【今週の注目GRC×AIニュース（2026/7/13週）】｜2028年、AIが「監査される側」になる
こんにちは、「IA Insight Lab（IAラボ）」管理人のHIROです。
🎬 はじめに — 今週、世界で起きたこと
今週は、AIの統治が「努力目標」から「法的な義務」へと質を変えた一週間でした。
日本では7月17日、改正個人情報保護法が公布されました。AI開発を後押しするために個人データの取得規制を緩める一方で、違反には課徴金を科す制度を新設する——アクセルとブレーキを同じ法律に載せた改正です。海の向こうでは、Google DeepMindのデミス・ハサビスCEOが7月14日、金融業界のFINRAをモデルにしたAIの独立標準機関を設けるべきだと自ら発信しました。中国では7月15日にAIコンパニオン（対話・伴侶型AI）の規則が施行され、EUは100名超の専門家によるフロンティアAI提言を公表しています。
そして華やかなAI政策の足元では、日本公認会計士協会が上場会社の会計不正動向をまとめ、直近1年で40社が会計不正を開示し、その4分の3が粉飾決算だったと報告しました。AIがどれだけ賢くなっても、「決算は本物か」という問いは消えません。
本記事は主要ニュース3本＋短信9本の構成でお届けします。
記事全体のサマリー
本文を読み進める前に、まずは本記事のサマリー画像を公開しますので、全体の理解促進にお役立ていただければ幸いです。
🔥 今週の3本 — 今週これだけは押さえたい3本
🚨 主要ニュース①：AIのために規制を「緩め」、同時に「罰」を新設した法律が公布された
【何が起きたか】
7月17日、改正個人情報保護法が公布されました。7月10日に参議院本会議で可決・成立したものが、1週間で公布まで進んだかたちです。
改正の柱は、方向が正反対の二つが同居している点にあります。一つ目は緩和で、統計作成を目的とする利用については本人同意の取得義務を免除しました。AI開発でのデータ利活用を進めるための措置です。二つ目は強化で、子どもの個人情報や生体データに関する規律を厳しくし、さらに違反に対する課徴金制度を新設しました。
施行は公布後2年以内で、具体的な日は政令に委ねられています。つまり、いま手元にあるのは「2年以内に必ず来るとわかっている宿題」です。
個人情報保護委員会は改正法の公布を公表し、施行は公布の日から起算して2年以内において政令で定める日とされています。
なお、課徴金の水準については、現時点で委員会の公式発表に記載がありません。報道ベースの数字が出回っていますが、実務判断の根拠にするのは早計です。
【なぜ重要か】
注目したいのは、「緩めた」ことより「罰を持つ規律に変わった」ことの方です。
これまでの個人情報保護法は、勧告や命令を積み上げていく行政指導型の色彩が濃い法律でした。そこに課徴金という金銭的制裁が入ると、違反のコストが会計上の数字として跳ね返ります。つまり、この改正はプライバシー担当者だけの話ではなく、経理・監査・取締役会の議題に上がる話になったということです。
同時に、統計目的の同意免除は「AIのために個人データをどこまで使ってよいか」の線引きを動かします。緩和された範囲を自社が正しく理解していないと、「使えるはずだった」データを過剰に自粛するか、逆に「使ってはいけない」範囲まで踏み込むかの、どちらかの事故が起きます。
【専門家の視点】
これは、制限速度が緩和されると同時に、初めてスピード違反の反則金が導入された道路によく似ています。「速く走ってよい」と「捕まると高くつく」が同時に来たとき、事故を起こすのは、緩和だけを聞いて走り出した車です。
2年以内という猶予は、長いようで短いものです。来週の月曜、ひとつだけ試してみてはどうでしょうか。自社が個人データをAIの学習や分析に使っている業務を書き出し、その隣に「それは統計作成目的と言い切れるか」を○×で書いてみる。×と△が並ぶところが、この2年で手当てすべき論点です。
📎 元記事:
🚨 主要ニュース②：2028年、AIは「監査される側」になる — DeepMindのCEO自身が独立標準機関を提唱
【何が起きたか】
7月14日、Google DeepMindのデミス・ハサビスCEOが、自身のニュースレターでフロンティアAIの規制枠組みについて提言を公表しました。中身は、金融業界の自主規制機関FINRAをモデルにした独立標準機関を設け、最先端モデルの安全性評価を担わせるというものです。フロンティア開発者が新モデルを公開前に——最大で30日前まで——その機関と共有する仕組みを、まずは任意で始め、将来的に義務化するという段階論も示されています。
