」を決めることが重要です。
受託側は、守秘義務に見合う報酬かも見た方がいい
ここは少し現実的な話です。NDAを厳守するには、コストがかかります。たとえば、次のような作業が増えます。
- 専用フォルダの管理
- アクセス権限の整理
- 端末内の保存場所の分離
- 作業後のデータ削除
- AI利用の制限
- 再委託先への説明
- 事故時の報告体制
- 実績掲載の事前確認
- 契約書の確認
これらは、見えにくいですが立派な業務コストです。だから受託側は、NDAが厳しい案件ほど、報酬やスケジュールも含めて確認した方がいいです。特にフリーランスの場合、2024年11月1日に施行されたフリーランス・事業者間取引適正化等法により、発注事業者には取引条件の明示、報酬支払期日、ハラスメント対策などの義務が課されています。NDAだけ厳しくて、業務範囲・納期・報酬・検収条件が曖昧な案件は、受託側にとって危険です。守秘義務は守る。ただし、守るための条件も整える。この両方が必要です。
守秘義務を守る人ほど、AI活用では不利になることもある
ここで、受託側としてかなり現実的な問題があります。NDAを真面目に守ろうとすればするほど、AI活用では不利になる場面があるということです。たとえば、何でもかんでもAIに読み込ませて、議事録、企画書、提案書、記事、SNS投稿、営業文面を高速で作る企業や個人がいるとします。一方で、こちらはNDAを守るために、クライアント名を消し、個人情報を消し、未公開情報を消し、資料の投入可否を確認してからAIを使う。この場合、短期的なスピードだけで見れば、どうしても不利になることがあります。これは感情論ではなく、実務上の事実だと思います。特に、副業やフリーランスの場合は、さらに不利になりやすいです。
なぜなら、自分がしっかりとした上場企業や大企業の中にいないと、そもそも安全なAI利用環境や、社内承認済みのAIツールを使えないことがあるからです。大企業であれば、法人契約されたAIツール、社内ガイドライン、情報管理部門、法務、情シス、セキュリティ部門が用意されている場合があります。一方で、個人で活動する副業人材やフリーランスは、同じような環境を自前で持つことが難しい。結果として、次のような差が出ます。
- 大企業は安全なAI利用環境を整えやすい
- 個人はAI利用可否を自分で判断しなければならない
- 守秘義務を守るほど、入力できる情報が少なくなる
- AIを大胆に使う人ほど、短期的には作業速度で有利に見える
- ただし、情報漏えいリスクは高くなる
総務省・経済産業省の「AI事業者ガイドライン」でも、AIシステム・サービスに機密情報等を不適切に入力しないよう注意することが示されています。また、個人情報保護委員会も、生成AIサービスの利用に関する注意喚起等について、個人情報の入力や取扱いに注意を促しています。つまり、守秘義務を守りながらAIを使うことは、単なる気合いではなく、かなり設計が必要な話です。受託側としては、ここで無理をしすぎない方がいいです。「AIを使えます」と言いたいがために、クライアント資料をそのままAIに読み込ませる。これは短期的には速いかもしれません。しかし、長期的には信用を失うリスクがあります。便利になるはずのAIが、使い方を誤ることで逆に自分の首を絞める可能性がある。なんとも皮肉なことですが…
副業・フリーランスこそ、信用を見える化した方がいい
では、受託側はどうすればいいのか。私の考えでは、副業やフリーランスほど「自分は何を守って仕事をしているのか」を見える化した方がいいです。スキルだけではなく、次のような姿勢を見せることが重要です。
- NDAを理解している
- 個人情報を雑に扱わない
- AIツールの利用範囲を確認できる
- 再委託や外部ツール利用を事前に説明できる
- 実績掲載の可否を確認してから動ける
- 事故が起きた時に早く報告できる
- クライアントワークの基本を理解している
これは、単なる「まじめアピール」ではありません。発注者から見れば、かなり重要な判断材料です。なぜなら、どれだけスキルが高くても、情報管理が危うい人には大事な案件を任せにくいからです。副業やフリーランスは、大企業の看板がない分、自分自身の信用を外から見える形にしておく必要があります。その意味で、TOKYO LICKSのように、単なるスキル一覧ではなく、人柄、仕事観、実務姿勢、発注時の安心感まで伝えられる場所に登録しておくことは、ひとつの対策になります。もちろん、登録しただけで信用が完成するわけではありません。ただ、少なくとも次のようなことは伝えやすくなります。
- どんな仕事をしてきた人なのか
- どういう価値観で仕事をしているのか
- クライアント情報をどう扱う人なのか
- AIや外部ツールとどう向き合っているのか
- 発注者が安心して相談できる相手なのか
