2026.09.06 AI

AI法とは？日本のAI推進法とEU AI法の違いを条文から整理【2026年9月時点】

「AI法」で検索したとき、出てくる記事が日本の話をしているのかEUの話をしているのか分かりにくい状態が続いています。内閣府は令和7年法律第53号をAI法と略していますが、同じ言葉がEUのAI Actの訳語としても流通しているためです。この記事では、日本のAI法の条文構成と第7条が事業者に求める内容、2025年12月19日に決まった適正性確保の指針が開発側・導入側に投げている5項目、そしてEU側の適用日程がAIオムニバス規則でどう動いたかを、公開された一次資料に沿って整理します。読み終えたときに、自社がいつ何を決めればよいかが判断できる状態を目指しました。

まとめ：AI法対応で先に決める範囲と後回しにできる範囲

日本のAI法に制裁金や罰則の規定はありません。条文は全4章28条で、国の施策と人工知能戦略本部の設置が中心です。事業者に向けた条文は第7条だけで、そこに書かれているのは「自ら積極的にAIを使うよう努める」ことと「国と地方公共団体の施策に協力する」ことの二つです。したがって、EUのような適合性評価や技術文書の作成をいま急いで準備する必要はありません。

ただし、動かなくてよいという結論にはなりません。AI法第13条を根拠に決まった適正性確保の指針が、AIを開発・提供する側と業務で使う側に対して、ガバナンスの構築、利用者への情報提供、生成物の判別技術、そして事業継続計画の策定までを名指しで求めています。この指針は公共調達や大企業の調達要件に転写されやすく、罰則の有無とは別の経路で発注条件になります。

EU側は事情が違います。本体規定は2026年8月2日に適用が始まり、附属書IIIの高リスク分野は2027年12月2日、製品に組み込まれるタイプは2028年8月2日へ延期されました。EU市場へ製品やサービスを出す予定があるなら、この日付から逆算した準備が必要です。日本国内だけで完結する社内利用なら、優先すべきは指針に沿った社内規程と記録の整備で、認証取得や体制の作り込みは後回しで構いません。

AI法と呼ばれる2つの法律の区別と内閣府が用いる略称の使い分け

同じ「AI法」という3文字が、性格の正反対な2つの法律を指しています。ここを分けないまま読むと、罰則の有無も、対応の期限も、社内でやるべきことも全部ずれます。

AI法の正式名称と2025年6月4日公布・9月1日全面施行という経緯

日本のAI法は令和7年法律第53号です。内閣府が公開している紹介ページでは、公布日が令和7年6月4日、一部施行が同日、全面施行が9月1日と記載されています。この段差は附則第1条によるもので、総則と基本的施策は公布と同時に動き、人工知能基本計画と人工知能戦略本部に関する第3章・第4章だけが「公布の日から起算して三月を超えない範囲内において政令で定める日」に送られました。

事業者に関わる条文は2025年6月4日の時点ですでに効いています。「2025年9月に施行された法律」という説明は、全面施行だけを見た言い方です。

EU側のAI法を指す場合の呼び分けと検索時に混同しやすい表記

EUのRegulation (EU) 2024/1689は、日本語圏で「EU AI法」「EU AI規制法」「AI Act」という複数の呼称が定着した法令です。検索ボリュームで見ると「eu ai法」が月間604回あり、単独の「AI法」1,284回のかなりの部分がEUの話を探している可能性があります。記事タイトルに国名が入っていない解説を読むときは、まず罰則の記述を探すと判別できます。制裁金の上限額が書いてあればEU側、「罰則はありません」で始まっていれば日本側です。

もう一つ紛らわしいのが「AI基本法」という呼び方です。これは日本のAI法を、科学技術・イノベーション基本法やデジタル社会形成基本法と同じ「基本法」の系列として捉えた通称で、条文上の名称ではありません。行政の資料では使われないため、社内文書では法令番号を併記しておくと後で揉めません。

AI推進法の全4章28条という構成と第7条が事業者に課す協力義務

条文を通しで読むと、この法律が誰に何を命じているのかが見えてきます。全体で28条、A4で3ページ分しかありません。

総則から人工知能戦略本部までの全4章構成と罰則規定が無い理由

e-Gov法令検索で公開されている条文の構成は、第一章総則（第1条〜第10条）、第二章基本的施策（第11条〜第17条）、第三章人工知能基本計画（第18条）、第四章人工知能戦略本部（第19条〜第28条）と附則です。第二章の中身は研究開発の推進、施設・設備の整備、適正性の確保、人材の確保、教育の振興、調査研究、国際協力で、主語はいずれも「国は」です。

