AI・セキュリティ支援の受ける相手を見きわめる｜断ってよい依頼

2026年8月28日

長谷川奈津

この記事のポイント

✓AI・セキュリティ支援のクライアントの選び方を
✓契約と法務の観点から整理した
✓権限の確認方法まで手順で解説する

AI・セキュリティ支援の仕事は、引き受ける相手を間違えると、報酬が回収できないだけでは済まない。他人のシステムに触れる、社内の機密に触れる、そして成果物が「専門家のお墨付き」として社内外で使われる。だから、この分野のクライアントの選び方は、単に「感じの良い会社か」という話ではなく、法的な責任がどこまで自分に降りてくるかという話になる。この記事では、受注前に確認すべき項目、はっきり断ってよい依頼の型、角を立てない断り方、そして契約書で押さえておく条項を順番に整理する。

この分野でクライアント選びが特に重い理由

一般的な受託仕事でも相手選びは大事だが、AI・セキュリティ支援には固有の重さがある。理由は三つある。

情報を受け取ること自体がリスクになる

Webサイトを作る仕事なら、預かるのは素材と原稿だ。ところがセキュリティ支援では、ネットワーク構成図、アカウントの一覧、既知の脆弱性、インシデントの記録、場合によっては個人情報を含むログを預かることになる。生成AIの利用ルールを作る仕事でも、社内でどんなデータをAIに入力しているかという情報に触れる。

つまり、受注した瞬間から、こちらは「漏れたら相手が致命傷を負う情報」を手元に置く立場になる。相手の管理体制がずさんだと、こちらが正しく扱っていても、相手側から漏れた事故の説明責任がこちらにも回ってくる。これ、知らない人が本当に多い。情報を受け取る側の責任は、受け取り方の設計から始まっている。

責任の所在が曖昧なまま進みやすい

「セキュリティを見てほしい」という依頼は、範囲が言葉になっていないことが多い。何を見るのか、どこまで保証するのか、見たあとに事故が起きたら誰の責任か。ここが曖昧なまま進むと、事故が起きたときに「あなたが見たはずだ」と言われる。

助言を提供する仕事と、安全を保証する仕事は別物だ。つまり、こちらが提供しているのは「その時点の情報にもとづく評価と推奨」であって、「今後事故が起きないという保証」ではない。この区別を契約書に書いていない状態で受けるのは、かなり危うい。

成果物が対外的な資料として使われる

診断報告書やガイドラインは、社内で使われるだけでなく、取引先への提出資料や入札の添付資料として外に出ることがある。外部に出た資料に自分の名前が載る前提で内容を書いているかどうかは、受注前に確認しておきたい。

大手のサービス紹介を見ると、この点がはっきり打ち出されている。

KPMGは、AIガバナンスの先進的な取組み事例や支援実績、サイバーセキュリティに関する豊富な知識や世界各国での経験・実績を基に、AIセキュリティ態勢構築および運用・高度化を支援します。出典: kpmg.com

組織として支援する場合は、名前を出すこと自体が商品になっている。個人で受ける場合は事情が違う。自分の名前が対外資料に載るなら、その使われ方に同意しているかを先に決めておく必要がある。

受注前に確認する五つの項目

初回のやり取りで、次の五つを必ず聞く。聞きにくい質問はひとつもない。むしろ、これを聞かない相手のほうが専門家として不安に見える。

一つ目、依頼の目的が社内のどこから出ているか

「なぜ今このタイミングで依頼したのか」を聞く。答えは大きく三つに分かれる。取引先や監査から要求された、社内で事故やヒヤリハットがあった、経営層が方針として決めた。

要求されて動いている場合は、提出先の要求水準が実質的な仕様になる。だから提出先の要求文書を見せてもらう。事故があった場合は、原因調査と再発防止のどちらを求めているのかで作業が全然変わる。経営方針の場合は、現場が乗り気でないことが多く、ヒアリングの協力が得られるかを確認しておく。

目的を聞かずに着手すると、出した成果物が「そういうことじゃない」と言われる。目的は仕様の上流にある。

二つ目、最終的に承認するのは誰か

窓口担当者と決裁者が違う案件は珍しくない。承認者が誰で、その人が途中のレビューに入るのかを確認する。入らないなら、初稿を出した段階で方向性から覆るリスクが高い。

聞き方は事務的でいい。「最終的にご承認いただく方はどなたになりますか。中間の段階でも一度ご確認いただけると、手戻りを減らせます」。これで嫌がられることはまずない。嫌がられたら、それ自体が情報になる。

