【2026年】AI推進法は企業に何を求めるか｜指針が決めた5つのこと

「AIの法律ができたと聞いたけれど、結局うちは何をすればいいのか」「罰則はないそうなので、当面はこのまま使って構わない」——法人でAIの利用が広がった職場では、この2つの声がほぼ同時に出てきます。事実だけを並べると、日本のAIに関する基本の法律は全28条で、罰金や過料といった罰則の規定は1つもありません。ただし、AIを事業活動で使う会社に向けた条文は用意されていて、そこだけは「協力しなければならない」という書き方になっています。さらに公布の半年後には、この法律の条文を根拠にした指針が決まりました。罰則がないことと、備えなくてよいことは、まったく別の話です。この記事では、日本の枠組みが今どうなっているのかを条文から確かめ、企業が社内で決めておくべき3つの論点に落とし込みます。

名前だけが先に社内へ広まった

AIの法律ができたという話は、法務や情報システムの担当を経由せずに社内へ広がりました。そのため出てくる質問は、たいてい3つに集約されます。何が義務になったのか、違反すると何が起きるのか、いつまでに何をすればよいのか。ところがこの3つの答えは、条文を開いても出てきません。

理由は単純で、この法律が会社の行為を細かく規定する作りになっていないからです。全28条のうち、企業に向けられた条文は1つだけです。残りは国と地方公共団体が行う施策、大学などの研究開発機関、計画の作り方、そして政府内の推進体制の置き方に充てられています。

結果として、読んだ人は「宿題が書かれていない」と感じます。しかし宿題がないわけではありません。宿題は法律の外側、つまり同じ法律が根拠にしている指針と、AI以前からある別の法律の側に置かれています。この構造を先に理解しておかないと、社内の議論はいつまでも「規制されているのか、いないのか」の水掛け論で止まります。

事実の確認｜2025年6月に公布され、9月に全面施行された

最初に日付と形を押さえます。正式な題名は「人工知能関連技術の研究開発及び活用の推進に関する法律」で、法律番号は令和7年法律第53号です。内閣府の掲載ページには、2025年6月4日に公布と一部施行、同年9月1日に全面施行と記されています。あわせて動いたのは、政府内に推進の体制を置く規定です。

章の構成は4章と附則です。第1章が総則で第1条から第10条、第2章が基本的施策で第11条から第17条、第3章が計画の定めで第18条、第4章が政府内の推進体制で第19条から第28条までです。9月に施行されたのは第3章と第4章、つまり計画と体制の部分でした。附則の施行期日の条文に、この2つの章だけは公布から3か月を超えない範囲で政令が定める日から施行する、というただし書きが置かれています。

そして条文を通して検索すると、罰金、懲役、過料といった語が1つも出てきません。届出や認証の手続もありません。定義されている言葉も第2条の1つだけで、対象を高い危険と低い危険に分ける仕組みもありません。つまりこの法律は、違反を取り締まる作りではなく、推進の枠組みを定める作りになっています。

企業に向けられた条文は、1つだけです

その1つが第7条で、見出しは「活用事業者の責務」です。誰が当たるのかは条文に書かれています。AIを活用した製品またはサービスの開発か提供をしようとする者、その他AIを事業活動において活用しようとする者、と定められています。自社で作っていなくても、業務で使っていれば当てはまります。読み飛ばされやすいところですが、対象はきわめて広く取られています。

条文の後半が実務に効きます。国が実施する施策と地方公共団体が実施する施策に「協力しなければならない」と書かれています。ここで語尾を見比べてください。研究開発機関について定めた第6条と、国民について定めた第8条は、どちらも「協力するよう努めるものとする」です。努力を求める書き方と、しなければならないという書き方が、条文の中で意図的に使い分けられています。

では協力の中身は何か。第7条には列挙がありません。手がかりは第16条にあります。国は、不適切な方法でAIが使われて権利利益の侵害が生じた事案を分析し、対策を検討したうえで、活用事業者その他の者に対して指導、助言、情報の提供その他の必要な措置を講ずる、と書かれています。会社の側から見れば、資料の提出と説明を求められる場面が想定されているということです。

罰で縛る型ではなく、支えて促す型だから、探し方が変わる

ここが日本の枠組みの性格です。行為の義務を細かく書いて罰則で縛る型の法律なら、条文を読めば自社の宿題が出てきます。日本の法律はその型を採っていません。そしてこれは解釈ではなく、政府自身が文書に書いていることです。事業者向けの指針の冒頭には、関係者の自主的な取組を促し、拘束力のない柔らかい決まりで目的の達成に導く考え方で作ったと明記されています。

