【2026年】日本のAI法は何を求める？｜企業に求められる対応

「AIについての法律ができたと聞いたが、うちの会社は結局なにをすればいいのか」「罰則がないなら、しばらく様子を見ていても構わないのでは」——法律の名前が社内で知られはじめてから、こうした問い合わせが増えました。人工知能関連技術の研究開発及び活用の推進に関する法律は、2025年6月4日に公布され、同じ年の9月1日に全面施行されています。ただ、この法律はやってはいけないことを並べた取り締まりの法律ではありません。本当は、国がAIをどう進めるかの土台を定め、その土台に事業者を巻き込む形の法律です。この記事では、条文が事業者に何を求めているのか、罰則がないことをどう受け取るべきなのか、そして明日から手を付けられることは何かを整理します。

日本のAI法は、禁止事項ではなく土台を定めた

正式には人工知能関連技術の研究開発及び活用の推進に関する法律といい、令和7年法律第53号として2025年6月4日に公布されました。第1条は目的として、AIが日本の経済社会の発展の基盤となる技術であることを踏まえ、基本理念と施策の基本となる事項を定め、あわせて人工知能戦略本部を設置することを掲げています。科学技術・イノベーション基本法とデジタル社会形成基本法、その他の関係法律による施策と相まって、AIの研究開発と活用を総合的かつ計画的に進める、という組み立てです。

全体は4つの章と附則からできています。附則の施行期日は「公布の日から施行する」としつつ、基本計画と戦略本部の章については公布から3か月を超えない範囲で政令が定める日からとされ、内閣府は2025年9月1日に戦略本部の設置に係る規定も含めて全面施行されたと公表しています。ここまでは日付として確かめられる事実です。

そして、全条文を通して読んでも罰則を定めた規定は置かれていません。過料も、命令も、業務停止もありません。この一点だけを取り出すと「効力のない法律」に見えます。ただ、法律の役割は取り締まりだけではありません。この法律は、国が何をするか、誰がどう関わるかを先に決めておくための器です。器の中に何を入れるかは、あとから基本計画と指針で決まっていきます。

四つの章で、何がどこに書かれているか

社内で説明するときに便利なので、章の外形を先に押さえておきます。条文の並びを知っておくと、「その話はどの章の話か」を切り分けられるようになります。

章	条	書かれていること	企業との距離
第1章 総則	第1条から第10条	目的、定義、基本理念、国と地方公共団体と研究開発機関と活用事業者と国民それぞれの責務	近い。第7条が事業者に向けられている
第2章 基本的施策	第11条から第17条	研究開発の推進、施設や計算基盤の共用、適正性の確保、人材、教育、調査研究、国際協力	近い。第13条と第16条が実務に効く
第3章 人工知能基本計画	第18条	政府が基本計画を定め、閣議決定を経て公表する手続き	間接的。計画の中身が施策になる
第4章 人工知能戦略本部	第19条から第28条	内閣に本部を置き、本部長は内閣総理大臣、本部員は全ての国務大臣	間接的。ただし協力の依頼先になりうる

第2条は「人工知能関連技術」を、人間の認知・推論・判断に係る知的な能力を代替する機能を実現するために必要な技術、および入力された情報をその技術で処理して結果を出力する情報処理システムに関する技術、と定義しています。生成AIに限った定義ではありません。需要予測でも、画像の判定でも、文字の読み取りでも、この定義の中に入ります。自社が「うちは生成AIを使っていないから関係ない」と考えていたら、その理解は条文とずれています。

事業者に向けられた一文は、第7条にある

この法律で企業が名指しされているのは、第7条の「活用事業者の責務」です。活用事業者とは、AIを活用した製品またはサービスの開発や提供をしようとする者、その他AIを事業活動において活用しようとする者を指します。自社で開発していなくても、業務で使っていればこの定義に当てはまります。

条文が求めているのは2つです。ひとつは、自ら積極的にAIを活用して事業活動の効率化と高度化、そして新産業の創出に努めること。もうひとつが、国が実施する施策と地方公共団体が実施する施策に協力しなければならないというくだりです。前半は努力の形ですが、後半は言い切りの形になっています。

