生成AI利用ポリシー

1. はじめに

本方針は、生成型人工知能（「AI」）モデル、ツール、およびシステム（総称して「Generative AI」）の使用に関する ComponentSource Group の義務ならびに、Company、その従業員、代理人、請負業者、または Company のために業務を行うその他の当事者が Generative AI を使用する際に従わなければならない規則、規制、手続、および原則を定めるものです。

2. 適用範囲

「人工知能」および「AI」という用語は、Generative AI の使用に一般的に適用される法分野において、現時点では定義されていません。
1. AI は、「デバイスまたはソフトウェアのプログラミングまたは学習を可能にする技術」として定義されており、以下を行うためのものです。
  1. データを用いて環境を認識すること;
  2. 認知能力に近づけるよう設計された自動処理を用いてデータを解釈すること;
  3. 特定の目的を達成するために推奨、予測、または決定を行うこと。
2. Generative AI には現時点で別個の法的定義はありません。ただし、ユーザーが入力したプロンプトに応答してテキスト、画像、音声、動画、またはプログラミングコードを生成する AI の一種として広く定義できます。これは、大量の学習データと、自然言語を理解する教師なし学習および半教師あり学習アルゴリズムを組み合わせて使用することで可能になります。
Generative AI はまだ直接的には規制されていませんが、知的財産法やデータ保護法を含む他の法分野がこれと交差しています。Generative AI に関連して生じるその他の問題には、正確性、偏り、誤情報、偽情報、および差別に関するリスクが含まれます。
ComponentSource は、関連法令の文言と趣旨の双方を遵守するだけでなく、Generative AI が上記のリスクを最小化する形で使用されることを確保することにも取り組んでいます。Generative AI は、Company、その従業員、代理人、請負業者、または Company のために業務を行うその他の当事者によって、常に注意深く、相当の注意をもって、本方針に従って使用されなければなりません。
Company は、Generative AI の革新的な使用には、Company およびその顧客にとって大きな価値をもたらす可能性があると考えています。本方針は、Generative AI の潜在能力を最大限に活用すると同時に、意図的または意図せざる誤用、違法な結果、非倫理的な結果、潜在的な偏り、不正確性、IP 侵害、ならびに個人データの誤用（違法か否かを問わない）を最小化することを目的としています。
Data Protection Manager ("DPM") および CIO は、本方針の管理ならびに該当する関連方針、手続、ガイドラインの策定および実施に責任を負います:
すべてのマネージャーは、Company の全従業員、代理人、請負業者、または Company のために業務を行うその他の当事者（「users」）が本方針を遵守することを確保する責任を負い、該当する場合には、その遵守を合理的に確保するために必要な実務、プロセス、管理策、および研修を実施しなければなりません。
本方針または適用される法律、規制、原則、もしくはベストプラクティスに関する質問は、DPM および/または CIO に照会してください。

3. Generative AI 適用の原則

Generative AI を使用する際には、常に以下の一般原則を念頭に置く必要があります:
1. 責任: Generative AI ツールの users は、その使用および当該ツールによって生成された出力について最終的な責任を負います。
2. 適法性: Generative AI は、常に適用法令に従って使用されなければなりません。これには、データ保護法（下記第5章（データ保護））および知的財産法（下記第8章（知的財産権））が含まれますが、これらに限定されません。
3. 機密保持およびプライバシー: Generative AI は、常にデータの機密性およびプライバシーを保護・維持する方法で使用されなければなりません。詳細は下記第5章（データ保護）および第6章（機密保持）を参照してください。
4. 中立性: Generative AI が偏りのリスクを伴う出力の生成に使用される場合、当該偏りを特定し軽減するための適切な措置を講じなければなりません。詳細は下記第10章（出力における偏りの特定および軽減）を参照してください。
5. 明確性および透明性: Generative AI の適用および出力は、users および顧客その他の受領者にとって明確かつ理解可能であるべきです。詳細は下記第11章（透明性）を参照してください。

