「ChatGPTを業務に使いたいが、社内データが学習に使われるのが不安」「取引先や規制当局からDPAの提出を求められた」――こうした声は、中小企業のIT担当者や士業事務所でも急増しています。本記事では、ChatGPT BusinessにおけるDPA（Data Processing Agreement／データ処理契約）の仕組みや取得方法、料金プランの違い、競合サービスとの比較まで、実務に直結する情報を体系的に解説します。
DPA（データ処理契約）とは何か――AI利用における重要性
DPAの定義と法的根拠
DPA（Data Processing Agreement）とは、データ管理者（企業など）とデータ処理者（SaaSベンダーなど）の間で締結される契約書類で、個人データの取り扱い方法・目的・安全管理措置を明文化したものです。EUの一般データ保護規則（GDPR）第28条では、処理者を利用する場合にDPAの締結が義務付けられており、日本の個人情報保護法においても委託先の監督義務（第25条）の観点から実質的に同等の取り決めが求められます。AIツールを業務に導入する際、社員の氏名・顧客情報・取引データなどが入力される可能性があるため、DPAの有無はコンプライアンス上の重大チェック項目です。特にGDPRが適用されるEU域内の顧客を持つ日本企業や、ISO 27001・SOC 2などの認証取得を目指す組織にとって、DPA締結済みのAIサービスを選ぶことはもはや必須条件となっています。
AI-DPAが従来のSaaS契約と異なる点
従来のSaaS契約では「入力データをサービス改善に使用しない」という条項が比較的シンプルでした。しかしAIサービスの場合、入力プロンプトがモデルの追加学習（ファインチューニング）に使われるリスクがあるため、DPAには以下のような追加条項が盛り込まれます。
- 学習利用の明示的な除外：ユーザーの会話データをモデル訓練に利用しないことの明文化
- データ保持期間：会話ログの自動削除タイミングの規定
- サブプロセッサーの開示：OpenAIが利用するクラウドインフラ事業者（Microsoft Azureなど）の列挙
- 国際データ移転条項：EU標準契約条項（SCC）や日本の十分性認定への準拠
これらの条項が明記されていない無料・個人プランでAI業務利用を続けることは、データ漏洩リスクだけでなく、契約違反のリスクも生じます。
ChatGPT Businessプランの概要と料金体系
ChatGPT Team・Enterpriseとの違い
OpenAIのビジネス向けプランは、2024年時点で主に「ChatGPT Team」と「ChatGPT Enterprise」の2階層に整理されています（名称や料金は変更される場合があるため、最新情報は公式サイトをご確認ください）。かつて「ChatGPT Business」として案内されていたプランは、現在の「ChatGPT Team」に相当するものとして扱われることが多いですが、OpenAIの公式ドキュメントで最新の名称を必ず確認してください。以下は執筆時点での一般的な比較です。
| 項目 | ChatGPT Free | ChatGPT Plus | ChatGPT Team | ChatGPT Enterprise |
|---|---|---|---|---|
| 月額料金（目安） | 無料 | 約$20/月 | 約$25〜30/ユーザー/月 | 要問い合わせ |
| DPA提供 | なし | なし | あり | あり（カスタマイズ可） |
| 学習への利用 | デフォルトON | オプトアウト可 | デフォルトOFF | デフォルトOFF |
| SOC 2 Type II | 非対象 | 非対象 | 対象 | 対象 |
| SSO / SAML | なし | なし | 限定的 | あり |
| 管理コンソール | なし | なし | あり（基本機能） | あり（高度な管理） |
| 最低ユーザー数 | — | 1名 | 2名〜 | 150名〜（目安） |
※上記の料金・仕様は変更される場合があります。契約前に必ずOpenAI公式サイトおよび最新の利用規約をご確認ください。
ChatGPT Businessプランが「Free」にならない理由
「ChatGPT business free」と検索するユーザーも一定数いますが、結論としてビジネス向けのDPA付きプランに無償版は存在しません。DPAの締結・維持には法務コスト・セキュリティ監査コスト・インフラコストが伴うため、有償プランの料金に含まれています。無料プランでのAPI利用は可能ですが、DPAは提供されず、会話データがモデル改善に使われる可能性があります。コスト重視の中小企業の場合、まずChatGPT Teamプランから始め、組織規模が拡大したらEnterpriseへ移行するのが現実的なロードマップです。[購入はこちら]
ChatGPT Business DPAの取得・締結手順
Team・Enterpriseプランでの手続きフロー
