生成AIの法規制とガイドライン遵守｜企業が守る法律と体制

結論

生成AIの業務利用で企業が守る外部規範は、性質の異なる3層に分かれます。拘束力のある法律、拘束力を持たないソフトロー、条件を満たしたときだけ域外適用されるEU AI Actの3つです。法律の層には個人情報保護法・著作権法・不正競争防止法が並び、ソフトローの層には総務省・経済産業省の「AI事業者ガイドライン」が入ります。層が違えば、守らなかったときに起きることも変わります。法律に違反すれば行政対応や差止・損害賠償の請求につながり、ソフトローに沿った管理がなければ、取引先の審査や事故発生時の説明で答えに詰まります。

自社にどれが適用されるかは、3つの問いで切り分けられます。「何を入力するか」「出力をどこへ出すか」「どの市場で事業を行うか」の3問です。答えを出すと、詳しく読むべき規範と、判定結果だけ残しておけばよい規範が分かれます。規範ごとの適用条件・課される義務・整備する文書は同じ粒度でそろうため、役員会や取引先へ「体制がある」と説明するための最低構成も、優先順位を付けて指名できます。

生成AI利用企業に適用される外部規範の全体地図

5つの規範は、拘束力と、守らなかったときに実際に起きることを同じ軸へ並べると比べられます。罰則の有無だけで見れば、ソフトローは後回しに見えます。ただし、取引先の調達審査や事故発生時の説明で問われるのは、公的な文書に沿って管理してきたかどうかです。罰則がないことと、放置してよいことは別に扱います。

個人情報保護法の罰則は、命令違反を起点に定められています。個人情報保護委員会の命令に違反した場合、行為者には1年以下の拘禁刑または100万円以下の罰金、法人には1億円以下の罰金が科され得ると個人情報保護委員会が示しています。もっとも、この命令は報告徴収・立入検査や指導・勧告を経て出されます。企業が最初に向き合うのは刑事罰ではなく、行政対応と、その過程での公表です。

自社への適用を判定する3つの問い

規範を全部読む前に、自社の使い方から逆算して対象を絞ります。下表の「はい」に当たる行だけが、詳しく読む対象になります。

社内向けの要約や下書きにしか使っていない企業なら、Q2とQ3は「いいえ」です。整備の対象は個人データと営業秘密の入力管理に絞られ、EU AI Actは現時点で対応不要と判定できます。判定は口頭で終わらせず、この表の形で残してください。取引先からの照会や監査のたびに、一から議論し直す手間がなくなります。

個人情報保護法｜個人データを入力する場面

適用の起点は、事業のために個人情報データベース等を扱っているかどうかです。顧客管理や採用管理をシステムで行っていれば個人情報取扱事業者にあたるため、通常の事業会社はここで対象に入ります。生成AIに固有の論点は、プロンプトへ入力するという行為が、法律上のどの取扱いに当たるのかという点に集まります。

個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起等について」を公表し、個人情報取扱事業者へ2つの確認を求めました。第一に、個人情報を含むプロンプトを入力する場合は、特定した利用目的の達成に必要な範囲内であることを十分に確認するよう求めています。第二に、あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、それが当該サービスの機械学習に利用される場合には、法の規定に違反する可能性があると示しています。出典は個人情報保護委員会の公表資料です。

入力の可否を分ける4つの論点

入力してよいかどうかは、次の4つの論点のどれに引っかかるかで決まります。

• 利用目的の範囲：顧客対応のために取得した情報を、社内の分析や資料作成の目的で生成AIへ入力すると、当初特定した目的からずれることがあります。公表している目的の記載が「当社サービスの提供のため」だけで止まっていないかを確認します。
• 第三者提供と委託：入力した個人データを提供事業者が自社の学習に用いる場合、その事業者が個人データを取り扱うことになります。逆に、契約条項で入力内容を取り扱わないことが定められ、アクセス制御も適切であれば、いわゆるクラウド例外の考え方により「提供」に当たらないと整理できる余地があります。この場合も、自ら安全管理措置を講じる義務は残ります。
• 要配慮個人情報：健康状態、信条、犯罪歴などは、原則として本人の同意なく取得できません。人事・健康管理・トラブル対応の文書は、他の業務文書と同じ扱いにせず、入力可否を別立てで決めます。
• 委託を受けた業務の制約：顧客から委託されて個人データを処理している業務では、委託契約で定めた取扱いの範囲が先に効きます。契約が外部サービスの利用を制限していれば、法の要件を満たしていても入力できません。

自社で整備するもの

整備するのは、利用目的の記載の見直し、利用するサービスと契約条件の一覧、入力可否の区分表、安全管理措置の記録の4点です。責任者は既存の個人情報の管理責任者が兼ねる形で足ります。新しい役職を作る必要はありません。

