取引先から「貴社は生成AIを使っていますか」と聞かれた日 — AI利用確認書で問われる6項目と、中小企業の答え方

年に一度、元請から届く取引先セキュリティ質問票。去年までA4で2枚だったものが、今年は3枚になっていました。増えた1枚の見出しは「生成AIの利用状況について」です。設問は7つ、うち2つには「該当する場合は証跡を添付」と書かれています。提出期限は2週間後で、空欄があると差し戻されます。

この質問票は、相手の義務が降りてきたもの

設問の出どころは、だいたい次の3つに分かれます。

ひとつはEU AI Act（規則2024/1689）です。一般的な適用開始は2026年8月2日で、附属書IIIに該当する高リスクAIの義務がここから動きます。ただし適用時期については延期を含む見直しが欧州で議論されており、最終的な期日は動く可能性があります。日本の中小企業が直接の名宛人になることはまずありませんが、EU向け製品にAI機能を積む取引先は、契約で下請側に確認を降ろしてきます。

ふたつめは総務省・経済産業省の「AI事業者ガイドライン」です。第1.1版が2025年3月に公表されており、法的拘束力はないものの、国内企業の質問票はこの構成を下敷きにしていることが多いです。

三つめは、相手の自社ルールです。ISO/IEC 42001やNIST AI RMFを参照した内部規程を、そのまま質問文に落としているケースです。

つまりこの確認書は、あなたを審査するためではなく、相手が自分の説明責任を果たすために回っています。完璧な体制より、答えられる形が求められています。

設問は6つのカテゴリに集約される

文面は会社ごとに違いますが、聞かれていることは重なります。

設問カテゴリ	よくある問われ方	最低限そろえる証跡
利用の有無と範囲	業務で生成AIを利用していますか。用途を列挙してください	利用ツール一覧（ツール名・契約プラン・用途・部署）
学習利用の可否	入力データが学習に使われない設定になっていますか	管理画面のオプトアウト設定のスクリーンショット
機密情報の取扱い	当社から預かった情報をAIに入力していますか	社内ガイドラインの該当条項（条番号まで）
生成物の確認体制	AIの生成物を人が確認する工程がありますか	業務フロー図または承認ルール1枚
利用者と教育	誰が使えますか。教育を実施していますか	アカウント台帳、研修の実施記録（日付・参加者）
事故時の連絡	漏えい時の報告先と報告期限は	連絡体制図（相手方への報告時限を含む）

6つのうち、既存文書が流用できるのは上の3つです。紙で存在しないことが多いのは「生成物の確認体制」と「教育」で、ここだけは新しく作ることになります。とはいえ、承認ルールは1枚、教育記録は日付と参加者名の一覧で足ります。

あわせて読みたい熱中症対策の義務化に対応する — 生成AIで手順書・リスクアセスメント・教育資料を1日で整える3ステップ

「利用していません」と書くのが、いちばん危ない

会社として契約していないから、と空欄や「なし」で返す判断は珍しくありません。ただ現場は個人アカウントで使っていることが多く、後から発覚すると、質問票の回答が事実と違ったという話になります。取引条件の見直しに発展した例もあります。

通るのは、こう書いた回答です。「会社として承認したツールは◯◯のみ。承認外の利用は禁止し、2026年◯月に利用実態の棚卸しを実施済み」。相手が見ているのは利用の有無ではなく、統制されているかどうかです。

回答は新しく書かず、手元の文書から組み立てる

ゼロから書くと時間がかかり、しかも書きすぎます。既存文書を渡して、根拠のある範囲だけを拾わせるほうが速いです。

あなたは当社の情報セキュリティ担当です。
以下の【設問】への回答案を作成してください。

制約:
- 根拠は【添付資料】に書かれている記述のみを使う
- 資料に記載がない項目は、推測で埋めず「未整備」と明記する
- 各回答に、根拠とした資料名と該当箇所（条番号・ページ）を併記する
- 未整備の項目には、整備に必要な作業を1行で添える

