AI法・AI事業者ガイドライン対応の確認点
こんにちは。LegalAgent 代表弁護士の朝戸です。
日本のAI法（人工知能関連技術の研究開発及び活用の推進に関する法律）は、企業に対して個別具体的な禁止行為や罰則をずらりと並べる形式の法律ではありません。理念や基本方針、推進体制を示す基本法としての性格を持つため、条文の字面を追うだけでは、日々の業務で具体的に何を整えればよいのかが見えにくい面があります。一方で、法的義務が皆無であるとか、すべてが事業者の自由に委ねられているという意味でもありません。法律上の枠組みを把握したうえで、自社の実務に落とし込む姿勢が大切になる理由がここにあります。
社内での生成AI活用やAIサービスの提供を検討する企業からは、「法律に沿った運用とは何を指すのか」「ガイドラインをどの程度社内規程に反映すべきか」といった相談が寄せられます。その際にお伝えしているのは、AI法や関連ガイドラインは、法務担当者が一度目を通して完結する資料ではないという点です。どのAIツールを、どの業務で、どのようなデータと接続し、得られた出力を誰がどう活用するのかという、全社的な業務運用の設計に直結するからです。
実務の入口において確認すべき事柄は、突き詰めると次の五点に集約されます。
- 入力するデータに秘密情報、個人情報、第三者の著作物が含まれているか
- 生成された出力を誰が、どの業務で、どの範囲まで活用するのか
- データの外部送信、モデルの学習利用、ログの保管、再利用の扱いを契約や社内規程で説明できるか
- サービスの利用規約、プライバシーポリシー、社内規程、ベンダーとの契約が同一の前提で揃っているか
- AIの出力を鵜呑みにせず、最終的な判断を行う責任者と確認の手順が定まっているか
この五点を自社の言葉で具体的に説明できる体制を整えることこそが、AI対応の実質的な中身といえます。
AI法とAI事業者ガイドラインの位置づけ
実務におけるAI法対応とは、AI関連技術の研究開発や活用の推進に関する法制度を踏まえ、自社におけるAIの利用や提供のルールを整える作業を指します。AI法には、基本理念（第3条）とともに事業者の責務（第7条）が定められており、積極的なAI活用による事業活動の効率化や高度化等に努める責務に加え、国や地方公共団体が実施する施策に協力する義務も盛り込まれています。
また、AI法13条を踏まえた適正性確保の指針と、総務省および経済産業省が公表している「AI事業者ガイドライン」は、互いに関連する資料ではあるものの別個の文書です。ガイドラインに示された取組が、そのまま一律に法律上の義務や罰則となるわけではありません。2025年12月19日の内閣府指針や、2026年3月31日公表の総務省・経済産業省のAI事業者ガイドライン第1.2版など、最新の公的ガイダンスの更新状況は公式の公表資料を通じて継続的に把握しておく必要があります。法律の構成や事業者の責務、基本指針の全体像については、AI法（AI推進法）の内容・基本計画・企業への影響で詳しく解説しています。
前提として、日本のAI規制環境は、個人情報保護法や著作権法、契約上の秘密保持義務など既存の個別法と密接に重なり合っています。AI法の条文だけを眺めていても、業務上のリスクのすべてを把握することはできません。
さらにAI事業者ガイドラインでは、主体を「AI開発者」「AI提供者」「AI利用者」に分類し、リスク管理や透明性の確保、人間の関与などを論点として挙げています。ここで注意したいのは、自社の立場が一つの枠組みに固定されるわけではない点です。単に社内業務で外部ツールを使うだけであれば利用者に近い位置づけですが、自社サービスにAI機能を組み込んで顧客へ提供すれば提供者の側面を併せ持ちます。また、RAG（検索拡張生成）のために社内データベースを構築したからといって、それだけで一律に開発者と評価されるわけではなく、モデルの開発や追加学習、提供体制への関与の度合いに応じて果たすべき役割を確認します。
部門ごとの個別利用とシャドーAIの把握
AIの導入を法務の課題として捉えるべき大きな理由は、生成AIの利用によって、従来は別々の部署や独立したルールで管理されていたリスクが一つの画面に集約される点にあります。
たとえば、契約書をAIに読み込ませれば秘密保持義務や個人データ、著作権が同時に問題となり、人事評価や採用に用いれば公平性や労務管理との整合性が問われます。顧客対応のチャットボットであれば、誤った回答の防止、表示に関する法規制、利用規約やクレーム対応の設計が絡みます。
加えて、AIツールは各現場で自然発生的に導入されやすい性質を持っています。営業部門が商談の議事録作成に使い、開発部門がプログラムコードの生成に使い、人事部門が求人票の作成に使い、法務部門が契約審査に使うといった状況です。個々の現場の判断は合理的であっても、会社全体として見れば、どの外部サービスにどのような社内情報が送信されているのかを誰も把握できていない事態に陥りがちです。