罰則の章がないのは、条文の設計として禁止行為を定めていないからです。何かを禁じていない以上、違反という状態が発生しません。この構造は、EUのAI Actが特定の慣行を明示的に禁止し、その違反に制裁金を紐づける仕組みとは真逆です。ただし附則第2条に検討条項が置かれ、国際的動向と社会経済情勢の変化を勘案して施行状況を検討し、必要なら措置を講ずるとされています。規制が将来入る余地は条文に書き込まれています。

第7条の条文が単なる努力義務ではなく協力義務として書かれた点

事業者に向けた条文は第7条だけです。対象は、AIを使った製品またはサービスを開発・提供しようとする者と、その他AIを事業活動で使おうとする者。SaaSを売る側も、社内で生成AIを入れる側も、どちらも入ります。海外の事業者も含まれると指針の脚注に明記されています。

読み落とされやすいのが、この条文が二層になっている点です。前段は「自ら積極的にAIを用いて事業活動の効率化・高度化と新産業の創出に努める」で、これは努力の話です。後段は違います。国の施策と地方公共団体の施策に「協力しなければならない」と書かれており、文末が努力規定ではありません。多くの解説が第7条をまとめて「努力義務」と紹介していますが、条文の書きぶりとしては後段は義務の形をとっています。制裁がないため実務上の強制力は限定的ですが、社内で法務レビューを通すときに、この差を説明できるかどうかで話の精度が変わります。

第16条が定める国の調査と指導・助言・情報提供という実効経路

罰則がない法律がどう効くのかを示しているのが第16条です。国は、国内外のAIの研究開発と利用の動向を収集し、不正な目的や不適切な方法によって国民の権利利益の侵害が生じた事案を分析し、対策を検討する。そのうえで、研究開発機関や事業者その他の者に対して指導、助言、情報の提供その他の必要な措置を講ずる、という条文です。

つまり、個別事案を国が分析して名指しで指導できる建て付けになっています。金銭的な制裁はありませんが、事案が公表資料に載る形で扱われれば、取引先や採用市場への影響は制裁金と別種の重さを持ちます。ここが日本のAI法の実効性を支えている部分で、「罰則がないから何もしなくてよい」という読み方が成立しない理由です。

AI法第13条に基づく適正性確保の指針が開発側と導入側に求める事項

第13条は、国が国際的な規範の趣旨に即した指針を整備すると定めています。これを受けて2025年12月19日、人工知能戦略本部が適正性確保の指針を決定しました。全10ページの短い文書ですが、事業者向けの具体的な記述はここに集約されています。

指針が示す人間中心・公平性など7要素と自主的な取り組みの範囲

内閣府が公開している指針は、適正性について一義的な定義や絶対的な水準を定めないと明言したうえで、考慮すべき主な要素を7つ挙げています。人間中心、公平性、安全性、透明性、アカウンタビリティ、セキュリティ、プライバシー・個人情報です。平成31年3月29日の「人間中心のAI社会原則」を土台にしています。

各主体は、扱うAIの特性・用途・目的や自身の立場に応じて、その時点で適用し得る技術と知見を踏まえた「適切な水準」で対応することが求められます。水準に数値の境界はなく、自社で線を引く必要がある設計です。逆にいえば、線を引いた記録さえ残せば、規模に見合わない体制を作らなくても説明が立ちます。

事業者が特に取り組む5項目のうち事業継続計画という異色の要求

指針の2章は、AIを使った製品・サービスを開発・提供する事業者と研究開発機関に対して、5つの取り組みを挙げています。他のガイドライン類にあまり見ない項目が混ざっているので、そのまま確認してください。

設計から実装までのライフサイクル全体でリスクを特定・評価・対処する組織的なプロセス（経営層が関与するモニタリング、情報開示、教育・研修を含む）の構築と継続改善
学習データの出所と生成物についての説明可能性の確保、および利用者へのAIの仕組み・限界・禁止事項・データ収集ポリシー・出力の信頼性に関する注意喚起の提供
悪用によるサイバー攻撃や詐欺のリスク特定と対策、ハルシネーションや偽情報の抑制、生成物と判別できる技術（電子透かし、来歴管理、API等）の開発と必要に応じた実装
障害発生に備えた事業継続計画の事前策定
データ保有者などステークホルダーとの継続的なコミュニケーション、社会的影響力の大きい事業者は利益還元の仕組みの検討