ここは読み飛ばされやすい場所です。同じ法律の第6条は研究開発機関について、第8条は国民について定めていますが、どちらも施策への協力は「協力するよう努めるものとする」と書かれています。活用事業者だけ語尾が違う。とはいえ、違反したときの制裁は法律のどこにも置かれていません。強い書きぶりと、制裁のなさが同居している。この二重性が、この法律を分かりにくくしています。

罰則がないことは、何もしなくてよいことではない

では協力とは具体的に何を指すのか。手掛かりになるのが第16条です。国は国内外の動向に関する情報を集め、不正な目的や不適切な方法による研究開発や活用によって国民の権利利益の侵害が生じた事案を分析し、その対策を検討する。そして「その結果に基づいて、研究開発機関、活用事業者その他の者に対する指導、助言、情報の提供その他の必要な措置を講ずるものとする」と定めています。

つまり、事案が起きたときに国が事業者へ働きかける道は用意されています。加えて第25条は、戦略本部が関係行政機関などに資料の提出や説明を求められること、さらにそれ以外の者に対しても必要な協力を依頼できることを定めています。照会が来たときに答えられる状態にしておくことが、事業者にとっての現実的な協力の形になります。

• 条文には「公表」という言葉は出てきません。企業名の公表という話をよく見かけますが、それは第16条の「その他の必要な措置」をどう読むかという解釈の話です。社内説明では、条文に書いてあることと、解釈として語られていることを分けて伝えてください。
• 罰則がないぶん、実際に効いてくるのは取引先からの照会や、調達時の確認事項です。法律が直接罰さなくても、取引の条件として問われる形で降りてきます。

実務で効いてくるのは、第13条から出た指針のほう

第13条は「適正性の確保」として、国は研究開発と活用の適正な実施を図るため、国際的な規範の趣旨に即した指針の整備その他の必要な施策を講ずると定めています。この条文を根拠に、2025年12月19日、人工知能戦略本部が「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」を決定しました。企業が実際に読むべきなのは、法律本体よりもこちらです。

指針は冒頭で自らの位置づけを明示しています。事業者や国民を含む全ての主体において、AIの研究開発と活用の適正な実施に係る自主的かつ能動的な取組を促すために策定するものだ、という書き方です。さらに、適正性についての一義的な定義や絶対的な水準を定めるものではない、とも明記しています。守るべき数値基準の一覧を探しに行くと、そこには何もありません。

代わりに書かれているのが、判断の物差しです。各主体の規模や立場、AIがもたらすリスクに応じて、その時点で適用しうる技術と知見を踏まえて適切な水準で対応すること、と求めています。裏を返せば、規模やリスクに見合った説明ができるなら、その水準でよい。何をどこまでやるかを自分で決め、決めた理由を残す。この形が指針の求める姿です。

指針が挙げた十の要素は、社内の物差しになる

指針は「人間中心のAI社会原則」の理念を踏まえて、適正性の確保にあたって考慮すべき要素を10個並べています。抽象的に見えますが、社内でAIの使い方を審査するときの観点表としてそのまま使えます。

• 人間中心：人間の尊厳と基本的人権を尊重し、法令を守る。AIを活用する範囲や条件については、人間自らが最終的な判断を行う
• 公平性：AIの活用によって社会に不当な偏見や差別を生じさせたり、助長したりしない
• 安全性：AIの活用によって生命、身体、財産等に危害を及ぼさないようにする
• 透明性：必要かつ技術的に可能な範囲で情報を開示し、事後的な検証可能性を確保する
• アカウンタビリティ：責任の所在を明確にし、責任を果たすための仕組みを合理的な範囲で作る
• セキュリティ：不正な操作による意図しない動作や停止のリスクを下げる
• プライバシー・個人情報：データの重要性に応じて保護し、個人情報保護法など関連法令を守る
• 公正競争：有利な立場を利用した不当なデータの収集など、不公正な取引を行わない
• AIリテラシー：リスクの社会的な受容水準が変わりうることを認識し、知識と倫理観を保つ
• イノベーション：環境負荷の低減を含む持続可能性を確保しつつ、促進に貢献する

この中で導入の現場に最も効くのが、人間中心の3つ目です。AIを使う範囲と条件は、人間が最終的に判断する。どこまでをAIに任せ、どこからを人が決めるかを線引きすること自体が、指針の求める取組の一部だと読めます。線を引かずに使い始めることが、そもそも想定されていません。

