どこまでが義務で、どこからが推奨？日本の会社がAIを使うときの法律とガイドライン

まず行うことは、自社の立場と、入力する情報・出力の使い道を一つの業務ごとに書き出すことです。そのうえで、法律上の義務、指針が促す取組、契約条件、社内の承認手続を分けます。個別の適法性は、実際の用途・データ・契約に照らして判断します。

問い合わせ要約を始めるとき、四つの根拠を混ぜない

「AIガイドラインに沿っている」という一文だけでは、個人情報を入力する条件も、契約上許された使い方も分かりません。たとえば顧客の問い合わせを要約する仕事では、同じ用途について次を分けて確認します。

根拠	この仕事で確かめる例	残す記録
適用する法令	個人情報など、入力内容と取扱いから確認が必要な事項	確認した条項、担当者、未解決の問い
ガイドライン	利用者への説明、出力の確認、問題発生時の対応をどう行うか	自社で採る方法と、採らない項目の理由
製品・委託契約	契約した製品・機能での入力、保存、外部接続の条件	契約版、対象プラン、設定の確認日
社内規則	社員が入力してよい資料、共有先、困ったときの相談相手	利用者へ伝える具体例と更新担当

AI推進法の制定法は、国・自治体・事業者等の役割を定めています（2026年10月26日確認）。あるAI製品を使うだけで、上表の確認がすべて完了するという根拠には置き換えません。

担当者が変わっても追えるよう、根拠の名称だけでなく、今回の用途にどう当てはめたかを一行残します。制度の改訂時にはその判断を見直し、旧版の社内規則へ新しい制度名だけを貼り足さないようにします。

調べたいことから原典を選ぶ

調べたいこと	原典と読む箇所	対象・版／確認日
法律の本文	AI法の第7・13条	事業での開発・提供・活用。令和7年法律第53号／2026-10-05
企業での利用方針	AI事業者ガイドラインの対象者の定義	AI開発者・提供者・利用者。第1.2版・2026-03-31／2026-09-15
個人情報の入力	個人情報保護委員会の注意喚起（PDF）の別添1(1)	個人情報を入力する事業者。2023-06-02／2026-10-05
文章・画像の生成と利用	文化庁の著作権チェックリスト（PDF）の「3 AI利用者」	AIで生成し、成果物を利用する人。2024年7月／2026-10-05

制度一覧の確認日は2026年9月15日です。施行状況や用途別の条件は、下の制度表と各原典を照らし合わせます。

返信案を作る仕事なら、ここから調べる

公開FAQで返信案を作る場面を考えます（想定例）。担当者が読んでから送信するなら、まずFAQをそのサービスへ入力できる権利と、サービス契約の保存・利用条件を調べます。次に、原文と出力を照合する担当者を決めます。氏名入りの問い合わせ履歴まで送るなら、個人情報の利用目的と提供先での扱いも調べます。

同じ返信案でも、調べる根拠は次のように変わります。

今回の情報・作業	調べること	義務・推奨の見分け方
氏名入りの問い合わせを入力	個人情報保護委員会のAI注意喚起で、利用目的に必要な範囲か、サービス側が学習等に使わないかを見る	個人情報保護法への適合を確かめる項目。社内承認だけで省略できない
自社の公開FAQを入力	FAQの利用権限と、サービス規約の入力・保存・利用条件を読む	公開済みでも利用条件は読む。法令と契約それぞれの条件に従う
担当者が返信案を読み、修正して送信	原文にない料金・期限をAIが補っていないか照合	この業務で誤回答を減らすための運用案。あらゆるAI出力の人による確認を法律が一律に義務付けた、という意味ではない

個人情報の行は、個人情報保護委員会の注意喚起別添1(1)（PDF）に基づきます。本人の同意なく入力した個人データが回答生成以外の目的で使われる場合、法違反となる可能性があるため、入力前に契約と実際の取扱いを確かめます。

自動返信へ広げるなら、誤回答を止める方法と責任者も追加の検討事項です。政府向けの調達資料を一式そろえることより、今回の業務の入力・出力にどの文書が関係するかを見ます。個別の契約条件が分からなければ、この例でも利用開始は保留です。