規制される側の当事者が、自ら「監査してくれる第三者機関をつくろう」と言い出した——ここが今週の変化点です。
提言では、任意提出から始めて義務化へ移行する漸進的な設計が示されています。
そしてこの動きには、すでに法律という先行例があります。先週7月6日、イリノイ州知事がAI安全法（SB315）に署名しました。同法は2027年1月1日に施行され、定期的な独立第三者監査の義務は2028年1月1日から開始されるとされています（州知事室の公式リリースには段階施行の記載がなく、この開始時期は法律事務所の解説によるものです）。AI規制法自体はカリフォルニア州・ニューヨーク州が先行しており、イリノイ州が「全米初」なのは、あくまで定期的な独立第三者監査を義務付けた点においてです。
【なぜ重要か】
内部監査・GRCの世界から見ると、これは仕事の定義が変わる話です。
これまでAIの安全性評価は、良心的な企業が自発的に行う「グッドプラクティス」でした。それが、州法によって期限付きの義務になり、業界のトップランナー自身が標準機関の設立を提案し始めた。つまりAIは、「評価する側の道具」から「評価される対象」へと座る椅子が変わりつつあります。
2028年という数字は、遠い未来ではありません。監査を義務付ける制度ができるとき、必ず起きるのは「監査できる人が足りない」という現象です。財務諸表監査に公認会計士が必要なように、AI監査には「モデルの挙動を検証できる人」が要ります。その人材は、いまどの会社にも十分にはいません。
【専門家の視点】
金融のFINRAという例えは、思っている以上に的確です。証券業界は、事故が起きるたびに規制が積み上がり、最終的に「業界が自ら基準をつくり、第三者が検証する」という構造に落ち着きました。ハサビス氏の提案は、AI業界がその歴史を30年短縮しようとしている、と読めます。
あなたの会社では、AIの評価は誰の担当になっているでしょうか。技術部門が「精度」を見て、法務が「規約」を見て、その間に落ちているもの——たとえば「このモデルは誰がどう検証したのか」を説明できる記録——は、2028年にそのまま監査対象になります。いまのうちに、AIの検証記録を「他人に見せられる形」で残し始めてみてはどうでしょうか。
📎 元記事:
🚨 主要ニュース③：40社、そのうち粉飾が74.1% — AIの時代でも、会計不正は減っていない
【何が起きたか】
7月15日、日本公認会計士協会の経営研究調査会が、研究資料第13号「上場会社等における会計不正の動向（2026年版）」を公表しました（協会サイトへの掲載は7月16日）。
数字は率直です。2026年3月期に会計不正を開示した上場会社等は40社。前年の50社からは減りましたが、その内訳では粉飾決算が74.1%を占めています。しかも、40社のうち17社は調査報告書がまだ公表されておらず、この数字は暫定値です。なお、過去5年を累積した手口別の集計では粉飾決算274件・資産流用83件となっており、長い目で見ても粉飾が大半を占める構図は変わりません。
粉飾決算が全体の約4分の3を占め、資産の流用を大きく上回っている——これが直近1年の日本の姿です。
そして先週7月6日には、クレジットカード決済代行の全東信が大阪地裁から破産手続開始決定を受けました。負債は、2025年3月期時点で約1,259億円、破産申請時では約1,151億円とされています（基準時点が異なるため、二つの数字が併存しています）。報道では、預金残高の水増しや架空債権の計上などにより、20年前から粉飾が続いていた疑いが指摘されていますが、現時点ではあくまで「疑い」の段階です。
【なぜ重要か】
この2本を並べると、今週の意味がはっきりします。JICPAの統計は「会計不正は例外的な事故ではなく、過去5年平均で年41社という規模で起き続けている常態」だと告げており、全東信はその極端な一例です。
特に重い事実は、粉飾が資産流用を大きく上回るという構成比です。資産流用は「誰かがお金を持ち出した」話で、発覚すれば犯人が特定できます。しかし粉飾は「会社ぐるみで数字を作った」話で、経営者が関与していれば内部統制はほぼ機能しません。監査人が相手にしているのは、後者が主流だということです。
【専門家の視点】