4. Generative AI ツールおよび承認済みツールの評価・承認

Company 内での使用が承認された Generative AI ツールは、本方針に定める制限の対象となり、かつ使用中に本方針を遵守することを条件として、当該一覧に記載された Generative AI ツールは、権限を有する users により追加の評価または承認なしで使用できます。

評価および承認されていない目的での使用は、Company 関連活動、Company 所有または Company 支給のデバイス、または Company 提供のソフトウェアと併用して行ってはなりません。
Generative AI を使用する際、users は、利用規約（terms and conditions とも呼ばれます）、プライバシーポリシー、および当該 Generative AI に関するその他の条件または文書を読み、理解し、従うことを確認してください。
Generative AI を使用する際、users は、当該 Generative AI がどのデータをもとに学習され、そのデータが何を生成するために使用されているかに留意すべきです。学習データに存する知的財産権の所有権、学習データに含まれる可能性のある機密情報または専有情報、および学習データに含まれる可能性のある個人データに特に注意を払う必要があります。また、学習データに内在する可能性のある偏りや不正確性、ならびに当該学習データの最新性についても検討してください。これらの問題に関する詳細は、本方針の以下の章を参照してください:
加えて、users は、Generative AI の使用目的に適用されるその他の法令、規制、ベストプラクティス等を認識し、遵守していることを確認してください。

5. データ保護

データ保護法は、データ保護およびプライバシーに適用される一連の法令から成り、EU GDPR、UK GDPR、UK Data Protection Act 2018、Privacy and Electronic Communications Regulations 2003、および California Consumer Privacy Act (CCPA) を含みます（ただしこれらに限定されません）。
「AI」および「人工知能」という用語は、現時点ではデータ保護法において定義されていません。ただし、個人データが AI とともに使用される場合には、法律が適用されます。これは、開発、展開、使用を含むあらゆる段階で適用される可能性があります。場合によっては、Generative AI に使用される学習データに個人データが含まれること、またはその後、Generative AI ツールが個人データの処理に使用されることがあります。
個人データを使用する当事者は、「controllers」、「processors」、または「joint controllers」である場合があります。Generative AI と併用して個人データを使用する際には、どの立場で行動しているのかを特定することが重要です。立場ごとに異なる法的義務が適用される場合があるためです。
UK および EU の GDPR は、個人データを取り扱うあらゆる当事者が遵守すべき基本原則を定めています。すべての個人データは、以下を満たさなければなりません:
1. 個人（「data subjects」）に関して、適法、公正、かつ透明な方法で処理されること;
2. 特定され、明示され、正当な目的のために収集され、その目的と両立しない方法でそれ以上処理されないこと。公共の利益における保存目的、科学的または歴史的研究目的、または統計目的のためのさらなる処理は、当初の目的と両立しないものとはみなされません;
3. 処理目的に照らして適切、関連性があり、必要最小限に限定されること;
4. 正確であり、必要に応じて最新の状態に保たれること。処理目的に照らして不正確な個人データは、遅滞なく消去または訂正されるよう、あらゆる合理的な措置を講じなければなりません;
5. 個人データが処理される目的に必要な期間を超えて、data subjects を識別できる形式で保持されないこと。個人データは、公共の利益における保存目的、科学的または歴史的研究目的、または統計目的のためのみ処理される限りにおいて、data subjects の権利および自由を保護するために必要な適切な技術的および組織的措置が講じられることを条件として、より長期間保存できます; and
6. 不正アクセスまたは違法な処理、偶発的な喪失、破壊、損傷に対する保護を含め、適切な技術的または組織的措置を用いて、個人データの適切な安全性を確保する方法で処理されること。
個人データで学習された Generative AI ツールを使用する場合、および/または Generative AI ツールを用いて個人データを処理する場合、users はまず ComponentSource の Data Protection Policy と当該 Generative AI ツールの利用規約（または terms and conditions）およびプライバシーポリシーを読み、理解し、従うことを確認しなければなりません。
ComponentSource の Data Protection Policy は、Company 内、Company のため、ならびに Company に代わって行われるすべての個人データの使用に適用されます。これは、個人データの収集、処理、移転、保存、および廃棄に関する Company の義務を定めています。Generative AI と併用して個人データを使用する場合、Data Protection Policy に定める手続および原則は、Company、その従業員、代理人、請負業者、または Company のために業務を行うその他の当事者によって、常に遵守されなければなりません。
Generative AI を個人データの処理に使用する場合、以下の質問を行う必要があります。詳細については、users は Company の Data Protection Policy を参照しなければなりません:
1. 個人データの処理について、どの適法な根拠に依拠しますか?
2. あなた/私たちは、controller、joint controller、または processor の立場で行動していますか?（個人データを使用して AI を訓練する開発者は、controller に該当する可能性が高いです。他者が開発した Generative AI の users として、あなた/私たちは controller、joint controller、または processor となる可能性があります。必要に応じて、さらなる सहायताのため DPM または CIO に相談してください。
3. Data Protection Impact Assessment を実施しましたか?
4. 個々の data subjects にはどのように情報を提供し、透明性を確保しますか?
5. セキュリティリスクをどのように軽減しますか?
6. 処理をどのように限定し、関連性を確保しますか?
7. 個人が自身の法的権利を行使するために行う請求（例: data subject access requests）にどのように対応しますか?
8. 法的または同様に重大な影響を及ぼす、完全自動化された意思決定のために Generative AI を使用しますか?
個人データを入力する前に、Generative AI ツールがデータ入力をどのように使用するのかを users が完全に理解していることを確認してください。Generative AI が入力データを自身の学習データに追加し、および/またはそのデータを第三者と共有する場合、個人データが取得された本人からの明示的な書面による同意がない限り、当該 Generative AI ツールと併用して個人データを使用してはなりません（ただし、当該個人データの取得目的によりそのような処理および共有が許可される場合、ならびに data subjects に提供された情報に従います）。
個人データが、知的財産権によって保護される機密情報および/または専有情報も含む場合、本方針の第6章および第8章の規定も適用されることがあります。
学習データ、Generative AI ツールへの入力、または Generative AI により生成された出力に関するものを含め、個人データまたはデータ保護法に関する質問は、DPM に照会してください。