その理由まで書かれています。法律の整備と施行は、技術の発展と社会への実装の速さに追いつかず時間差が生じること。細かな行為の義務を規定する型の規制を行うと、かえって新しい取り組みを妨げる可能性があること。この2点が指摘されてきたため、目標を示して自主的な達成を促す形にした、という説明です。

この型では、読み方が逆になります。法律が禁じていないことを探すのではなく、自社の使い方が、既にあるどの決まりに当たるのかを自分で割り付ける作業になります。ここを飛ばして「規制がないから自由」と結論づけると、個人情報や著作権の側で問題が起きたときに、社内の誰も事前に見ていなかったという状態になります。自由になったのではなく、確認の責任が会社の側に置かれたと読むのが正確です。

2025年12月に指針が決まり、実務の物差しになった

法律の第13条は「適正性の確保」という見出しで、国は国際的な規範の趣旨に即した指針を整備する、と定めています。これを受けて、2025年12月19日に人工知能戦略本部の決定として指針が定められました。名称は「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」です。案に対する意見の募集は、同年12月5日から11日までの期間で行われています。

この指針の位置づけは、本文の冒頭に書かれています。適正性についての一義的な定義や絶対的な水準を定めるものではない、という一文です。そのうえで、各主体が自らのAIの特性や用途、自身の立場を踏まえて自主的に取り組む、という考え方が示され、その際に考慮すべき主な要素が10挙げられています。人間中心、公平性、安全性、透明性、説明の責任、セキュリティ、プライバシーと個人情報、公正な競争、AIに関する知識と理解、そして新しい取り組みの促進です。

取り組み方の基本方針も4つ示されています。危険の大きさに応じて対策の程度を合わせること、影響を受ける関係者を巻き込むこと、研究開発から実装までを一体として捉えた管理を作ること、そして計画・実行・評価・改善のサイクルを速く回して見直すことです。水準が書かれていない代わりに、考える枠組みと回し方が書かれている、という性格の文書だと理解しておくと迷いません。

指針が企業に求めた5つのこと

この指針は、取り組む主体ごとに章が分かれています。会社が読むべきは「研究開発機関及び活用事業者が特に取り組むべき事項」の章で、挙げられているのは5つです。順に、全体を見渡した管理の仕組みを作ること、関係者との信頼のために説明できる状態を保つこと、十分な安全性を確保すること、事業を続けられる備えを持つこと、そしてデータの提供元への配慮です。

実務で最も見落とされるのは4つ目です。AIを使った仕組みの運用者やサービスの提供者は、障害が起きた場合に備えて、損害を最小限にとどめ早期に復旧するための計画をあらかじめ作る、と書かれています。外部のAIサービスが止まった日に何をするかを、紙に書いてある会社は驚くほど少ないのが実情です。止まった前提の手順がないまま業務に組み込むと、止まった日にすべてが手作業へ戻ります。

5つ目も、マーケの現場に直接効きます。質の高いデータを確保して適正に使うことが前提であり、データの利用状況に応じて、知的財産などのデータを持つ側と継続的に対話する、という趣旨が書かれています。さらに社会的な影響力の大きい事業者には、データを持つ側への利益の還元や、安心して創作できる環境づくりの検討まで求めています。

• 管理の仕組みは新設が前提ではない。指針の脚注に、既にある情報システムの管理の仕組みを活用することも有用と書かれている
• 説明できる状態とは、学習に使ったデータの出所と、出力の根拠を合理的な範囲で示せることを指す
• 安全性の項では、生成物であることを判断できる技術の開発と、必要に応じた実装にも言及がある
• 事業を続ける備えは、平常時に行うことと緊急時の手順の両方を含む
• 指針の脚注では、活用事業者に海外の事業者も含まれると明記されている

論点1：協力の受け皿を、社内のどこに置くか

1つ目の論点です。協力を求められるのは会社ですが、社内の誰が受けるかは法律に書かれていません。想定される接触は、事案の分析に伴う照会、指導や助言、情報の提供です。いずれも期限を切って外から来るという共通点があります。

決めておくのは3点だけで足ります。1つ目は誰が受けるか。2つ目は何を出せるか、つまりどの記録が残っているか。3つ目は出すか出さないかを誰が判断するか、です。この3点が決まっていない会社では、照会が来た日に社内の誰から話を始めるかの相談で1日が消えます。