会社が正式に認めたツールだけでなく、社員が個人アカウントや無料ツール、ブラウザの拡張機能などを通じて業務利用する「シャドーAI」まで視野に入れて利用状況を棚卸ししなければ、リスクの高い利用形態ほど管理の網からこぼれ落ちてしまいます。顧客から「自社のデータがAIの学習に使われていないか」「個人情報はどこで保管されているのか」と問われた際、担当者ごとに回答が食い違うような事態は避けなければなりません。
業務棚卸しから運用手順までの確認
実務を整える第一歩は、社内のAI利用状況の棚卸しです。どの部署が、どのサービスをどの業務に用い、どのような成果物を作成しているのかを把握します。
次に、利用するサービスごとに自社がどの立場にあるのかを明確にします。社内で利用する立場なのか、顧客に機能を提供する立場なのか、モデルやデータの調整まで行う立場なのかによって、備えるべき契約条項や利用者への説明事項は異なります。
入力データの管理においては、秘密情報、個人情報、未公表の経営情報などを入力してよいのかを明確に定めます。禁止する情報を列挙するだけでなく、例外的に利用を認める場合の承認フローまで設けておくことが現実的です。正当な例外ルートが存在しなければ、現場が無断で利用するか、有益な活用そのものを諦めてしまう結果になりやすいからです。
出力された結果の取り扱いについてもルールを定めます。AIが作成した文章や修正文案、顧客への回答を、そのまま社外へ開示してよいのかを決めます。人間による確認の工程をどこに挟むのか、高リスクな用途において二重チェックを義務づけるのか、誤りがあった場合の責任関係をどう整理するのかを明確にしておきます。
ベンダーとの契約では、入力データの学習利用の有無、入力データやログの保存期間、データの国外移転、出力に関する権利の扱いを確認します。AIサービスは仕様や規約が随時変更されることがあるため、初回契約時だけでなく、更新時や改定時にも継続して内容を確認する手順が必要です。
あわせて、法務、情報システム、セキュリティ、事業部門が横断的に関与するインシデント報告の窓口を設置します。公的ガイドラインや各サービスの規約改定を誰が、どの程度の頻度で、どの情報源をもとに確認するのかという責任分担を決めておくことで、運用を形骸化させずに維持できます。
開発者・提供者・利用者の確認点
AI開発者の立場では、学習用データの収集経路やライセンス、モデルの安全性検証が中心的な論点となります。データの由来が不確かなまま開発を進めると、後から顧客や投資家に適法性の説明を求められた際に根拠を示すことが難しくなります。開発の初期段階から、データの権利関係やリリース前のテスト結果を記録として残しておくことが有効です。
AI提供者の立場では、利用者に対する正確な説明と責任の分界が要点となります。自社サービスのAI機能で何が実現でき、どのような事項を保証しないのか、利用者が入力してはならない情報は何かを定めます。利用規約、プライバシーポリシー、製品説明書、管理画面上の注意表示に食い違いがあると、トラブルが生じた際にどの合意が有効であったのかを巡って紛争が長期化する要因になります。
AI利用者の立場では、社内からの情報入力と生成された出力の取り扱いが最大の確認事項です。業務効率を優先するあまり、社外のAIツールに顧客情報や重要機密を入力してしまう行為や、出力を事実確認せずにそのまま顧客対応や対外文書に使用してしまう行為を防ぐ必要があります。
同じサービスであっても、立場が異なれば契約上で求めるべき条項は正反対になります。提供者としては出力の完全性を保証しない範囲や利用者に求める確認を定めたいと考えますが、利用者としては高度なセキュリティや学習利用の禁止、障害時の補償を求めます。開発者であれば、データ提供者との契約や共同開発先との権利帰属、第三者モデルの利用条件も確認します。自社の関与度合いを固定的に捉えず、取引やデータフローごとに役割を捉え直すことが肝心です。
実務に合うかを確かめる
AIは、社内規程や利用規約から入力データの扱い、国外移転、出力の権利に関する論点候補を抽出する作業にも使えます。ただし、ガイドラインの用語を並べただけの回答では、自社の業務に必要な対応を判断できません。利用するサービス、部署、情報、出力の用途を具体的に示して確認します。AIが古い法令やサービス規約を前提にすることもあるため、現在の公式情報との照合は人が行います。
禁止が広すぎて現場で守れない規程になっていないか、利用部門に任せすぎて重要情報が外部へ流れないかも確認します。契約、社内ルール、顧客への説明と実際の運用が揃っていることが大切です。
AIに関する社内ルールの作成や運用の見直しは、日々の契約審査や法務相談とあわせて進めます。LegalAgentでは、企業の置かれた状況や事業実態に合わせ、次のサービスを通じてAIガバナンスの体制づくりをお手伝いしています。
このテーマに関連するサービス