AI事業者ガイドラインを中小企業はどう読むか

2026年7月14日 12:23

AIの法規制で中小企業が今やるべきことは多くありません。「共通指針」と「AI利用者」の項目を中心に、読む順番と実務への落とし方を整理します。

「AIの法規制、うちも何かしないとまずい?」

EU AI Act、AI推進法、AI事業者ガイドライン。ニュースで規制の名前を見るたびに、「うちの会社も何か対応しないとまずいのでは」と不安になる経営者の方は多いと思います。

先に結論を言います。2026年7月時点で、生成AIを業務利用するだけの日本の中小企業に、罰則付きの新しい義務はほぼありません。ただし、個人情報保護法は従来通り普通に適用されますし、取引先からの要求という形で実質的な対応圧力は今後強まります。

この記事では、日本のAIルールの全体地図と、その中心にある「AI事業者ガイドライン」の実務的な読み方を整理します。

日本のAIルールは3層構造

AI推進法は「罰則のない推進法」

2025年5月に成立したAI推進法(人工知能関連技術の研究開発及び活用の推進に関する法律)は、名前の通りAIの活用を「推進」するための法律で、罰則規定はありません。事業者には国の施策への協力義務(第7条)がありますが、違反への制裁はない構造です。

つまり「AI新法ができたから何か手続きが必要」ということはありません。国の方向性を示す法律だと理解しておけば十分です。

実質的な義務は既存法にある

一方で、個人情報保護法はAI利用でも普通に適用されます。個人情報保護委員会は2023年6月の注意喚起で、次の点を明確にしています。

個人情報を含むプロンプト入力は、特定した利用目的の達成に必要な範囲内か確認すること
本人の同意なく個人データを入力し、それが応答の生成以外の目的(機械学習など)で取り扱われる場合、個人情報保護法違反となる可能性がある

後段が実務上の急所です。「入力データが学習に使われるかどうか」の確認は、努力目標ではなく法令遵守の問題になりえます。各サービスの学習利用ポリシーは『生成AIは入力を学習するのか。4サービス比較』にまとめました。

なお個人情報保護法等の改正法案は、2026年4月7日に国会へ提出され、同年7月10日に参議院本会議で可決されました。衆議院では5月26日に可決済みのため、法案は成立しています。課徴金制度の新設などを含みますが、公布日・施行日・個別の経過措置は今後の公式発表を確認する必要があります。

AI事業者ガイドラインは3か所から読む

3層の真ん中にあるAI事業者ガイドライン(最新は2026年3月31日公表の第1.2版)は、本編と別添を合わせるとかなりの分量があり、全部読もうとすると挫折します。

読み方のコツは、自社の立場を特定したうえで、全主体に共通する項目も外さないことです。ガイドラインは対象者を3つに分けています。

AI開発者: AIモデルそのものを開発する事業者
AI提供者: AIを組み込んだサービス・システムを提供する事業者
AI利用者: AIを事業で利用する事業者(=生成AIを業務で使う一般企業はここ)

生成AIを業務で使うだけの会社は「AI利用者」です。ただし、公式ガイドラインはAI利用者にも、第2部の「共通の指針」と、全主体向けの別添1・2を確認することが重要だとしています。

最初から185ページを通読する必要はありません。中小企業は、次の順番で読むと実務に落としやすくなります。

第2部「共通の指針」で全体像を把握する
第5部・別添5「AI利用者に関する事項」で自社に直接関係する項目を確認する
別添7のチェックリストを使い、自社で未対応の項目だけを拾う

実務で優先する事項は、次の8つです。

社内の利用ガイドラインは、この8項目を整理する土台になります。ただし、文書を作るだけでは教育・記録・事故対応は動きません。ガイドライン、短時間の研修、相談窓口、定期的な見直しを一組で運用する必要があります。作り方は『生成AI利用ガイドラインの作り方と5つの決め事』にまとめました。

第1.2版にはチェックリスト(別添7)やワークシート、活用の手引きも付いているので、自社ルールの棚卸しに使えます。

EU AI Actが関係するのは「EUとの接点」がある場合

罰則付きの本格的なAI規制であるEU AI Actは、段階的に適用が進んでいます。禁止AIとAIリテラシー義務は2025年2月から、汎用AIモデルの義務は2025年8月から適用済みです。一方、簡素化パッケージは欧州議会が2026年6月16日、EU理事会が同月29日に承認しました。高リスクAIの主要義務は、単体システムが2027年12月2日、製品組み込み型が2028年8月2日へ延期されます。2026年7月14日時点では、署名・EU官報掲載と発効を待つ段階です。

日本の中小企業に関係するのは域外適用の条件です。EUにAIシステムやサービスを提供する場合だけでなく、AIの出力がEU域内で使用される場合も適用対象になりえます。EUでの提供・利用や域内での出力利用がない会社はAI Act対応の優先度は低い一方、EU企業と取引がある場合は取引先経由で管理状況の説明を求められる可能性があります。

「義務がない」と「やらなくていい」は違う

法的義務が薄い今の段階でも、対応を始める理由は2つあります。

取引先からの要求: IPAの「情報セキュリティ10大脅威 2026」では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて入りました。セキュリティチェックシートにAI項目が載る時代が始まっており、「社内ルールはありますか」に答えられない会社は選別されます
後から作ると高くつく: 利用が広がってからルールを入れるのは、更地に建てるより難しい。シャドーAIの回収から始めることになります

ガイドライン対応は「規制が来たから仕方なくやるもの」ではなく、取引先に対する信頼の材料として先に済ませておくのが得です。

まとめ

日本のAIルールは3層: AI推進法(罰則なし)・AI事業者ガイドライン(ソフトロー)・既存法(実質的な義務はここ)
個人データを入力し学習等に使われる場合、個人情報保護法違反になりうる。学習利用の確認は法令遵守の問題
AI事業者ガイドライン(第1.2版)は、共通指針→AI利用者向け事項→チェックリストの順で読む
社内ガイドラインだけで終わらせず、教育・相談窓口・記録・見直しと組み合わせる
EU AI Actが関係するのはEU向けビジネスや域内での利用がある場合。高リスクAIの主要義務は2027年12月または2028年8月へ延期
法的義務が薄い今こそ、取引先への信頼材料として先に整備しておく

主な参考資料

経済産業省「AI事業者ガイドライン(第1.2版)」 https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html
内閣府「AI法(人工知能関連技術の研究開発及び活用の推進に関する法律)」 https://www8.cao.go.jp/cstp/ai/ai_act/ai_act.html
個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」 https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/
個人情報保護委員会「個人情報保護法改正法案の閣議決定について」 https://www.ppc.go.jp/news/press/2026/260407/
参議院「個人情報の保護に関する法律等の一部を改正する法律案」 https://www.sangiin.go.jp/japanese/joho1/kousei/gian/221/meisai/m221080221054.htm
EU理事会「Artificial Intelligence: Council gives final green light to simplify and streamline rules」 https://www.consilium.europa.eu/en/press/press-releases/2026/06/29/artificial-intelligence-council-gives-final-green-light-to-simplify-and-streamline-rules/
European Commission「Regulatory framework for AI」 https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
IPA「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html

自社のAIガバナンス整備を相談したい方へ

TodoONadaでは、生成AI導入を含むシステム開発や社内ルール整備について相談を受け付けています。AI事業者ガイドラインを自社の運用へどう落とすか、整理する段階からご相談いただけます。お問い合わせはこちら。