三つ目、情報をどう受け渡すか

機密情報の受け渡し方法を、相手がどう考えているかを聞く。「メールに添付して送ります」と即答する相手は、自社の情報管理が緩い可能性が高い。受け渡し方法、保管場所、案件終了後の廃棄手順まで、最初に決める。

こちらから提案するのが早い。共有の場所を用意する、期限付きのリンクにする、案件終了後に削除して報告する。この提案ができると、相手からの信頼も上がる。※取り扱う情報に個人情報が含まれる場合は、委託先としての義務が発生します。範囲が広いときは弁護士や個人情報保護に詳しい専門家に確認してください。

四つ目、責任の範囲をどう考えているか

「もし今後インシデントが起きた場合、どのような位置づけの支援とお考えですか」と聞く。この質問への反応で、相手の期待値が分かる。

「専門家に見てもらったのだから大丈夫という状態にしたい」という答えが返ってきたら、期待値の調整が必要だ。つまり、こちらが提供できるのは、その時点で確認できた範囲の評価と改善提案であって、将来の無事故の保証ではない。ここで納得しない相手は、事故が起きたときに必ずこちらを向く。

五つ目、支払いの条件が書面で示せるか

金額の話ではなく、条件を書面にできるかどうかの話だ。発注内容、報酬の額、支払期日を書面や電子メールなどで明示することは、取引の基本として定められている。書面化を渋る相手は、それだけで警戒に値する。

制度の内容は取引の形態によって変わるため、条件を確認したい場合は公正取引委員会や中小企業庁が公開している案内を参照するのが確実だ。「法律でこう決まっています」と言えると、交渉の温度が下がる。法律はあなたの味方になる。

はっきり断ってよい依頼の型

次の型に当てはまる依頼は、断ってよい。というより、断ったほうがいい。

権限の確認ができない診断の依頼

いちばん危険なのがこれだ。「このサイトの脆弱性を調べてほしい」という依頼で、依頼者がそのサイトの管理権限を持っているかどうかが確認できない場合、絶対に着手しない。

他人が管理するシステムへの無断の調査行為は、法的な問題に直結する。依頼者が正規の管理者であること、調査の実施について社内の承認が出ていることを、書面で確認する。クラウドサービス上で動いているなら、そのサービス提供者側の規約で調査行為に制限がかかっていることもある。ここの確認は省略できない。※判断に迷うケースでは、着手前に弁護士に相談してください。

「絶対に安全になる」を求めてくる依頼

「これをやれば安全になりますよね」と念押ししてくる相手は、期待値がずれている。安全は状態ではなく継続的な運用であって、一回の支援で確定するものではない。

説明して納得すれば良いクライアントになる。説明しても「専門家なんだから保証してほしい」と言う相手は断る。事故が起きたときに責任を押し付けられる構図が、最初から見えている。

契約書を作りたがらない依頼

「うちは書面とか作らない主義でして」「信頼関係でやりましょう」。この言い方が出たら要注意だ。書面がないと、範囲も期日も報酬も、すべて相手の記憶次第になる。

小規模な案件でも、発注内容と報酬と支払期日を書いたメール一通は必ず残す。相手が正式な契約書を用意しない場合は、こちらから条件を書いたメールを送り、「上記の内容でよろしければご返信ください」で合意を作る。この形なら相手の負担も小さいので、たいてい通る。それすら嫌がるなら、受けない。

成果物の使われ方が説明されない依頼

作った資料を、相手が第三者に転売する、自社のサービスの一部として販売する、他社の名前で提出する。こうした使われ方をする場合、こちらの責任の及ぶ範囲が読めなくなる。

成果物の利用範囲と第三者提供の可否は、契約で決める。「社内利用に限る」「取引先への提出は事前に協議する」といった一文を入れておく。使い道を聞いたときに言葉を濁す相手は、たいてい説明しにくい使い方をする予定がある。

前任者の話が一切出てこない依頼

以前に同種の支援を誰かに依頼していたはずなのに、その話が出てこない案件がある。聞いてみると、前任者と揉めて終わっている場合がある。

これは相手が悪いと決めつける話ではない。ただ、前任がなぜ終わったのかを聞いておくと、その案件の地雷の位置がだいたい分かる。「途中で連絡が取れなくなって」と言われたら期日管理の問題、「思っていたものと違って」と言われたら期待値の共有が難しい相手だと分かる。