4番目の事業継続計画は、ほかの項目とは性質が異なる要求です。AI倫理系の文書は透明性と公平性に紙幅を割きがちですが、この指針はAIを組み込んだシステムの運用者・提供者に対し、障害時に損害を最小限にとどめ早期復旧するための計画を「あらかじめ策定する」と書いています。生成AIをコールセンターや基幹業務に組み込んでいる企業は、モデル提供元の障害でサービスが止まったときの手順書がここに該当します。実務としては、既存のシステム障害対応手順にAI固有の縮退運転を書き足すのが最短です。

AI事業者ガイドラインと適正性確保の指針の関係と参照する順番

現場で混乱しやすいのが、経済産業省・総務省のAI事業者ガイドラインと今回の指針の関係です。順番としては、AI法第13条を根拠に決まった指針が上位の枠組みを示し、各府省庁のガイドライン類はその趣旨と整合するよう点検・見直しを受ける、という関係になります。指針の本文にも、各種ガイドライン等は本指針の趣旨と整合するものとなるよう適宜点検・見直しを行う旨が書かれています。

実務での読み方はこうです。何をやるべきかの粒度が細かいのはAI事業者ガイドラインなので、社内規程を書くときの参照先はそちらで構いません。指針は分量が10ページと短く、経営層への説明資料や、取引先から根拠を問われたときの一次資料として使うのが向いています。指針は国際規格としてISO/IEC 42001（AIマネジメントシステム）を脚注で挙げており、認証を取りに行く場合の接続先もここで示されています。

EU AI法の適用期日とオムニバス規則による高リスク義務の延期後日程

EU側は日付が動きました。2025年時点で書かれた解説を読むと誤った準備計画を立てるおそれがあるため、現在の日程を確認します。

2026年8月2日に一般適用となった範囲と透明性義務の対象範囲

欧州委員会の規制枠組みページによれば、AI Actは2024年8月1日に発効し、禁止されるAIの慣行とAIリテラシーの義務が2025年2月2日、ガバナンス規定と汎用AIモデルの提供者に対する義務が2025年8月2日から適用されました。そして本体が2026年8月2日に一般適用となっています。

この段階で日本企業に効いてくるのは、EU域内の利用者に向けてチャットボットや生成コンテンツを提供している場合の表示です。相手がAIと対話していると分かるようにする、生成物であると判別できるようにする、という透明性の系統は高リスクの分類に入らなくても対象になります。EU AI Actのリスク分類と域外適用の考え方を先に押さえておくと、自社がどの層に落ちるかの判定が早くなります。

高リスク義務が2027年12月2日と2028年8月2日へ延期された影響

欧州委員会のページは、AIオムニバス規則による修正で高リスク分野の適用日が後ろへ動いたことを明記しています。生体認証、重要インフラ、教育、雇用、移民・亡命・国境管理などを含む附属書IIIの分野は2027年12月2日、リフトや玩具のように製品へ統合されるタイプは2028年8月2日からの適用です。同ページはAIオムニバス規則の施行を2026年7月27日としています。

時期	適用される内容	日本企業への影響
2025年2月2日	禁止慣行・AIリテラシー	EU拠点の研修義務
2025年8月2日	汎用AIモデルの義務	モデル提供元の対応確認
2026年8月2日	本体の一般適用	生成物の表示対応
2027年12月2日	附属書IIIの高リスク	採用・与信AIの評価
2028年8月2日	製品組込型の高リスク	機械・機器の適合性

延期を「当面は様子見でよい」と読むのは危険です。採用選考や与信審査にAIを使う計画があるなら、2027年12月から逆算した技術文書とリスク管理体制の準備期間は2年を切っています。一方で、EU市場に出す予定がまったくない国内向けサービスなら、この日程表は自社の作業計画には入りません。

提供者と利用者という立場の違いによって変わる域外適用の判定基準

EU AI Actは、AIシステムを市場に出す側と、それを業務で使う側で義務の重さが違います。日本企業が引っかかりやすいのは、自社が「使う側」のつもりでも、独自にファインチューニングして自社ブランドで顧客に提供した時点で提供者として扱われうる点です。判定の分かれ目は、EU域内の人に対して出力が届くかどうかと、自社の名前でシステムを出しているかどうかの2点になります。

