日本のAI規制は2026年に入り、罰則を伴わない「ソフトロー」の基本方針を維持しながらも、実務運用の具体化が一気に進んでいる。総務省・経済産業省による「AI事業者ガイドライン」の改定、デジタル庁による行政調達ルールの刷新、CAIO（最高AI責任者）体制の整備、そして個人情報保護法改正案の閣議決定という複数の動きが同時並行で走り、企業が実際に何をすべきかという「運用の解像度」が急速に上がっている段階にある。2024年の統合発表以来、法的拘束力を持たせない代わりに実態に合わせた頻繁な改定を重ねる「アジャイルガバナンス」路線が、2026年になって具体的な数値基準や体制整備の指示へと結実し始めている点が今回の一連の動きの共通項だ。
AI事業者ガイドライン第1.2版―AIエージェントとフィジカルAIを正式対象化
2024年に統合・発表された「AI事業者ガイドライン」は、2025年3月に第1.1版へ更新された後、2026年3月31日には第1.2版が公表され、AIエージェントとフィジカルAIが正式な対象に加えられた。従来は「AI開発者」「AI提供者」「AI利用者」の3区分で整理されていたが、自律的にタスクを遂行するエージェント型AIの普及を踏まえ、Human-in-the-loopの設計思想などが共通概念として取り込まれている。Deloitteの解説によれば、このガイドラインはもともと2017年の「AI開発ガイドライン」や2019年の「人間中心のAI社会原則」など4つの文書を統合したもので、改定のたびに実態に即した更新が続けられている。物理空間で動作するロボットやIoT機器を対象とする「フィジカルAI」の概念が明記された点も特徴で、工場や物流現場での自律型AI導入を進める製造業にとって、安全設計・監督体制の見直しを迫る内容になっている。
デジタル庁「生成AI調達・利活用ガイドライン第2.0版」―調達要求は33項目に
デジタル庁は2026年6月12日、「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン（第2.0版）」を策定した。2025年5月27日の初版から対象を音声・画像にまで拡大し、各府省へのCAIO設置を前提に、調達チェックシートは評価観点21項目、事業者への要求事項33項目という具体的な水準にまで整理された。ベンダーロックインの回避や偽誤情報の出力抑止、著作権・プライバシーの扱いが論点として並び、リスク判定は「業務の性格」「利用範囲」「人間の判断の介在」という3観点の高リスク判定シートで行うが、最終判断は各府省のCAIOに委ねる設計になっている。英語版仮訳も同時公開されており、国際整合を意識した布石とみられる。行政調達を狙うベンダーにとっては、初版の音声・画像対象拡大に加え、33項目という具体的なチェック項目への適合実績が受注可否を左右する実務要件になりつつある。
CAIOガイドブック（案）とAISIのAIセーフティ基盤整備
民間企業向けにはAI安全研究機関AISI（Japan AI Safety Institute）が「CAIOガイドブック（案）」を公表し、戦略・企画導入管理・ガバナンス・変革人材・内外連携という5領域でCAIOの役割を整理した。NewsPicksの報道は、AI導入が「IT部門の仕事」から「経営の中核課題」に昇格したことの象徴だと指摘する。並行して、NEDOと産総研ら5者はマルチモーダルAI品質マネジメントガイドラインを公開し、画像とテキストの対応づけ能力（クロスモーダル照応能力）を4段階に分類する評価手法を導入した。2025年度単年度事業だった点を踏まえ、6月発足の「人間中心AIライフテックコンソーシアム（HAIL）」などが成果を継続させる試金石になるとみられている。CAIOという役職の新設は米国企業でも先行事例が増えているが、日本ではガイドブック案の5領域整理により、経営層がAI戦略の説明責任を負う体制が制度面で後押しされた格好だ。
個人情報保護法改正案とAI開発データ活用の緩和
2026年4月7日、政府は「個人情報の保護に関する法律等の一部を改正する法律案」を閣議決定した。イー・ガーディアンの解説によれば、統計情報等の作成にのみ利用される場合に限り、目的外利用・第三者提供の禁止を書面で合意するなどの条件下で本人同意を不要とする特例が盛り込まれた。ただしこれはAI開発専用の限定的な緩和であり、汎用的なデータ活用の自由化ではない。施行は法案成立から1〜2年後、2027年頃と見込まれ、現時点では2023年6月の個人情報保護委員会による注意喚起以来の既存ルールを厳格に守る必要がある。AI-Readyデータの整備を進める企業にとっては、特例の対象が「統計情報作成目的」に厳格に限定されている点を見誤ると、施行前の駆け込み的なデータ活用が既存法違反となるリスクも指摘されている。
ソフトロー路線の評価と国際比較
KPMGジャパンの分析では、日本のAI規制は「既存の法律＋ソフトロー」を軸とし、EU AI法や韓国のAI基本法のような強制的な罰則を持たない点が特徴とされる。韓国のAI基本法は2026年1月に施行され、義務違反には最高3,000万ウォンの罰金が科されうるのに対し、日本は2025年5月28日成立・同年9月1日全面施行の「AI推進法」も理念法にとどまり、具体的な罰則規定を置いていない。PwC Japanの座談会でも、日本は「EUの包括的ハードローと米国の産業競争力重視のソフトローの中間」と位置づけられ、状況変化に応じて柔軟に見直す「アジャイルガバナンス」の考え方が評価されている一方、実務判断の負担は企業の自己責任に委ねられている構図が続く。今後、GPT-6 Astraのような高性能モデルやコーディングエージェントの企業導入が進むほど、罰則なきガイドラインの実効性がどこまで担保できるかが国際的にも注目される論点になりそうだ。
