デジタル庁の生成AI調達・利活用ガイドライン2.0｜企業調達への示唆

デジタル庁は2026年6月12日、「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン（第2.0版）」を公表しました。決定主体はデジタル社会推進会議幹事会であり、2025年5月27日に策定された初版の最初の全面改定に当たります。対象となる生成AIの範囲拡大、知的財産権やセキュリティに関する記載の拡充、AI統括責任者（CAIO）の対応事項の明確化などが盛り込まれました。もっとも、本ガイドラインは政府機関等の内部ルールであり、名宛人は政府職員です。本稿では、正式名称と法的性質、第2.0版での変更点を確認した上で、民間企業がベンダー審査や調達手続にそのまま転用できる確認項目を整理します。

正式名称・策定主体と法的性質

本ガイドラインの正式名称は「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン（第2.0版）」で、デジタル社会推進標準ガイドライン群の一つ（文書番号DS-920）に位置づけられます。ガイドライン本文の表紙には、ドキュメントの位置付けとして「政府情報システムの整備及び管理に関するルールとして遵守する内容を定めたドキュメント」と明記されており、政府機関等が調達・運用する生成AIシステムについて遵守すべき内部ルールという性質を持ちます。

適用対象は、原則としてテキスト・音声を入力し、テキスト・画像・音声を出力する生成AIを構成要素とする政府情報システムです。特定秘密、重要経済安保情報、その他安全保障や公共の安全に関わる機微情報を扱うシステムは適用対象外とされています。独立行政法人・指定法人には準拠した取組が期待され、地方公共団体には必要に応じた参考が期待されていますが、いずれも義務ではありません。

対象者として明示されているのは、AI統括責任者（CAIO）、企画者、開発者、提供者、利用者という政府職員の区分です。政府と契約して生成AIシステムを提供する事業者自体は本ガイドラインの直接の対象ではなく、契約事業者への遵守の確保は、企画者や提供者が調達手続や契約、事業者の監督を通じて行うものと整理されています。

第2.0版の主な変更点

初版は2025年5月27日に策定され、今回が最初の改定です。ガイドライン本文の改定履歴によれば、主な変更点は次のとおりです。

対象となる生成AIの範囲について、画像や動画の入力、動画の生成、AIエージェントのような高度なタスクを実行するシステムを、具体的な対応事項の対象ではないもののAIガバナンスの枠組みの対象に含めることが明記されました。知的財産権に関する記載も拡充され、学習段階における著作権法第30条の4該当性の確認や、生成段階における著作物・意匠・商標・肖像・声の利用に関する対策例が、企画者の対応事項として追加されています。

セキュリティ面では、要機密情報の権限管理と、生成AIシステムの入出力・アクセス履歴に関するログの取得・管理が、企画時の対応事項として新たに明記されました。あわせて、調達時に参照する【別紙３】調達チェックシートと【別紙４】契約チェックシートの詳細な説明が本文から別紙側へ整理され、AI統括責任者（CAIO）の設置に関する注意喚起も加えられています。

適用対象は政府機関等｜民間企業を拘束しない

本ガイドラインが政府機関等の内部ルールにとどまる以上、企業がAIサービスを提供する場合や自社業務で生成AIを利用する場合に、その各項目を遵守しなければならない法律上の関係にはないと考えられます。他方で、政府とのAIシステム調達契約に応募する事業者は、企画者が仕様書や契約書に盛り込む要求事項を通じて、本ガイドラインの内容を事実上遵守することを求められる立場になります。政府向けにAIサービスを提供する企業は、調達仕様書に盛り込まれ得る要求事項を、自社のサービス設計や契約条件にあらかじめ反映できるかを確認しておくことが望ましいと考えます。

民間企業のベンダー審査へ転用できる確認項目

本ガイドラインの【別紙３】調達チェックシートと【別紙４】契約チェックシートは政府機関向けに整理されたものですが、項目そのものは生成AIベンダーの審査一般に転用できます。

データの取扱いについては、調達チェックシートの基本項目6が、入出力又は処理されるデータの取扱いの適切な管理を求めており、その対策例として、インプットの利用目的・利用条件の設定、保持期間と消去の管理、外部提供・第三者提供の管理が挙げられています。自社のベンダー審査票に、入力データが学習に利用されるか否か、利用される場合の除外手段の有無を記載する欄を設けると、この項目をそのまま転用できます。契約面の確認観点はAIベンダーデューデリジェンスと契約審査のチェックポイントで整理した論点と重なります。

ログについては、企画時の対応事項として入出力・アクセス履歴の取得・管理が挙げられているほか、調達チェックシートの基本項目33（検証可能性）が、開発・提供プロセスを検証可能とすることを求め、その対策例としてシステムカード・モデルカード・データカードの作成・管理やテスト時のデータログ記録を示しています。自社のAIエージェント運用でも、実行ログを誰がどの範囲で保存・監査するかを契約条項に落とし込む必要があり、AIエージェントのログ監査と責任分界のチェックポイントで挙げた確認項目と対応させて審査票を作ることができます。

責任分担については、契約チェックシートの取決め事項8が、情報セキュリティインシデントや生成AIシステム特有のリスクケースが発生した場合の事業者の対応義務、原因特定のためのデータ提供、改善措置をあらかじめ契約に定めることを求め、取決め事項9が、期待品質が満たされなくなった場合の被害の最小化と原因特定・改善措置の合意を求めています。自社の委託契約でも、インシデント発生時にベンダーがどこまで調査・報告・是正に応じる義務を負うかを条項化しておくことが、事後の紛争を避ける確認事項になります。

セキュリティ要件については、調達チェックシートの基本項目26と28が、生成AIシステム全体の脆弱性への対処・不正操作による影響の防止と、開発の過程を通じたセキュリティ対策を求めています。インシデント検知後の封じ込めと復旧に関する項目27は、高い信頼性が求められるシステムの場合に基本項目として適用されます。AIサービス導入前のチェックリストとしては、AIサービスを始める会社が、最初に作るべき法務チェックリストや生成AIサービスの利用規約で、最初に見るべき法務論点で挙げた確認項目に、上記のデータ取扱い・ログ・責任分担の観点を加えると、審査票の抜けを減らすことにつながります。

施行時期と今後確認すべき動き

附則によれば、本ガイドラインの内容は2026年9月1日から施行されます。ただし、AI統括責任者（CAIO）の対応事項（6.2）については2026年6月30日までに必要な措置を定めるものとされ、対象となる生成AIの範囲拡大に伴うAIガバナンスの枠組み（2.2.2）は2026年7月1日から適用されるなど、項目によって適用開始時期が異なります。

執筆日現在、次の点が未確認又は未確定です。

• 各府省庁における生成AIシステムの利活用ルール（別紙２のひな形に基づくもの）の策定・公表状況
• 【別紙３】調達チェックシート及び【別紙４】契約チェックシートの改定又は運用実績の公表
• AI統括責任者（CAIO）連絡会及び先進的AI利活用アドバイザリーボードでの本ガイドライン見直しの検討状況

なお、第2期人工知能基本計画案は、政府自らの調達における適正な調達と率先導入を掲げており、本ガイドラインの運用状況は同計画の実施状況としても注目されると考えられます。