6. 機密保持

「機密情報」は、Company により ComponentSource が機密として指定した情報、ならびに以下のその他の情報として定義されます:
1. 以下に関連する、あらゆる機密情報または専有情報:
  1. Company の事業、顧客、クライアント、または供給者;
  2. Company の運営、プロセス、製品情報、営業秘密、ノウハウ、または技術情報; and
2. 当該機密情報から派生した追加の情報、データ、分析、または知見。
上記の機密情報の定義は、第三者から受領し、機密として指定されたその性質の適格情報にも適用されます（たとえば、秘密保持契約の対象となる機密情報。これには当該情報の使用に関するさらなる制限が含まれる場合があります）。
上記の機密情報の定義は、当該機密情報が商業上（またはその他の）機微性を有するか否かにかかわらず、また、有形か無形かを問わず、その存在形態または伝達形態にかかわらず適用されます。
機密情報を Generative AI ツールと併用する場合、users は、その機密情報に適用される特定の方針または契約（例: 秘密保持契約）の条件を遵守しなければなりません。そのような方針または契約が、そのような方法での機密情報の使用を禁止している場合、Generative AI と併用してはなりません。
機密情報を入力する前に、Generative AI ツールがデータ入力をどのように使用するのかを users が完全に理解していることを確認してください。Generative AI ツールが入力データを自身の学習データに追加し、および/またはそのデータを第三者と共有する場合、機密情報の取得元である当事者の同意がない限り、当該 Generative AI ツールと併用して機密情報を使用してはなりません。
機密情報が、知的財産権によって保護される個人データおよび/または専有情報も含む場合、本方針の第5章および第8章の規定も適用されることがあります。
学習データ、Generative AI ツールへの入力、または Generative AI により生成された出力に関連するものを含め、機密情報に関する質問は、DPM および/または CIO に照会してください。

