「AI規制」と聞いて、何から手を付ければよいか即答できる経営者は多くありません。EUの法律、日本の新法、米国の枠組み、国際規格。名前は耳にするものの、自社にどれが関係するのかは見えない。漠然とした不安だけが残る、というのが多くの会社の実情です。

規制の条文を読み込むのは、法務やコンプライアンス部門の仕事です。しかし、どの規制が自社に関係し、どれは関係しないのかという「地図」は、経営が自ら持つべきものです。この記事では、主要な枠組みを「自社に関係あるか」という一点に絞って整理します。読み終えたときに、担当部門への指示を一言で出せる状態がゴールです。

EU AI Act ― 世界初の包括的なAI規制

2024年8月に発効したEUのAI Act(AI法)は、AIを包括的に規制する世界初の法律です。最大の特徴はリスクベースアプローチ、つまり用途の危険度に応じて義務の重さが変わる仕組みです。人の権利や安全に重大な影響を与えうる用途には重い義務が課され、リスクの低い用途は軽い扱いで済む。すべてのAIを一律に縛る法律ではありません。

適用は段階的に進みます。2025年2月に「許容できないリスク」とされるAIの禁止規定が先行して適用され、2025年8月には汎用AIモデル(特定の用途に限定されない大規模なAIモデル)への義務が始まりました。そして2026年8月、高リスクAIに対する義務が本格適用されます。いま、まさに階段を上っている途中の法律です。自社がどの区分に当たるかは用途次第で、例えば採用選考や与信の判断にAIを使う場合は高リスク側に近づき、社内の文書作成支援であれば義務ははるかに軽くなります。

経営として見落とせないのが域外適用です。EUに拠点がなくても、EU域内向けにAIを組み込んだ製品やサービスを提供していれば、日本企業も対象になりえます。「うちはEUに支社がないから関係ない」とは言い切れません。違反への制裁は高額になりうる設計であり、対象になる可能性の放置は経営リスクそのものです。EU向けのビジネスがあるなら、まず自社が対象になるかの確認を法務に指示すべきです。

日本の現在地 ― 「法律がないから自由」ではない

日本では2025年にAI推進法(人工知能関連技術の研究開発及び活用の推進に関する法律)が成立しました。ただしこの法律は、罰則で縛ることよりも活用の促進を重視する枠組みで、EUのような厳格な義務と制裁の体系ではありません。EU型の包括規制がすぐに日本でできる前提で構えるより、いまある枠組みで足場を固めるほうが現実的です。

では、日本企業の実務は何を拠り所にすべきか。中心にあるのは、経済産業省と総務省が2024年に公表した「AI事業者ガイドライン」です。法的拘束力はありませんが、AIを開発・提供・利用する事業者それぞれが何をすべきかを整理した、事実上の標準といえる文書です。随時改訂されているため、社内ルールの根拠にするなら最新版を参照する運用が前提になります。

注意したいのは、「AIを直接縛る法律がない=何もしなくてよい」ではないことです。AIの利用には既存の法律がそのまま適用されます。個人情報をAIに入力すれば個人情報保護法が関わり、取引先から預かった秘密情報の扱いには不正競争防止法が関わります。海外に目を向ければ、2023年にイタリアのデータ保護当局が個人データの扱いを理由にChatGPTを一時利用停止処分とした例(のちに条件付きで解除)もありました。AI専用の法律を待たずとも、既存の法律はAIに及ぶのです。日本はソフトロー(ガイドラインなど法的拘束力のない規範)と既存法の組み合わせで規律されている——これが正確な現在地です。

米国とグローバルの潮流 ― 事実上の共通言語

米国で参照すべきは、NIST(米国の国立標準技術研究所)が2023年に公表したAIリスクマネジメントフレームワーク(AI RMF)です。これは法律ではなく、AIのリスクを組織としてどう管理するかを整理した実務の枠組みですが、グローバル企業の間で事実上の共通言語になりつつあります。海外の取引先とAIの管理体制について会話する場面では、この枠組みを下敷きにした質問が来ると考えておくとよいでしょう。枠組み自体は公開されており、自社のリスク管理体制を点検する物差しとして使うこともできます。

一方で、米国の州レベルの立法をはじめ、各国の規制の動きは流動的です。方向性を断定して社内方針を固めるのは危険で、ここは「変わり続けている領域だ」という認識を持ち、詳細は必要になった時点で専門家に確認する、という距離感が現実的です。

ISO/IEC 42001 ― 「説明できる会社」になるための規格

2023年12月に発行されたISO/IEC 42001は、AIマネジメントシステム(AIを組織的に管理する仕組み)の国際規格です。情報セキュリティのISMS(ISO/IEC 27001)のAI版と捉えると分かりやすく、第三者認証の取得が可能という点が実務上の意味を持ちます。

認証の価値は、自社のAI管理体制を第三者のお墨付きとともに説明できることです。取引先から「AIをどう管理しているのか」と問われたとき、認証は強い説明力になります。国境を越えて通用する規格ですから、海外取引のある会社では特に意味を持ちうるでしょう。すでにISMSを取得している会社なら、マネジメントシステムの考え方は共通する部分が多く、まったくのゼロからの構築にはなりません。

ただし、認証はゴールではありません。価値の中心は、AIの利用状況を把握し、リスクを評価し、見直すという管理の仕組みを回し続けることにあります。経営として判断すべきは「取るか取らないか」の前に、「いつ・どの範囲で」です。いますぐ取得を目指す必要はなくても、「そういう選択肢がある」ことは経営として知っておくべきです。

経営としての読み方 ― 3つの問いで仕分けする

ここまで並べた枠組みを、すべて同じ深さで追いかける必要はありません。経営が持つべきは、自社の要対応度を仕分けする次の3つの問いです。いずれも、役員会の場でそのまま口頭で確認できる粒度にしてあります。

  • EU向けのビジネスがあるか。あるならEU AI Actの対象性確認を法務に指示する。2026年8月の本格適用が一つの節目です。
  • 高リスクな用途でAIを使っているか。採用・与信・安全管理など、人の権利や安全に関わる用途があれば、規制の有無にかかわらず優先的に点検する。
  • 取引先から説明を求められる立場か。大手のサプライチェーンに入っているなら、AI事業者ガイドラインへの対応やISO/IEC 42001を視野に入れる。

3つとも「いいえ」なら、現時点で慌てる必要はありません。AI事業者ガイドラインを下敷きに社内ルールと管理体制を整える——それが日本企業の標準的な足場になります。また、規制は動き続ける領域ですから、この仕分けは一度やって終わりではなく、半期か年に一度は見直すことをお勧めします。規制対応は目的ではなく、AIを安心して使い続けるための土台です。次回はシリーズ最終回として、これまでの論点を踏まえた投資の優先順位を扱います。

DSB Consultingでは、AI規制の自社への影響の整理や、ガイドラインを踏まえた社内ルール・管理体制づくりを支援しています。「どの規制がうちに関係するのか一度整理したい」という段階からで構いません。まずはお気軽に無料相談をご利用ください。