個人情報保護

自治体AI調達の契約に入れるデータ保存期間・削除・返却条項の設計

2026年6月5日16分で読める

QUICK CHECK

本文を読みながら、自社で進めるべきか、相談前に何を整理するかを確認できます。

5分で自社の状況を診断する

GXO COLUMN

AI・DX

この記事は、自治体・公共団体の法務担当・調達担当が「AI調達の契約書を作る・見直す」段階で使えるデータ条項リファレンスです。RFPへの条項記載は姉妹記事（RFP条項）で、証跡書類の確認方法はAIポリシー証跡の記事で扱っています。

デジタル庁DS-920ガイドライン（2026年4月全面適用）は、AIシステムの「廃棄・更改」段階において、ベンダーとの取り決め事項の一つとしてデータの削除・返却を明示するよう求めています。一方、自治体が持つ住民データや業務情報は個人情報保護法（行政機関個人情報保護法を含む）の適用対象であり、委託先での保管期間・削除義務を契約で定めることが法的にも求められます。

しかし実際の調達現場では、「サービス終了後のデータ扱いは別途協議」という曖昧な条文のまま契約が締結されているケースが珍しくありません。本記事では、サービス中の保存期間から契約終了後の削除・証跡取得まで、一気通貫で規定できる条項設計を整理します。

データの種類と保存期間の設計

AIシステムが扱うデータには複数の種類があり、保存期間の設計はデータの種類ごとに行う必要があります。一律「5年保存」とすると、保存する必要のないデータが残留するリスクと、必要なログを廃棄するリスクが同時に生じます。

データ種別	内容例	推奨保存期間の考え方	根拠
操作ログ（入力・出力・操作者）	チャット入力、AI出力、参照ドキュメントID	1〜3年（監査要件に合わせる）	DS-920「ログ要件」
個人情報が含まれる入力データ	住民への回答生成に使った問い合わせ内容	利用目的を達した後速やかに削除（最長でもサービス終了後30日以内）	個人情報保護法・行政機関個人情報保護法
ファインチューニングデータ	自治体が提供した学習用文書・ケーススタディ	契約終了後30日以内に削除または返却	DS-920「廃棄・更改」
システム設定・カスタマイズデータ	権限設定、プロンプトテンプレート、業務フロー設定	契約終了後の移行先に引き渡し、または削除	業務継続性・依存排除の観点
バックアップデータ	上記すべてのバックアップコピー	本体削除後○日以内に削除、証跡提出	DS-920「データ管理」

FREE CONSULTATION

この記事の内容について、専門家に相談できます

AI・DX・セキュリティに関するご質問やお見積もりなど、お気軽にお問い合わせください。

無料で相談する

契約条項の設計：4つの核心条項

以下の4条項が、データ保存・削除・返却に関して最低限必要な核心条項です。

条項1：保存期間の上限と削除義務

第〇条（データの保存期間及び削除）
（1）受注者は、本サービスの利用において発生した個人情報を含む入力データを、
    利用目的を達した後、速やかに削除し、30日を超えて保持しないこととする。
（2）操作ログについては、発注者が別途指定する期間（最長〇年）保存し、期間経過後
    速やかに削除する。
（3）契約終了後は、第1項及び第2項に定めるデータをすべて削除し、第〇条に規定する
    削除証跡を提出すること。

条項2：バックアップデータの取り扱い

第〇条（バックアップデータの削除）
受注者は、本サービスに関連するバックアップシステムに保存された発注者のデータを
含む全複製データについて、本体データの削除から○日以内に削除し、完了報告書を
提出すること。

条項3：削除証跡の提出義務

第〇条（削除証跡）
受注者は、本条各号のデータを削除した場合、削除対象データの種別、削除方法、
削除実施日時、削除実施者を記載した「データ削除完了報告書」を発注者へ提出
するものとし、発注者は当該報告書をもって削除の確認とする。

条項4：返却の選択権

第〇条（データの返却）
（1）発注者は、契約終了30日前までに受注者に対し、下記データについて削除に代えて
    返却を求めることができる。
    ① 発注者が提供したファインチューニング用文書
    ② 業務フロー設定・プロンプトテンプレート
（2）返却はCSVまたは発注者が指定する標準形式で行い、返却完了後に受注者側の
    複製を削除すること。