四種類のルールは、違反・逸脱の意味が異なります

四種類のルールは、同じAI利用に重なって関係します。次の表は、事業として「使う」「組み込んで提供する」「追加学習する」場合を比べたものです。

表1　ルールの種類×自社の立場

種類・効力の見方	使う	組み込んで提供	モデルを追加学習
法律｜適用条文に従う。責務・努力義務・罰則の有無は別に読む。	入力・出力・利用目的	入力・出力に加え、提供行為	学習データの取得・学習・提供
ガイドライン｜自主的取組と、法令の義務を説明する記述を分ける。	用途と影響に合う取組	利用者への情報提供・安全性	学習・評価・提供時のリスク
サービス契約｜規約・個別契約の条件。法令への適合とは別。	入力、保存、利用可能な用途	再提供・連携・責任分担	学習利用、素材、成果物の条件
社内ルール｜自社の承認・停止等の手続。法令や契約は上書きできない。	承認サービス・入力範囲	公開前確認・運用責任者	データ承認・評価・変更管理

「ガイドラインだから全部任意」とも言い切れません。個人情報保護委員会の通則編は、義務を示す表現に従わなければ法違反と判断される可能性がある事項と、「望ましい」などの推奨を区別しています。根拠条文と文章の主語を読んで、適用される内容を見極めます（出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、「1-1 目的」）。

AI法の責務と、指針の推奨を混ぜない

AI法の正式名称は「人工知能関連技術の研究開発及び活用の推進に関する法律」です。第7条の活用事業者には、AIを開発・提供する者だけでなく、事業活動で活用しようとする者も含まれます。同条は積極的な活用に努めることに加え、国・地方公共団体の施策への協力を求めています。罰則規定がないことを、法的な責務がないことに置き換えないでください。

一方、2025年12月19日決定の「適正性確保に関する指針」は、第13条に基づき、自主的・能動的な取組を促す文書です。第13条で指針の整備を求められている主語は国です。企業の取組は、それぞれの規模・立場・リスクに応じて考えます。国際規格などの任意の技術標準も別に読み、契約や調達仕様に引用されていれば、取り込まれた範囲を読みます（出典：衆議院「AI法」、第7・13条、内閣府「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」（PDF）、「1(1)」、内閣府「人工知能に関する各府省庁等のガイドライン等一覧」）。

自社が行う開発・提供・利用を確かめる

既成のAIで社内文書の下書きを作る場合は、入力と出力の利用を中心に調べます。AIを問い合わせサービスへ組み込む場合は、利用者に示す限界、禁止用途、事故時の対応まで広がります。モデルを追加学習する場合は、学習データを取得・利用できる条件や評価方法も調べます。一社が複数の立場を兼ねるため、「当社は利用者」と一度決めて終わりにはしません。

これは調べ漏れを防ぐための行為別の整理です。各資料の対象者は、資料ごとの定義に沿って読みます。内閣府の指針は、立場や規模、用途、リスクに応じた取組を示しています。総務省・経済産業省のAI事業者ガイドライン第1.2版（2026年3月31日）は、AI開発者・AI提供者・AI利用者を区別し、同じ事業者が複数の立場を兼ねる場合もあると説明しています。自社の行為を原本の対象者・定義と照らし合わせ、関係する部分を読みます（出典：内閣府「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」（PDF）、1・2、内閣府「人工知能に関する各府省庁等のガイドライン等一覧」、デジタル庁「政府向け生成AIガイドライン第2.0版」（PDF）、p.1、経済産業省「AI事業者ガイドライン（第1.2版）」）。

制度ごとの版・施行時期を確かめる

表2　2026年9月時点の制度・文書と読む箇所

文書・所管	効力・対象／版と適用時期	最初に読む箇所
AI法｜内閣府	法律。事業での開発・提供・活用。2025年6月4日一部、9月1日全面施行。	第7・13条、附則第1条（①②）
適正性確保指針｜人工知能戦略本部	自主的取組の指針。各主体の役割とリスクに応じる。2025年12月19日決定。	1(1)位置付け、1(3)、2（③）
AI事業者ガイドライン｜総務省・経済産業省	開発・提供・利用の取組を考える指針。第1.2版・2026年3月31日。	はじめに・対象者の定義（冊子p.4–5）と構成（p.6–7）（④）
個人情報保護法の通則編・AI注意喚起｜個人情報保護委員会	法律に基づく義務と推奨を区別。通則編は2026年6月一部改正、注意喚起は2023年6月。	利用目的、安全管理、第三者提供等（⑤⑥）
AIと著作権チェックリスト｜文化庁	権利確認・リスク低減の案内。2024年7月。個別の利用では権利確認が必要。	3 AI利用者・生成／利用段階（⑦）
政府向け生成AI調達・利活用ガイドライン｜デジタル庁	政府の管理ルール。第2.0版・2026年6月12日。原則9月1日施行、一部先行。	2.2対象、附則。民間は案件契約も読む（⑧）
2026年改正個人情報保護法｜個人情報保護委員会掲載	7月17日公布。原則は政令で定める日から施行。例外の施行日は別。	改正法附則第1条、整備状況（⑨⑩）