活用事業者が特に取り組むこととして挙がった五つ

指針の第2章は、研究開発機関と活用事業者が特に取り組むべき事項を5つに分けています。AIを開発したり提供したりする側に軸足を置いた書き方ですが、使う側にも読み替えが効きます。

ひとつ目がAIガバナンスの構築と運用です。設計・開発・提供・実装というライフサイクル全体で、リスクを特定し、評価し、対処するための組織的なプロセスを作れと求めています。括弧書きで具体例が挙がっているのが親切な点で、経営層が関与したモニタリングや評価の仕組み、情報の適切な開示、教育と研修の実施が名指しされています。担当者一人の工夫では足りない、という宣言でもあります。

2つ目は透明性で、学習データの出所と出力される生成物について合理的な範囲で説明可能性を確保すること。さらにAIを提供する際は、仕組みと限界、禁止事項、データの収集方針、出力の信頼性に関する注意喚起を利用者へ渡すこととされ、脚注では問い合わせに対応する窓口や連絡先も含むと補足されています。3つ目は十分な安全性で、悪用による犯罪のリスク対策に加え、誤りをもっともらしく出力してしまう現象や偽情報の拡散を抑えること、そしてAIの生成物だと判断できる技術の開発に努め、必要に応じて実装することが挙がっています。

4つ目が事業継続性です。AIを使ったシステムやサービスに障害が起きた場合に備え、平常時の活動と緊急時の手段を定めた事業継続計画をあらかじめ策定すると書かれています。5つ目はデータの重要性を踏まえたステークホルダーへの配慮で、データの利用状況に応じて知的財産などのデータ保有者と継続的に対話することが求められています。

四つの基本方針は、進め方そのものの指定でもある

指針は要素の一覧に加えて、適正性を確保するための基本方針を4つ示しています。これは何を守るかではなく、どう進めるかの指定です。

1つ目のリスクベースは、AIがもたらすリスクを特定して評価し、使う分野と目的を踏まえた影響の度合いに応じて対策を講じるという考え方です。すべてのAIを同じ厳しさで扱わない、という意味でもあります。2つ目はステークホルダーの積極的な関与、3つ目は研究開発から社会実装までを一体で捉えた一気通貫のガバナンス。そして4つ目がアジャイルな対応で、計画・実行・評価・改善の循環を回しながら柔軟かつ迅速に対応し、ガバナンスの成熟度を高めていくこととされています。

この4つ目が実務上は重要です。一度作った社内規程を据え置くことは、指針の考え方に沿っていません。変わり続けることを前提に設計するのが求められている形です。見直しの周期と、誰が見直すかを規程そのものに書き込んでおくと、この方針に素直に乗れます。

欧州の規則とは、そもそも設計思想が違う

日本のAI法を理解するうえで、欧州の規則と並べて見ると輪郭がはっきりします。欧州の枠組みは、AIの用途を危険度で区分し、許されないものを禁止し、危険度の高い区分には適合性の評価や記録の保持といった義務を課す形をとっています。義務違反には制裁金が用意されているのが特徴です。禁止と義務のリストがあり、そこに自社の用途を当てはめて判断する。そういう作りです。

日本の法律は、そのリストを持ちません。代わりに推進の枠組みを敷き、基本理念と各主体の責務を定め、指針で判断の物差しを示す。列挙するのではなく、考え方を配る設計だと言えます。どちらが優れているかという話ではなく、自社が何を確かめればよいかが変わってきます。欧州の枠組みでは「どの区分に当たるか」を確かめますが、日本の枠組みでは「自社のリスクに見合った対応をしていると説明できるか」を確かめることになります。

なお、日本の法律に罰則がないことは、欧州向けに製品やサービスを出している企業が向こうの規則の適用を免れる理由にはなりません。適用の範囲と時期は、自社の提供先ごとに別途確かめる必要があります。本記事はその点には立ち入りませんが、国内法だけを見て済ませられる会社と、そうでない会社が分かれるという事実は押さえておいてください。

国内の決まりは、三つの層になっている

社内で混乱しやすいのが、法律と指針と各府省庁のガイドラインの関係です。整理すると、上から順に3つの層になっています。いちばん上が法律で、これは枠組みと責務を定めるだけです。その下が第13条に基づく適正性確保指針で、全ての主体に共通する考え方と要素を示します。さらに下に各府省庁のガイドラインがあり、分野ごと、場面ごとの具体を扱います。

