「『AIに調べさせる』もスクレイピング」のタイトルバナー。ティールのノード線が外部サイトへ自動でアクセスするモチーフ。

この記事の要点

  1. スクレイピング(AI に「この URL を調べて」と指示する行為を含む)の適法性は「合法 / 違法」と一括では決まりません。著作権(30 条の 4)・不正アクセス禁止法・個人情報・利用規約の 4 つの観点 で、使う前に境界を見極めるのが実務です。
  2. 対象読者: 副業 / 個人開発 / 企業の実務で、外部サイトのデータを取得する、または AI に Web を調べさせる 日本在住の方。前提知識は不要です。
  3. 得られる成果: 4 つの法律の地図 + robots.txt / 規約 / 認証壁の 性質別 の見分け方 + よくある誤読 3 つの解消 + コピペできるケース別 5 軸チェックリスト。
  4. 扱わないこと: 個別案件の最終的な適法性判定 / 海外進出時の現地法の詳細 / 契約交渉・訴訟戦略 / 取得した素材そのもの(画像・音楽・フォント)のライセンス(→ 画像・音楽・フォントのライセンス)。これらは弁護士・知財専門家・社内法務、または関連記事へ。

Key Points (for international readers)

  1. This is a primer on Japanese law: if you scrape — or let an AI agent fetch pages for you — for use in Japan, these are the boundaries to judge before you use the data.
  2. The method is portable even when the specifics aren't: sort your case into four legal lenses — copyright / TDM, computer-access law, personal data, and contract (ToS) — rather than asking "is scraping legal?" in the abstract.
  3. Building for the US or EU? The English edition centers on US/EU law (CFAA, hiQ v. LinkedIn, GDPR, the DSM Directive) — a companion piece, not a translation.
  4. Out of scope: case-by-case legality calls / local-law details when expanding abroad / contract negotiation or litigation strategy / the licensing of the fetched assets themselves — images, audio, fonts (licensing media assets).

執筆時点: 2026-05 / 対象法域: 日本国内法(海外事例は対照として補助的に参照)/ last_updated: 2026-05-25 更新履歴: 2026-05-25 初版公開

本記事は教材であり、法的助言ではない

スクレイピングは、著作権・不正アクセス禁止法・個人情報保護法・契約(利用規約)が交差し、刑事罰・損害賠償・契約解除を伴いうる領域です。本記事は 教育目的の一般的な整理 であり、特定の事案が合法か違法かの判定や法的助言ではなく、内容の正確性・完全性・最新性を保証しません。扱わない範囲: 個別案件の適法性判定 / 契約交渉 / 訴訟戦略 / 海外進出時の現地法詳細。実務判断は必ず 弁護士・知財専門家 / 社内法務部 / 各サイトの公式窓口 にご確認ください。本記事の情報は「現状有姿(AS IS)」で提供され、これを利用または信頼した結果生じたいかなる損害・損失についても、執筆者および YATA-NODE は(専門家へ相談したか否かを問わず)一切の責任を負いません。ご利用は自己責任でお願いします。

本シリーズの位置づけ: 「権利関係シリーズ」の第 3 回。公開前の権利チェック・OSS ライセンス に続く「他者のサイト・データを取得する行為(スクレイピング)」編で、取得した素材そのもののライセンスは 画像・音楽・フォントのライセンス で扱います。

用語ミニ解説(はじめての方へ):

  • スクレイピング / クローリング: プログラムで Web ページからデータを自動取得する技術(厳密にはクローリング=巡回・収集、スクレイピング=抽出。実務では一連で扱う)。
  • robots.txt: サイトが「どのページを自動巡回プログラム(クローラ)に取得させてよいか」を伝える取り決めファイル(標準仕様 RFC 9309)。
  • 利用規約(ToS / Terms of Service): サイト提供者が定める利用条件。同意の形によっては「契約」になる。
  • TDM(Text and Data Mining): コンピュータによる大量データの解析。AI 学習を含む。日本の著作権法 30 条の 4、EU の DSM 指令が枠組みを定める。
  • 不正アクセス禁止法: 他人の ID・パスワード等(識別符号)による認証を不正に突破する行為などを罰する法律。
  • CAPTCHA: アクセスしているのが人間か自動プログラム(ボット)かを判別する仕組み(ゆがんだ文字の入力、画像選択など)。
  • IP アドレス / IP 制限: IP アドレスはネットワーク上の機器に割り振られる「住所」のような識別番号。IP 制限は、特定の IP からのアクセスを遮断・制限する仕組み。
  • User-Agent(ユーザーエージェント): プログラムが Web にアクセスするとき、リクエストに添えて送る「送信元の自己申告名」。自作のプログラムでは自由に設定でき、ここに連絡先などを書いておける(後述)。

