令和5年7月27日

地方裁判所長

家庭裁判所長
最高裁判所首席調査官
最高裁判所大法廷首席書記官
最高裁判所事務総局局課長
司法研修所長

裁判所職員総合研修所長

殿殿殿殿殿殿殿殿殿

高等裁判所長官

最高裁判所図書館長

清藤

最高裁判所事務総局審議官

清藤健健

最高裁判所事務総局情報政策課長

一一

情報セキュリティに関する対策基準における生成AIの取扱いについて（事務連絡）

昨今、生成AIについては、その技術的進展が目覚ましく、社会の幅広い分野においてその活用方法等の検討が急速に進められているところ、裁判所においても、生成AIの業務利用の在り方につき検討していく必要があると考えています。

政府においては、生成AIの業務利用に関し、本年5月8日、デジタル社会推進会議幹事会で、別添1｢ChatGPT等の生成AIの業務利用に関する申合せ」（以下「政府申合せ」 という。 ）のとおり、申合せがされました。 これを踏まえ、別添2のとおり、本年6月5日、る申合せに関するQ&A｣「ChatGPT等の生成AIの業務利用に関す(以下「Q&A」 という。 ） も作成されています。

裁判所の業務は、多種多様なものがあり、裁判の本質である裁判官の判断等のように、現時点では生成AIで代替していくことが想定し難いと考えられるものがある一方で、生成AIの活用により合理化・効率化・迅速化を図ることができる事務がある可能性があるようにも考えられます。今後、裁判所における生成AIの業務利用の在り方については、政府における検討状況等を踏まえながら、最新の科学的知見や生成AIが抱えるリスク等も考慮し、丁寧に検討をしていく必要があると考えています。

以上のとおり、生成AIの業務利用の在り方一般については、今後検討を進めていく予定ですが、職員が既に生成AIにアクセスし得る状況にあることを踏まえ、情報セキュリティに関する対策基準における生成AIの取扱いを別紙のとおり整理しましたので、当面の間は、 これによってください。

ついては、 この旨を所属の職員（裁判官を含む。 ）に周知してください。

なお、簡易裁判所に対しては、所管の地方裁判所から連絡してください。

（別紙）
1

基本的な考え方

生成AIには固有のリスクが存在することが、政府申合せやQ&Aにおいても言及されているところであり、そうしたリスクの中には、セキュリティリスクも含まれるものと考えられる。そこで、裁判所において、生成AIを業務利用するに当たっては、少なくとも、「情報セキュリティに関する対策基準について」（平成19年3月22日付け最高裁情政第000184号情報政策課長通達。以下「対策基準」 という。 ）に則る必要がある。
2

対策基準に則った手続等
(1)

前提
1

I
lr‐
1

1［

(2)

［￨現時点で、生成AIの抱えるリスクの内実が必ずしも明らかにはなっていないことなどを踏まえると、ロ I

３
く■■■ｊ■■■日■■■■

｜

1

（4）
3

以上の手続等のイメージは、別添4のとおりである。

その他の手続等（1）

情報セキュリティ責任者は、生成AIの業務利用の許可申請があった場合は、上級庁を通じて、情報政策課に報告するものとする（この報告内容や手順等についても、追ってお知らせする。 ） 。上記報告の内容は、政府申合せを踏まえ、必要に応じて、政府のAI戦略チームへ情報提供することもあるので、留意していただきたい。

（2）

許可申請のあった生成AIの業務利用について、許否の判断に疑義がある場合や、セキュリティ以外の観点からの検討を必要とする場合には、上級庁を通じて、情報政策課に問い合わせることとする。

ChofGPT等の生成AIの業務利用に関する申合せ{蛎蝋嘉鰯
昨今のChq#GPT等の生成AIを巡る技術革新は、さまざまな利点をもたらす一方、プライバシーや著作権の侵害などの新たな課題が生じるとの見方もある。生成AIを巡る様々な課
題や規制の在り方に関しては、国際的にも議論が行われているところ、政府としては、そうした議論の動向を見極めつつ、関係省庁が連携して生成AIに関する実態の把握に努め、適切な措置を講じていく必要がある｡このため､関係省庁における生成AIの業務利用に関し、次のとおり申し合わせる。

