ChatGPT Enterpriseの導入からMicrosoft 365 Copilotの展開まで、生成AIツールを採用する日本企業は、誤解されやすい二層構造の枠組みのもとに置かれている。AI事業者ガイドライン、AI推進法、そして政府のAI基本計画からなるAI特有の層は、あくまで任意の指針である。これに対し、企業の行動を実際に拘束するのは、新しい技術に既存の法律を適用した層、すなわち個人情報の保護に関する法律(個人情報保護法)と著作権法である。この二つの層をそれぞれ切り離して捉えるのではなく、相互にどう関係しているかを理解することが、日本における生成AIガバナンスを健全に構築するための出発点となる。

AI事業者ガイドライン(v1.2)が生成AIについて定めていること

AI事業者ガイドラインは、経済産業省(METI)と総務省(MIC)が共同で策定した枠組みである。2024年4月19日に公表されたv1.0では、AIの開発、利用、ガバナンスに関するそれまでの三つの指針が一つの文書に統合された。現行版であるv1.2は2026年3月31日に公表されており、経済産業省のウェブサイトから入手できる。

同ガイドラインは法的拘束力を持たないものの、日本におけるAIガバナンスの事実上の注意義務基準として機能しており、規制当局、裁判所、取引先が、合理的に注意深い組織であれば何をすべきかの目安としてこれを参照する場面が増えている。同ガイドラインはAI開発者、AI提供者、AI利用者という三つの主体区分に適用され、他社が構築した生成AIツールを導入する企業は一般に「AI利用者」に該当するが、基盤モデルの上に社内アプリケーションを構築する場合には「AI提供者」の性格も一部帯びることになる。

生成AIに特有の論点として、同ガイドラインは従来の限定的なAIシステムとは質的に異なる一連のリスクを挙げている。まずハルシネーションは最優先で扱うべき論点とされる。生成モデルは、存在しない引用文献やガイダンス、判例などの虚偽の情報を、流暢かつもっともらしい文体で生成することがあり、そのために誤りが後工程で見逃されやすい。知的財産権リスクは、学習段階(学習データに第三者の著作物が含まれ得る点)と出力段階(生成されたコンテンツが意図せず保護対象の素材を再現し得る点)の両方で指摘されている。誤情報・偽情報の生成および拡散は、従来の非生成型AIシステムでは同じ規模では生じなかった新たな社会的リスクの区分として位置づけられている。プライバシーリスクについては、特にRAG(検索拡張生成)およびマルチモーダル生成の文脈で指摘されており、参照データや元データに含まれる個人情報や機密情報が、たとえ元の指示がそれを求めていなくても、モデルの出力に意図せず現れることがある。

同ガイドラインは固定的な技術チェックリストを課すのではなく、組織をリスクベースアプローチへと導く構成をとっている。リスクをゼロにする必要はないが、AIのライフサイクル全体にわたってリスクを識別、評価、管理する枠組みを組織が示せることが求められ、AIの支援を受けた行為が外部または重大な影響を及ぼす前にヒューマン・イン・ザ・ループによるレビューを行うこと、モデルの利用や承認について監査ログを記録すること、そして当該導入における開発者、提供者、利用者の役割ごとに責任の所在を明確にすることが必要とされる。実務上、多くの企業は、機密情報の漏えい、誤った外部への発信、ハルシネーションを含む出力に依拠した誤った経営判断、プロンプトインジェクションを含むAIシステムの悪用といった、繰り返し生じやすい少数の失敗パターンを中心にインシデント対応の手順書を構築しているが、この分類自体はガイドラインが公式な構造として定めているものではない。

v1.2における目玉の追加点は、自律型AIエージェントおよびフィジカルAIに関する新たなリスクの整理であり、v1.0以降、エージェント型の導入が試験段階から本番運用へといかに急速に移行してきたかを反映したものである。テキスト生成にとどまらず自ら行動を起こせるCopilotやChatGPTベースのアシスタントなど、エージェント機能を含む形で生成AIを利用している企業にとって、v1.2のこの部分が最も直接関わる箇所であり、これは生成AI利用全般にすでに適用されているヒューマン・イン・ザ・ループの要請を置き換えるものではなく、むしろ補強するものである。

AI推進法がもたらす重要な背景と限定的な直接適用

日本のAI推進法(令和7年法律第53号)は、2025年5月28日に国会で可決され、同年6月4日に公布された、日本で初めての国レベルのAI関連法である。同法は意図的に、規制法ではなく推進・基本法として構成されており、罰則も禁止規定も、義務的な適合性評価の制度も設けていない。事業者に対して課される唯一の義務は、第7条に基づく政府のAI施策に協力するよう努めるという、法的拘束力のない努力義務である。