今後、AIを使える人は増えます。しかし、AIを安全に使える人、NDAを理解したうえで使える人、発注者の信用を壊さずに使える人は、まだ限られます。副業やフリーランスが勝負するなら、「AIを使えます」だけでは弱いです。「守るべきものを守ったうえで、AIも使えます」と言える状態を作ること。そのために、自分の仕事観や情報管理の姿勢を、外から見える場所に置いておく。これが、これからの受託側にとってかなり現実的な対策だと思います。
「実績掲載NG」は受け入れる。ただし確認はしていい
受託側にとって悩ましいのが、実績掲載です。制作実績、支援実績、導入実績、撮影実績などは、次の案件につながる重要な資産です。しかし、NDAがある案件では、勝手に実績掲載してはいけません。これは当然です。ただし、受託側は事前に確認しておくべきです。たとえば、次のような確認です。
- 社名掲載は可能か
- 匿名実績なら可能か
- 業種だけなら掲載可能か
- 成果物の一部だけなら掲載可能か
- 公開後であれば掲載可能か
- クライアント確認後なら掲載可能か
- ポートフォリオ提出時のみ限定開示できるか
実績掲載は、受託側の営業活動に関わります。だからこそ、契約前に聞いていいです。むしろ、後から揉めるより、最初に確認した方が誠実です。
受託側が「これは危ない」と感じる契約
受託側の立場で、慎重に見た方がいい契約もあります。たとえば、次のようなものです。
- 秘密情報の範囲が無制限
- 違約金が一律で高額
- 損害賠償の上限がない
- 業務終了後も永続的に広い義務が残る
- 委託元の指示ミスでも受託側だけが責任を負う
- 納品後の修正が無制限
- 再委託、外部ツール、AI利用がすべて禁止だが報酬に反映されない
- 実績掲載が完全禁止なのに、案件内容が営業上かなり重要
- 契約内容について質問すると嫌がられる
こういう場合は、受託側も一度立ち止まった方がいいです。特に、報酬に見合わない重い責任を負う契約は注意が必要です。公正取引委員会は、取引上の地位を利用して中小受託事業者に不当な経済上の利益を提供させることや、費用を負担せずに注文内容を変更・やり直しさせることなどを問題行為として整理しています。もちろん、NDAそのものが不当という話ではありません。ただし、守秘義務を理由にして、過剰な無償対応や無制限の責任を求められる場合は、契約全体として確認が必要です。
受託側から見た「良い委託元」
では、受託側から見て、良い委託元とはどんな相手でしょうか。私は、次のような委託元だと考えています。
- 秘密情報の範囲を明確にしてくれる
- 共有資料を必要最小限にしてくれる
- アクセス権限を適切に設定してくれる
- 再委託やAI利用の可否を事前に整理してくれる
- 事故時の連絡先を明確にしてくれる
- 実績掲載の可否を最初に話してくれる
- 業務範囲、納期、報酬を明示してくれる
- 受託側の質問を面倒がらない
NDAを厳しくすること自体は問題ではありません。問題は、厳しいのに曖昧なことです。「これは秘密です」「ここまでは共有していいです」「AIには入れないでください」「この範囲なら実績掲載していいです」「事故が起きたらここに連絡してください」こうした線引きがある委託元は、受託側から見ても仕事がしやすいですね。
受託側が用意しておくとよい一言
受託側としては、NDAを渡された時に、次のように返せるとよいと思います。
秘密保持の趣旨は理解しています。適切に管理するため、秘密情報の範囲、AIツールや外部サービスの利用可否、再委託・作業補助者の扱い、実績掲載の可否について、事前に確認させてください。
この一言が言えるだけで、かなり変わります。受託側が契約内容を確認することは、失礼ではありません。むしろ、プロとして自然な対応です。曖昧なまま進める方がよっぽど危ないです。
まとめ（受託者編）
受託側の立場で考えた時、NDAは守るべきものです。これは前提です。ただし、受託側が何でも無条件に背負うべきものではありません。大切なのは、次の5つです。
- 秘密情報の範囲を確認する
- 再委託や作業補助者の扱いを確認する
- AIツールへの入力ルールを確認する
- 実績掲載の可否を確認する
- 守秘義務に見合う業務範囲、納期、報酬かを確認する
- 自分の情報管理姿勢を外から見える形にしておく
NDAは、委託元が受託側を縛るためだけのものではありません。受託側にとっても、自分の責任範囲を明確にし、余計なトラブルから身を守るためのものです。委託元は、守ってほしいことを具体的に伝える。受託側は、守れる条件を具体的に確認する。この両方が揃って初めて、NDAは現場で機能します。厳守する。でも、無制限には背負わない。受託側としては、その温度感がちょうどいいんじゃないでしょうか。
さいごに
前後編でNDAについて長々と話をしてきましたが、いかがだったでしょうか。AIの爆発的な普及が前提となった現在だからこそ、個人情報や秘密情報の取り扱いには、これまで以上に注意が必要になっていると感じています。もちろん、この記事の内容が唯一の正解というわけではありません。あくまで考え方の一つとして見てもらい、発注する側・受託する側の双方にとって、少しでも参考になれば幸いです。では今回はここまで。次の更新でまたお会いしましょう。