ペルーAI法規則の施行と企業統治への転換雑感

0　はじめに

　2026年1月22日、南米ペルーにおいて人工知能に関する包括的な法規制がついに施行された。2023年に制定された法律第31814号を具体化する施行規則（最高政令第115-2025-PCM）の発効である。

　この動きは、ラテンアメリカにおけるAIガバナンスの先駆的事例となるだけでなく、世界的なAI規制の潮流が「抽象的な原則論」から「具体的な法的義務」へと移行したことを象徴する出来事といえる。筆者はこれまで欧州AI法や各国のソフトローアプローチについて本連載で取り上げてきたが、ペルーの事例は、先行する議論を巧みに取り入れつつ独自の国家ガバナンスモデルを提示している点で極めて興味深い。

　今回は施行されたばかりのペルーAI法規則の詳解を試みるとともに、「企業統治への転換」という視点から、企業が直面する実務的課題について検討する。

1　問題の所在

　今日の競争優位性は、もはや、まずAIを活用すること、そのものにはない。Luz A. Herrera氏が指摘するように、AIをより良く統治することにおいて競争優位が決定づけられるフェーズに移行している。

　これまで多くの企業において、AI導入はイノベーションやデジタルトランスフォーメーションの文脈で語られ、ある種の敏捷性を重視するあまり、厳格な管理プロセスの例外として扱われるきらいがあった。しかし、2026年1月22日という日付は、ペルーにおけるAI規制の新たなフェーズの開始を告げるものである。Jose Ortega氏が述べるように、これ以降、同国におけるAIはルールのないイノベーションではなくなる。

　本規則の施行により、AIシステムはリスクレベルに応じて分類され、透明性、人間による監督、そして説明責任が法的に義務付けられることとなった。AIがR&D部門やIT部門の単なるツールから、取締役会や経営陣が直接関与すべきリスク管理およびコンプライアンスの中核課題へと昇格したことを意味する。

2　法律第31814号および施行規則の体系

2.1　法的枠組みの二層構造

　ペルーのAI規制は二段構えの構造をとっている。基本法となるのが2023年7月に公布された法律第31814号であり、AIの利用促進と倫理的原則を定めたものであった。その具体的な運用細則を定め実効性を持たせるために制定されたのが、2025年9月9日に官報掲載され、90営業日の周知期間を経て2026年1月22日に発効した本規則である。

　このプロセスはEUにおけるAI法の成立過程と類似しており、基本原則の宣言から詳細な技術的要件の策定へと段階的に進められた。

2.2　適用範囲と主管庁

　本規則は公的機関のみならず、国営企業、民間企業、アカデミア、市民社会を含む広範な主体に適用される。ただし、個人的利用および国防・安全保障関連の利用は適用除外とされている。

　主管庁としては閣僚会議議長府傘下の「政府・デジタルトランスフォーメーション事務局」（SGTD）が指定されており、同局が国家的なAIガバナンスの中枢を担う。SGTDは技術標準の策定、監督、および制裁に関する権限を有するとともに、イノベーションを阻害しないためのサンドボックス制度の運用も所管する。

2.3　国家ガバナンスモデルの志向

　特筆すべきは、本規則が単なる規制にとどまらず「国家ガバナンスモデル」の確立を志向している点である。AI開発者や利用者に対する義務の賦課と並行して、デジタル人材の育成、データインフラの整備、官民連携によるエコシステム形成をも視野に入れた包括的なアプローチである。SGTDを通じて定義されるこのモデルは、規制と振興のバランスを模索する試みといえる。

3　リスクベース・アプローチの採用と具体的規制

　本規則の最大の特徴は、EU AI法と同様のリスクベース・アプローチを採用している点にある。AIシステムをその利用目的や潜在的影響度に応じて分類し、規制の強度を可変させる仕組みである。

3.1　禁止されるAI（許容できないリスク）

　基本的人権を侵害する恐れのあるAIシステムについては、その申請および利用が明確に禁止された。規則は典型例として以下を挙げている。

　第一に、サブリミナルな操作を行うシステムである。人間の意識に昇らない手法を用いて行動を歪め、身体的・心理的損害を与える技術は個人の自律性を侵害するものとして排除される。

　第二に、法的根拠なき大規模監視を行うAIである。

　第三に、リアルタイム遠隔生体認証である。重大な犯罪捜査など特定の例外的状況を除き、公共空間において法執行目的でリアルタイムに生体認証を行うことは、プライバシー権への過度な干渉として原則禁止される。

3.2　高リスクAIシステムに対する義務

　人々の安全や基本的権利に重大な影響を及ぼす可能性のある高リスクAIシステムについては、市場投入または利用開始にあたり厳格な条件が課される。対象領域としては、重要インフラ、教育・職業訓練、雇用・労務管理、必須の公的および民間サービス、法執行などが挙げられる。

　高リスクAIシステムの提供者および利用者には主に以下の義務が発生する。

　リスク管理システムの実装として、開発から廃棄に至るライフサイクル全体を通じたリスクの特定・評価・軽減策の実施が求められる。データガバナンスについては、学習データの品質確保、バイアスの検証および緩和が必要となる。技術文書の作成と保持として、当局が適合性を検証できるレベルの詳細な文書化、アルゴリズムの論理やデータソースの記録が必須となる。透明性と情報提供については、ユーザーに対しAIシステムと対話している事実や出力の性質について明確に通知しなければならない。人間による監督として、自動化された意思決定プロセスにおいて人間が適切に介入・監視できる仕組みを組み込むことが求められる。サイバーセキュリティについては、外部からの攻撃やデータ改ざんに対する耐性の確保が必要である。