【設問】
（質問票の文面をそのまま貼る）

【添付資料】
・生成AI利用ガイドライン（2026年◯月版）
・利用ツール一覧
・情報セキュリティ基本方針

制約を書かないと、AIは全項目を「実施しています」で埋めてきます。「未整備」と書ける状態にしておくことが要点になります。書き上がったら、もう一度かけます。

【設問】と【当社の回答案】を突き合わせ、
設問が求めている要素のうち回答に含まれていないものを列挙してください。
評価やコメントは不要。欠落の指摘だけを出力してください。

適用時期も設問文も、年度で動く

EU AI Actの適用スケジュールは見直しの対象になっており、AI事業者ガイドラインも1.0版から1.01版、1.1版と改訂が続いています。経済産業省が検討しているサプライチェーンのセキュリティ対策評価制度のように、参照先そのものが増える動きもあります。ここで挙げた時期や版数は、確認の際に必ず最新の公表資料に当たってください。

だから回答は一度作って終わりにせず、更新日と参照した版数を明記して保存しておきます。翌年に設問文が変わっても、差分だけ直せばよくなります。

えらびの道では、こうした取引先確認への対応を、研修とコーチングの2軸で扱っています。研修（半日の単発／標準コース）では、利用ツール一覧・生成物の確認工程・教育記録といった、質問票で必ず問われる項目の作り方を扱います。コーチングでは、実際に届いた確認書を持ち込んでいただき、既存のガイドラインや台帳から回答案を組み立て、未整備の項目を埋めるところまで伴走します。人材開発支援助成金や自治体の補助金の活用にも対応していますが、支給額や要件は年度で変わるため、申請前に最新の公募要領をご確認ください。

取引先への回答づくりまで、えらびの道でお手伝いできること

合同会社えらびの道は、大分県の中小企業に向けて、生成AIの業務活用研修を行っています。研修だけを専門にしている会社ではなく、普段はシステムの受託開発と自社サービスの運用をしていて、生成AIはそこで毎日使っている道具のひとつです。そのためお伝えする内容も、机上の知識ではなく実際の運用のなかから出てきたものになります。

研修では汎用的な事例ではなく、貴社が実際に使っている書類をそのまま題材にします。この記事で触れた利用ツール一覧の棚卸しや、社内ガイドラインの該当条項、生成物の確認ルールといった、質問票で証跡を求められる書類も対象です。研修を実施すれば、その場で整えた文書と参加者の記録が、そのまま「教育を実施していますか」への回答材料として残ります。

大分市の人材育成応援事業などの補助金を使う場合は、申請書類の作成もお手伝いします。研修当日に立つのも、事前のヒアリングに伺うのも代表の喜多で、途中で担当が変わることはありません。

まずは現状をうかがうところからで構いません。オンラインで30分、費用はかかりませんので、届いた質問票を手元に置いた状態でお話しいただければと思います。

よくある質問

AI利用確認書の証跡として、社内ガイドラインは全文を提出しないといけませんか？

求められているのは該当条項の提示であることが多く、文書全体の提出とは限りません。条番号やページを示す形で足りる場合もあります。ただし提出範囲の指定は取引先ごとに異なるため、全文が必要かどうかは先方の担当窓口に確認してください。

「教育を実施していますか」の欄は、まだ研修をしていない場合どう答えればいいですか？

実施していない項目に実施済みと書くのは避けてください。未整備と明記し、いつまでに何をするかを一行添えるほうが、後で事実と違うと指摘されずに済みます。記録は日付と参加者名の一覧で足りるため、これから実施する分から残していけば次回の回答材料になります。

質問票の回答を生成AIに作らせて、そのまま提出しても問題ないですか？

回答案の作成に使うのは有効ですが、そのまま提出するのは避けてください。質問票では生成物を人が確認する工程の有無そのものが問われます。根拠のある記述だけを残し、未整備の項目は未整備と書いたうえで、最終確認は必ず人が行ってください。