(I)約款型外部サービスによる生成AIの業務利用

生成AIが現在のCho#GPTのようなサービス形態て鹸提供される場合には､政府統一基準iてﾞいうところの｢不特定多数の利用者に対して提供する、画一的な約款や規約等への同意のみで利用可能となる外部サービス」 （以下「約款型外部サービス」という｡）に該当する。

約款型外部サービス・て犠は、セキュリティ対策やデータの取扱いなどについて機関等2への特別な扱いを求めることができない場合が多く、鉛要十分なセキュリティ要件を満たすことが一般的に困難て嘩あることから、原則として要機密情報を取り扱うことはて．きない。
また、要機密情報を取り扱わない場合であっても、機関等においては、 リスクを考慮した上て蛾利用可能な業務の範囲をあらかじめ特定し､個々の利用にあたっては､利用手続に従って、利用目的（業務内容）や利用者の範囲などの利用者からの申請内容を許可権限者が審査した上で利用の可否を決定し、その利用状況について管理することが必要である。
組織の承認を得ずに職員等が外部サービスを利用する、いわゆる「シャドーIT」は、規程等に反していることに加えて、誰がどのように使用しているかなどの管理がて．きなくなるため、要機密情報の漏えい等のリスクを高めることになる。
これらを踏まえ、関係省庁においては、・現在のChofGPTは約款型外部サービスに区分されるサービスて命あること・約款型外部サービスて．は、原則として要機密情報を取り扱うことはできないこと
・要機密情報を含まない場合であっても、利用にあたっては、組織の規程に則り承認を得る手続きが踏要であることについて、職員等に対して周知することとする。

l i政府機関等のサイパーセキュリティ対策のための統一基準」 （令和3年度版）
2｢政府機関等のサイバー･セキュリティ対策のための統一規範｣における「機関等｣を指す。

1

また、関係省庁が連携して生成AIに関する実態の把握に努め、適切な措置を講じていく
ため、関係省庁は、約款型外部サービスによる生成AIを利用するにあたっては、 「AI戦略チーム」に報告することとする。

（2）約款型外部サービスでない形態による生成AIの業務利用

機関等においては、個別契約等、約款型外部サービスて．ない形態での生成AI利用を検討する場合も考えられる力､その場合においても、 「外部サービスの利用（政府統一基準4.2参照)」に係る関連規程に基づく対応が求められる。

関係省庁が連携して生成AIに関する実態の把握に努め、適切な措置を講じていくた
め、関係省庁は、個別契約等、約款型外部サービスでない形態て､の生成AI利用を検討する場合には、その検討状況を「AI戦略チーム」に報告し、に報告し、 了解を得ることとする。

2

(別添）

政府機関等のサイバーセキュリティ対策のための統一基準（令和3年度版） （抜粋）

4.2外部サービスの利用

4.2. l

要機密情報を取り扱う場合

目的・趣旨（略） なお、民間事業者等が不特定多数の利用者に対して提供する、画一的な約款や規約等への同意のみで利用可能となる外部サービスて、は、セキュリティ対策やデータの取扱いなどについて機関等への特別な扱いを求めることができない場合が多く、要機密情報を取り扱う上て・飴要十分なセキュリティ要件を満たすことが一般的に困難であることから、原則として要機密情報を取り扱うことはて醸きない。

4.2.2要機密情報を取り扱わない場合
遵守事項(I)外部サービスの利用に係る規定の整備(0)統括情報セキュリティ責任者は、以下を含む外部サービス（要機密情報を取り扱

ｊｊｊｊ
アイウエ
くくくくわない場合）の利用に関する規定を整備すること。
外部サービスを利用可能な業務の範囲

外部サービスの利用申請の許可権限者と利用手続
外部サービス管理者の指名と外部サービスの利用状況の管理

外部サービスの利用の運用手順(2)外部サービスの利用における対策の実施(0)職員等は、利用するサービスの約款、その他の提供条件等から、利用に当たってのリスクが許容て鶴きることを確認した上で要機密情報を取り扱わない場合の外部サービスの利用を申請すること。 また、承認時に指名された外部サービス管理者は、当該外部サービスの利用において適切な措置を講ずること。
(b)利用申請の許可権限者は、職員等による外部サービスの利用申請を審査し、利用の可否を決定すること。また、承認した外部サービスを記録すること。