7. セキュリティ

以下の ComponentSource の方針は、Company 関連活動、Company 所有または Company 支給のデバイス、または Company 提供のソフトウェアと併用して Generative AI を使用する users に適用されます。Generative AI ツールを使用する際には、これらの方針に定める手続および原則を常に遵守しなければなりません:
1. Cyber Security Policy;
2. Data Protection Policy.
本方針の上記第4章に定めるとおり、Generative AI ツールは使用前に評価および承認を受けなければなりません。
上記第5章に定めるとおり、Generative AI と併用する個人データの使用は、第5章、Company の Data Protection Policy、および適用されるデータ保護法の原則および要件に従ってのみ行われなければなりません。
上記第6章に定めるとおり、Generative AI と併用する機密情報の使用は、第6章の原則および要件に従ってのみ、かつ適用される方針および契約で許可される場合（ならびにその範囲内）に限り行われなければなりません。
Company 関連活動、Company 所有または Company 支給のデバイス、または Company 提供のソフトウェアと併用して Generative AI を使用する権限のない users には、Data Protection Officer の事前の書面承認なしに、権限のある users が当該ツールへのアクセスを付与してはなりません。これには、当該 users が Company の従業員、代理人、請負業者、または Company のために業務を行うその他の当事者であるかを問いません。
以下のセキュリティ関連情報は、いかなる目的でも Generative AI に入力してはなりません:
セキュリティに関する質問は、Data Protection Officer および/または IT Department に照会してください。

8. 知的財産権

本方針において、「知的財産権」とは、特許、発明に関する権利、著作権および関連権利、商標、商号、ドメイン名、トレードドレスおよび商品の外観に関する権利、のれんおよびパッシングオフに対する権利、意匠権、データベース権、ソフトウェアに存する権利、機密情報を使用する権利およびその保護に関する権利、ならびに登録済みか未登録かを問わずその他あらゆる知的財産権を意味します。これには、出願、更新または延長の申請および付与を受ける権利、優先権を主張する権利、ならびに現在または将来、世界のいかなる場所においても存続する同等の権利またはその他の保護形態も含まれます。
Generative AI ツールは、知的財産権が存続する多様な作品の作成に使用されることがあります。同様に、その学習データには、知的財産権、特に著作権によって保護されるさまざまな種類の作品が含まれる可能性があります。
既存の学習データで学習された Generative AI は、内部アルゴリズムによって処理されたそのデータに基づいて出力を生成します。知的財産権（例えば、テキスト、画像、写真、音声録音等の作品に存する著作権）によって保護されたデータで学習された Generative AI は、当該学習データまたはその要素を多かれ少なかれ取り込んだ出力を生成する可能性があります。したがって、使用された学習データ、当該学習データの内容における知的財産の所有権の状況、およびその使用に関して付与されたライセンスの存在と条件を把握しておくことが重要です。
Generative AI は、しばしば出力において学習データ中の資料の参照を示しません。users は Generative AI ツールを使用する際に常にこの点を認識しておく必要があり、ライセンスが文書化され入手可能でない限り、使用された学習データが適切にライセンスされていると想定してはなりません。新しい Generative AI ツールの評価・承認プロセスにおいて学習データは評価されますが、それでもなお users は相当の注意を払わなければなりません。
Generative AI によって生成された出力は、該当する場合、適用されるすべてのライセンスに適合しているかを users が確認・点検しなければなりません。学習データが正しくライセンスされていること、または出力が第三者の知的財産権を侵害していないことが明確でない場合、出力は侵害しないよう修正するか、必要に応じて削除しなければなりません。
学習データが正しくライセンスされていること、または出力が第三者の知的財産権を侵害していないことが明確でない状態で、出力がさらに使用された（例: 他者に配布された、または他の作業に組み込まれた）場合は、出力を非侵害化するために修正するか、出力を削除、消去、または回収し、配布先の当事者に通知するための適切な措置を講じなければなりません。
Generative AI によって生成された出力における知的財産権の所有権は、Generative AI ツールごとに異なる場合があります。users は、特定の Generative AI ツールに関する利用規約（terms and conditions）およびその他の文書を読み、理解し、従うことを確認しなければなりません。特定の Generative AI ツールの user がその作品の権利を所有している場合でも、Company は従業員によって生成されたすべての作品の所有者となり、請負業者に対しては、Company と各請負業者との契約条件において、適用される場合には所有権の譲渡またはライセンス付与を求めます。
特定の Generative AI の利用規約（terms and conditions）が、特定の表示、謝辞、または参照を出力に付すことを定めている場合、users はその要件が遵守されていることを確認しなければなりません。
知的財産権によって保護された情報またはコンテンツを入力する前に、Generative AI がデータ入力をどのように使用するのかを users が完全に理解していることを確認してください。Generative AI が入力データを自身の学習データに追加し、および/またはそのデータを第三者と共有する場合、そのような情報またはコンテンツは、当該使用に対して明確にライセンスされていない限り、当該 Generative AI と併用してはなりません。
学習データ、Generative AI ツールへの入力、または Generative AI により生成された出力における知的財産権の所有権に関する質問は、Data Protection Officer に照会してください。