生成AIの利用をガバナンスする企業にとって、同法の実務上の関わりは間接的なものにとどまる。同法により設置されたAI戦略本部は、内閣総理大臣を本部長とする内閣直属の組織で、2025年9月1日に発足し、同年9月12日に初会合を開いた。同法はこのAI戦略本部に対し、AI基本計画、すなわち中長期のAI政策を示す閣議レベルの文書の策定を委ねており、これは2025年12月23日に初めて閣議決定され、2026年7月14日に改定されている。AI戦略本部もAI基本計画も、生成AIに固有の執行可能なルールを新たに生み出すものではない。同法が果たしている役割は、AI事業者ガイドライン、各業界の規制当局、そして将来的なさらなる立法が展開していく制度的・政策的な背景を整えることである。企業は、従業員のプロンプト、顧客データ、モデルの出力について何ができて何ができないかという問いに、同法自体が答えを与えてくれると期待すべきではない。その答えは現時点では個人情報保護法と著作権法から導かれる。

個人情報保護法と生成AI、拘束力ある義務の所在

個人情報保護法を所管する個人情報保護委員会(PPC)は、2023年6月2日に関連する二つの対応を同日に行っている。一つは、要配慮個人情報の取扱いおよび利用目的の通知に関してOpenAIに向けた注意喚起であり、もう一つは、生成AIサービスの利用一般について事業者および一般利用者に向けたより広範な注意喚起である。本稿執筆時点において、この二つは生成AIに関するPPCの主要な公表済みガイダンスであり続けており、いずれも個人情報保護委員会のウェブサイトから閲覧できる。

企業利用における核心的なメッセージは単純明快だが、日々の実務の中では見落とされやすい。従業員が個人データを含むプロンプトを生成AIサービスに入力する場合、その入力内容は、当該個人データについて組織が個人情報保護法に基づきあらかじめ特定している利用目的の範囲内にとどまっていなければならない。顧客記録を用いてマーケティング用の文章を作成するといった、収集時に特定された利用目的に含まれていない目的のために、顧客や従業員の個人データを生成AIツールに入力することは、AIに固有の論点とは無関係に、単純な利用目的違反のリスクを伴う。

第二の、より技術的な論点は越境移転に関するものである。ChatGPT EnterpriseやMicrosoft 365 Copilotを含む多くの企業向け生成AI導入は、最終的には日本国外のインフラで処理されている。個人情報保護法上、海外に所在する第三者への個人データの提供は第28条の適用対象となり、PPCが同等のデータ保護制度を有すると認める国・地域に受領者が所在する場合や、受領者が個人情報保護法と同等の水準を満たすと確認された措置を講じている場合などの例外に該当しない限り、原則として本人の事前同意が必要となる。これとは別に、個人データの取扱いをベンダーに委託すること自体は、第27条上「第三者への提供」には該当せず、本来であれば必要となる同意取得を要しないものとして扱われるが、この委託の例外は、委託先ベンダーが海外に所在する場合の第28条に基づく越境移転の検討を不要にするものではない。この両者の関係については、PPC自身が公表している越境移転に関するガイダンスおよびFAQが直接扱っており、一般的な解説記事ではなく、これらを法務レビューの参照点とすべきである。

実務上これが意味するのは、企業にとってのガバナンス上の問いが、「生成AIの利用は許されるか」というよりも、「どのような契約上・技術上の枠組みのもとで、この特定のベンダーがこの特定のデータを処理しているか」という問いに近くなる、ということである。主要な生成AIサービスの企業向けプランやAPI利用ティアは、多くの場合、無料の一般消費者向けプランとは異なり、ベンダーが送信されたデータをモデルの学習に利用しない旨を契約上コミットしている。信頼できるベンダーはデータ処理およびデータ保管場所に関する条件を公表しており、これらは導入後ではなく導入前に、組織が負う越境移転義務と照らし合わせて確認すべきである。

著作権、学習段階での許容は出力段階の責任には及ばない

2019年1月1日から施行されている著作権法第30条の4は、AIの学習を含む情報解析の用に供する場合には、著作物に表現された思想または感情を自ら享受する目的がなく、かつ著作権者の利益を不当に害することとならない限り、権利者の許諾を得ずに著作物を利用することを認めている。この規定は、AI関連の著作権リスク全般を包括的に免責するものだと誤解されがちである。しかし実際にはそうではなく、対象となるのは学習・開発段階に限られる。

出力段階では、通常の著作権法がそのまま適用される。生成AIツールが、既存の特定の著作物に依拠して、それと類似性の高い出力を生成した場合には、基盤となるモデルがどのように学習されたかにかかわらず、著作権法上の複製権・翻案権に基づく通常の侵害判断の枠組みが適用される。文化庁は、この区別について詳細なガイダンスを公表しており、2024年3月15日に文化審議会著作権分科会法制度小委員会がとりまとめた「AIと著作権に関する考え方について」と、開発者、提供者、利用者それぞれについて分析の進め方を示した実務的な「チェックリストとガイダンス」(2024年7月31日公表)がこれにあたる。生成AIの出力を商用資料、マーケティング、製品に利用する企業は、公表または利用の前に生成されたコンテンツを既知の著作物と照合するという出力段階でのレビューを、第30条の4が学習段階について与える安心感とは別個のガバナンス上のステップとして位置づけるべきである。

