日本のAI規制、2025年9月「AI法」全面施行でもソフトロー堅持 事業者ガイドライン第1.1版が実務の要に

「AI法」全面施行とAI戦略本部の始動

2025年5月28日、日本初のAIに特化した法律である「人工知能関連技術の研究開発及び活用の推進に関する法律」（通称AI法）が国会で成立した。同年6月4日に公布・一部施行され、9月1日には全面施行に至っている。この法律に基づき、内閣総理大臣を本部長とするAI戦略本部が内閣府に設置され、9月12日には専門的な調査を担う「人工知能戦略専門調査会」も発足した。同年12月19日の第3回調査会を経て、12月23日には「人工知能基本計画」が公表され、「人間中心のAI社会原則」を踏まえた4つの基本方針が示されている。KPMGジャパンによれば、2025年10月21日の高市政権発足後は、AI・先端ロボット・量子・半導体など6分野への重点支援策や防衛産業でのAI活用推進策も相次いで公表されている。

ただし重要なのは、AI法自体は「理念法」であり、具体的な罰則規定を持たない点だ。ひろつ内科クリニックの解説記事は、AI法が「理念法であり具体的な罰則規定はない」と指摘しており、実際の企業実務を左右するのは別建てのガイドライン群であることが浮き彫りになっている。

AI事業者ガイドライン第1.1版が実務の中心に

総務省と経済産業省が策定した「AI事業者ガイドライン」は2024年に第1.0版として公表され、2025年3月28日には第1.1版へと改定された。このガイドラインは、従来別々に存在していた「AI開発ガイドライン」（2017年、総務省）、「人間中心のAI社会原則」（2019年、内閣府）、「AI利活用ガイドライン」（2018年、総務省）、「AI原則実践のためのガバナンス・ガイドラインVer1.1」（2022年、経済産業省）の4文書を統合したものだ。デロイト トーマツの解説では、対象は「AI開発者」「AI提供者」「AI利用者」の3区分に分かれ、リスクの大きさに応じて対応レベルを変える「リスクベースアプローチ」を採用している点が特徴とされる。

イー・ガーディアンの分析記事では、第1.1版が「AIのライフサイクル全体を通じた法令遵守と、ステークホルダーへの説明責任（アカウンタビリティ）」を強く推奨していると紹介されている。同社は前編記事で、個人情報保護法や著作権法との整合性確保が企業に不可欠だと述べ、文化庁の「AIと著作権に関する考え方について」の遵守や、海賊版など権利侵害複製物を学習データに含めない「適正学習」の確保を求めている。

個人情報保護法の改正も並行して進行

周辺法制の動きとして見逃せないのが個人情報保護法の改正だ。個人情報保護委員会は2023年6月、生成AIサービスへの個人データ入力が第三者提供や目的外利用に当たり得るとして注意喚起を行った。さらに2026年4月7日には「個人情報の保護に関する法律等の一部を改正する法律案」が閣議決定され、イー・ガーディアン後編記事によれば、統計情報等の作成にのみ利用される場合に限り本人同意を不要とする特例が盛り込まれた。ただしこの緩和は「AI開発専用」の条件下に限られ、施行は成立から1〜2年後、2027年頃と見込まれている。

分野別ガイドラインも拡充、医療分野が先行例

ソフトローは業界横断のガイドラインだけでなく、分野別にも広がっている。医療分野では「3省2ガイドライン」に加え、薬機法のSaMD（Software as a Medical Device）規制がAIプログラムの医療機器該当性を判断する枠組みとなっている。2026年度診療報酬改定では「ICT・AI・IoT等の利活用の推進」が基本方針に明記され、実装段階に入ったとされる。産業技術総合研究所の「機械学習品質マネジメントガイドライン」も2020年の初版から改定を重ね、2024年時点で第4版に達している。また内閣府の支援でIPA内に設置されたAI Safety Institute（AISI）は「AIセーフティに関する評価観点ガイド」や「レッドチーミング手法ガイド」を発表し、実務的なリスク評価の基準づくりを進めている。

海外のハードロー化との対比、企業に求められる二重対応

日本のソフトロー路線は、海外の潮流とは一線を画す。韓国では2024年12月に成立した「AI基本法」が2026年1月に施行され、AIベースであることの通知義務や国内代理人指定義務への違反に対し3,000万ウォン以下の罰金を科す。DOORS DX（ブレインパッド）によれば、米国カリフォルニア州でも2026年1月に「AI透明化法」が施行され、月間100万人以上が利用する生成AIの開発事業者にAI検出ツールの無償提供を義務付けている。コロラド州の「コロラドAI法」も2026年2月に施行され、雇用・教育・金融・医療に重大な影響を与える高リスクAIのアルゴリズム差別への注意義務を課す。EUでは2026年8月2日に高リスクAIシステムへの規制が全面適用となる予定だ。PwC Japanのフォーラムでは、有本真由弁護士が「グローバル展開する企業は表面的な法制度の比較だけでは不十分で、運用・執行の実態まで理解する必要がある」と指摘している。日本企業がEU域内向けにAIサービスを提供する場合や、AI出力がEU域内で利用される場合には域外適用を受ける点にも注意が必要だ。