良いクライアントに共通するサイン

断る話ばかりでは片手落ちなので、続けたくなる相手の特徴も挙げておく。

分からないことを分からないと言う

AIやセキュリティの領域では、発注側が全部を理解しているほうが稀だ。分からない点を素直に出してくる相手は、こちらの説明を聞く姿勢がある。逆に、知っているふりをする相手は、あとから前提のずれが噴き出す。

社内の関係者を最初に開示する

「情報システム部と法務部が確認します」と最初に言ってくれる相手は、進行を設計できる。関係者を伏せておいて、後から次々に登場させる相手は、修正が終わらない。

期限と優先順位を自分で言える

「この日までに、この部分だけは形にしたい」と言える相手は、社内で合意ができている。何もかも同じ優先度で並べてくる相手は、社内の合意がまだ取れていない。

断ったことがある提案に理由を求めてくる

こちらが「それは範囲外です」と言ったときに、感情的にならず理由を聞いてくる相手は、長く付き合える。理由を説明すれば納得するし、次からはその線を前提に依頼してくる。

断り方の実務

断ると決めても、伝え方を間違えると業界内での評判に響く。この分野は狭いので、断り方は営業行為の一部だと考えたほうがいい。

理由は「体制」に置く

相手の姿勢を否定する断り方はしない。「ご依頼の内容は、継続的な監視体制を前提とする範囲になります。現在の体制ではその水準でお受けできないため、今回は見送らせてください」という形にする。

自分の体制の話に落とすと、相手も引きやすい。相手の期待値がおかしいという言い方は、正しくても関係を壊す。

代わりの選択肢を一つ添える

断るときに、進め方の代案を一つだけ添えると印象がまったく変わる。範囲を狭めた形なら受けられる、まず現状の棚卸しだけを行う工程なら受けられる、といった案だ。相手が乗ればそこから仕事になるし、乗らなくても「考えてくれた相手」として記憶に残る。

権限や法令に関わる案件は理由を明示する

権限の確認が取れない診断のように、法的な問題が絡む場合は、体制の話でぼかさない。「対象システムの管理権限に関する書面が確認できないため、着手できません」とはっきり書く。ぼかすと、相手は書面を用意すれば済む話だと気づけない。実際、多くのケースでは相手が単に手続きを知らないだけで、確認できれば普通に進む。

契約で押さえる条項

引き受けると決めたら、次の条項を必ず入れる。ひな型の文言は業種で調整が必要だが、押さえる論点は共通している。

業務範囲と非保証の明示

何をやるかだけでなく、何をやらないかを書く。「本業務は、実施時点で提供された情報および確認可能な範囲にもとづく評価および助言であり、対象システムの将来にわたる安全性を保証するものではない」。この一文の有無で、事故発生時の立場が変わる。

秘密保持と情報の返却・廃棄

NDAを結ぶのは当然として、案件終了後の扱いまで書く。預かった資料をいつまでに削除するか、削除したことをどう報告するか。ここまで書いてある提案書は、それ自体が信頼の材料になる。

成果物の利用範囲と実績公開の可否

社内利用に限るのか、外部提出を認めるのか。そして、こちらが実績として社名を出せるのかどうか。実績公開の可否は営業に直結するので、締結の場で必ず確認する。出せない場合でも、業種と規模と支援内容だけを匿名で書ける形にしておくと、次の営業で使える。

検収と修正の範囲

検収の期限と、期限内に連絡がない場合の扱いを決める。修正の回数と、その数え方も書く。ここを決めないと、納品後の作業が無限に伸びる。

再委託と第三者ツールの利用

作業の一部を外部ツールに投げる場合、その扱いを書いておく。特に生成AIサービスに機密情報を入力するかどうかは、発注者が最も気にする点だ。入力しないなら明記する、入力するなら対象サービスと設定を明示して同意を得る。ここを黙って進めるのは危険が大きい。

AIを扱う業務の設計では、人が検証する工程を明示的に置くことが推奨されている。

権利侵害を防ぐためには、たとえば文章コンテンツを外部に発信する場合、AIが生成した原稿を人間が詳細に検証し、必要に応じて大幅な修正を加えることが重要です。また、より安全なアプローチとして、AIには文章の骨組みや構成のみを作成させ、実際の執筆作業は人間が担当する手法も有効です。出典: lac.co.jp

つまり、AIを使うこと自体が問題なのではなく、使ったあとの検証を誰がどの基準で行うかを決めているかどうかが問われている。契約書にその工程を書けると、相手の不安がひとつ消える。