削除・返却の確認スケジュール

契約書に条項を入れるだけでなく、削除・返却の実施タイムラインを契約時に合意しておくと、終了時の混乱が減ります。

タイミング	発注者がやること	受注者がやること
契約終了60日前	返却するデータ・削除するデータの対象を確認	データ棚卸しリストを提出
契約終了30日前	返却希望データを書面で通知	返却スケジュールと方法を確認
契約終了日	最終ログのエクスポートを実施	サービス停止とデータ保護を開始
契約終了後30日以内	削除完了報告書を受け取る	全データ削除を完了し報告書を提出
契約終了後60日以内	バックアップ削除完了報告書を受け取る	バックアップ含む全複製を削除し報告

FREE DOWNLOAD

AI導入チェックリスト（PoC 失敗要因 10項目）

情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。

30分で相談するチェックリストをDL

民間企業への応用

DS-920は行政機関向けのガイドラインですが、SaaS型AIを契約する民間企業でも同じ構造のデータ条項が有効です。特に個人情報保護法が定める「委託先の監督義務」（法第25条）は、AIサービスのデータ処理について委託先の管理責任を問いますので、削除証跡の取得は民間企業でも実務上必要です。

生成AIのセキュリティ設計では、SaaS型AIを使う際のデータ分類と入力制御の全体設計を扱っています。

GXOはどう支援するか

GXOでは、自治体・公共団体が結ぶAIシステム調達契約のデータ条項設計を支援します。既存の契約書にデータ保存・削除・返却条項が抜けているかのレビュー、条項テンプレートの作成、ベンダーとの条項交渉のサポートまで対応しています。民間企業がSaaS型AIを契約する場面でも同じ支援が可能です。LLMセキュリティreadiness診断で現状のリスク棚卸しから始めると、どの条項から整備すべきかが明確になります。

GXOの見解

DXは流行ツールの導入ではなく、現場業務、データ、権限、KPI、投資判断をつなぐ実装計画である。

GXOは最初から大規模刷新するより、棚卸し、優先順位付け、小さな実装、効果測定を繰り返すべきだと見る。

GXOが提供できる価値は、DX成熟度診断、業務棚卸し、ロードマップ、AI/システム実装まで支援できる。

実務判断のポイント

この記事を読むべきなのは、経営者、DX責任者、情シス、業務責任者です。単に情報を把握するだけでなく、現状棚卸し、業務改善、AI/DXロードマップ、実装優先順位の相談に進めるべきかを判断するための材料として整理する必要があります。

GXOが重視するのは、話題性の高さよりも「自社の業務、データ、権限、予算、運用責任にどう影響するか」です。自治体AI調達の契約に入れるデータ保存期間・削除・返却条項の設計に関する検討では、担当者だけで判断を閉じず、経営、現場、情シス、外部パートナーの役割を早い段階で分けることが重要です。

放置した場合と整備した場合の違い

観点	放置した場合	整備した場合
業務影響	属人的な判断が増え、対応の優先順位がぶれやすい	影響範囲、期限、責任者を決めて進められる
投資判断	ツール導入や外注費だけが先行し、効果測定が曖昧になる	売上、工数削減、リスク低減の指標にひも付けられる
現場運用	例外処理や承認フローが残り、定着しにくい	権限、ログ、教育、改善サイクルまで設計できる
経営報告	問題が発生してから説明資料を作ることになる	月次で状況、課題、次の打ち手を説明できる

導入・改善前のチェックリスト

対象業務、対象部門、対象データを明文化しているか
現在の課題を、売上機会、原価、工数、リスクのいずれかに分解しているか
既存システム、SaaS、Excel、手作業の依存関係を棚卸ししているか
例外処理、承認、差し戻し、監査証跡まで確認しているか
社内で判断できる範囲と外部支援が必要な範囲を分けているか
初期費用だけでなく、保守、運用、教育、改善費用を見積もっているか
成功指標を、問い合わせ数、商談数、削減時間、停止リスクなどで定義しているか
実装後の責任者、更新頻度、レビュー会議の持ち方を決めているか
セキュリティ、法務、個人情報、契約条件の確認ポイントを洗い出しているか
既存の問い合わせ、商談、障害、運用ログから優先順位を決めているか
経営判断に必要な資料を1枚で説明できる状態にしているか
次の90日で検証する範囲と、やらない範囲を明確にしているか