行政側には先例があります。指針の国と地方公共団体に関する章では、各府省庁においてAIの管理の責任者を任命する、とされています。民間がそのまま真似る必要はありませんが、責任者が不在のまま照会だけが届く状態が、最も費用の高い状態です。まずは既にある情報管理の責任者に、AIの利用分も明示的に足すところから始めるのが現実的です。

論点2：AIに固有の法がなくても、既にある法律はそのまま当たる

2つ目の論点です。基本の法律に罰則がないことと、AIの使い方に罰則が及ばないことは、まったく別の話です。個人情報の保護に関する法律、著作権法、不正競争防止法、消費者向けの表示に関する法律。どれもAIを使ったかどうかで適用が変わりません。事業者向けの指針の共通の項目にも、憲法や知的財産に関する法令、個人情報保護法をはじめとする関連法令、そしてAIに関わる個別分野の既存の法令を遵守すべきと書かれています。

よく話題になる著作権の側を、条文で確認しておきます。著作権法の第30条の4は、著作物に表現された思想または感情の享受を目的としない利用について定めた条文です。多数の情報から要素を抽出して比較や分類などの解析を行う場合が号として挙げられていて、必要と認められる限度で利用できるとされています。ただし、著作物の種類や用途、利用の態様に照らして著作権者の利益を不当に害することとなる場合は、この限りでないという、ただし書きが続きます。実務の勘所はこのただし書き側にあります。考え方の整理は、2024年3月に文化庁が取りまとめたものが一覧に掲載されています。

個人情報の側も同じです。指針の考慮すべき要素の中に、個人情報保護法などの関連法令を遵守することが明記されています。生成AIのサービスの利用については、2023年6月に個人情報保護委員会が注意喚起を出しています。新しい法律を待つのではなく、既にある決まりに自社の使い方を当てるのが先です。

使い方ごとに、当たる決まりを割り付ける

割り付けは、抽象的な議論では進みません。社内で実際に行われている使い方を書き出し、1つずつ当てていくほうが速く終わります。よくある使い方について、先に見るべき決まりと、決めておく内容を並べます。

社内でよくある使い方	先に見るべき決まり	決めておくこと
顧客名簿や商談記録を要約させる	個人情報の保護に関する法律	どのツールに何を入れてよいかの線引きと、外部委託としての扱い
記事や画像の素案を作らせる	著作権法（第30条の4のただし書きを含む）	参照元の記録と、公開前に類似を確認する担当
他社の資料を読み込ませて比較表を作る	不正競争防止法	入手経路が正当かの確認と、前職の資料の持ち込み禁止
広告文やメールの文面を量産する	消費者向けの表示に関する法律	数値と体験談の根拠の残し方と、AIを使った旨の表記方針
応募書類や取引先を仕分けさせる	個人情報の保護に関する法律と指針の人間中心	人が最終判断する箇所と、対象者への伝え方
問い合わせに自動で応答させる	表示に関する決まりと指針の透明性	機械が応答している旨の示し方と、人へ引き継ぐ条件
国外の顧客向けに機能を出す	欧州の規則など進出先の決まり	自社の用途がどの区分に入るかと、適用時期の確認

表を埋める順番も決めておくと、担当者が迷いません。次の4手順で進めれば、1つの部門あたり半日で一巡します。

論点3：国外の規制が、日本の会社に及ぶ場面

3つ目の論点です。国内に罰則がなくても、進出先の決まりは別に動いています。欧州の規則は、欧州委員会の掲載ページによると2024年8月1日に発効し、2026年8月2日から適用されています。適用は段階に分かれていて、禁止される行為とAIに関する知識を確保する義務は2025年2月2日から、体制に関する規定と幅広い用途に使える基盤となるモデルへの義務は2025年8月2日から適用が始まっています。透明性に関する規定は2026年8月からとされています。

注意したいのは、期限が動いたという事実です。簡素化の提案が2025年11月19日に採択され、2026年5月7日に政治的な合意に至り、2026年7月27日に発効しました。この結果、危険が高いとされる用途のうち、生体情報や重要な設備、教育、雇用などの分野に関わるものは2027年12月2日へ、規制対象の製品に組み込まれるものは2028年8月2日へと移行期間が延びています。期限は動く前提で読み、日付を社内資料に書き写したら出典と確認日を必ず添えるのが安全です。