「自分のスクレイピングは合法か?」— この問いには、実は一括では答えられません。そして今や、スクレイピングはデータ収集を専業とする事業者だけの特殊行為ではありません。生成 AI に URL を渡して「調べて」「要約して」と指示した時点で、その AI サービスのクローラが、あなたに代わって対象ページを取得しています。クローラはサービスによって用途別に分かれており(例: ユーザー起点の取得 = ChatGPT-User / Perplexity-User、学習用クロール = GPTBot)、「調べて」の指示で動くのは主に前者です。なお Google-Extended はページを取得する独立したクローラ(HTTP User-Agent)ではなく、Gemini などの学習に自サイトを使わせるかを robots.txt で制御するためのトークンです。ただし、これは AI がその場で Web ページを取得・閲覧する場合の話で、AI が学習済みの知識だけで答えるとき(Web に取りに行かないとき)は取得そのものが発生しません。逆に言えば、AI に Web ページを取りに行かせた時点で、「AI に調べさせる」のもスクレイピングであり、その取得を引き起こした当事者はあなたになります(法的責任の所在は別途 — 後述のとおり確立した判例は乏しく、本記事では断定しません)。

これが現実の問題になった例があります。2023 年 7 月、OpenAI は ChatGPT の Web 閲覧機能「Browse with Bing」を一時停止しました。URL を渡すと 有料記事(ペイウォール)の全文まで表示できてしまう ことが見つかり、「コンテンツ所有者に配慮して(do right by content owners)」無効化したのです(その後、対策を経て再有効化)。これはログイン認証を破ったという話ではなく、取得したページの内容をそのまま出してしまったという、コンテンツの権利に関わる問題でした。「AI に調べさせる」という何気ない操作が、取得先のコンテンツの扱いと直結することを示す出来事です。

「合法かどうか」は 1 つの法律では決まりません。やることは、自分のケースを 4 つの法的な観点 に仕分け、それぞれで「使う前」に境界を見極めることです。本記事は、その地図・誤読しやすいポイント・コピペできるチェックリストを示します。主軸は 日本国内法 で、米国・EU は対照として補助的に触れます(米国・EU を主軸にした解説は英語版で扱います)。

4 つの法律が交差する地図

スクレイピングを「使う前」に見極めるとき、関係しうる法律は大きく 4 つです。どれか 1 つで結論が出るのではなく、自分のケースが各観点でどう当たるかを順に確認する のがコツです。

スクレイピングに関わる 4 つの法的観点(著作権・不正アクセス・個人データ・契約)を 4 象限で示し、中央に補助線として偽計業務妨害を置いた地図。
観点日本の主な法律何が問われるか
著作権 / TDM著作権法(特に 30 条の 4)取得・解析した著作物をどう使うか(情報解析は原則許諾不要、ただし例外あり)
コンピュータへの不正アクセス不正アクセス禁止法ログイン認証など「本人を識別する壁」を突破していないか
個人データ個人情報保護法取得先に個人データが含まれるか、その後の利用・提供は適法か
契約(利用規約)民法(定型約款)・消費者契約法サイトの利用規約に同意しているか、その条項に拘束されるか

加えて補助線として 偽計業務妨害(刑法 233 条) があります。これは特定の「データの権利」の話ではなく、過剰なアクセスで相手のサーバ運用に支障を与えた こと自体が問われます。ただし、何をもって「過剰」とするか——そして 本人にそのつもりがなくても巻き込まれ得ること——は、後ほど 1 つの章(「『過剰なアクセス』とは?」)を割いて、岡崎事件とともに詳しく扱います。 の無視それ自体は不正アクセスではありませんが、無視したうえで高頻度アクセスを続ければ、この文脈で不利な事実になり得ます。