GXOの実務補足

DXは流行ツールの導入ではなく、現場業務、データ、権限、KPI、投資判断をつなぐ実装計画である。

GXOは最初から大規模刷新するより、棚卸し、優先順位付け、小さな実装、効果測定を繰り返すべきだと見る。

GXOが提供できる価値は、DX成熟度診断、業務棚卸し、ロードマップ、AI/システム実装まで支援できる。ことです。記事のテーマを単なる情報収集で終わらせず、相談、診断、要件定義、実装、運用改善に接続することで、DX診断、要件定義、システム開発、AI活用支援へ接続。さらに、短期診断から段階実装に進め、継続支援へ展開。

相談につながる進め方

現在の業務、データ、ツール、担当者を棚卸しする
売上拡大、工数削減、リスク低減のどれに効くテーマかを決める
初期対応、90日以内の改善、半年以上の投資を分ける
必要な社内体制、外部支援、予算、セキュリティ確認を整理する
小さく検証し、効果測定後に本番化や横展開を判断する

90日で進める実装ロードマップ

期間	やること	成果物	判断ポイント
1〜2週目	現状業務、利用ツール、データ、担当者、外部委託先を棚卸しする	業務一覧、システム一覧、課題一覧	本当に解くべき課題が、流行テーマではなく業務上の損失にひも付いているか
3〜4週目	優先度、リスク、費用対効果、社内体制を整理する	優先順位表、概算費用、リスク表	すぐ着手する範囲と、後回しにする範囲を分けられているか
5〜8週目	小さな検証、要件定義、ベンダー比較、社内説明資料を作る	PoC計画、RFP、稟議資料	検証結果を本番投資の判断に使える形で記録しているか
9〜12週目	本番化、運用ルール、教育、月次レビューを設計する	運用手順、KPI、改善バックログ	導入後の責任者と改善サイクルが決まっているか

部門別に確認すべき論点

経営層は、自治体AI調達の契約に入れるデータ保存期間・削除・返却条項の設計が売上、粗利、採用、顧客維持、リスク低減のどれに効くのかを確認する必要があります。単なる効率化として扱うと、投資判断が後回しになり、現場任せの小さな改善で止まりやすくなります。

DX責任者や情シスは、既存システムとの接続、認証、権限、ログ、保守体制、外部ベンダーとの責任分界を確認します。ここを曖昧にすると、導入直後は動いても、問い合わせ増加、障害対応、改修費用で現場負荷が増えます。

業務部門は、例外処理、承認、差し戻し、手作業で補っている判断を洗い出します。表面上の手順だけを自動化しても、例外が多い業務では成果が出にくいため、現場の暗黙知を要件に変換することが重要です。

管理部門は、契約、個人情報、補助金、会計処理、監査証跡、社内規程との整合性を確認します。特に制度、法務、セキュリティ、価格が絡むテーマでは、公開情報と社内ルールの両方を確認してから進めるべきです。

KPIと効果測定の設計

効果測定では、導入有無だけでなく、相談化、商談化、対応時間、差し戻し率、問い合わせ削減、障害件数、監査指摘、顧客満足度などを分けて見ます。GXOでは、初回相談の段階で「何をもって成功とするか」を決め、検証後に継続投資できる形へ落とし込みます。

KPI	見る理由	測定例
対応時間	現場負荷と原価に直結するため	1件あたり処理時間、月間削減時間
差し戻し率	要件やデータ品質の問題が見えるため	申請、見積、問い合わせの再作業率
商談化率	記事や施策が売上に接続しているかを見るため	CTAクリック、相談数、初回面談数
運用定着率	導入後に使われ続けているかを見るため	月次利用、更新頻度、レビュー実施率
リスク低減	障害、漏えい、監査指摘を減らすため	未対応脆弱性、権限不備、復旧時間