では日本のマーケ部門に、どういう形で降りてくるのか。実際に多いのは3つです。欧州向けにサービスや機能を出す場合、欧州の親会社や取引先から自社の利用状況について照会が来る場合、そして調達の条件として説明を求められる場合です。自社が直接の規制対象でなくても、取引先経由で説明を求められる場面のほうが先に来ます。日本の指針の脚注にも、活用事業者には海外の事業者も含まれると書かれており、国内と国外を分けて考えられる場面は減っています。

計画は半年余りで書き換わった｜追う文書を1つに絞る

法律の第18条は、政府が人工知能基本計画を定めることを規定しています。手続も条文にあります。戦略本部が案を作り、内閣総理大臣が閣議の決定を求め、決定があったら遅滞なく公表する。変更のときも同じ手続です。つまりこの計画は、条文の改正を伴わずに書き換わります。

実際の動きが速いことは、内閣府の掲載ページで確かめられます。最初の計画が2025年12月23日に閣議決定され、2度目の計画が2026年7月14日に閣議決定されています。半年余りで一度書き換わった、という速さです。法律の附則にも、施行の状況について検討を加え、必要があれば所要の措置を講ずる旨の条文が置かれています。

企業側の実務としては、追う文書を絞るのが要点です。条文は当面変わりません。動くのは計画と指針、そして各府省庁のガイドラインです。法務が条文を、経営企画が計画を、現場が自社に効くガイドラインを見るという分け方にしておくと、全員が同じものを眺めて誰も差分に気づかない状態を避けられます。計画は施策の重点を示す文書なので、補助や調達、実証の機会もここで動きます。

官庁の指針は17件並んでいる｜自社に効くものだけ選ぶ

内閣府は指針の掲載ページに「人工知能に関する各府省庁等のガイドライン等一覧」を置いています。数えると17件です。それぞれに所管の官庁と策定または改定の時期が付いているので、自社に関係するものを選ぶ作業がしやすくなっています。

実際に並んでいるものを挙げます。事業者向けの指針（総務省と経済産業省、2026年3月）、AIのセキュリティを確保する技術的な対策（総務省、2026年3月）、利用と開発の契約の確認一覧（経済産業省、2025年2月）、データとAIの利用に関する契約の指針（経済産業省、2019年12月）、コンテンツ制作での利活用の手引き（経済産業省、2024年7月）、著作権に関する考え方（文化庁、2024年3月）、生成AIサービスの利用に関する注意喚起（個人情報保護委員会、2023年6月）、行政での調達と利活用の指針（デジタル庁、2025年5月）。同じページには国際的な規範の一覧もあり、広島の名を冠した国際的な枠組みの指針や、経済協力開発機構の勧告、AIの管理の仕組みに関する国際規格が並びます。

17件すべてを読む必要はありません。業種と使い方から2件か3件に絞れます。素材を作る仕事なら著作権と制作の手引き、顧客データを扱うなら個人情報の注意喚起、外部に委託するなら契約の確認一覧です。読む対象を絞る判断そのものを、担当者任せにしないことが肝心で、絞った結果は一覧にして残しておきます。

AIに決めさせない範囲を、決まりの側から先に引く

ここまでは制度の話でしたが、社内で最初に決めるべきことは実は1つです。AIに判断させない範囲です。指針の考慮すべき要素の人間中心の項目には、AIを活用する範囲や条件については人間自らが最終的な判断を行うこと、と明記されています。これは推奨ではなく、指針が挙げた要素の1つとして書かれているという点が重要です。

実務に落とすと、決めさせない事項を先に列挙する作業になります。人の評価に関わる判断、価格の決定、契約を結ぶかどうかの判断、社外へ公表する数値。この4種類は、出力をそのまま採用しない、と決めておきます。あわせて、出力には必ず根拠を書かせ、根拠が空のものは採用しないという運用にすると、確認の作業が具体的になります。

外向きの手当ても必要です。事業者向けの指針では、AIの出力結果を特定の個人や集団への評価の参考にする場合には、AIを使っている旨を対象となる相手に伝え、人間の合理的な判断のもとで説明の責任を果たすとされています。使ったことを伝えずに評価へ反映させる運用は、後から説明ができません。応募者の書類選考や取引先の評価に使う場合は、着手前に伝え方まで決めておきます。

