// AIセーフティ
安全に使えるかを、導入の前に確かめる。
AIの利用は実証実験の段階を過ぎ、実運用に入りました。2026年3月31日に公表されたAI事業者ガイドラインVer1.2は、その前提に立って人間の判断を設計要件と位置づけております。本ページでは、日本で実際に適用される基準を整理し、ご検討の際に確認いただきたい点、そして当社自身が同じ基準をどう自らに適用しているかをご説明いたします。
// 適用される基準
拘束力のあるもの、努力義務にとどまるもの、そして期日が動いたもの。
2026年8月時点の状況です。AIガバナンスの資料は期日が古いまま流通しているものが多いため、出典を末尾に記載しております。
AI推進法
2025年5月28日成立、同年6月4日公布・一部施行、9月1日全面施行。罰則規定も禁止規定もございません。事業者に課される直接の義務は、国の施策への協力の努力義務のみです。実効性は、悪質な場合に国が実態調査のうえ事業者名を公表する仕組みと、個人情報保護法・著作権法・不正競争防止法などの既存法令が担っております。
AI事業者ガイドライン Ver1.2
実務上の基準はこちらです。総務省と経済産業省が2026年3月31日に公表した改訂版で、AIエージェントとフィジカルAIを新たに定義し、人間の判断を必須とする設計思想を明記しております。実証実験から社会実装への移行を前提とした内容です。法的拘束力はございませんが、逸脱される場合には、その理由を説明できる状態にしておく必要がございます。
EU AI Act：期日が動きました
第50条の透明性義務は2026年8月2日から適用されております。AIとの対話であることの明示と、AI生成コンテンツの表示が求められます。一方で、単独型の高リスクAIに関する義務は、2026年6月29日に理事会が最終承認したデジタル・オムニバスにより2027年12月2日へ、既存規制対象製品に組み込まれた高リスクAIについては2028年8月2日へ延期されました。なお、第50条第2項の機械可読な標識については、2026年8月2日より前にEU市場へ投入されたシステムに限り、2026年12月2日までの経過措置が設けられております。旧来の期日を前提とした資料が今も流通しておりますので、ご注意ください。
ISO/IEC 42001 と NIST AI RMF
ISO/IEC 42001はAIマネジメントシステムの国際規格で、認定機関による審査を経て3年周期で認証されます。任意規格であり、法令上の義務ではございません。それでも調達要件として現れはじめているのは、認証があれば購買側が自ら監査する手間を省けるためです。NIST AI RMFは、Govern／Map／Measure／Manage の4機能で構成される、もう一つの共通参照枠です。
// 審査で問われること
審査で必ず問われる六つの点。
情報システム部門とリスク管理部門から実際に提示される論点です。着手の前にお手元でご確認いただけます。
モデルとデータはどこで処理されますか。
処理と保管の所在地、越境の有無、国内に留める選択肢の有無。個人情報保護法の適用範囲に直結いたします。
誰が出力を確認していますか。
AI事業者ガイドラインVer1.2は人間の判断を設計要件としております。どの判断点に人が入るかを、運用手順として示す必要がございます。
誤った場合に何が起きますか。
誤りの検知方法、影響範囲の特定、通知の経路、復旧の手順。想定していない旨のご回答は、審査上の指摘事項になります。
入力側の防御はありますか。
外部から取り込んだ文章が指示として解釈される経路への対策です。信頼できない入力をどう扱うかをご確認ください。
出力側の防御はありますか。
個人情報や機微情報、閲覧権限のない相手への内部情報の流出を止める仕組みです。
契約終了時に何を持ち出せますか。
データ、設定、モデル成果物の可搬性です。移行可能性は主権性の一部としてご確認ください。
// 当社の適用方針
同じ基準を、自社の業務にも適用しております。
お客様に求める水準を当社が満たしていなければ、申し上げる意味がございません。以下は方針の表明ではなく、実際の運用です。お取引の過程でご確認いただけます。
自社の業務
自らに課している基準
- お客様からお預かりしたデータを、公開APIの学習対象となる経路に流すことはございません。
- お客様向けの成果物は、AIが下書きしたものも含め、担当者が内容を確認したうえでお渡しいたします。
- AIが生成した分析や数値には出典を併記いたします。確認できない事実は記載いたしません。
- AIを用いた工程は記録し、ご要望に応じて開示いたします。
ベンダーとの取引
取り扱う前に確認していること
- モデルとデータがどこで処理されるか、国内に留められるかを確認いたします。
- 人による確認をどの判断点に組み込めるかを、製品仕様として確認いたします。
- 誤った出力を検知する手段と、お客様への通知経路を確認いたします。
- 契約終了時にデータとモデル成果物を持ち出せるか、その手順を確認いたします。
お客様と販売パートナー
お伝えしていること
- その用途に本当にAIが必要かどうかを、最初にご一緒に検討いたします。
- 適さない用途については、適さないと申し上げます。導入を前提とはいたしません。
- 販売パートナーには、製品の限界と、説明してはならない事項を明記した資料をお渡しいたします。
- 運用開始後に何を監視すべきかは、引き渡しの一部としてお伝えいたします。
// 関連する取り組み
セーフティは独立した項目ではなく、設計と診断の各所に組み込まれております。
// 長期の論点について
遠い議論と、明日の稟議を切り分ける。
AIの長期的なリスクをめぐる議論は活発です。元OpenAI研究者のDaniel Kokotajlo氏が設立したAI Futures Projectは、能力の急速な向上を前提とした予測シナリオ「AI 2027」を公表し、続いて政策提言「AI 2040: Plan A」を発表しました。後者は、開発の減速、透明性の確保、そして力が一部に集中しない制度設計を提案するものです。
当社は、こうした予測の当否を判定する立場にはございません。ただ、そこから導かれる設計上の含意は、明日の稟議にもそのまま当てはまります。中身を検査できないモデルに判断を委ねないこと。人が止められる箇所を残すこと。撤退の経路を確保しておくこと。長期のシナリオを信じるかどうかにかかわらず、いずれも合理的な設計です。
実務でお手伝いできるのは後者です。制度が固まるのを待たずに、確認可能な設計を積み上げてまいります。
// 設計上の含意
- 検査できない判断を、自動で確定させない。
- 人が停止できる箇所を、必ず一つ残す。
- 権限は、その処理に必要な最小限に留める。
- 撤退の経路を、導入と同時に用意しておく。