ChatGPT TeamプランのDPAは、管理者がワークスペース設定画面の「Security & Privacy」セクションから確認・受諾できる仕組みになっています（UIは更新されることがあるため、最新手順はOpenAI公式サポートを参照してください）。具体的な流れは以下の通りです。
- Step 1：組織のOpenAIアカウントを管理者権限で作成する
- Step 2：TeamまたはEnterpriseプランを契約する
- Step 3：管理コンソール内の利用規約・DPA関連ページにアクセスし、内容を確認する
- Step 4：法務部門または外部の法律顧問とともに条項を確認し、受諾（e-Sign）する
- Step 5：DPA受諾済みの証跡を社内のコンプライアンス管理台帳に記録する
Enterpriseプランの場合は、営業担当者との商談を通じてカスタム条項の交渉も可能です。特にGDPR対応が必要な場合は、EU標準契約条項（SCC）の付属書を別途要求できるかどうかを確認してください。
DPA受諾後に確認すべき設定項目
DPAを締結しただけで安心するのは危険です。実際にデータ保護を機能させるためには、管理コンソール上での追加設定が不可欠です。確認すべき主な項目を以下に挙げます。
- Chat history & training のオフ：管理者がワークスペース全体で会話履歴のモデル学習利用を無効化できるか確認する
- ユーザーごとのオプトアウト権限の有無：個々の社員が設定を変更できてしまう場合、組織ポリシーとの齟齬が生じる
- API利用時のデータ保持ポリシー：API経由での呼び出しはDashboardのポリシーとは独立して管理される場合がある
- サブプロセッサーリストの定期確認：OpenAIが新たなサブプロセッサーを追加した場合の通知メカニズムを把握する
これらの設定を文書化し、定期的な内部監査のチェックリストに組み込むことで、DPA締結の実効性を担保できます。
競合AIサービスのDPA対応比較――Claude for Work・Microsoft 365 Copilot
Anthropic「Claude for Work」のDPA対応
Anthropicが提供するClaude for Work（旧称Claude for Enterprise）も、ビジネス向けプランにおいてDPAを提供しています。AnthropicはClaude.aiのTeamプランおよびEnterpriseプランの契約者に対して、GDPR準拠のDPAを提供しており、会話データをモデルのトレーニングに使用しないことを明示しています。日本語対応の問い合わせ窓口については、公式情報を参照してください。Claudeの特徴としては「Constitutional AI」と呼ばれる安全性重視の設計アプローチが挙げられますが、機能・料金の詳細は公式サイトで最新情報をご確認ください。[購入はこちら]
Microsoft 365 Copilotのデータ保護とDPA
Microsoft 365 Copilot（旧称Microsoft 365 Copilot、現在の正式名称は公式情報を参照）は、Microsoft 365ライセンスに追加する形で提供されるAIサービスです。MicrosoftはGDPR・ISO 27001・SOC 2など多数のコンプライアンス認証を取得しており、既存のMicrosoft製品契約に付随するMicrosoft製品使用条件（MPS）とデータ保護補遺（DPA）がそのままCopilotにも適用されます。そのため、すでにMicrosoft 365を業務利用している企業にとっては、追加のDPA交渉なしにコンプライアンス要件を満たしやすい点がメリットです。UIについては、Microsoft 365管理センター上でCopilotの利用状況を一元管理できる仕組みが提供されています（M365 Copilot UIの詳細は公式ドキュメントを参照）。一方で、OpenAIのモデルをMicrosoft Azureを経由して利用する構成となるため、モデルのバージョンや機能がChatGPT直接利用と異なる場合があります。
DPA対応状況の比較表
| サービス | DPA提供 | GDPR対応 | 学習データ除外 | 主な認証 |
|---|---|---|---|---|
| ChatGPT Team | ○ | ○ | ○（設定必要） | SOC 2 Type II |
| ChatGPT Enterprise | ○（カスタム可） | ○（SCC付属書） | ○ | SOC 2 Type II |
| Claude for Work | ○ | ○ | ○ | 公式情報を参照 |
| Microsoft 365 Copilot | ○（MPS/DPA） | ○ | ○ | ISO 27001、SOC 2など多数 |
※各サービスの仕様・認証状況は随時更新されます。最終判断の前に各社公式情報を必ずご確認ください。
中小企業・士業事務所が導入前に確認すべきチェックリスト
法的・コンプライアンス観点での確認事項
DPAの締結はAI導入コンプライアンスの出発点に過ぎません。中小企業や士業事務所（税理士・社労士・弁護士・行政書士など）が業務にAIを活用する際には、以下の点を事前に確認することを強く推奨します。
