# AIコーディングエージェント導入前に確認すべき契約ポイント

URL: https://legalysis.co/ja/journal/ai-coding-agent-contract-check
Type: blog
Locale: ja
Published: 2026-07-20
Updated: 2026-07-20

---

> AI コーディングエージェント導入前に、従来の SaaS 契約とは異なる観点で契約書を精査する必要があります。自動実行型ツールだからこそ見落としやすい、責任の曖昧さと法的リスク。

## AIコーディングエージェント導入前に確認すべき契約ポイント

AI コーディングエージェント（Devin や Replit Agent など）は、コード生成だけでなく、自動実行・デプロイまで可能な新世代ツールです。導入前に、供給業者の契約書を通常の SaaS ツールとは異なる観点から精査する必要があります。自動実行する製品だからこそ、法的責任の曖昧さが生じやすく、日本企業が見落としやすい条項があります。

## 契約書でいう「AI コーディングエージェント」の定義が曖昧だと問題が起きる

法律的には、コード補完ツール（提案に対して人間が承認）と自動実行型エージェント（タスク計画・実行・デプロイを自動化）では責任の所在が大きく異なります。従来の SaaS 契約書は前者を想定していることがほとんどです。

エージェント型では、脆弱性やデプロイメント障害が発生した場合、誰が責任を負うのか。契約書の免責条項が「コード補完機能」を前提に書かれていると、実際のエージェント動作による損害について保護されていない可能性があります。

## 賠償責任条項が自動実行を想定していない

クリフォード・チャンス法律事務所の 2026 年調査では、従来型のテクノロジー契約は「ユーザーの不適切な設定」を想定していますが、エージェント自体の誤動作による損害は賠償対象外としているケースが大半です。

特に問題なのは、多くの AI コーディングエージェント契約で「営業損失、データ喪失、間接損害を除外」という標準条項が入っていることです。本番環境でのエージェント実行ミスは、まさにこの除外対象に該当する可能性があります。

> **確認すべき項目**：賠償責任条項に「エージェントの自動実行による損害」が明示的に含まれているか。第三者 IP 侵害のみが対象になっていないか。供給業者に書面で確認してください。

![Close-up of hands highlighting a clause on a printed legal document with a laptop blurred behind](https://fdzlnqpwsaniezitwiuw.supabase.co/storage/v1/object/public/cms-media/legalysis/2026-07/7e854b-img2.webp)

## エージェントが生成したコードの所有権問題

これは単なる商用問題ではなく、法的な曖昧さが実在します。EU・UK・日本を含むほとんどの法域では、著作権は「人間の著作者」に限定されます。AI だけが生成したコードは著作権保護を受けない可能性があります。

より実務的な問題は、オープンソース・ライセンス汚染です。訓練データに含まれた GPL や AGPL ライセンスコードが、エージェントの出力に知らない間に含まれていることがあります。意図せず GPL ライセンスコードが本番環境に入り込めば、企業の全コードベースが GPL に従う義務が生じる可能性すらあります。

`§ 契約書に明記すべき条項：
「顧客は出力物に関するすべての権利を保有する。
ただし供給業者の基盤 IP は除外する。供給業者は、
出力物が第三者のライセンス要件なしに生成されたことを保証し、
この保証に対する違反について顧客に対し賠償責任を負う。」`日本の企業が海外企業の標準契約を使う場合、この条項が「権利は顧客側」とだけ書かれていても、オープンソース・ライセンス汚染に対する賠償請求権まで明示されていないことが多いです。

## データ保護と EU AI 法は交渉で後付けできない

米国ベースのエージェント提供業者を使う場合、ソースコードなどのデータが国際転送されます。Standard Contractual Clauses（SCC）は転送メカニズムを提供しますが、「供給業者が独自にモデル訓練に顧客データを使用しないか」という問題は別です。

Devin Enterprise の条項では、顧客データは独自の VPC 内にのみ保管され、訓練に使用されないと明言しています。Replit は SOC 2 Type 2 認証と GDPR DPA を公開しています。ただし各ベンダーで文言が異なり、「訓練データから除外」という条件が有料ティアのみだったり、DPA が個人情報のみでソースコード除外が不明記だったりします。