相手の実像を受注前に調べる手順

聞き取りだけでは分からないことがある。着手を決める前に、自分の側で調べられることを調べておく。時間はかからない。

法人としての基本情報を確認する

法人番号、所在地、設立時期、事業内容。この程度は公開情報で確認できる。設立から日が浅い会社が悪いわけではないが、支払いの体力を見積もる材料にはなる。所在地がバーチャルオフィスだけで、事業の実態が読めない場合は、初回の取引条件を慎重にする。

具体的には、着手金を設定する、納品を分割して都度検収と支払いを行う、といった形にする。相手を疑っているという話ではなく、初回取引の標準手順として提示すれば角は立たない。「初めてお取引させていただく際は、分割でのご請求とさせていただいております」と言えば、それで通る。

自社サイトの記載を読む

会社の公式サイトに、個人情報保護方針や情報セキュリティに関する記載があるかを見る。セキュリティ支援を発注しようという会社が、自社サイトに何も書いていないことはよくある。それ自体は問題ではないが、社内の整備状況を推し量る材料になる。

採用ページも見ておく。情報システム部門の求人が出ているかどうかで、社内に技術が分かる人がいるかが分かる。いない場合、こちらが判断基準そのものを作るところから始まる。作業量が変わるので、見積もりの段階で織り込む。

担当者とのやり取りの速度と質を見る

初回の連絡から見積もり提出までのやり取りで、返信の速度、質問への回答の具体性、社内確認にかかる時間を観察する。この三つは、着手後もほぼ同じ水準で続く。

返信が遅い相手は、着手後の確認待ちも遅い。質問に対して「たぶん」「おそらく」が多い相手は、社内で情報が取れていない。社内確認に時間がかかる相手は、承認プロセスが重い。どれも受けてはいけないという話ではなく、スケジュールの立て方を変えるべきだという話だ。相手のリズムを見誤ると、こちらの納期だけが破綻する。

過去に外部支援を入れた経験があるか

同種の支援を外部に頼んだ経験がある会社は、進め方の勘所を持っている。何を渡せば作業が進むか、どのタイミングで確認が要るかを分かっているので、進行が軽い。

経験がない会社の場合は、こちらが進行の型を提示する。いつ何を提出して、いつまでに何を返してもらうかを、最初の打ち合わせで一覧にして渡す。この一枚があるだけで、初めて外部に頼む相手でもうまく回る。相手の経験不足は断る理由にはならない。準備を増やす理由になるだけだ。

見積もりを出す前に一枚にまとめる確認書

聞き取った内容は、見積書とは別に「確認書」として一枚にまとめ、相手に送って合意を取る。これが受注前の最後の関門になる。

書く項目は六つでいい

依頼の目的と提出先、対象の範囲、関わる関係者と承認者、情報の受け渡し方法と廃棄の時期、成果物の形式と利用範囲、進行の日程。この六つを箇条書きにして、A4一枚に収める。

送る文面は「お伺いした内容を整理いたしました。認識に相違がないかご確認ください」で足りる。相手はこれを読んで、社内に共有できる。共有された時点で、社内の他部署からの「聞いていない」が減る。

相違が出たときが最大の収穫になる

確認書を送ると、かなりの確率で相手から修正が返ってくる。「対象は3部門ではなく4部門でした」「提出先は取引先ではなく監査法人です」。この修正こそが確認書の価値だ。着手後に判明していたら手戻りになっていた情報が、着手前に出てくる。

つまり確認書は、相手を試す道具ではなく、相手が自社のことを整理するきっかけとして働く。発注側も、外部に説明しようとして初めて自社の状況を言語化できることが多い。ここで整理が進むと、そのあとの進行が驚くほど軽くなる。

合意が取れない項目は見積もりから外す

確認書を送っても、決まらない項目が残ることがある。「対象部門は追って決めます」「承認者は未定です」。この状態のまま見積もりを出すと、決まった瞬間に範囲が動く。

決まらない項目は、見積もりの対象から外して「別途」と書く。あるいは、その項目を決めること自体を最初の工程として見積もる。要件整理を独立した工程として受けるのは、この分野では普通のやり方だ。決まっていないものを、決まっている前提で安く受けるのがいちばん危ない。