表の出典：①衆議院AI法、2025-06-04、令和7年法律第53号、第7・13条・附則、②内閣府AI法の公布・一部施行・全面施行情報、③内閣府適正性確保指針、2025-12-19、1・2（PDF）、④総務省・経済産業省AI事業者ガイドライン第1.2版、2026-03-31、はじめに冊子p.4〜7、⑤個人情報保護委員会生成AI利用の注意喚起、2023-06-02、別添1(1)（PDF）、⑥個人情報保護委員会通則編、2026年6月一部改正、1-1・2-6・3-1・3-4〜3-6、⑦文化庁AIと著作権チェックリスト＆ガイダンス、2024年7月、3-1-1〜3-1-7（PDF）、⑧デジタル庁政府向け生成AIガイドライン第2.0版、2026-06-12、2.2・附則（PDF）、⑨個人情報保護委員会2026年改正個人情報保護法等、2026-07-17公布、附則第1条（PDF）、⑩個人情報保護委員会令和8年改正個人情報保護法の成立・公布・整備状況

情報確認日：2026年9月15日。次回確認予定：2026年10月15日。制度一覧の版や施行状況を毎月見直す運用案です。各行の原典URL・適用条件・未確認事項は、参考出典と配布Excelの「制度一覧」に収録しています。

個人情報・著作権・安全性を横断して調べる

個人情報と著作物は、入力と出力のどちらで使うかを示す

個人情報なら「何の目的に必要で、提供先で何に使われるか」が調べる入口です。個人情報保護委員会の注意喚起（PDF）と通則編を確認し、学習・保存・委託・外国への提供はAIへ社内情報を入れる前に｜学習・保存・共有で具体化できます。

著作物なら「入力素材を利用できるか」と「完成した出力を公開できるか」を分けます。文化庁のチェックリスト（PDF）のAI利用者向け項目が原典です。社内下書きから広告へ用途を変える例は、生成AIの文章・画像を仕事に使う前の著作権確認で扱います。商標・肖像等は著作権とは別に確認します。

安全性・説明・人の判断は用途から具体化する

内閣府の指針は、リスクに応じた対策や透明性、安全性などを示しています。社内の下書き支援と、人の採用・評価などに影響する判断支援では、想定する損害が異なります。影響が大きい用途では、根拠を確かめる担当者、判断を見直す窓口、自動実行を止める条件を先に決めることを提案します。人が確認する範囲と方法は、用途と影響に合わせて決めます。採用・評価でAIの出力をどう扱うかは、AIの判断をそのまま採用しないための考え方で具体例を挙げています。

例えば、自社が権利を持つ公開FAQだけで返信案を作り、担当者が修正して送る業務と、氏名入りの問い合わせ履歴を外部サービスへ送り、自動返信する業務では、調べる範囲が変わります。後者は入力データの扱いに加え、誤回答を送らない仕組みや停止方法も必要です（出典：内閣府「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」（PDF）、1(2)・1(3)・2）。

検討案・成立・公布・施行は別の状態です

検討資料は将来の方向を知る材料ですが、その記述だけで現在の義務は決まりません。成立は法律が国会で可決された段階、公布は成立した法律を公に示す段階、施行は規定の効力が発生する段階です。同じ法律でも条項ごとに開始日が分かれます。

AI法と個人情報保護法改正の提出・成立・公布・施行を照合する

表3　状態と日付を分けて読む年表

日付・状態	分かる事実と読み方
2025-02-28｜AI法案提出	法案段階。現行義務とは扱わない（①）。
2025-05-28｜AI法成立	成立後も、条項ごとの施行日を読む（①）
2025-06-04｜公布・一部施行	第7条を含む規定が施行。附則第1条の例外を分ける（②③）。
2025-09-01｜AI法全面施行	人工知能戦略本部設置等を含め全面施行（③）。
2026-04-07→07-10→07-17	個人情報保護法等の改正案提出→成立→公布。公布で全改正が直ちに施行されるわけではない（④⑤）。