著作権法｜出力を資料やコンテンツに使う場面

著作権の論点は、学習段階と生成・利用段階で分けて考えます。文化審議会著作権分科会法制度小委員会が2024年3月15日に取りまとめた「AIと著作権に関する考え方について」も、この2段階を区別して整理しています。

学習段階を扱うのは著作権法第30条の4です。著作物に表現された思想や感情を自ら享受し、または他人に享受させることを目的としない利用は、原則として権利者の許諾なく行えるとされています。ただし、著作物の種類・用途や利用の態様に照らして著作権者の利益を不当に害する場合は除かれます。この規定が直接効いてくるのはモデルを開発・学習させる側で、既製のサービスを使うだけの企業が日常的に判断する場面ではありません。押さえておくのは、自社で追加学習や社内データの取り込みを行う場合には、自社が学習させる側に立つという点です。

生成・利用段階は、通常の著作権侵害と同じ枠組みで判断されます。既存の著作物との類似性と、既存の著作物に依拠して作られたかという依拠性の2つがそろったときに、侵害が問題になります。生成AIを使ったこと自体が侵害になるわけではありません。出来上がった表現が誰かの表現と重なった時点で、リスクが生じます。判断枠組みの詳細は文化庁の公開資料で確認できます。

社内資料と社外公開でリスクの現れ方が違う

社内の下書きや検討資料に留まっている間は、権利者がその内容を知る機会が限られます。問題が表面化するのは、資料が社外提案書に転用されたとき、サイトや広告に掲載されたとき、納品物として引き渡されたときです。社内利用なら侵害にならない、という意味ではありません。確認の手をかける地点として現実的なのが、生成の瞬間ではなく社外へ出る直前の承認工程だという話です。

入力の仕方によっては、確認の必要性が上がります。特定のキャラクター名や作家名、既存作品の文章を入力して「同じ雰囲気で」と指示すれば、既存作品を参照して作った経緯が残り、表現も近づきやすくなります。社外公開物については、入力内容と確認者を記録に残しておけば、後から経緯を説明できます。

自社で整備するもの

整備するのは、社外公開物の承認フロー、公開前チェックの観点（既存作品との類似、他社素材の混入、引用の要件）、生成物と入力内容の記録の3点です。あわせて、公開可否を最終確認する責任者を部門ごとに決めておきます。

不正競争防止法｜営業秘密を入力する場面

不正競争防止法が守るのは、3つの要件をすべて満たした情報だけです。秘密として管理されていること（秘密管理性）、事業活動に有用な技術上または営業上の情報であること（有用性）、公然と知られていないこと（非公知性）の3つで、いずれか1つでも欠ければ営業秘密として保護されません。経済産業省は「営業秘密管理指針」で、法的保護を受けるために必要な最低限の水準を示しています（経済産業省）。

生成AIとの関係で影響が出やすいのは秘密管理性です。この要件は、その情報が秘密として扱われていることを従業員が認識できる状態にあるかで判断されます。社内で「機密」と表示し、アクセス制限もかけている情報が、外部サービスへ制限なく貼り付けられる状態のまま放置されていれば、表示と運用の実態が食い違います。情報区分ごとに入力の可否を決め、その決定を規程と表示へ反映しておけば、秘密として管理している状態を一貫して説明できます。

非公知性についても、外部サービスへの入力が直ちに公知化を意味するわけではありません。ただし、入力内容が学習に使われ、他者への出力に現れる可能性があるサービスでは、その前提が崩れる余地が残ります。分かれ目になるのは、契約条件で入力内容の取扱いを固定できているかどうかです。

自社で整備するもの

整備するのは、情報区分と表示ルール、区分ごとの入力可否を定めた一覧、アクセス権の設定記録、秘密保持に関する誓約書や規程との整合の4点です。責任者を情報管理の担当役員が担えば、区分の決定と表示の運用が同じ手に収まります。

どのツール設定で入力内容の取扱いが変わるか、どの運用が漏洩につながるかは、規範の適用判定ではなく運用設計の問題として切り分けます。

あわせて読みたい

法人の生成AI利用リスクと情報漏洩対策｜経営者が導入前に確認する判断軸

2026 . 07 . 24

AI事業者ガイドライン｜罰則がないのに参照する理由

総務省と経済産業省が策定した「AI事業者ガイドライン」は、2026年3月31日に第1.2版が公表されています。位置づけは非拘束的なソフトローで、守らなかったことが直ちに違法となるものではありません。対象者はAI開発者・AI提供者・AI利用者の3つに大別され、AIを使う側の企業に関する事項は第5部に、実践にあたっての具体的な手法は別添にまとめられています。第1.2版では、AIエージェントやフィジカルAIに関する記載の追加や、主体区分の整理が行われました（経済産業省）。

