調達前に整理すべき自社要件とリスク評価の進め方
AI-OCRの調達において最初に行うべきことは、自社のリスク評価と要件の文書化です。扱う帳票の種類・情報の機密性・関連する法規制・社内のITポリシーを洗い出すことで、製品選定の判断軸が明確に定まります。
扱う情報の機密性と規制業種の適用要件を整理する
AI-OCRが処理する帳票には、請求書・契約書・申請書・医療記録など多様な種類があり、含まれる個人情報・機密情報の性質によってセキュリティ要件の水準が変わります。金融機関・医療機関・官公庁などの規制業種では、適用法令（個人情報保護法・FISC安全対策基準・医療情報の安全管理ガイドラインなど）に沿った制御が求められます。まず「自社が扱う帳票の情報分類」と「適用される規制」を一覧化し、ベンダー評価の前提条件として設定してください。
情報の機密性が高い場合、クラウドサービスへのデータ送信が社内規定で制限されているケースがあります。この段階で「クラウド型の利用が可能か」「閉域網接続が必要か」「オンプレミス構成のみ許容されるか」を確認しておくことで、後工程のベンダー交渉がスムーズに進みます。導入形態（クラウド・オンプレミス・ハイブリッド）の選択基準は、この要件整理の結果から導かれます。
社内審査・稟議に必要な確認項目を事前にリストアップする
AI-OCRの導入稟議では、情報セキュリティ部門・法務部門・IT部門それぞれから確認を求められる事項が存在します。稟議書の作成前に「セキュリティ審査の通過要件」「委託先管理規程に基づくチェック項目」「データ処理に関する契約上の記載要件」を整理しておくことで、審査段階でのやり直しを防ぎます。
具体的には、ベンダーのセキュリティホワイトペーパー・第三者認証の証書・クラウドサービス利用規約・個人情報処理委託契約書（DPA）の取得が求められるケースが大半です。これらの書類をベンダーが迅速に提供できるかどうかも、調達判断の一材料です。事前にチェックリストを作成し、候補製品ごとに項目を埋めていく形で比較すると、審査プロセスを効率化できます。
情報セキュリティの第三者認証と準拠規格の確認ポイント
AI-OCRベンダーが取得している情報セキュリティの第三者認証は、調達判断における客観的な根拠の一つです。認証の種類・スコープ・有効期限を正確に確認し、自社の委託先管理基準と照らし合わせてください。
ISMS・SOC 2・プライバシーマークの違いと確認範囲
代表的な第三者認証として、ISMS（ISO/IEC 27001）・SOC 2（Service Organization Control 2）・プライバシーマーク（JIS Q 15001）があります。ISMSはリスクマネジメントの仕組みが整備されていることを示す国際標準で、国内外を問わず調達要件に採用されることが多い認証です。SOC 2は主に米国発のクラウドサービス向けの報告書で、セキュリティ・可用性・機密性などの原則に対する第三者監査結果をまとめたものです。プライバシーマークは国内の個人情報保護体制に関する評価制度です。
認証書を確認する際は、認証のスコープ（対象サービス・対象組織範囲）がAI-OCRサービスを明示的に含んでいるかを必ず確認してください。ベンダーの親会社が認証を取得していても、AI-OCRサービス自体がスコープ外である場合は、調達要件の根拠として使えません。また有効期限切れの認証書を提出するベンダーには注意が必要です。
規制業種向けの準拠ガイドラインへの対応状況
金融機関では「FISC安全対策基準（金融機関等コンピュータシステムの安全対策基準）」、医療機関では「医療情報システムの安全管理に関するガイドライン（厚生労働省）」への適合が求められることがあります。これらのガイドラインへの対応状況は、ベンダーが公開するホワイトペーパーや準拠チェックリストで確認できる場合があります。
官公庁向けには、政府情報システムのためのセキュリティ評価制度（ISMAP）への登録有無が調達要件になるケースもあります。ISMAP登録クラウドサービスリストに掲載されているかどうかは政府調達の要件として機能するため、公共機関での利用を前提とする場合は必ず確認してください。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せてさまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でAI-OCRの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討しましょう。
個人情報保護法・インボイス制度対応と委託契約の確認
AI-OCRに帳票データの処理を委託する場合、個人情報保護法上の「委託」に該当するケースがあります。委託契約の内容と、インボイス制度対応に関するデータ処理方針の確認が、コンプライアンス確保の観点から必要です。
個人情報の取り扱いと処理委託契約（DPA）の必要事項
請求書・契約書・医療文書など、個人情報を含む帳票をAI-OCRで処理する場合、個人情報保護法に基づき委託先を適切に監督することが求められます。契約内容を明確化するため、個人情報処理に関する契約（DPAや委託契約の個人情報条項など）を締結することが一般的です。
クラウドサービスの場合、ベンダーが処理したデータを機械学習の改善目的に利用するかどうかも確認が必要です。学習データへの利用が自動設定されているサービスもあるため、契約前に利用規約・プライバシーポリシーの該当条項を精査し、必要に応じてオプトアウト設定や契約条項の追加を交渉してください。
インボイス制度への対応状況と適格請求書番号の処理方針
2023年10月に開始したインボイス制度（適格請求書等保存方式）では、仕入税額控除のために適格請求書発行事業者登録番号（T番号）を正確に読み取ることが経理上の要件になっています。AI-OCRがT番号の読み取りに対応しているかどうかに加え、番号の正誤確認（国税庁公表サイトとの照合機能の有無）についても確認してください。