表の出典：①参議院AI法案の審議情報、第217回国会・閣法第29号、提出・成立・公布日、②衆議院AI法、2025-06-04、令和7年法律第53号、第7・13条・附則、③内閣府AI法の公布・一部施行・全面施行情報、④個人情報保護委員会2026年改正個人情報保護法等、2026-07-17公布、附則第1条（PDF）、⑤個人情報保護委員会令和8年改正個人情報保護法の成立・公布・整備状況

2026年改正個人情報保護法の附則第1条は、原則として公布から2年以内の政令で定める日から施行するとし、別日程の規定も設けています（出典：個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」（PDF）、附則第1条）。公式ページ（2026年9月15日時点）では、政令・規則・ガイドライン等の整備状況が案内されています（出典：個人情報保護委員会「令和8年 改正個人情報保護法について」）。改正の紹介記事だけを根拠に、現在の個人データ入力の条件を緩めないでください。AI法の成立から施行までの経過は、参議院「議案審議情報」と内閣府「人工知能関連技術の研究開発及び活用の推進に関する法律（AI法）」で追えます。

行政向け資料も対象を読みます。デジタル庁の第2.0版は、政府の生成AI調達・利活用に関する管理ルールです。政府職員向けの管理ルールは、政府向けの調達案件に関わらない一般企業に一律には適用されません。ただし、受託案件の仕様や契約に取り込まれた条件は別です。調達仕様書、契約書、発注者の窓口で適用範囲を確かめます（出典：デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」（PDF）、2.2・附則）。国外法や医療・金融等の業種固有規制は、事業地域・提供先・業務内容から別に調べます。

調べたことを、担当者と見直し日のある運用表へ

文書を読んだ記録だけでは、翌日の担当者は判断できません。業務単位で、サービスと契約、対象情報、出力の使い道、確認者、事故窓口を残します。次の記入例では、条件がそろう前に利用を始めず、そろった後に承認者が判断する形にしています。

表4　返信案を作る仕事の運用表

項目	記入例
業務・立場	公開FAQから問い合わせ返信案を作成／社内で利用
利用サービス・契約	AIサービスA（想定）・法人契約を検討。規約版・保存・閲覧条件は未確認
対象情報・出力	権利を確認した自社公開FAQのみ。顧客の氏名・問い合わせ原文は入力対象外。担当者が確認して送信
確認者・事故窓口	業務：営業責任者／契約・情報：管理担当／事故：社内情報管理窓口
参照資料	内閣府の適正性確保指針（PDF）、個人情報保護委員会の生成AI利用の注意喚起（PDF）・通則編、文化庁のAIと著作権チェックリスト（PDF）、契約原本
現在の判断	必要条件が未確認のため開始を保留。条件がそろった後に承認者が判断
確認日・見直し	2026-09-15／次回2026-10-15。契約、データ、用途、公開範囲が変われば前倒し

事故窓口は社内の初動を担います。漏えい等が疑われたら利用停止や事実確認を進め、個人情報保護法上の報告・本人通知が必要な事態かを担当者が判断します（出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、3-5）。配布Excelには同じ見本と25項目の空欄版があります。最初は一業務の「入力する情報」「出力の使い道」「利用する契約」「確認する担当者」から記入してください。25項目すべてを一律の審査にせず、外部提供や追加学習など、その業務で行うことに関係する項目を選びます。

AI利用の制度一覧・記入例・空欄版をExcelでダウンロードして、自社の整理に使えます。

次に決めるのは、自社が最初に使う一つの業務の入力範囲と確認者です。法律の条文、指針の対象、契約の版、社内の判断を対応付ければ、「何に対応済みで、何が未確認か」を説明できます。個別の適法性に迷う案件は、所管機関の窓口や専門家へ、用途とデータの流れを示して相談してください。

調べた条件を社員に渡す手順へ落とす際は、生成AIの情報漏えいを防ぐ7つの社内ルールで、利用者の行動と管理設定を対応させられます。

参考出典

• 内閣府AI法の公布・一部施行・全面施行情報
• 内閣府適正性確保指針、2025-12-19、1・2（PDF）
• 内閣府各府省庁等のAIガイドライン一覧、2026-09-15確認
• 個人情報保護委員会通則編、2026年6月一部改正、1-1・2-6・3-1・3-4〜3-6
• デジタル庁政府向け生成AIガイドライン第2.0版、2026-06-12、2.2・附則（PDF）
• 個人情報保護委員会2026年改正個人情報保護法等、2026-07-17公布、附則第1条（PDF）
• 個人情報保護委員会令和8年改正個人情報保護法の成立・公布・整備状況
• 参議院AI法案の審議情報、第217回国会・閣法第29号、提出・成立・公布日