ここで押さえたいのは、4 つは「どれか 1 つ当たればアウト」という排他的なものではなく、観点が違えばリスクの種類も違う ということです。著作権はセーフでも個人データで引っかかる、認証は突破していなくても規約違反になる——というように、別のレイヤで重なります。次章から、特に誤解されやすい「robots.txt・規約・認証壁」の性質の違いを掘り下げます。

robots.txt・規約・認証壁は、性質が違えばリスクが違う

スクレイピングで真っ先に目に入る「禁止っぽいもの」が 3 つあります。robots.txt、利用規約、そしてログイン・CAPTCHA・IP 制限などの「壁」です。見た目は似ていますが、法的な性質がまったく違うため、破ったときのリスクの種類も違います。ここを混同すると、過剰に怖がったり、逆に油断したりします。

robots.txt(技術的規範=他法令の証拠)・利用規約(契約)・認証壁(不正アクセス禁止法)の 3 つを、関わる法律とリスクの種類が違うものとして並べた性質別マトリクス。

① robots.txt = 技術的な「規範(マナー)」。robots.txt は標準仕様 RFC 9309 として文書化されていますが、その RFC 自身が「これは認可(authorization)の形式ではない」と明記しています。つまり、それ自体がアクセスを法的に認可・禁止する仕組みではありません(従うかどうかはクローラ側に委ねられています)。Google も「従うかどうかはクローラ次第」と説明しています。ただし「効力がないから無視してよい」ではありません。robots.txt を無視したうえで過剰アクセスをすれば、偽計業務妨害など他法令の文脈で不利な事実として働き得ます。「規範であって法律ではない、ただし他法令と組み合わさると効いてくる」と覚えるのが安全です。

robots.txt がサイト全体への合図なのに対し、ページ単位の意思表示もあります。HTML の <head> 内に書く <meta name="robots" content="noindex, nofollow">(そのページのインデックス化・リンク追跡の可否)や、HTTP レスポンスヘッダの X-Robots-Tag(HTML 以外の PDF・画像にも効く同等の指示)です。AI 学習を拒否する noai / noimageai もここに書けます。noindex は検索エンジンが事実上遵守しますが、noai 系は 2026 年時点で業界標準にも法律にもなっていません。EU 向けでは、 指令(第 4 条)の「機械可読な留保(オプトアウト)」を満たす手段の一つとして主張されることがありますが、メタタグでの留保が同指令上有効と認められるかは未確立です。いずれも robots.txt と同じく「規範」寄りで、無視それ自体が直ちに違法になるわけではありませんが、相手が示した意思を尊重したかどうかは、他法令の文脈で効いてきます。

② 利用規約 = 契約になり得る。robots.txt が規範なのに対し、利用規約は 契約 になり得ます。日本法では、米国でいう「クリックラップ / ブラウズラップ」という言葉は条文上使われず、定型約款(民法 548 条の 2) と 消費者契約法 で評価されます。「同意する」ボタンを押させる方式は合意を基礎づけやすい一方、ページ下部にリンクを置くだけの方式が利用者を拘束するかは、正面から判断した確立した裁判例が乏しいのが 2026-05 時点の状況です(断定はできません)。さらに、規約に同意していない「ログインしていない第三者」を契約で縛るのは難しい と考えられます(米 Meta v. Bright Data も同じ整理)。一方 EU では、データベース権で守られないデータでも 規約による制限が国内法上有効に働き得る(Ryanair v. PR Aviation)という、やや異なるバランスがあります。

