AI事業者ガイドラインとAI法｜中小企業の対応3つ
こんにちは、合同会社SAi代表の佐藤です。ここ数ヶ月、こういうご相談が増えました。「AIの法律ができたと聞いたのですが、うちみたいな十数人の会社も何か届け出や対応が必要なんでしょうか」——。
結論から言うと、罰則付きの義務はありません。ただし「じゃあ何もしなくていい」かというと、それも違います。この記事では、実際の条文とガイドラインの公式資料を確認したうえで、中小企業が現実にやるべきことを整理します。
結論：義務ではないが、3つだけやっておく
| 何が決まったか | 位置づけ | 中小企業への影響 |
|---|---|---|
| AI法（AI推進法） | 法律。ただし罰則規定なし | 直接の規制はない |
| AI事業者ガイドライン | 総務省・経産省の指針。法的拘束力なし | 任意。ただし取引先から聞かれることが増える |
| 個人情報保護法・著作権法 | 従来どおり適用される | 実務上はこちらのほうが重要 |
やることは3つです。①使っているAIツールの棚卸し ②入力してよい情報の線引き ③人が確認する場所を決める。それぞれ後半で説明します。
AI法を条文で確認すると、書いてあることは意外と少ない
正式名称は「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号）。2025年6月に公布され、2025年9月1日に全面施行されました。
条文を実際に読むと、構成はこうなっています。
- 第一章 総則（第1条〜第10条）
- 第二章 基本的施策（第11条〜第17条）
- 第三章 人工知能基本計画（第18条）
- 第四章 人工知能戦略本部（第19条〜第28条）
お気づきかもしれませんが、罰則の章がありません。全28条を通して罰則規定は置かれていない、規制ではなく推進のための法律です。中身の大半は、国が何をするか（基本計画の策定、戦略本部の設置、研究開発の推進）についての規定です。
「活用事業者の責務」に書かれていること
企業に関係するのは第七条です。原文を引用します。
第七条 人工知能関連技術を活用した製品又はサービスの開発若しくは提供をしようとする者その他の人工知能関連技術を事業活動において活用しようとする者（以下「活用事業者」という。）は、基本理念にのっとり、自ら積極的な人工知能関連技術の活用により事業活動の効率化及び高度化並びに新産業の創出に努めるとともに、第四条の規定に基づき国が実施する施策及び第五条の規定に基づき地方公共団体が実施する施策に協力しなければならない。
読んでいただくと分かるとおり、事業者に求められているのは「積極的にAIを活用して効率化に努めること」と「国や自治体の施策に協力すること」の2点です。「安全対策を義務づける」といった規制的な内容ではありません。
解説記事によっては「事業者に安全性確保の努力義務が課される」と書かれていることがありますが、少なくとも第七条にその文言はありません。安全性や透明性に関する記述は、第三条（基本理念）で国が施策を講じる際の方針として書かれているものです。誤解したまま身構える必要はない、というのが条文を読んだ率直な感想です。
AI事業者ガイドライン第1.2版（2026年3月31日公表）
もう一つよく話題になるのが、総務省・経済産業省の「AI事業者ガイドライン」です。最新は第1.2版で、2026年3月31日に公表されました。
こちらも法律ではなく任意の指針です。守らなくても罰則はありません。特徴は、AIに関わる立場を3つに分けて、それぞれに求められる取り組みを整理している点です。
| 立場 | 該当する例 |
|---|---|
| AI開発者 | AIモデルそのものを開発する事業者 |
| AI提供者 | AIを組み込んだシステムやサービスを提供する事業者 |
| AI利用者 | 業務でAIを使う一般企業。ほとんどの中小企業はここ |
実務的にありがたいのは、チェックリスト（別紙7）とワークシートが無料で公開されていることです。ゼロから考えなくても、自社に当てはまる項目を確認していけば形になります。「何から手を付けるか分からない」という段階なら、ここから入るのが早いです。
なお、取引先から「AIの利用ルールはありますか」と聞かれるケースが実際に出てきています。義務ではないが、あると商談が早い——今のところはその程度の位置づけだと考えておくのが実態に近いと思います。
中小企業がやること3つ
1. 使っているAIツールの棚卸し
まず「誰が・どのAIを・何の業務に使っているか」を書き出してください。多くの会社で、把握しているより実際の利用は広がっています。個人アカウントで無料版を使っているケースも含めて洗い出すのが目的です（この状態はシャドーAIと呼ばれます）。
紙1枚で十分です。ツール名・使っている人・用途・入力している情報、の4列で足ります。
2. 入力してよい情報の線引きを決める
これが一番効きます。実際に起きている情報漏えいの多くは、高度な攻撃ではなく「入力してよい情報が決まっていなかった」ことが原因です（具体例はAI情報漏洩の事例にまとめています）。
判断に迷ったときの基準はシンプルで、「その内容を取引先の会議室で口に出せるか」。出せない情報は入力しない。これだけでも事故の大半は防げます。詳しい決め方は生成AIのセキュリティ対策で解説しています。
3. 人が確認する場所を決める（Human-in-the-Loop）