指針自身が、この層の関係に触れています。国が取り組むべき事項として、各種ガイドラインなどは指針の趣旨と整合し、事業者や国民にとって分かりやすいものとなるよう、適宜点検と見直しを行う、と書かれています。整合を取るのは国の仕事だと明言されているわけです。だから企業側は、複数のガイドラインを突き合わせて矛盾を探す作業に時間を使わなくてよい。

企業がやるべきなのは、指針が示した10の要素と4つの基本方針を、自社の規程と手順に翻訳することです。ガイドラインは、その翻訳をするときの参考資料として使えばよい。順番を逆にして、ガイドラインの目次を丸写しした規程を作ると、自社のリスクと結びつかない文書ができあがります。

人工知能基本計画は、毎年変わる前提で書かれている

法律の第18条は、政府が基本理念にのっとり基本的施策を踏まえて人工知能基本計画を定めることを求めています。手続きも条文にあり、戦略本部が案を作り、内閣総理大臣が閣議の決定を求め、決定があったら遅滞なく公表する、という流れです。第Ⅰ期の計画は2025年12月23日に、第Ⅱ期の計画は2026年7月14日に閣議決定されました。

第Ⅱ期の概要資料には、4つの基本的な方針として、AIを使う、AIを創る、AIの信頼性を高める、AIと協働する、が並んでいます。そして目を引くのが、本基本計画は当面毎年変更すると明記されている点です。5年に一度の中期計画ではありません。加えて、AI法第16条に基づく調査研究等をより機動的に運用し、AI法を含めた制度等を能動的かつ不断に見直す、とも書かれています。

これが企業にとって何を意味するか。いま整えた社内の対応が、来年そのままでよいとは限らないということです。だからこそ、規程に見直しの周期を書き込んでおく設計が効きます。計画のほうが毎年動く前提なら、社内も年に一度は棚卸しをする前提で組んでおくのが自然です。

明日から効く三つ

ここまでを踏まえて、規模にかかわらず着手できることを3つに絞ります。順番にも意味があり、1つ目をやらないと2つ目の線が引けません。

この3つは、いずれも新しい仕組みを買う必要がありません。すでにある情報を集めて、書き足して、担当を決めるだけです。指針が求める「規模と立場に応じた適切な水準」の出発点としては十分に機能します。

マーケティング部門には、こう降りてくる

マーケティングの現場で最初に効いてくるのは、生成物の扱いです。指針の透明性の項目には、AIを提供する際に仕組みと限界、注意喚起を利用者へ渡すこととあります。この考え方は、外向けに出す制作物にも読み替えが効きます。広告表現や記事にAIが関与している場合、その事実をどう扱うかを部門として決めておくということです。

次に顧客データです。指針はプライバシー・個人情報の要素で、データの重要性に応じてプライバシーを尊重し、関連法令を守ることを挙げています。AI法そのものに個人データの取扱いのルールはありません。個人情報保護法の側で判断するという関係です。顧客の行動記録を分析に回すとき、確かめる先はAI法ではなく個人情報保護法だと理解しておくと、社内の照会先を間違えずに済みます。

3つ目が、安全性の項目にある偽情報への配慮です。生成した画像や文章が事実と異なる印象を与えないかを、公開前に確かめる工程を置く。ここを制作の締切の外側に置くと必ず飛ばされるので、工程表の中に確認の時間を明示的に取ることをおすすめします。

情報システム部門には、こう降りてくる

情報システムの側で重くなるのは、調達と体制です。指針は活用事業者にAIガバナンスの構築を求め、その中に経営層が関与したモニタリングと評価の仕組みを含めています。誰がAIの適正な活用に責任を持つかを決めるところが起点になります。行政については、府省庁ごとにAIガバナンスの責任者を任命すると指針に明記されていますが、民間企業についてはそこまで書かれていません。書かれていないからこそ、自社で決めておく必要があります。

調達の場面では、指針が提供側に求めている情報がそのまま確認項目になります。仕組みと限界、禁止事項、学習に使うデータの収集方針、出力の信頼性に関する注意喚起、問い合わせ窓口。これらが提供元から示されているかを確かめるのは、指針の裏返しとして自然な手続きです。示されない製品を採らないという判断も含めて、調達基準に書けます。