利用者側に示されているのは、提供者が想定した範囲でAIを使うこと、入力するデータと出力の取扱いを適正に保つこと、利用のログを管理すること、関係者へ説明できる状態を保つことといった行動です。共通の指針としては、人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティ、教育・リテラシー、公正競争確保、イノベーションが挙げられています。どれも、社内で誰かが決めておかなければ空欄のまま残る項目です。

罰則がないにもかかわらず参照する理由は3つあります。1つは、取引先の調達アンケートや監査で「どの基準に沿って管理しているか」を問われる場面です。共通の枠組みがなければ、回答を毎回ゼロから組み立てることになります。2つ目は、事故が起きた後で自社の注意の水準を説明する場面で、公的な文書に沿って管理していた事実が説明の土台になります。3つ目に、法律が細かく定めていない領域について、何を決めておくべきかの抜け漏れを点検する目録として使えます。

自社で整備するもの

整備するのは、ガイドラインの項目と自社の管理状況を突き合わせた対照表、利用ログの取得方針、社員教育の実施記録です。全項目を網羅する必要はありません。対象外と判断した項目について理由を残しておくほうが、後から管理の考え方を説明しやすくなります。

EU AI Act｜域外適用の条件と、当てはまらない場合の範囲

EU AI Act（Regulation (EU) 2024/1689）は2024年8月1日に発効しました。禁止される行為とAIリテラシーに関する規定は2025年2月2日から、原則的な適用は2026年8月2日から始まっています。高リスクAIに関する義務の適用時期については、2026年5月にEU理事会と欧州議会が規則の簡素化で合意したとCouncil of the EUが公表しています。自社が対象になり得る場合は、欧州委員会の公表資料で最新の期日を確認してください。

日本企業にとって判断が必要なのは、第2条の適用範囲です。適用対象には、設立地を問わずEU域内の市場にAIシステムを提供する者、EU域内に所在する利用者（deployer）、そして第三国に所在していてもAIシステムが生み出した出力がEU域内で使われる場合の提供者・利用者が含まれます。制裁金は第99条に定めがあります。禁止行為については最大3,500万ユーロまたは全世界年間売上高の7%のいずれか高い額、提供者・利用者のその他の義務違反については最大1,500万ユーロまたは3%とされています。

当てはまる場合と、当てはまらない場合

適用条件のいずれにも当たらない段階で、リスク分類や適合性評価、技術文書の作成へ着手する理由はありません。過剰な作業を避けるうえで実務的なのは、現時点でEU AI Actの適用対象に当たらないという判断と、その根拠3点を書いた1枚を残しておくことです。適用の有無は事業の展開状況で変わります。海外展開や越境サービスの検討が始まった時点で見直す文書として、この判定書自体を扱ってください。

コンプライアンス体制の最低構成｜役割・文書・記録

規範ごとの整備項目を並べ直すと、企業側が用意するものは限られた種類に収まります。着手順は、判定の土台になるものを先に置き、日々の運用に効くもの、外部への説明に使うものへと進めます。

ここまでの整備表は、外部の規範に対して自社が何を用意するかという問いへの答えです。決めた判断を、社員が読む禁止事項や承認手続の文面へ落とし込む作業は、扱う範囲が別になります。

あわせて読みたい

経営者が研修前に決める生成AI利用ルール｜最低限の6項目

2026 . 07 . 23

規範を現場の判断に落とす｜法人AI研修でできること

文書を整えても、入力してよいかどうかを一件ずつ判断するのは、日々の業務にあたる社員です。法人AI研修は、Claude・ChatGPT・Geminiなどの生成AIを自社の業務課題に合わせて学び、部門別演習からAI成果物の実装、研修後の定着支援まで伴走する法人向けサービスです。

外部規範との接続で関係が深いのはAIリテラシー研修です。生成AIにできること・できないこと、情報の取り扱いとリスク、社内で使うときの判断基準を、デモを交えて全社員向けに揃えます。対象は全社員、形式は講義とデモで、利用ルールを揃えたい管理部門や、全社展開の前提づくりをしたい企業が想定受講者に含まれます。研修は4レベルと部門別テーマを掛け合わせて設計し、標準カリキュラムを使うパッケージ研修と、課題ヒアリングから設計するパーソナライズ研修から選べます。

扱うデータの範囲と利用するAIサービスは、貴社のセキュリティポリシーに合わせて設計します。機密データを使わない題材設計も可能です。一方で、条文の解釈、個別事案の適法性判断、規程の作成そのものは研修の範囲外です。法的な判断が必要な論点は、社内で整理したうえで弁護士等の専門家へつないでください。