AIの出力は確率的なので、100%正しいことを前提にした運用はできません。だからこそ、どこに人の確認を挟むかを決めておく必要があります。この考え方をHuman-in-the-Loop（人間を介在させる設計）と呼びます。
確認を挟むべきなのは、取り返しがつかない処理です。
- 金額の確定、送金、発注の確定
- 社外に出る文書（見積書・提案書・メール返信）
- 個人情報や契約内容に関わる判断
逆に、下書きの作成、要約、分類、下調べといったやり直せる作業は、AIに任せて問題ありません。
実例：金額はAIに決めさせていません
自社の話で恐縮ですが、考え方の具体例として書いておきます。
当サイトには、チャットで状況を話すと概算見積もりが出る仕組みがあります。ここでAIがやっているのは「聞き取りと分類」だけで、金額の計算はAIにさせていません。分類結果を受けて、あらかじめ決めてある料金表をプログラムが計算しています。
理由は単純で、金額をAIに直接答えさせると、同じ条件でも回答が揺れる可能性があるからです。ぶれてはいけない部分は確定的な仕組みに任せ、人の言葉を理解する部分だけをAIに任せる。これがHuman-in-the-Loopの実装例のひとつです。
同じ考え方は、RPAとAIエージェントの使い分けにも当てはまります。AIに全部やらせないほうが、精度も費用も安定します。権限を渡しすぎた場合のリスクはAIエージェントのリスクと対策にまとめました。
本当に注意すべきは、AI法より既存の法律
ここが実務では一番大事なところです。AI法には罰則がありませんが、個人情報保護法や著作権法は従来どおり適用されます。
- 顧客名簿や履歴書をAIに入力する → 個人情報の取扱いの問題になり得ます
- AIが生成した文章や画像を そのまま公開する → 著作権上の確認が必要な場合があります
- 取引先から秘密として受け取った資料を入力する → 秘密保持契約の違反になり得ます
「AIだから特別」ではなく、これまでどおりの情報管理をAIにも当てはめるだけです。新しく難しいルールを作る必要はありません。
なお、社外にデータを出すこと自体を避けたい場合は、社内で完結するローカルLLMという選択肢もあります。図面や機密性の高い書類を扱う会社では現実的な解になります。
CONSULTING
「うちの使い方で大丈夫か」を一緒に確認します
どの業務にAIを使っていて、どこに人の確認を挟むべきか。実際の業務に合わせて整理をお手伝いします。データを外に出さない社内完結型の構成もご相談いただけます。初期費用0円・月額1万円〜（税別）、稼働するまで課金なし。100社以上の中小企業を支援してきた開発者が直接お話しします。
AI利用リスクを診断する（無料）→ 無料で相談する →よくある質問
Q. AI法で中小企業に義務は生じますか？
A. 罰則付きの義務は生じません。AI法（人工知能関連技術の研究開発及び活用の推進に関する法律・令和7年法律第53号）は全28条で構成されていますが、罰則規定は置かれていません。第七条で「活用事業者」に求められているのは、自ら積極的にAIを活用して事業活動の効率化に努めることと、国および地方公共団体の施策に協力することの2点です。
Q. AI法はいつ施行されましたか？
A. 2025年6月に公布され、2025年9月1日に全面施行されました。附則により、人工知能基本計画や人工知能戦略本部に関する規定は公布から3ヶ月以内の政令で定める日から施行することとされていました。
Q. AI事業者ガイドラインは守らないといけませんか？
A. 法的拘束力はなく、任意の指針です。守らなくても罰則はありません。ただし取引先から利用ルールの有無を確認されるケースは増えているため、対応しておくと商談がスムーズになります。最新は第1.2版（2026年3月31日公表）で、チェックリストとワークシートが無料公開されています。
Q. 自社はAI開発者・提供者・利用者のどれに当たりますか？
A. 業務でAIツールを使っているだけであれば「AI利用者」です。ほとんどの中小企業はここに該当します。AIを組み込んだサービスを自社の顧客に提供している場合は「AI提供者」、AIモデルそのものを開発している場合は「AI開発者」になります。
Q. Human-in-the-Loopとは何ですか？
A. AIの処理の途中や最終段階に人の確認を挟む設計のことです。AIの出力は確率的で100%の正確さを保証できないため、金額の確定・送金・社外に出る文書といった取り返しのつかない処理には人の確認を入れます。逆に下書き作成や要約のようにやり直せる作業は、AIに任せて問題ありません。
Q. 何から始めればいいですか？
A. 使っているAIツールの棚卸しからです。紙1枚に「ツール名・使っている人・用途・入力している情報」を書き出すだけで、対策すべき箇所が見えます。そのうえで入力してよい情報の線引きを決め、人の確認を挟む場所を決める、という順番が現実的です。
まとめ：身構えず、3つだけ決める
- AI法に罰則規定はない。全28条を通して罰則の章が存在しない
- 第七条の「活用事業者の責務」は積極活用と施策への協力の2点
- AI事業者ガイドライン（第1.2版・2026年3月31日公表）も法的拘束力のない任意の指針。チェックリストが無料公開されている
- 実務でやることは①ツールの棚卸し ②入力してよい情報の線引き ③人が確認する場所を決める
- 本当に注意すべきは個人情報保護法や著作権法など既存の法律。AIだから特別ではない
「うちの使い方で問題ないか」を具体的に確認したい場合は、AI利用リスク診断かお問い合わせからご相談ください。