3

密性2政府機関等職員限り

ChofGPT等の生成AIの業務利用に関する申合せに関するQ&A(職騨翌雛〕「ChofGPT等の生成AIの業務利用に関する申合せ」 （以下、 「申合せ」という｡）に基づく関係省庁における対応を円滑に行うため、申合せの運用に関する関係省庁向けのQ&Aを作成する。

今後の運用状況を踏まえ、逐次、本Q&Aを更新することとする。
ノQI

生成AIとは何か

Q2

AI戦略チームに対する報告や了解を求めている趣旨如何

Q2‑I所管の独立行政法人等の取組についても報告が求められるのか．

４５６７８９ＱＱＱＱＱＱ

Q3生成AI機能を有するサービスを業務利用する場合、全て報告を求めるのかQ3‑l 民間事業者に対する委託事業において、報告が必要になるケースはあるのか
どの時点で報告が踏要なのか
具体的な報告方法を教えてほしい

これまて．の報告事例について、共有して欲しい
今後も、個別の利用毎に報告は必要なのか

報告内容はAI戦略チームにおいてどのように扱われるのか
報告内容は公表されるのかI密性2政府機関等職員限り

QI

生成AIとは何か

A.明確な定義が存在する訳て騨はないが、 「データから学習し、独創的かつ現実的な新しい成果物を生成するAI」 といった見解が示されており、例えば、画像を生成できるAIの「SfqbleDiffusion」や、テキストを生成て鹸きるAIの「ChofGPT｣、機械的翻訳を行うAIの「DeepL」が該当すると考えられる。明確な定義が存在する訳て．はないものの、機械学習や信号処理技術を用いていても、以下のような場合は、生成AIには該当しないと考えられる。

●●●

予測値等の数値情報しか出力できない場合

文章分類等の事前定義されたカテゴリやラベルしか出力できない場合
形態素解析や固有表現抽出のような元の文章の一部分を抽出したものしか出力て爆きな
い場合●

工場ロボットの運動制御等、デジタル信号を制御するために用いられる場合

Q2 AI戦略チームに対する報告や了解を求めている趣旨如何

A・昨今のChqfGPT等の生成AIを巡る技術革新は、さまざまな利点をもたらす一方、プライバシーや著作権の侵害などの新たな課題が生じるとの見方もある。生成AIを巡る様々な課題や規制の在り方に関しては、国際的にも議論が行われているところ、政府としては、そうした議論の動向を見極めつつ、関係省庁が連携して生成AIに関する実態の把握に努め、適切な措置を講じていく必要がある。

Q2‑I 所管の独立行政法人等の取組についても報告や了解の対象となるのかA.
「政府機関等のサイバーセキュリティ対策のための統一基準」 （令和3年度版) (以下「政府統一基準」という｡）※の対象となる独立行政法人等についても、申合せの趣旨を踏まえた適切な対応が求められる。 AI戦略チームに対する報告については、例えば、ある独立行政法人における利活用が、所管省庁における対応と同じ範囲て聯あれば、各独法分に関する個別案件毎の一律て鹸の報告や了解は不要な場合もあると考える。所
管省庁が活用せず、所管の独立行政法人のみが活用する場合など、判断に迷う場合は、個別に相談されたい。

※政府統一基準に係る問合せについては、内閣サイバーセキュリティセンター宛てに相談されたい。

2密性2政府機関等職員限り

Q3生成AI機能を有するサービスを業務利用する場合、全て報告を求めるのか

A.今回の申合せは、生成AIの固有のリスクを踏まえく関係省庁が連携して生成AIに関する実態の把握に努め､適切な措置を講じていくためのものである。そのため、生成AIを業務において活用することで、どのようなリスクが発生するのかを把握し、適切なリスク軽減策を講じることが必要。例えば、関係省庁において、文書生成AIを用いて関係省庁の名において公表する文書を作成する場合は、当該文書の信頼性の確保等の観点から、関係省庁が連携して適切な対応（生成AIの利用状況や、信頼性確保のために講じる措置に係る対外的な説明等)を取ることが踏要て．あり、報告や了解の対象となる。その一方て暇、例えば､ウェブ会議ツールに用いられるノイズキャンセラー機能については､一般的に、利用者側は実装方式の詳細まて醸は意識しないものの、実装方法によっては、生成AIて祷はないとは言い切ることは困難ではあるが､当該機能を活用して業務を行ったとしても、生成AI固有のリスクは想定しえないことから、報告や了解を求めるものではない。その他にも、例えば、生成AI機能を搭載する「検索エンジン」を業務利用する場合において、報告が必要か否かについても、同様に、生成AI固有のリスクが発生しているか否かの観点から判断していくことになる（現状、 Microsoff Bingでは、 タブ選択によりチャット機能の利用が可能となっているが、当該機能を利用する場合は報告が飴要と考えられる)。
なお、申合せに基づく報告の要否に関わらず、当然、政府統一基準に基づく関係省庁における適切な対応は必要。