③ ログイン・CAPTCHA・IP 制限 = 不正アクセス禁止法の領域(ただし射程に注意)。ここが最も刑事リスクに近い領域です。ただし不正アクセス禁止法が守っているのは「本人を識別する符号(ID・パスワード等)による認証」です。条文の構造から考えると、CAPTCHA(人間かボットかの判別)や IP 制限・レート制限は「本人識別」とは同一視できず、これらの回避が同法に当たるかは未確立です(射程外と解する見解もありますが、正面から判断した裁判例・警察庁 / 総務省の明示見解は確認できていません)。注意点は 2 つあります。まず「同法に当たらない」=「適法」ではなく、回避が偽計業務妨害・規約違反・著作権に触れることがあります(なお米国では、暗号や地理ロックなど 著作物の技術的保護手段を回避する 場合に DMCA §1201 が別途問題になります)。そして ログイン認証と CAPTCHA が組み合わさった壁を突破する場合は、CAPTCHA ではなく認証(識別符号)部分の回避が不正アクセスになり得ます。

要するに、同じ「禁止っぽいもの」でも、robots.txt は規範(他法令の証拠になる)、規約は契約(民事)、認証壁は不正アクセス禁止法(刑事に近い)と、当たる法律もリスクも別物です。自分が越えようとしているのがどれなのかを、まず見分けることです。

「過剰なアクセス」とは? — 岡崎図書館事件が教えるもの

ここまで「過剰なアクセス」という言葉を何度か使ってきました。では、どの程度から「過剰」なのでしょうか。結論から言うと、固定した数値基準はありません。 偽計業務妨害で問われるのは「1 秒あたり何回」といった絶対値ではなく、相手の業務(サーバ運用)に実際に支障を生じさせたか だからです。

これを象徴するのが 岡崎市立中央図書館事件(Librahack 事件、2010 年) です。ある個人開発者が、図書館の蔵書検索システムに 1 秒に 1 回程度(技術コミュニティが「クローラとしては礼儀正しい範囲」と評した水準)でアクセスしていました。ところが、図書館側システムのバグも重なって閲覧障害が発生し、開発者は 偽計業務妨害の容疑で逮捕されました。最終的には「強い意図は認定できない」として 起訴猶予(不起訴) となりましたが、それまでに 約 20 日間にわたり勾留 されました(逮捕は 5 月下旬、不起訴は 6 月中旬)。原因の一端は図書館側のシステム不具合にあったことも、後に明らかになっています。

この事件の教訓は 3 つです。

  1. 「過剰」は相手の状態次第で動く。同じ 1 秒 1 回でも、相手のサーバが脆弱なら支障を起こし得るし、堅牢なら問題にならないこともあります。絶対的な安全値は存在しません。
  2. 疑われただけでも、捜査・勾留のリスクがある。最終的に不起訴でも、嫌疑をかけられれば身柄を拘束され得ます。「結果的に不起訴だったから大丈夫」では済みません。
  3. だからこそ「悪意がないこと」を可視化する。これが現実的な防御線になります。

具体的には、次のような「礼儀」を最初から組み込みます。

  • 自分のプログラムに「名乗り」を入れる(User-Agent に連絡先を書く) — プログラムが Web にアクセスするときに送る自己申告名(User-Agent)は自由に設定でき、ここに自分の連絡先(URL やメールアドレス)を書いておけます。例: MyResearchBot/1.0 (+https://example.com/about; [email protected])。こうしておくと、サイト管理者がアクセスログを見て「誰が・何のためのアクセスか」を把握でき、問題があれば(いきなり通報される前に)まず連絡をくれる余地が生まれます。
  • 低頻度から始める(1 秒に数回以下を目安に、相手の規模に応じて控えめに)。
  • サーバの「待って」のサインを尊重する(HTTP 429 や Retry-After が返ってきたら従う)。
  • 同時並列数を絞る、サーバの空いている時間帯を選ぶ。
  • 取得記録(URL・日時・頻度)を残す — 後から「悪意はなかった」と説明できるようにする。

固定の安全値がない以上、相手の反応(レスポンスの遅延やエラーの増加)を見ながら調整するのが現実的です。「相手に迷惑をかけていないと、自分で説明できる状態」を保つことが、過剰アクセスをめぐるリスクの最大の予防線になります。