**2026 年 8 月 2 日に EU AI 法が一般適用開始します。** コンプライアンス責任は供給業者ではなく、導入企業にあります。契約書で合意する前に、法務とリスク委員会の審査が必要です。

## セルフホスト型ならリスクが消えるわけではない

オープンソース版やセルフホスト可能なエージェントを選べば、供給業者のデータ訓練問題は消えます。しかし責任は移るだけで消えません。パッチ適用、セキュリティ監査ログ、インシデント対応を全て内部で行う必要があり、これは供給業者ベースの契約とは異なる法的リスクになります。

内部に十分なプラットフォームエンジニアリング体制がない場合は、契約交渉が面倒でも供給業者ベースの方が実務的には安全なことが多いです。

## SOC 2 バッジより重要なセキュリティ条項

SOC 2 Type 2 は供給業者のインフラストラクチャ統制を監査しているだけで、**エージェント自体が生成したコードのセキュリティ欠陥については保護していません。** これは全く別の問題です。

交渉すべき項目：

- 
エージェントの判断ログへの監査アクセス権

- 
インシデント発生時の供給業者の対応時間を明文化

- 
緊急時にエージェントのアクセスを即座に停止できる権利

EU AI 法の推奨では、法的・財務的・規制的影響を持つアクション実行前には、必ず人間による確認ステップを挿入することが求められます。

![Two colleagues discussing a diagram at a whiteboard with laptops open on the table](https://fdzlnqpwsaniezitwiuw.supabase.co/storage/v1/object/public/cms-media/legalysis/2026-07/c3e98e-img3.webp)

## 司法判断を待つのは戦略ではなく怠慢

「AI の著作権問題が判例で決着するまで待とう」という声が聞こえますが、これは誤った戦略です。US・EU の裁判所はまだ AI 訓練データの合法性、生成物の著作権について判示していません。

**待つ間も、リスクは今この瞬間に存在します。** 契約書で交渉できる条項は今からでも手を打てます。訴訟結果を待つことは、その間のすべての契約を無保護で走らせることと同じです。

## 契約署名前に確認すべき 3 つのチェックリスト

**賠償責任条項の確認**：エージェントの自動実行による損害が対象か。営業損失・間接損害の除外が無条件でないか。供給業者に書面確認してください。

**訓練データと IP 保証**：供給業者がコードの訓練使用や GPL 汚染に対する責任を負うか、明文化されているか。

**データ転送と AI 法対応**：EU/UK 拠点なら SCC 付き DPA の確認と、2026 年 8 月 2 日の EU AI 法一般適用に対する準備計画を共有させてください。

![Home office desk at dusk with a laptop glowing and a city skyline through the window](https://fdzlnqpwsaniezitwiuw.supabase.co/storage/v1/object/public/cms-media/legalysis/2026-07/38341a-img4.webp)

契約書を渡されたら、まず法務チームとこの 3 点を確認してから調達チームと進めてください。

## FAQ

### AI コーディングエージェントと通常のコード補完ツールで、契約上どう違うのか？

コード補完は人間が各提案を承認するため責任は人間側にあります。一方、エージェントは自動実行・デプロイまで行うため、製品の動作による損害について供給業者の責任が問われやすくなります。従来の SaaS 契約では後者を想定していないため、責任条項の確認が必須です。

### 生成されたコードの著作権は誰にあるのか？

法的には未解決です。著作権法は人間の著作者を前提としているため、AI だけが生成したコードは著作権保護を受けない可能性があります。ただし契約で明示的に顧客に権利を譲渡すれば、実務上の問題は解決できます。重要なのはオープンソース・ライセンス汚染への保証です。

### EU AI 法の一般適用が 2026 年 8 月 2 日に始まると聞いたが、契約に何か影響するのか？

はい。コンプライアンス責任は供給業者ではなく、導入企業側にあります。監査ログ、人間による確認ステップ、リスク評価の準備が必要です。契約交渉の段階でこれらの対応が可能か、供給業者に確認すべきです。

### SOC 2 認証があれば安全か？

いいえ。SOC 2 は供給業者のインフラストラクチャ統制を保証しているだけで、エージェント自体の動作による損害については関係ありません。監査ログアクセス権、インシデント対応時間、緊急停止権など、エージェント固有のセキュリティ条項の交渉が必要です。

### セルフホスト型を選んだ場合、リスクは低くなるのか？

リスクが低くなるのではなく、形態が変わります。供給業者のデータ訓練リスクは消えますが、代わりにセキュリティパッチ、監査ログ管理、インシデント対応を完全に自社で運用する責任が発生します。プラットフォームエンジニアリング体制がない場合は、供給業者ベースの契約で明確な責任分界を定める方が実務的です。