日本企業が生成AIを導入する際の実務的ガバナンスの手順

AI事業者ガイドライン、個人情報保護法、著作権法を組み合わせると、日本企業が生成AIを利用する際に機能するガバナンスプログラムには、以下の要素を含めることが望ましい。

  • 社内の生成AI利用ポリシー データを機微性に応じて分類し、どのカテゴリー(特に個人データや機密情報・営業秘密)をプロンプトとして入力してよいか、あるいはしてはならないか、またどのような承認のもとで入力できるかを定める。
  • ベンダーおよび利用ティアのデューデリジェンス 導入するティアが送信データをモデルの学習に利用するか否か、データがどこで処理・保管されるか、そして当該取決めが、個人情報保護法第27条の委託の枠組みおよびPPCによる第28条の越境移転ガイダンスに沿って、組織が適切に監督する委託関係として構成され、文書化されているかを確認する。
  • 利用目的のスクリーニング 生成AIツールに入力する個人データが、当該データについてあらかじめ特定された利用目的の範囲内にとどまるようにし、想定される利用がその範囲を外れる場合のエスカレーション経路をあらかじめ定めておく。
  • ヒューマン・イン・ザ・ループによるチェックポイント AIが生成した出力が外部への行動、顧客対応のコミュニケーション、経営判断のきっかけとなる前に人による確認を挟み、ハルシネーションおよび出力の信頼性リスクに関するAI事業者ガイドラインの一般的なリスクベースアプローチと整合させる。
  • 出力段階でのレビュー 商用利用や外部への公表の前に、既知のハルシネーションリスクを踏まえた事実関係の正確性、および第30条の4が生成された出力をカバーしないことを踏まえた著作権上のリスクの両面から確認する。
  • 監査ログの記録とインシデント対応手順書 機密情報の漏えい、誤った外部発信、ハルシネーションに起因する経営上の誤り、プロンプトインジェクションなどの悪用といった実務上の失敗パターンを網羅する。これらの分類はガイドラインが公式な構造として義務づけているものではないが、社内ガバナンス上は有用である。
  • 役割の明確化 ガイドラインが用いるAI開発者、AI提供者、AI利用者という区分について、特に企業が第三者の基盤モデルの上に社内向けツールを構築し、その社内導入について提供者に準じた責任を負う場合には、それぞれの役割を明確にしておく。
  • 業種別の上乗せ対応 該当する場合に行う。例えば金融機関であれば、2026年3月3日にv1.1へ改定された金融庁の健全なAI利用に関するディスカッションペーパーに照らして自社の生成AI利用を確認する必要があり、医療や製造業など規制業種に属する組織は、AI事業者ガイドライン全般だけで十分だと考えるのではなく、自らの規制当局から同等の業種別ガイダンスが示されていないかを確認すべきである。
  • 定期的な見直し AI事業者ガイドラインの最新版に照らして行う。同ガイドラインは2024年4月のv1.0から、中間版であるv1.01およびv1.1を経て、2026年3月の現行版v1.2に至るまですでに複数回改訂されており、v1.2におけるAIエージェントおよびフィジカルAIに関するリスクの整理は、実際の技術の導入状況にガイダンスを追いつかせようとする最新の例である。

まとめとして押さえておくべき視点

AI推進法、AI事業者ガイドライン、AI基本計画といったAI固有の枠組みのいずれも、日本において生成AIに固有の拘束力ある法的義務を新たに生み出すものではない。ChatGPTやCopilotその他の生成AIツールを利用する日本企業を実際に拘束しているのは、既存の法律、すなわち利用目的、第三者提供、越境移転に関する個人情報保護法の規律と、出力段階における著作権法の通常の侵害判断の枠組みを、新しい種類の技術に適用したものである。AI事業者ガイドラインは、ハルシネーション、知的財産権の露出、誤情報、RAGおよびマルチモーダルにおけるプライバシー漏えい、そして今やエージェントに関するリスクといった、リスクの分類と運用上の手順を提供しているが、コンプライアンスそのものは、それぞれの具体的なツール、ティア、利用場面について、個人情報保護法と著作権法の分析を正しく行えるかどうかにかかっている。基盤となる個人情報保護法および著作権法の検討を行わずに、ガイドラインを自らの義務のすべてであるかのように扱う企業は、実際の法的リスクの所在を見誤っている。

一次情報源

関連記事