9. 出力における偏りの特定および軽減

既存の学習データで学習された Generative AI は、内部アルゴリズムによって処理されたそのデータに基づいて出力を生成します。その結果、学習データに存在する偏りが、当該 Generative AI によって生成された出力にも存在する可能性があります。
Generative AI は、しばしば出力において学習データ中の資料の参照を示しません。users は Generative AI ツールを使用する際に常にこの点を認識しておく必要があり、出力が偏りのないものである、または差別を含まないと決して想定してはなりません。
Generative AI ツールによって生成された出力は、該当する場合、Generative AI を使用しない場合と同様に行うべき信頼できる最新の代替情報源を用いて、users がさらに使用する前に確認し、事実確認しなければなりません。偏りその他の不正確性が存在する場合、出力は必要に応じて修正・訂正しなければなりません。

10. 出力の正確性の検証

既存の学習データで学習された Generative AI は、内部アルゴリズムによって処理されたそのデータに基づいて出力を生成します。その結果、学習データに存在する不正確性が、当該 Generative AI によって生成された出力にも存在する可能性があります。たとえば、学習データはある時点までしか正確でない可能性があります。
Generative AI は、しばしば出力において学習データ中の資料の参照を示しません。users は Generative AI を使用する際に常にこの点を認識しておく必要があり、出力が正しいと決して想定してはなりません。
Generative AI によって生成された出力は、該当する場合、Generative AI を使用しない場合と同様に行うべき信頼できる最新の代替情報源を用いて、users が確認し、事実確認しなければなりません。不正確性が存在する場合、出力は必要に応じて修正・訂正しなければなりません。

11. 透明性

Generative AI ツールを使用して作成されたすべてのコンテンツは、その旨を明示しなければなりません。

12. 研修

Generative AI を使用するすべての users は、本方針の適用および Generative AI の安全、責任ある、かつ適法な使用に関する研修を受けます。

13. 誤用または懸念の報告および質問の照会

Generative AI の誤用（疑義があるもの、または実際のもの、意図的または偶発的なもの）、その使用に関するその他の懸念、または本方針で扱う内容を含むがこれに限定されないトピックに関する質問は、適切に以下のいずれか一つまたは複数に照会してください:
1. DPM
2. CIO
3. CEO

14. 本方針の施行

本方針は 2024年11月1日付で有効になるものとみなされます。本方針のいかなる部分も遡及的効力を有さず、したがってこの日以降に発生する事項にのみ適用されます。

CSGAIUP 10/2025