30 条の 4 と生成 AI 学習 —「日本は寛容」が崩れる 3 つの条件

日本の著作権法 30 条の 4 は、「享受しない利用」(作品を鑑賞・視聴して楽しむのではなく、情報解析などに使う利用)であれば、原則として 許諾なしで著作物を解析できる と定めます。AI 学習はこの「情報解析」に含まれるため、「日本は AI 学習に寛容」と言われます。

ただし、これは「AI 学習なら何でも自由」という意味ではありません。文化庁の 2024 年 3 月「AI と著作権に関する考え方について」(および同年 7 月 31 日の「チェックリスト & ガイダンス」)は、次の場合に 30 条の 4 が 適用されない可能性 を整理しています。なお 7 月のチェックリストは新しい法解釈ではなく、3 月の考え方を当事者(AI 開発者 / 提供者 / 利用者 / 権利者)別に具体化した解説資料です。

  1. 享受目的が併存する場合: 情報解析だけでなく、作品そのものを楽しませる目的も併せ持つ利用は、「享受しない利用」とは言えず適用外になり得ます。
  2. 著作権者の利益を不当に害する場合(市場の代替): たとえば、AI 学習用に有償で販売されているデータベースを、購入せず無断スクレイピングで代替する ような利用は、本号ただし書の「利益を不当に害する」に該当し得ると整理されています。
  3. 特定の作風を再現させる追加学習: 特定の作家・絵柄を狙って模倣させる目的の追加学習も、論点として挙げられています。ただし 作風・画風そのものはアイデアにとどまり、著作権では保護されません。生成物に既存著作物の 表現上の本質的特徴 が共通し、かつ 依拠性(その作品に基づいて作ったこと)が認められて初めて侵害となる枠組みで、作風模倣の侵害立証はハードルが高く、確立した裁判例は乏しい状況です。

実務的な含意は、「30 条の 4 があるから AI 学習用のスクレイピングは全部自由」は誤読 だということです。特に企業の実務では、有償データセットの無断代替や、robots.txt 等の技術的な留保を無視した大規模取得は、上記の例外に触れるリスクが高まります。「使う前」に、自分の利用が単なる情報解析にとどまるのか、享受や市場代替の色がないかを点検しておくことです。

個人情報が混じると、話が変わる

ここまでは主に「著作物」や「アクセスの仕方」の話でした。しかし 取得先に個人データが含まれると、別の法律が一気に前に出てきます。そして個人データの厄介なところは、「公開されている = 自由に使える」が成り立たないことです。

日本では、個人情報保護法 が取得・利用・第三者提供を規律します。象徴的なのが リクナビ「内定辞退率」事案(2019) です。就活生の閲覧履歴(Cookie の突合)から内定辞退率を算出し、本人同意なく契約企業に提供したとして、個人情報保護委員会が勧告しました。本人同意なく提供されたとされる人数は 26,060 人でした。教訓は、「Cookie ID は氏名ではないから個人情報ではない」という整理は通らない、という点です。実際、この事案も一因となって、2022 年 4 月施行の改正個人情報保護法で「個人関連情報」の第三者提供規制が新設されました(現在は、他社で氏名と突合されることが想定されるなら、この規制が及びます)。

EU では がさらに強く効きます。個人データの処理には適法な根拠(第 6 条)が必要で、「公開されているから」「正当な利益があるから」だけでは足りない と複数のデータ保護当局が判断しています。顔認識用に Web 上の公開画像を大規模にスクレイピングした Clearview AI は、イタリアの当局から 2,000 万ユーロ の制裁金を科され、域内データの削除・以後の処理禁止も命じられました(ギリシャなど他の当局も同種の処分を行いました)。GDPR は EU 域外の事業者にも及ぶ 点も見落とせません。

企業の実務担当者への注記: 業務で AI に調査やデータ収集をさせる場合、ここが最も足をすくわれやすい論点です。① 顧客リスト・問い合わせ履歴・SNS 上の個人プロフィールなど、取得対象に 個人データが混ざっていないか、② 混ざるなら 取得目的・利用目的を説明できるか(本人以外から取得した場合、GDPR では原則として取得後 1 か月以内の通知義務が、処理を決める側=利用者にかかり得ます)、③ 取得データを 名寄せ(別々に集めた断片を同一人物のものとして突き合わせ・結合すること)やプロファイリング(個人データから、その人の趣味・行動・信用などを自動で分析・予測すること)に使わないか を、着手前に確認しておくことです。「公開情報を集めただけ」が抗弁にならない領域だと意識してください。