受けたあとに関係を壊さない進め方

良い相手を選べても、進め方を間違えれば関係は壊れる。選ぶ力と続ける力は別の技術だ。

悪い知らせほど早く出す

作業中に、当初の想定より対象が広いことが分かった、既存の設定に想定外の問題があった、期日に間に合わない見込みが出た。こうした情報は、分かった時点ですぐ伝える。

隠して進めると、最後に一気に出ることになる。相談の現場で見ていると、揉める案件のほとんどが「もっと早く言ってくれれば対応できたのに」という言葉で終わっている。早く出せば、相手には対処の選択肢がある。遅く出すと、選択肢がないまま被害だけが残る。

判断を求めるときは選択肢を添える

「どうしましょうか」と丸投げすると、相手は判断できない。専門家に頼んでいるのは、判断の材料を整理してもらうためだ。

「対象を当初の範囲に絞って期日を守る案と、範囲を広げて期日を後ろにずらす案の二つがあります。前者は今回の目的である取引先への提出には間に合いますが、他部門の分は次回に回ります」。この形にすると、相手は自社の事情で選べる。

途中の成果物を見せる回数を増やす

完成してから初めて見せると、方向性が違ったときの損失が大きい。構成案、目次、章のサンプルと、小刻みに見せる。相手からすると進捗が見えるので安心感があり、こちらからすると手戻りが小さくなる。

この進め方をしていると、相手はこちらを「言われたものを作る人」ではなく「一緒に決める人」として扱うようになる。扱いが変わると、次の依頼の質も変わる。単発の作業依頼ではなく、判断を含む相談として来るようになる。

相手を選べる状態を作るという発想

ここまで「どう選ぶか」を書いてきたが、そもそも選べる状態にいなければ、選択肢は存在しない。案件の入口を複数持っておくことが、断る力の土台になる。

AI関連の業務委託は、役割ごとに入口が分かれている。社内の使い方を決める側に立つならAIコンサル・業務活用支援のお仕事が該当し、要件整理やルール作りが中心になる。実装側から入るならAIチャットボット・アプリ開発のお仕事、制作側から入るなら画像生成AI（Stable Diffusion等）のお仕事がある。支援の性質が違うので、契約で気をつける点も変わる。コンサル寄りほど非保証の明示が重く、実装寄りほど検収の定義が重い。

非技術職の相手に説明する材料を持っておきたいなら生成AIパスポートのような、業務利用の基礎を体系立てて示せる資格が使いやすい。技術側の土台を整理したい場合はPython3エンジニア認定基礎試験が入口になる。資格そのものが仕事を連れてくるわけではないが、初対面の相手に前提知識の水準を伝える手段としては機能する。

在宅ワークとフリーランスの市場を20年運営してきた立場から見ると、相手を選べている人と選べていない人の差は、技術力よりも「入口の数」に出る。入口が一つしかないと、目の前の依頼を断った瞬間に収入が止まるので、危ない依頼でも受けてしまう。入口が三つあれば、一つ断っても止まらない。だから断れる。断れる人は結果的に良い相手だけが残り、単価も条件も改善していく。この順番を逆にしている人が多い。

もうひとつ、運営者として見てきた限りでは、中間マージンが乗らない直接取引は「選ぶ余裕」を作る効果がある。仲介手数料が抜かれない手数料0%の形だと、同じ予算で発注者はより多くの工程を頼めるし、受け手は手取りが厚くなる。手取りが厚いと、条件の悪い依頼を断っても月の帳尻が合う。断る力は精神論ではなく、収支の構造から出てくる。案件の獲得経路そのものを見直したい場合はフリーランス AI案件の獲得術！生成AI時代に年収を倍増させる戦略に全体像が整理されている。

よくある質問

Q. 初回のやり取りで必ず確認すべきことは何ですか？

依頼の目的が社内のどこから出ているか、最終的に承認するのは誰か、機密情報をどう受け渡すか、責任の範囲をどう考えているか、支払い条件を書面で示せるか。この五つを聞く。どれも失礼な質問ではなく、聞かない側のほうが専門家として不安に見える。特に承認者の確認を省くと、初稿を出した段階で方向性から覆るリスクが高くなる。

Q. どんな依頼なら断ってよいですか？

対象システムの管理権限が確認できない診断の依頼、絶対の安全を保証してほしいという依頼、書面での合意を作りたがらない依頼、成果物の使われ方を説明しない依頼が代表的だ。特に権限が確認できない調査は法的な問題に直結するため、書面での確認が取れない限り着手しない。判断に迷う場合は着手前に弁護士へ相談するのが安全になる。