個別の報告の要否については､本Q&Aを更新することにより、明らかにしていくため、判断に迷う場合は、事務局まで相談されたい。

Q3‑I 民間事業者に対する委託事業において、委託事業者が委託事業とは別に、 自らの環境下て、生成AIの実証を行う場合は報告が必要かA.報告は不要。なお、行政機関職員が業務として利用する場合、利用を開始する前に報告を求める。

3密性2政府機関等職員限り

Q4

どの時点て報告が飴要なのか

A・ 申合せに記載の通り、関係省庁におかれては、①約款型外部サービスについては、 「利用するにあたって」報告いただきたい。具体的には、関係省庁において、実際に業務において利用する前に報告されたい。②個別契約等､約款型外部サービスて欝ない形態での生成AI利用を検討する場合には、その検討状況を報告いただきたい。組織内の承認（許可等を含む）は、 AI戦略チームへの報告の前か否かは問わない。

Q5具体的な報告方法を教えてほしい

A・以下の方法て、AI戦略チーム宛に報告されたい。
｜ ・報告内容（ ｜ ）外部サービスの名称、外部サービス提供者の名称、利用目的（業務内容)、取り扱う情報の機密性、利用期間、利用者の範囲、利用申請の許可権限者等。
様式については、関係省庁において、政府統一基準に基づく省内の申請･届出を行う際に用いた書類やファイルを提出いただくことを想定。

（2）生成AIに係る固有のリスクやセキュリティ懸念への対応

関係省庁における申請・届出の際に用いられた様式内に記載されている場合はそれをもって確認。記載されていない場合は、必要に応じて追加説明を求める。
2．報告先
AI戦略チーム事務局【内閣府CSTI】

担当：根本参事官、河村・鈴木・神野・中村【デジタル庁】

担当：野崎参事官、上田・譽田・嶋夛．古本【連絡先】■■■■■■■■■
3．報告期限毎週金曜日 ￨2:00｡AI戦略チーム事務局において、 とりまとめ、翌週のAI戦略チームに報告し、必要に応じて了解を取る。※槌要に応じてAI戦略チームへの出席・説明をお願いする可能性あり。

4〃密性2政府機関等職員限り

Q6

これまて．の報告事例について、共有して欲しい

A.個別の報告事例における共有可否については､報告を行った関係省庁における判断となる。個別に事務局宛に相談いただきたい。

Q7今後も、個別の利用毎に報告は必要なのか

A・ Q3て記載の通り、今回の申合せは、生成AIの固有のリスクを踏まえ、関係省庁が連携して生成AIに関する実態の把握に努め、適切な措置を講じていくためのもの。そのため、申合せに関する運用状況を踏まえ、本Q&Aにおいて、個別報告不要な類型を示す等、具体的な報告内容や方法については、随時見直しを行っていく。

Q8報告内容はAI戦略チームにおいてどのように扱われるのか

A.Q5に記載の通り、毎週金曜日l2:00〆て鹸とりまとめ、AI戦略チーム事務局において、とりまとめ、翌週のAI戦略チームに報告し、必要に応じて了解を取る。

Q9報告内容は公表されるのか

A. AI戦略チームとしては、現時点において、報告内容自体を直ちに公表することは想定していない。そのため、公表有無については、関係省庁において適切に判断されたい。な
お、報告があった省庁名については、当該報告をAI戦略チームに行った後に、公表する可能性がある。その場合においても、公表可否については、報告があった省庁に確認を取るものとする。

5

(別添3）「情報セキュリティに関する対策基準について」 （平成19年3月22日付け最高裁情政第000184号情報政策課長通達) (抜粋）

対策墓準等に貝りった手続等のｲメージ(別添4）

ChatGPTなどの生成AIの業務利用について

一