「書いてあれば従う義務があるか」— 誤読を 3 つ潰す

スクレイピングの議論でつまずきやすい誤読を 3 つ取り上げ、それぞれに「反対側の見方」を添えます。いずれも 「合法 / 違法」の単純な二択ではない ことを示します。

誤読 ① 「robots.txt に Disallow と書いてあれば、取得した瞬間に違法」。robots.txt は規範であって法律ではなく、無視それ自体が直ちに犯罪になるわけではありません(認証を突破していなければ不正アクセスにも当たりません)。一方で 「だから無視して構わない」も誤り です。無視したうえでの過剰アクセスは偽計業務妨害の文脈で不利に働き、EU 向けでは DSM 指令の TDM オプトアウト(機械可読な留保)を無視したと評価され得ます。robots.txt は「破ると即逮捕」でも「ただの飾り」でもなく、他法令とセットで効いてくる証拠 と捉えるのが正確です。

誤読 ② 「公開されているページなら、自由に取得・利用してよい」。米国では、認証ゲートのない公開データのスクレイピングは不正アクセス(CFAA)には当たらない、と整理されています(hiQ v. LinkedIn、第 9 巡回区 2022 年 4 月)。しかし 「CFAA に当たらない = 何でも自由」ではありません。同じ hiQ でも、LinkedIn の利用規約(契約)違反は CFAA とは別の論点として残りました。公開データでも、著作権・個人データ(Clearview AI)・利用規約は別レイヤで残ります。「公開 = 自由」は、最も高くつきやすい誤読です。

誤読 ③ 「利用規約に『スクレイピング禁止』と書いてあれば、やったら犯罪」。規約違反は、まず 契約の問題(民事) であって、それ自体が刑事罰になるわけではありません。しかも、規約に同意していない(ログインしていない)第三者を契約で縛るのは難しい と考えられます(米 Meta v. Bright Data は、ログオフ状態での公開データ収集は で禁じられないと判断)。ただし反対に、アカウントを作って「同意する」を押した利用者 は規約に拘束されやすく、認証後の取得は契約違反が成立しやすくなります。EU の Ryanair v. PR Aviation のように、契約による制限を広く認める 法域もあります。「規約に書いてある = 即犯罪」でも「規約なんて無効」でもなく、自分が契約当事者になっているかどうか で大きく変わります。

3 つに共通するのは、「どこかに禁止と書いてある / 公開されている」だけでは結論が出ない ことです。当たる法律と、自分の立場(契約当事者か、認証を越えたか、個人データを扱うか)を見極める必要があります。

ケース別 5 軸チェックリスト

最後に、「使う前」に自分のケースを点検するための 5 軸をまとめます。冒頭の 4 つの法律に「アクセスの仕方」を加え、コピペで使える形にしました。手動のスクレイピングでも、AI に Web 調査をさせる場合でも、同じ 5 軸で点検できます。

robots.txt / 利用規約 / 認証壁 / 個人データ / 目的 の 5 軸を順に確認し『使う前に判断』へ向かうチェックフロー図。 
□ 1. robots.txt: 取りに行く URL が Disallow されていないか。noindex / noai があれば尊重したか
□ 2. 利用規約の性質: 自動収集の禁止条項はあるか。自分はログイン(= 規約に同意)しているか、未ログインの第三者か
□ 3. 認証壁の有無: ログイン認証を突破していないか(突破 = 不正アクセス禁止法 / CFAA のリスク。暗号・地理ロックなど著作物の技術的保護の回避を伴えば米 DMCA §1201 も)。CAPTCHA・IP 制限の回避はしていないか
□ 4. 個人データの混在: 取得対象に個人データが含まれるか。含むなら取得目的・利用目的を説明できるか(個人情報保護法 / GDPR)
□ 5. 利用目的: 単なる情報解析か / AI 学習用データセットか(享受目的・市場代替の検討)/ 二次配布か(著作権・データベース権の確認)
□ +. アクセス頻度: User-Agent に連絡先を明記し、低頻度から始め、429 / Retry-After を尊重したか(過剰アクセス = 偽計業務妨害の回避)
□ +. 記録: 取得元 URL・日時・レスポンスを残したか(後日の説明責任に必要)