電子帳簿保存法（電帳法）への対応も調達条件として重要です。受領した電子請求書を法令要件に沿って保存・検索できる体制を整えるため、AI-OCRが出力するデータ形式・メタデータの付与方法・タイムスタンプ対応状況を確認してください。これらは会計システムとのデータ連携設計にも影響します。
SLA・可用性・障害時の対応体制を確認する
業務でAI-OCRを常時稼働させる場合、サービスの可用性保証（SLA）と障害発生時の対応体制は、調達判断における重要な確認事項です。SLAの内容は製品・契約プランによって異なるため、稼働率・復旧目標時間・補償条件を契約前に詳細に確認してください。
稼働率保証（SLA）の内容と補償条件を比較する
クラウド型AI-OCRでは、月間稼働率99.9%（いわゆる「スリーナイン」）を保証するSLAを設定している製品が多くあります。ただし、SLAの「稼働率」の定義（計画メンテナンス時間を除外するかどうかなど）や、未達成時の補償方法（クレジット付与のみか、実損害賠償を含むか）は製品ごとに異なります。自社の業務がAI-OCRの停止によって直接的な損害を受ける場合は、補償条件の実効性も確認してください。
また、SLAで保証される稼働率だけでなく、定期メンテナンスの頻度・時間帯・事前通知のタイミングも確認が必要です。深夜バッチ処理や24時間稼働の業務拠点でAI-OCRを利用する場合、メンテナンスウィンドウが業務に与える影響を事前に把握してください。
障害発生時の問い合わせ窓口とエスカレーション体制
AI-OCRで障害が発生した場合、どの窓口に何時間以内に連絡すれば応答が得られるかは、業務継続性に直結する問題です。サポート対応時間（営業時間内のみか24時間365日か）・問い合わせチャネル（電話・メール・チャット）・初期応答時間・復旧目標時間（RTO）を契約条件として明確にしておくことが重要です。
大手ベンダーでは専任のカスタマーサクセスマネージャーを配置し、定期レビューや利用状況レポートを提供するケースがあります。業務上クリティカルな処理をAI-OCRに任せる場合は、サポートプランの選択肢と費用感も比較対象に加えてください。
ベンダーの事業継続性と契約終了時のデータ返還を確認する
AI-OCRは中長期的に利用するシステムです。ベンダーの財務基盤・サービスの継続性・契約終了時のデータ返還・移行手順についても、調達段階で確認しておく必要があります。
ベンダーの事業継続性と財務健全性を評価する観点
SaaS型のAI-OCRサービスは、ベンダーがサービスを終了した場合に業務が停止するリスクがあります。スタートアップ企業が提供する製品は機能的に優れていても、財務基盤や事業継続性のリスクがある場合があります。調達判断の際は、企業の設立年数・資本金・資金調達状況・顧客数・業界実績などを総合的に評価してください。
サービス終了時の事前告知期間・データ返還の形式・移行支援の有無も、契約書に明記してもらうことが望ましい事項です。長期利用を前提とする場合は、複数ベンダーによる調達やエスクローサービスの活用もリスク対策の一つです。
契約終了時のデータ削除・返還手順と移行支援の確認
AI-OCRサービスの契約終了時に、ベンダー側が保有しているデータ（処理済みデータ・学習データ・ログ）をどのように扱うかは、個人情報保護の観点から重要な確認事項です。データ削除の完了証明書の発行有無・返還可能なデータのフォーマット・削除完了までの期間を、契約書または覚書に明記するよう交渉してください。
他サービスへの移行を想定する場合、出力データの可搬性（ポータビリティ）も重要です。CSV・JSON・XMLなど標準的な形式でエクスポートできるか、学習データや設定情報が移行先で再利用できる形式で提供されるかを確認してください。ベンダーロックインのリスクを意識した調達計画が、中長期的なコスト管理につながります。
AI-OCRの調達・契約に関するよくある質問
調達担当者・情報システム担当者から多く寄せられる、AI-OCRの契約・コンプライアンスに関する疑問をQ&A形式でまとめました。
- ■Q1：AI-OCRのベンダーに個人情報処理委託契約（DPA）の締結を求めることはできますか？
- 可能です。個人情報を含む帳票をAI-OCRで処理する場合、個人情報保護法上の「委託」に該当するため、委託先との間でDPAを締結することが推奨されます。大手ベンダーの多くは標準的なDPAのひな形を用意しており、要求に応じて提供します。自社の法務部門や個人情報保護管理者と連携し、必要な記載事項（処理目的・保存期間・再委託可否・安全管理措置等）を漏れなく盛り込んでください。
- ■Q2：AI-OCRのSLAで稼働率が未達成だった場合、どのような補償が受けられますか？
- SLAの補償内容は製品・契約プランによって異なります。多くのクラウド型AI-OCRでは、稼働率が保証値を下回った月にサービスクレジット（次月以降の利用料の一部を減額）を付与する形式が一般的です。実損害賠償まで対応する製品は少ないため、業務上の停止リスクが大きい場合は、補償条件に加えてサービス冗長化や代替手段の確保も検討してください。
- ■Q3：ISMAP登録済みのAI-OCR製品を確認する方法はありますか？
- 内閣サイバーセキュリティセンター（NISC）が管理するISMAP管理フレームワークポータル（ismap.go.jp）に、登録済みクラウドサービスの一覧が公開されています。製品名やサービス名で検索し、対象のAI-OCRサービスが登録されているかを確認してください。官公庁・独立行政法人での調達においては、ISMAP登録が前提要件として設定されているケースがあります。
まとめ
製品の機能評価と並行して「調達・契約の観点」での事前確認が不可欠です。情報セキュリティの第三者認証（ISMS・SOC 2等）の取得状況と認証スコープ、個人情報保護法・インボイス制度・電子帳簿保存法への対応方針、SLAの稼働率保証と障害時の対応体制、ベンダーの事業継続性と契約終了時のデータ返還手順を、稟議前に確認してください。
