個人開発の利用規約・プライバシーポリシーをAIと作る手順と法的な落とし穴

個人開発のサービスでも、ユーザー登録やアクセス解析で個人情報を扱った時点で、プライバシーポリシーの整備は法律上の義務になります。利用規約は義務ではありませんが、トラブル時に開発者を守る実質的な生命線です。私たちはJurisCodeAIの3つのプロダクト(Tsumu・先勝・Lifefolio)を公開する際、規約類のドラフト作成をAIに任せ、法的要件の確認を人間が担当する分業で作成しました。この記事では、その実際の手順と、AIドラフトで実際に見つかった抜け、そして個人開発者が誤解しやすい法的な落とし穴を解説します。

なお、本記事は一般的な情報提供であり、個別の状況に対する法的助言ではありません。判断に迷う場合は弁護士への相談をおすすめします。

個人開発に規約類は必要か——「事業者じゃないから不要」は誤解

プライバシーポリシーが必要になる根拠は、個人情報保護法です。個人情報をデータベース化して事業に使う者は「個人情報取扱事業者」にあたり、規模の大小や営利・非営利を問いません。かつて存在した「5,000件以下なら対象外」という要件は2017年の改正で撤廃されており、ユーザー数が数人の個人開発でも対象になります。

同法第21条は、個人情報を取得した場合、あらかじめ公表している場合を除き「速やかに、その利用目的を、本人に通知し、又は公表しなければならない」と定めています。この「公表」の手段として最も一般的なのが、サイト上のプライバシーポリシーです。詳細は個人情報保護委員会のガイドラインが一次情報になります。

一方、利用規約の掲載自体を義務づける法律はありません。しかし免責の範囲・禁止事項・アカウント停止の条件を事前に定めておかないと、トラブルが起きたときに拠り所がなくなります。無料サービスであっても、公開するなら両方をセットで用意するのが安全です。

AIに任せられる工程と、任せてはいけない工程

作成工程を分解すると、AIと人間の分担は明確になります。

• AIに任せられる: 条文構成のドラフト作成、同種サービスとの網羅性比較、平易な日本語への書き直し、サービス仕様変更時の改定案
• 人間が確認すべき: 自分のサービスが実際に収集しているデータとの突き合わせ、準拠法・管轄裁判所の指定、消費者契約法上、無効になりうる条項(事業者の損害賠償責任を全部免除する条項など)の除去

AIが法律の相談相手としてどこまで使えるかは、AIは法律相談に使えるのか——現役の法務視点で境界線を引くで詳しく書いた通りで、「一般論の整理までは強く、個別判断は人間」という境界線は規約作成でも同じです。

実際の作成手順——4ステップ

私たちが3プロダクトで繰り返して固まった手順は次の通りです。

1. 収集データの棚卸し: コードベースを見ながら、実際に取得している情報を列挙します。メールアドレス、認証情報、行動ログ、Cookieなど。ここが規約類の土台であり、この工程を飛ばしてひな形をコピーすると実態と乖離した規約になります
2. AIにドラフトを依頼: 棚卸し結果・サービス概要・利用している外部サービスを渡し、利用規約とプライバシーポリシーの初稿を生成させます
3. チェックリスト照合: 利用目的の列挙、第三者提供の有無、外部送信(アクセス解析等)の記載、開示請求への対応窓口、改定手続きの5点を人間が確認します
4. 公開と改定履歴の管理: フッターから1クリックで到達できる場所に置き、改定時は施行日を明記します

AIドラフトで実際に見つかった3つの抜け

実体験として、AIの初稿をそのまま使えなかった箇所を挙げます。

第一に、外部サービスの記載漏れです。私たちの構成ではSupabaseやVercelなど複数の外部サービスにデータが渡りますが(実際の構成はこちら)、初稿にはその明記がありませんでした。どの外部サービスを使っているかはコードを見ないと分からないため、AIに構成情報を渡さない限り書けない部分です。

第二に、利用目的の粒度です。初稿は「サービスの提供・改善のため」という抽象的な一文にまとめられていましたが、通知やお問い合わせ対応など、実際の用途を具体的に列挙する形に直しました。利用目的は本人が合理的に予測できる程度に特定する必要があります。

第三に、免責条項の書きすぎです。「いかなる損害も一切責任を負わない」という全部免責の条項は、消費者契約法により無効と判断されうる典型例です。AIは「開発者に有利な規約」を頼むとこの種の条項を平気で入れてくるため、有効性の確認は必ず人間側で行う必要があります。

まとめ——公開前チェックリスト

• [ ] 収集しているデータをコードベースから棚卸しした
• [ ] 利用目的を具体的に列挙した(抽象的な一文で済ませていない)
• [ ] 利用している外部サービスへのデータ送信を明記した
• [ ] 全部免責など無効になりうる条項を除去した
• [ ] フッター等の分かりやすい場所に掲載し、改定手続きを定めた

よくある質問

弁護士に頼まず、AIと自作した規約で大丈夫ですか？

サービスの規模とリスクによります。無料・小規模のうちは自作+定期的な見直しで始める選択は現実的ですが、決済を伴う、センシティブな情報を扱う、BtoBで契約が絡む、といった段階では専門家のレビューを入れるべきです。私たちも課金機能の導入時には専門家の確認を挟む前提で運用しています。

他のサービスの規約をコピーして使ってはいけませんか？

規約文そのものにも著作物性が認められる場合があり、丸写しは避けるべきです。それ以上に問題なのは、他社の規約は他社のデータ収集実態に合わせて書かれている点で、コピーした瞬間に自分のサービスの実態と乖離します。参考にするなら構成にとどめ、中身は自分のサービスから起こすべきです。

無料でユーザー数も少ないサービスにも必要ですか？

個人情報を取得しているなら必要です。個人情報保護法の適用に規模の下限はなく、営利・非営利も問いません。ユーザーが増えてから整備するのではなく、公開時点で最低限の内容を用意しておく方が、後からの信頼低下や作り直しのコストを避けられます。