- 個人情報保護法との整合性：顧客の氏名・住所・マイナンバーなどを含むデータをAIに入力する場合、委託先への監督義務（個人情報保護法第25条）の観点から、DPAがその委託契約として機能するか法務・社内担当者と確認する
- 守秘義務との関係：特に弁護士・税理士は職務上の守秘義務を負うため、クライアント情報をAIに入力することが守秘義務違反とならないか各士業の倫理規程・業務規程を確認する
- 業界規制の確認：金融・医療・教育などの規制業種では、個別の業法（金融商品取引法・医療法など）でデータ管理が追加規制されている場合がある
- 社内ポリシーの整備：DPA締結後も「どの種類の情報をAIに入力してよいか」を明示した社内ガイドラインの策定が必要
技術・運用観点での確認事項
技術的なリスク管理の観点からも、以下の点を導入前にチェックしてください。
- ネットワーク経路の把握：自社ネットワークからAIサービスへの通信が、意図せず第三者プロキシを経由していないか確認する
- エンドポイントセキュリティ：社員がモバイル端末や個人PCから業務データをAIに入力していないか、MDMポリシーで制御する
- ログ・監査証跡の取得：Enterpriseプランの場合、管理コンソールの利用ログをSIEMツールに連携させ、異常なデータ入力を検知する仕組みを整備する
- 退職者アカウントの管理：退職者のアカウントが残存していると、過去の会話ログへのアクセスリスクが生じる。IdP連携（SCIM/SAML）を活用した自動プロビジョニング解除を検討する
ChatGPT Business DPAに関するよくある質問（FAQ）
Q1. 個人のChatGPT Plusアカウントを業務利用するとDPA上問題があるか？
ChatGPT Plusは個人向けプランであり、DPAは提供されていません。会話データのモデル学習利用については、設定画面からオプトアウトが可能ですが、法的に拘束力のあるDPAが締結されていない状態であるため、GDPRや個人情報保護法上の委託契約としては機能しません。業務上の個人情報や機密情報を扱う場合は、DPA付きのTeamまたはEnterpriseプランへの移行を検討してください。
Q2. ChatGPT APIを利用している場合はDPAが必要か？
OpenAIのAPIを利用してシステム開発を行う場合も、入力データに個人情報が含まれる可能性がある場合にはDPAが必要です。OpenAIはAPI利用者向けにもData Processing Addendum（DPA）を提供しており、OpenAI APIの利用規約ページから確認・受諾できます（詳細は公式ドキュメントを参照してください）。APIでは、デフォルトでユーザーのデータはモデルのトレーニングに使用されない設定になっていると公表されていますが、DPAを正式に締結することでその保証を契約として担保することが重要です。
Q3. 中小企業でもEnterpriseプランは必要か？
ChatGPT EnterpriseはOpenAI公式情報によると最低ユーザー数や専任の営業サポートが伴うプランであり、規模の小さい組織にはコスト面でTeamプランが現実的な選択肢です。ただし、扱うデータの機密性が高い場合（医療情報・法律情報・金融情報など）やISO 27001取得を要件とする顧客がいる場合は、Enterpriseのカスタマイズ可能なDPAや高度なセキュリティ機能が必要になるケースもあります。自社のコンプライアンス要件を棚卸ししたうえで選択するのが適切です。[購入はこちら]
まとめ――ChatGPT Business DPAで安全なAI活用基盤を構築する
導入ロードマップの考え方
ChatGPTを業務に安全に活用するためのロードマップをまとめます。まず現状評価として、現在利用しているAIサービスのDPA対応状況を棚卸しし、無料・個人プランで業務利用している社員がいないかを確認します。次にプラン選定として、組織の規模・コンプライアンス要件・予算をもとにTeamまたはEnterpriseプランを選択します。続いてDPA締結として、管理コンソールからDPAを確認・受諾し、法務担当者と内容を精査します。そして設定・ポリシー整備として、学習利用のオフ設定・社内ガイドライン策定・利用ログの監査体制を構築します。最後に定期レビューとして、OpenAIのサブプロセッサーリスト更新や規約変更を定期的にモニタリングします。
AIガバナンスの観点からDPAを位置づける
DPAはAIガバナンスの一部に過ぎません。2024年以降、EU AI法（AI Act）の施行に伴い、高リスクAIシステムに対する追加義務も生じる見通しです。日本においても内閣府のAI戦略会議が示すガイドラインや、個人情報保護委員会のAI活用に関する考え方が随時更新されています。これらの動向を継続的にウォッチしながら、DPA締結を含むAIガバナンス体制を段階的に強化していくことが、中長期的なリスク管理の観点から重要です。信頼できるAIサービスを選び、適切な契約と設定のもとで活用することが、業務効率化と情報セキュリティの両立につながります。
※本記事には広告（PR）が含まれます