3.3　透明性と責任の所在

　本規則はAIのブラックボックス化を防ぎ、説明責任を確保することに重点を置いている。特に重要なのは、AIの判断ミスという抗弁が通用しない点である。AIシステムが誤った判断を下したり損害を与えたりした場合、その責任はAIそのものではなく、それを開発・展開・利用した人間（法人を含む）に帰属することが明文化されている。公的・民間部門を問わず適用される明確な責任原則であり、責任回避の議論を法的に遮断するものである。

4　企業統治への示唆

4.1　取締役会および経営陣へのメッセージ

　本規則の施行が企業経営に与える最大のインパクトは、AIガバナンスが技術的問題から経営課題へと完全にシフトした点にある。「取締役会や上級管理職への明確なメッセージ」として言及しているように、AIはもはや部門単位で孤立したパイロットプロジェクトとして管理することは許されない。

　経営陣は以下の点を自問し体制を整備する必要がある。自社が利用または開発しているAIシステムは法的にどのリスクカテゴリーに分類されるかを把握するためのインベントリ作成が急務である。高リスクAIに該当する場合、適合性評価やリスク管理プロセスが構築されているかを確認しなければならない。AIによる権利侵害や損害発生時の責任分界点を、ベンダーとの契約関係を含めて明確化しておく必要がある。従業員に対するAIの倫理的利用やリスクに関する教育も不可欠である。これらを怠った場合、取締役の善管注意義務違反が問われる可能性すらある。

4.2　コンプライアンス・バイ・デザイン

　ペルーのAI規制は、事後的な対応ではなく設計段階からのコンプライアンスを求めている。高リスクシステムに対する要件（透明性、ログ保存、人間による監督等）は、システムが完成してから付加することは技術的に困難な場合が多い。したがって、企画・開発の初期段階から法務・コンプライアンス部門が関与するプロセスへの転換が不可欠となる。

　特に、人間による監督の実効性は重要な論点である。単に人間が承認ボタンを押すだけの形式的なプロセスでは不十分であり、AIの出力を批判的に評価し必要に応じて却下できる権限と能力を持った人員の配置が求められる。AI導入による省人化のメリットとトレードオフになる可能性もあるが、リスク管理コストとして織り込む必要がある。

4.3　制裁とレピュテーションリスク

　本規則に違反した場合、SGTDから既存の各分野別主管機関への通報を通じて制裁が科されるリスクがある。具体的には、個人データ保護法規制に違反する事態が発生した場合は個人データ保護監督機関に、AIが消費者を不当に害する場合はINDECOPIに、公共部門での違反については監査院に通報される。

　しかしそれ以上に恐れるべきは、AIを用いて人権侵害や差別を行った企業というレピュテーション上のダメージである。ESG経営の観点からもAIガバナンスの不備は投資家からの評価を著しく下げる要因となり得る。グローバル企業においては一国での不祥事が全世界的なブランド毀損につながるリスクがある。

5　段階的な施行と今後の展望

　本規則は対象となるセクターや企業の規模に応じて完全なコンプライアンスまでの猶予期間を設けている。保健、教育、司法、セキュリティ、金融といった重要セクターは1年、運輸、商業、労働は2年、生産、農業、エネルギー、鉱業は3年、その他のセクターは4年の猶予が与えられる。中小企業やスタートアップには売上規模に応じて2年から3年の差別化された期限が設定されている。

　しかし、規則の発効自体は2026年1月22日であり、基本的な義務や禁止事項は既に有効となっている。企業は猶予期間を何もしなくてよい期間と捉えるのではなく、体制整備を完了させるための準備期間と捉え、直ちに行動を開始すべきである。

　グローバルに展開する日本企業にとっては、各国のAI規制がモザイク状に広がっている現状を認識する必要がある。特にラテンアメリカ市場においてはペルーが先行モデルとなり他国がこれに追随する可能性がある。ペルーにおけるコンプライアンス対応は地域全体の戦略を左右する試金石となるだろう。

6　むすび

　2026年1月22日に施行されたペルーのAI法規則は、AI技術の社会実装が新たな段階に入ったことを告げる鐘である。それは、なんでもありの実験場の閉鎖であり、同時に信頼できるAIのみが市場で生き残れる時代の幕開けでもある。

　法律第31814号とその規則はAIを恐れて禁止するものではなく、適切なガードレールを設けることでむしろ安全にアクセルを踏めるようにするための制度設計といえる。企業統治の観点からは、これを単なる規制対応コストと捉えるのではなく、AIガバナンスの高度化を通じて顧客や社会からの信頼を獲得し持続可能な競争優位を築くための契機と捉えるべきであろう。

　ペルーの事例は決して対岸の火事ではない。日本においてもソフトローからハードローへの移行議論が進む中、先行する各国の法制度とその運用実態から学ぶべき点は多い。今後もSGTDによるガイドラインの策定状況や実際の法執行事例などを注視していく必要がある。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。