法律と指針とガイドラインは、どこが違うのか

この分野の言葉は、社内で意味がずれたまま議論が進みがちです。決定の主体と拘束力が違うため、混ぜると「守らないと罰せられるのか」という問いに誰も答えられなくなります。会議で使う言い方に置き換えておきます。

言葉がそろうと、依頼の仕方も変わります。「法律に対応してください」では何も動きません。「自社のこの使い方が、どの決まりに当たるかを割り付けてください」と言えば、成果物の形が決まります。依頼の粒度が、そのまま提出物の粒度になります。

誤解しやすい4点

最後に、社内でよく起きる読み違いを並べます。どれも実際に見かけるもので、放置すると打ち手が的を外します。

• 罰則がないので何もしなくてよい：基本の法律に罰則がないだけで、個人情報や著作権の側の責任は変わらない
• AIを使う会社は対象外だと思っていた：条文は事業活動で使う者を対象に含めている。自社開発かどうかは関係ない
• 指針は努力目標なので読まなくてよい：拘束力はないが、取引先や調達の場面で説明の物差しとして使われる
• 国外の規制は自社に関係ない：直接の対象でなくても、取引先経由で利用状況の照会が来る
• 日付を社内資料に書き写して終わりにする：適用時期は延期されることがある。出典と確認日を必ず添える
• 全部読んでから着手すると決める：17件の一覧を通読する計画は、たいてい着手されないまま終わる

最後の項目が最もよく見かけます。読む量を減らす判断が先で、量を減らせない場合は、自社の使い方を3つに絞ってから、その3つに当たる文書だけを読む順番に変えると動き始めます。網羅を目標にすると、着手しないことが最も安全な選択になってしまいます。

着手前に社内で確かめる項目

ここまでの内容を、手を動かす前の確認に落とします。すべて埋まっている会社はまずありません。空欄が、そのまま最初に着手する項目です。

• 自社が事業活動でAIを使っているという前提で、対象になる部門を洗い出したか
• 外部から照会が来たときに受ける担当と、出すか出さないかを判断する人を決めたか
• 業務の使い方を、ツール名ではなく業務の名前で一覧にしたか
• 使い方ごとに、先に見るべき決まりと担当者の名前を割り付けたか
• 入れる情報の線引きと、出す成果物の確認箇所を分けて決めたか
• AIに決めさせない事項を列挙し、根拠のない出力を採用しない運用にしたか
• 外部のAIサービスが止まった場合の手順を、紙に書いてあるか
• 参照元と確認日を記録しているか。日付を書き写した資料に出典が付いているか
• 国外へ機能を出している場合、進出先の決まりと適用時期を確認したか
• 計画と指針の更新を誰が見るかを決め、見た結果を共有する場を用意したか

最後の項目だけ補足します。更新を追う担当は、法務ではなく経営企画か情報システムのほうが続きます。法務は条文を見る役で、条文は当面変わりません。動くのは計画と指針、そして各府省庁のガイドラインです。四半期に一度、20分だけ差分を見る枠を作れば十分に間に合います。

まとめ

日本のAIに関する基本の法律は、全28条で罰則がありません。企業に向けられた条文は第7条の1つだけで、国と地方公共団体の施策に協力することを求めています。研究開発機関や国民の条文が「努めるものとする」であるのに対し、企業の条文は「協力しなければならない」という書き方です。協力の中身は列挙されていませんが、第16条に指導、助言、情報の提供が挙げられていることから、資料と説明を求められる場面が想定されていると読めます。この型は、罰則で縛る型ではなく自主的な取り組みを促す型で、そのことは政府の文書にも明記されています。したがって備えの中身は3つに絞れます。1つ目は協力の受け皿で、受ける担当と出せる材料、出すかどうかの判断者を決めることです。2つ目は既にある決まりの割り付けで、使い方を業務の言い方で書き出し、個人情報、著作権、不正競争、表示のどれに当たるかを1つずつ当てることです。3つ目は国外の規制で、欧州の規則が2026年8月2日から適用され、危険が高い用途の一部は2027年12月2日と2028年8月2日へ移行期間が延びています。物差しになるのは条文ではなく、2025年12月19日に決まった指針と、内閣府の一覧に並ぶ17件のガイドラインです。計画は2025年12月と2026年7月に閣議決定されており、半年余りで書き換わりました。まずは自社の使い方を3つ書き出し、それぞれに当たる決まりと担当者の名前を書いてみてください。担当者の欄が空いた行が、いちばん先に手を付ける場所です。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。