この記事は、自治体・公共団体の法務担当・調達担当が「AI調達の契約書を作る・見直す」段階で使えるデータ条項リファレンスです。RFPへの条項記載は姉妹記事（RFP条項）で、証跡書類の確認方法はAIポリシー証跡の記事で扱っています。

デジタル庁DS-920ガイドライン（2026年4月全面適用）は、AIシステムの「廃棄・更改」段階において、ベンダーとの取り決め事項の一つとしてデータの削除・返却を明示するよう求めています。一方、自治体が持つ住民データや業務情報は個人情報保護法（行政機関個人情報保護法を含む）の適用対象であり、委託先での保管期間・削除義務を契約で定めることが法的にも求められます。

しかし実際の調達現場では、「サービス終了後のデータ扱いは別途協議」という曖昧な条文のまま契約が締結されているケースが珍しくありません。本記事では、サービス中の保存期間から契約終了後の削除・証跡取得まで、一気通貫で規定できる条項設計を整理します。

データの種類と保存期間の設計

AIシステムが扱うデータには複数の種類があり、保存期間の設計はデータの種類ごとに行う必要があります。一律「5年保存」とすると、保存する必要のないデータが残留するリスクと、必要なログを廃棄するリスクが同時に生じます。

データ種別内容例推奨保存期間の考え方根拠
操作ログ（入力・出力・操作者）チャット入力、AI出力、参照ドキュメントID1〜3年（監査要件に合わせる）DS-920「ログ要件」
個人情報が含まれる入力データ住民への回答生成に使った問い合わせ内容利用目的を達した後速やかに削除（最長でもサービス終了後30日以内）個人情報保護法・行政機関個人情報保護法
ファインチューニングデータ自治体が提供した学習用文書・ケーススタディ契約終了後30日以内に削除または返却DS-920「廃棄・更改」
システム設定・カスタマイズデータ権限設定、プロンプトテンプレート、業務フロー設定契約終了後の移行先に引き渡し、または削除業務継続性・依存排除の観点
バックアップデータ上記すべてのバックアップコピー本体削除後○日以内に削除、証跡提出DS-920「データ管理」

契約条項の設計：4つの核心条項

以下の4条項が、データ保存・削除・返却に関して最低限必要な核心条項です。

条項1：保存期間の上限と削除義務

条項2：バックアップデータの取り扱い

条項3：削除証跡の提出義務

条項4：返却の選択権

削除・返却の確認スケジュール

契約書に条項を入れるだけでなく、削除・返却の実施タイムラインを契約時に合意しておくと、終了時の混乱が減ります。

タイミング発注者がやること受注者がやること
契約終了60日前返却するデータ・削除するデータの対象を確認データ棚卸しリストを提出
契約終了30日前返却希望データを書面で通知返却スケジュールと方法を確認
契約終了日最終ログのエクスポートを実施サービス停止とデータ保護を開始
契約終了後30日以内削除完了報告書を受け取る全データ削除を完了し報告書を提出
契約終了後60日以内バックアップ削除完了報告書を受け取るバックアップ含む全複製を削除し報告

民間企業への応用

DS-920は行政機関向けのガイドラインですが、SaaS型AIを契約する民間企業でも同じ構造のデータ条項が有効です。特に個人情報保護法が定める「委託先の監督義務」（法第25条）は、AIサービスのデータ処理について委託先の管理責任を問いますので、削除証跡の取得は民間企業でも実務上必要です。

生成AIのセキュリティ設計では、SaaS型AIを使う際のデータ分類と入力制御の全体設計を扱っています。

GXOはどう支援するか

GXOでは、自治体・公共団体が結ぶAIシステム調達契約のデータ条項設計を支援します。既存の契約書にデータ保存・削除・返却条項が抜けているかのレビュー、条項テンプレートの作成、ベンダーとの条項交渉のサポートまで対応しています。民間企業がSaaS型AIを契約する場面でも同じ支援が可能です。LLMセキュリティreadiness診断で現状のリスク棚卸しから始めると、どの条項から整備すべきかが明確になります。

よくある質問

Q1. 個人情報が含まれない業務データ（FAQ集、条例テキスト等）にも削除条項は必要ですか

個人情報でなくても、自治体固有の業務情報・内部文書がベンダー環境に残ると情報公開請求・監査対応で説明責任が生じます。業務機密性の高い資料については、個人情報に準じた削除証跡の取得を推奨します。

Q2. クラウドサービス（SaaS）の場合、削除証跡を取れないことがありますか

主要なクラウドSaaSは「データ削除に関するSLA」として削除証跡の発行を有償または無償で提供しています。契約前に「削除証跡を発行できるか」を確認し、できない場合は別のサービスの検討を推奨します。

Q3. 契約終了後のデータ削除を怠ったベンダーへはどう対処しますか

削除義務違反を契約条項で明示しておき、損害賠償請求の根拠としておくことが基本です。加えて個人情報保護委員会への報告義務が発生するケースもあるため、対処方針は法務担当と事前に確認しておくことを推奨します。

参考情報

  • デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン（DS-920）」：https://www.digital.go.jp/en/news/3579c42d-b11c-4756-b66e-3d3e35175623
  • DS-920 ガイドライン本文（PDF）：https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/80419aea/20250527_resources_standard_guidelines_guideline_01.pdf
  • 個人情報保護委員会「行政機関等の保有する個人情報の適切な管理のための措置に関するガイドライン」：https://www.ppc.go.jp/personalinfo/legal/guidelines_public/
  • 経済産業省・総務省「AI事業者ガイドライン（第1.2版）」：https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_1.pdf

AI調達契約のデータ条項を整理しませんか

GXOでは、DS-920ガイドラインに基づくデータ保存・削除・返却条項のテンプレート作成、既存契約書の条項レビュー、ベンダーとの条項交渉サポートまで一貫して支援します。

データ契約条項の設計を相談する