そして事業継続です。AIを使ったシステムが止まったときにどう業務を回すかを、平常時に決めておくこと。生成AIの応答が返らなくなる、精度が急に落ちる、提供が終了する。この3つは実際に起こりうる事象なので、止まったときに何に切り替えるかまで書いておくと、指針の求める形に近づきます。

AIに判断させない範囲を、先に決める

この法律と指針を通して読むと、繰り返し出てくる考え方がひとつあります。AIを活用する範囲や条件については、人間自らが最終的な判断を行うというくだりです。これは倫理的な心構えではなく、運用の設計に直結します。

実務に落とすときは、3つを決めます。ひとつ目が、AIの出力をそのまま外に出してよい範囲。ふたつ目が、出力に根拠を書かせる場面。要約や分類を頼むときに、どの記述から導いたかを併記させておくと、人が確かめる作業が現実的な時間で終わります。3つ目が、人が確認する範囲です。全件を見るのか、抜き取りにするのか、例外の条件に当たったものだけを見るのか。先に決めておかないと、忙しい週に確認が丸ごと消えます。

決めたことは、記録として残る形にしておきます。指針の安全性の項目には、AIの生成物であることを判断できる技術として電子透かしや来歴の管理が挙がっており、開発に努め必要に応じて実装することとされています。自社が提供側でなくても、使う側として同じ発想は使えます。どの制作物にAIが関与したか、誰がいつ確認したかを作業の記録に残しておけば、あとから問われたときに経緯をたどれる状態が保てます。確認したという事実が残らない運用は、確認していない運用と外からは区別できません。

• AIの判定をそのまま人の扱いに直結させる：取引先や応募者の評価に使い、人が覆せる道を残さない運用は、人間中心の要素から最も遠い
• 使っているAIの一覧がない：リスクに応じて対応を変えるという指針の基本方針が、そもそも適用できない
• ガイドラインの目次を丸写しした規程：自社のリスクと結びつかず、見直しの根拠も残らない
• 罰則がないから対応不要と結論づける：国からの照会と、取引先の調達確認という2つの経路が抜け落ちる

よくある質問

自社でAIを開発していなくても、この法律の対象になりますか

なります。第7条の活用事業者は、AIを活用した製品やサービスの開発や提供をする者に加えて、AIを事業活動において活用しようとする者を含みます。市販の生成AIを業務で使っているだけでもこの定義に当てはまります。ただし、開発や提供をしている場合のほうが、指針が求める取組の範囲は広くなります。

罰則がないなら、社内規程を作らなくても問題ありませんか

法律が直接罰することはありません。ただし第16条は、権利利益の侵害が生じた事案の分析に基づいて、国が活用事業者に指導や助言、情報提供その他の必要な措置を講ずると定めています。また実務上は、取引先の調達確認や顧客からの照会で、社内の取り決めの有無を問われる場面が増えています。規程は罰則を避けるためではなく、問われたときに答えるために持っておくものです。

指針に沿っているかどうかは、どう判断すればよいですか

指針は適正性についての一義的な定義や絶対的な水準を定めるものではないと明記しています。合否を判定する基準はありません。判断の材料になるのは、自社の規模と立場、扱っているAIのリスクに見合った対応をしているかどうかと、その水準を選んだ理由を説明できるかどうかです。決めた内容と決めた理由を残しておくことが、そのまま説明の材料になります。

まとめ

日本のAI法は、禁止事項を並べた規制法ではなく、国の施策と基本計画、戦略本部の設置を定めた推進の枠組みです。ただし第7条は活用事業者に対して、施策に協力しなければならないと書き切っています。罰則はありませんが、第16条による指導や助言の道は開かれており、実務では取引先からの照会という形でも降りてきます。読むべきは法律本体より、第13条に基づいて2025年12月に決定された適正性確保指針のほうで、そこには10の要素と4つの基本方針が示されています。いま着手できるのは、使っているAIの棚卸しと、出力に人が関わる場所の明示と、問い合わせ窓口の設置の3つです。基本計画が当面毎年変わると宣言している以上、一度作って終わりにせず、見直しの周期を規程に書き込むところまでを設計に含めてください。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。