立場別に、特につまずきやすいポイントを 1 つずつ挙げます。

  • 副業で発信・収益化する方: 集めた情報を記事や商品に「再配布」すると、軸 5(著作権)が前に出ます。「調べた事実」は自由でも、「他人の表現」をそのまま載せると別問題です。
  • 個人開発者: AI エージェントに「このサイトを調べて」と任せるときも、点検すべき当事者は自分だと考えて軸 1〜5 を当てはめます(法的責任が最終的に誰に帰属するかは前述のとおり確立した判例が乏しく、ここでは実務上の心構えとして述べています)。特に軸 3(認証突破の指示をしていないか)に注意します。
  • 企業の実務担当者: 業務での取得は規模が大きく、軸 4(個人データ)と軸 2(規約 = 契約当事者になりやすい)のリスクが上がります。社内ルールと取得記録の整備が効きます。

まとめ —「合法か」ではなく「どの観点で、どこが境界か」

スクレイピングの適法性は、「合法 / 違法」と一括では決まりません。やることは、自分のケースを 著作権(30 条の 4)・不正アクセス禁止法・個人情報・利用規約の 4 観点 + アクセスの仕方 に仕分け、それぞれで境界を見極めることです。robots.txt は規範(他法令の証拠)、規約は契約(自分が契約当事者かで変わる)、認証壁は不正アクセス禁止法(刑事に近い)——性質が違えばリスクも違います。そして「公開されている」「どこかに禁止と書いてある」だけでは結論は出ません。

判断に迷うケース、特に 認証を越える取得・個人データの大規模取得・有償データの無断代替 に踏み込む場合は、着手前に弁護士・知財専門家・社内法務に相談するのが確実です。本記事はあくまで、相談すべきかを見極めるための一次的な地図です。

そして——ここまで読んで「やっぱり怖い」と身構える必要はありません。リスクは『知らないまま踏み込むこと』にこそあり、観点さえ押さえれば、スクレイピングも AI への Web 調査も、過度に恐れずに活用できます。知ることは、萎縮するためではなく、安心して前に進むためです。

関連記事: 公開前の権利チェック(権利全体の入口)/ OSS ライセンスの見極め(他者のコードを採用するとき)。取得した素材(画像・音楽・フォント)そのもののライセンスは 外部素材のライセンス、AI 生成物の扱いは AI 生成物の著作権 で扱っています。

出典 / References

主要な根拠を一次情報中心にまとめます(末尾タグ（一次）= 一次情報、（補助）= 解説・二次)。

法令

公式ガイドライン・行政資料

判例・行政処分

AI 補助の透明性: 本記事は、執筆者がもともと把握していた論点を出発点に、Claude(Anthropic 製 LLM)へ調査・整理・要点化を依頼してまとめ、その後に執筆者が条文・行政資料・判例の一次情報を確認しながら加筆・修正したものです。一部の論点(AI に代理取得させた場合の当事者責任、CAPTCHA / IP 制限の不正アクセス禁止法上の位置づけ等)は確立した裁判例・公的見解が乏しく、本文でも断定を避けています。法的助言ではない点と扱わない範囲は、冒頭の注意書きを参照してください。

この記事のテーマ（スクレイピングの適法性判断）を、自分の案件に当てはめて確認する「相談前ノート」の形にして note で公開しています（有料）：権利の境界（２）〜スクレイピングの「取る側」と「取られる側」を1枚で整理する相談前ノート〜。

著者について

大手電機メーカーで制御工学から 20 年以上の電機・ソフトウェア開発、加えて個人開発 約 10 年の実務経験を持ちます。ハードとソフト、企業と個人の両面で「知らないとリスクになる」基礎から発信し、いずれは AI の実践的な活用法なども扱っていく予定です。詳しくは このブログについて。