これは、健康診断で「異常なし」と言われ続けた人が、実は検査値そのものを書き換えていた、という状況に似ています。数値の整合性をいくら確かめても、数値を作る仕組みが歪んでいれば、監査は嘘の上に成り立ちます。
主要ニュース②で見たように、これからAIには第三者監査が義務付けられていきます。しかしその同じ週に、人間の会社の決算では40社が不正を開示している。新しい技術に監査の網をかける議論と同じ熱量で、足元の「決算は本物か」を確かめ続けられているでしょうか。
あなたの会社では、主要な取引先や与信先について、預金残高や債権の裏付けまで遡って確かめたのは、いつが最後でしょうか。
📎 元記事:
📰 今週の短信 — その他のニュース
主要3本の周辺でも、「AIを誰がどう監視するのか」をめぐる動きが相次ぎました。順に見ていきましょう。
🔒 サイバーセキュリティ
🔒 Hugging Face、「自律AIエージェントが実行した」侵入を開示
7月16日、AIモデル共有基盤のHugging Faceが本番インフラへの侵入インシデントを開示しました。同社は攻撃が「端から端まで自律的なAIエージェントシステムによって実行された」と表現しています。内部データセットの一部とサービス認証情報が影響を受けた一方、公開モデル・データセットの改ざんは証拠が確認されていません。顧客データへの影響は評価が継続中とされています。AIが攻撃の道具ではなく実行主体になった事例として、記録しておく価値があります。
📎 元記事:
🔒 CISAなど19機関、ロシアFSB系脅威活動を共同警告
7月13日、CISA・NSA・FBI・DC3を含む19の機関が、ロシア連邦保安庁（FSB）Center 16に関連するサイバー脅威活動について共同アドバイザリ（AA26-194A）を公表しました。国境を越えた19機関の連名という規模自体が、対象の深刻度を物語っています。
📎 元記事:
https://www.ic3.gov/CSA/2026/260713.pdf
🔒 Anthropic、CISO向け「エージェント型AI」ガイドを公開
7月17日、AnthropicがCISO向けにエージェント型AIのセキュリティガイドを公開しました。原題は「Zero risk isn't the job: a CISO's guide to agentic AI」。ゼロリスクの達成ではなく、エージェントのリスクを可読で境界づけられた状態にすることが仕事だ、という主旨です。Hugging Faceの事案と同じ週に出たことで、実務の温度感がよく分かります。
📎 元記事:
🌐 AI規制・グローバル動向
🌐 日本、「人工知能基本計画（第II期）」を閣議決定
7月14日、政府が人工知能基本計画（第II期）を閣議決定しました。バーティカルAI・フィジカルAIへの官民投資、国産の開発基盤づくり、AIを前提とした規制の見直し、政府自身が高性能AIを評価する能力の確保、そしてAIセーフティ・インスティテュート（AISI）の機能・体制の強化などが柱です。なお、旧「AI戦略会議」はAI法に基づく人工知能戦略本部へ移行しており、名称の使い分けに注意が必要です。
📎 元記事:
https://www8.cao.go.jp/cstp/ai/ai_plan/
🌐 中国、AIコンパニオン規制が施行
7月15日、中国で《人工智能拟人化互动服务管理暂行办法》（AIの擬人化インタラクティブサービス管理暫定弁法）が施行されました。今年4月10日に5部門の連名で公布されていたものです。対話・伴侶型AIという特定の用途に的を絞って規制する例として、各国の先行事例になり得ます。
📎 元記事:
🌐 EU、フロンティアAI専門家100名超の提言を公表
7月15日、欧州委員会のAI Officeが、100名を超えるフロンティアAI専門家の会合から得られた知見を公表しました。EUが独自のフロンティアAI能力にアクセスし、選択し、制御する力をどう強化するかという、競争力・主権・安全保障を貫くテーマです。デジタル主権の評価ツール群（実体の公開は6月1日）と合わせて読むと、EUの狙いが見えてきます。
📎 元記事:
🏛️ GRC・ガバナンス
🏛️ AISI、「AIセーフティに関する評価観点ガイド」v1.20を公開
7月7日（先週）、日本のAIセーフティ・インスティテュート（AISI）が評価観点ガイドのVersion 1.20を公開しました。新たに「3.11 観測と制御」の節が加わり、分量も42頁から66頁へと増えています。AIを評価する側の道具立てが具体化してきた証拠で、主要ニュース②の「監査される側になるAI」と表裏の関係にあります。
