個人情報保護

自治体AI調達の契約に入れるデータ保存期間・削除・返却条項の設計

2026年6月5日8分で読める

QUICK CHECK

本文を読みながら、自社で進めるべきか、相談前に何を整理するかを確認できます。

5分で自社の状況を診断する

GXO COLUMN

AI・DX

この記事は、自治体・公共団体の法務担当・調達担当が「AI調達の契約書を作る・見直す」段階で使えるデータ条項リファレンスです。RFPへの条項記載は姉妹記事（RFP条項）で、証跡書類の確認方法はAIポリシー証跡の記事で扱っています。

デジタル庁DS-920ガイドライン（2026年4月全面適用）は、AIシステムの「廃棄・更改」段階において、ベンダーとの取り決め事項の一つとしてデータの削除・返却を明示するよう求めています。一方、自治体が持つ住民データや業務情報は個人情報保護法（行政機関個人情報保護法を含む）の適用対象であり、委託先での保管期間・削除義務を契約で定めることが法的にも求められます。

しかし実際の調達現場では、「サービス終了後のデータ扱いは別途協議」という曖昧な条文のまま契約が締結されているケースが珍しくありません。本記事では、サービス中の保存期間から契約終了後の削除・証跡取得まで、一気通貫で規定できる条項設計を整理します。

データの種類と保存期間の設計

AIシステムが扱うデータには複数の種類があり、保存期間の設計はデータの種類ごとに行う必要があります。一律「5年保存」とすると、保存する必要のないデータが残留するリスクと、必要なログを廃棄するリスクが同時に生じます。

横にスクロールして確認できます

データ種別	内容例	推奨保存期間の考え方	根拠
操作ログ（入力・出力・操作者）	チャット入力、AI出力、参照ドキュメントID	1〜3年（監査要件に合わせる）	DS-920「ログ要件」
個人情報が含まれる入力データ	住民への回答生成に使った問い合わせ内容	利用目的を達した後速やかに削除（最長でもサービス終了後30日以内）	個人情報保護法・行政機関個人情報保護法
ファインチューニングデータ	自治体が提供した学習用文書・ケーススタディ	契約終了後30日以内に削除または返却	DS-920「廃棄・更改」
システム設定・カスタマイズデータ	権限設定、プロンプトテンプレート、業務フロー設定	契約終了後の移行先に引き渡し、または削除	業務継続性・依存排除の観点
バックアップデータ	上記すべてのバックアップコピー	本体削除後○日以内に削除、証跡提出	DS-920「データ管理」

FREE DOWNLOAD

中小企業のDX推進「失敗を防ぐ5ステップ」ガイドを無料でお送りします

多くの企業がつまずくポイントを着手順に整理した無料ガイド。相談する前に、自社の現在地と進め方を掴めます。

5ステップガイドを無料でダウンロード

契約条項の設計：4つの核心条項

以下の4条項が、データ保存・削除・返却に関して最低限必要な核心条項です。

条項1：保存期間の上限と削除義務

第〇条（データの保存期間及び削除）
（1）受注者は、本サービスの利用において発生した個人情報を含む入力データを、
    利用目的を達した後、速やかに削除し、30日を超えて保持しないこととする。
（2）操作ログについては、発注者が別途指定する期間（最長〇年）保存し、期間経過後
    速やかに削除する。
（3）契約終了後は、第1項及び第2項に定めるデータをすべて削除し、第〇条に規定する
    削除証跡を提出すること。

条項2：バックアップデータの取り扱い

第〇条（バックアップデータの削除）
受注者は、本サービスに関連するバックアップシステムに保存された発注者のデータを
含む全複製データについて、本体データの削除から○日以内に削除し、完了報告書を
提出すること。

条項3：削除証跡の提出義務

第〇条（削除証跡）
受注者は、本条各号のデータを削除した場合、削除対象データの種別、削除方法、
削除実施日時、削除実施者を記載した「データ削除完了報告書」を発注者へ提出
するものとし、発注者は当該報告書をもって削除の確認とする。

条項4：返却の選択権

第〇条（データの返却）
（1）発注者は、契約終了30日前までに受注者に対し、下記データについて削除に代えて
    返却を求めることができる。
    ① 発注者が提供したファインチューニング用文書
    ② 業務フロー設定・プロンプトテンプレート
（2）返却はCSVまたは発注者が指定する標準形式で行い、返却完了後に受注者側の
    複製を削除すること。

削除・返却の確認スケジュール

契約書に条項を入れるだけでなく、削除・返却の実施タイムラインを契約時に合意しておくと、終了時の混乱が減ります。

横にスクロールして確認できます

タイミング	発注者がやること	受注者がやること
契約終了60日前	返却するデータ・削除するデータの対象を確認	データ棚卸しリストを提出
契約終了30日前	返却希望データを書面で通知	返却スケジュールと方法を確認
契約終了日	最終ログのエクスポートを実施	サービス停止とデータ保護を開始
契約終了後30日以内	削除完了報告書を受け取る	全データ削除を完了し報告書を提出
契約終了後60日以内	バックアップ削除完了報告書を受け取る	バックアップ含む全複製を削除し報告

FREE DOWNLOAD

AI導入チェックリスト（PoC 失敗要因 10項目）

情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。

30分で相談するチェックリストをDL

民間企業への応用

DS-920は行政機関向けのガイドラインですが、SaaS型AIを契約する民間企業でも同じ構造のデータ条項が有効です。特に個人情報保護法が定める「委託先の監督義務」（法第25条）は、AIサービスのデータ処理について委託先の管理責任を問いますので、削除証跡の取得は民間企業でも実務上必要です。

生成AIのセキュリティ設計では、SaaS型AIを使う際のデータ分類と入力制御の全体設計を扱っています。

GXOはどう支援するか

GXOでは、自治体・公共団体が結ぶAIシステム調達契約のデータ条項設計を支援します。既存の契約書にデータ保存・削除・返却条項が抜けているかのレビュー、条項テンプレートの作成、ベンダーとの条項交渉のサポートまで対応しています。民間企業がSaaS型AIを契約する場面でも同じ支援が可能です。LLMセキュリティreadiness診断で現状のリスク棚卸しから始めると、どの条項から整備すべきかが明確になります。