📎 元記事:
🤖 AI・テクノロジー
🤖 OpenAI、レッドチーミング用モデル「GPT-Red」を発表
7月15日、OpenAIが自社モデルの脆弱性発見・堅牢性強化を目的としたモデル「GPT-Red」を発表しました。外部には公開しない社内専用のレッドチーミングモデルで、攻撃的プロンプトや脆弱性発見を反復学習させる仕組みです。公表された成功率（84%対人間13%）はOpenAI自身の測定値であり、第三者検証ではない点は割り引いて読む必要があります。AIに自社AIを攻撃させて守る——主要ニュース②の第三者監査の議論と、ちょうど鏡像をなす動きです。
📎 元記事:
https://openai.com/index/unlocking-self-improvement-gpt-red/
🤖 Anthropic、IPO準備報道と企業向け新会社「Ode」設立
7月15日、AnthropicがIPOに向けて投資家向け説明会の準備を進めているとCNBCが報じました（報道ベースで、公式確定ではありません）。同じ日、企業のClaude導入を支援する新会社「Ode with Anthropic」の設立も発表されています。出資は9社が参加していますが、報道にある調達規模は公式資料には記載がありません。研究機関から上場企業へ——AI企業のガバナンスが問われる段階に入りつつあります。
📎 元記事:
🧭 さいごに — 来週、あなたが取るべき1アクション
今週の3本は、別々の話に見えて一本の線でつながっています。日本は個人データの規律に課徴金という「罰」を持たせ、イリノイ州は2028年からAIに第三者監査を課し、そしてJICPAの統計は「人間の会社の決算は、いまも40社が不正を抱えている」と告げました。
つまり、AIを統治する新しい仕組みが立ち上がる一方で、統治の一番古い問い——「その記録は本物か」——は少しも古くなっていない、ということです。
もし来週ひとつだけ動くなら、私は「AIの検証記録を、他人に見せられる形にする」ことをおすすめします。月曜の朝に5分、自社で使っているAIについて「誰が」「いつ」「どんな基準で」問題ないと判断したのかを書き出してみてください。空欄が多いほど、2028年に向けて埋めるべき距離が見えてきます。
✅ 今週の実務チェックリスト
今週のニュースから、内部監査・GRC担当者が確認しておきたいアクション項目です。
個人データをAIの学習・分析に使っている業務を洗い出し、改正個情法の「統計作成目的」に該当するかを整理する（施行は公布後2年以内）
自社のAI利用について、モデルの検証記録（誰が・いつ・どの基準で判断したか）を第三者に開示できる形式で残す運用を始める
主要な取引先・与信先の決算について、預金残高証明や債権の裏付けまで遡って検証する手続きがあるか点検する
業務に組み込んだAIエージェントの権限範囲とログ取得状況を棚卸しし、暴走時の停止手順を確認する
おわりに
毎週「月曜日からすぐ使える」を意識して、内部監査・GRC実務に直結するニュースをお届けしています。「フォロー」しておくと見逃しません！「いいね」で応援いただけると励みになります。それでは、また来週お会いしましょう！
【引用元】
個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律の公布について」（2026年7月17日）
Demis Hassabis「A Framework for Frontier AI and the Dawning of a New Age」（2026年7月14日）
イリノイ州知事室「Gov. Pritzker signs nation-leading artificial intelligence safety law」（2026年7月6日）
日本公認会計士協会「経営研究調査会研究資料第13号 上場会社等における会計不正の動向（2026年版）」（2026年7月15日）
金融庁「株式会社全東信の破産手続開始を踏まえた金融上の対応について」（2026年7月10日）
Hugging Face「Security incident disclosure — July 2026」（2026年7月16日）
内閣府「人工知能基本計画（第II期）」（2026年7月14日 閣議決定）
中国国家インターネット情報弁公室ほか5部門《人工智能拟人化互动服务管理暂行办法》（2026年4月10日公布・7月15日施行）