この判定はデジタルオムニバスによる簡素化パッケージでも基本線が変わっていません。

罰則のないAI法が発注要件と契約条項を通じて実務に効いてくる経路

ここからは判断の話です。法律に罰則がないとき、企業を動かすのは行政処分ではなく取引条件です。日本のAI法はまさにその経路で効き始めています。

公共調達と大企業の取引条件がAI法の指針を事実上の要件に変える流れ

指針の3章は、国と地方公共団体に対して、自ら積極的かつ先導的にAIを使うことと、公共調達における開発実証機会の提供を進めることを求めています。行政が調達側に回るとき、自分たちが従うべき指針の要素を仕様書へ落とすのは自然な流れです。

民間でも同じことが起きます。上場企業が自社のAIガバナンスを開示すれば、その範囲は委託先にも及びます。受託開発の現場では、これが「学習データの出所を示せるか」「出力のログをどれだけ保持するか」という具体的な要求です。罰則の有無を議論するより、提案書に書ける状態を作るほうが実利があります。各国の規制方式の違いを横断的に見ておくと、外資系の取引先から来る要求の背景も読めるようになります。

人工知能基本計画（第Ⅱ期）が示す政策の方向と社内規程への反映

AI法第18条に基づく人工知能基本計画は、最初の計画が2025年12月23日に閣議決定され、第Ⅱ期が2026年7月14日に閣議決定されています。半年強で改定された点に、この分野の政策サイクルの速さが表れています。最初の計画は「信頼できるAIによる日本再起」を掲げ、AIを使う・創る・信頼性を高める・協働するという4つの方向と、イノベーション促進とリスク対応の両立、アジャイルな対応、内外一体での政策推進という3つの原則を置きました。

社内規程を作る側から見ると、参照すべきは計画そのものより改定の頻度です。規程本文に計画の版番号や年度を書き込むと、半年で古くなります。「内閣府が公表する最新の基本計画および指針に従う」と書き、具体の手順は別紙の運用ルールに逃がす構成にしておくと、改定のたびに規程改正の稟議を回さずに済みます。

AIガバナンス整備を急ぐ条件と当面は着手不要と判断してよい線引き

指針が求める内容を全部やろうとすると、体制構築だけで数か月かかります。全社が同じ速度で動く必要はありません。ここでは着手の要否を条件で切ります。

社内での利用のみで完結する段階でガバナンス構築を見送る判断条件

次の3条件をすべて満たす段階なら、AIガバナンス体制の構築は見送って構いません。外部提供がない、出力が人の確認を経てから外に出る、そして扱うデータに個人情報や取引先の秘密情報が含まれない。この状態では、指針が想定する「多くの主体に影響を及ぼし得る」局面が発生していません。

この段階でやるべきことは、利用ルールを1枚にまとめることだけです。入力してよい情報の範囲、出力を対外文書に使うときの確認者、禁止用途。分量はA4で1枚に収まります。委員会の設置、AIごとのリスク評価シート、外部監査の検討は、この段階では過剰投資です。整備した体制を使わないまま維持コストだけが残ります。

生成AIを自社製品に組み込む段階で先に決める責任分界と記録の粒度

逆に、上の条件が1つでも崩れたら着手してください。特に、AIの出力が顧客の目に直接触れる形で製品に入る場合は、指針の5項目が正面から当たります。先に決めるべきは体制図ではなく、責任分界と記録の粒度です。モデル提供元の障害・仕様変更で出力が変わったときに誰が判断するか、出力に起因する損害の負担をどう契約に書くか、入出力のログをどの期間保持するか。この3点を決めないまま開発に入ると、リリース直前の法務レビューで止まります。

記録の粒度は、全件ログを取る前提で設計しないほうが現実的です。個人情報を含む入力を丸ごと保存すると、保護法制上の問題につながる設計です。プロンプトの分類とモデルの版番号、出力の採否だけを残し、本文は保持しないという設計で説明が立つケースが多くあります。設計段階での切り分けに迷う場合は、生成AI導入支援のような外部の設計レビューを一度挟むと、後戻りの手戻りを減らせます。

よくある質問

AI法をめぐって実務でよく聞かれる質問を、条文と指針の記載に沿って答えます。

AI法に違反した場合の罰則はありますか？

日本のAI法（令和7年法律第53号）に罰則規定はありません。禁止行為を定めていないため、違反という状態が条文上発生しない構造です。ただし第16条により、国は権利利益の侵害が生じた事案を分析し、事業者に対して指導、助言、情報の提供その他の必要な措置を講ずるとされています。金銭的な制裁はなくても、個別に指導を受ける経路は法律に明記済みです。EUのAI Actは別で、こちらは違反類型ごとに制裁金の上限が定められています。

AI法とEU AI法のどちらに先に対応すべきですか？

EU域内の利用者へ製品やサービスを提供する予定があるかどうかで決まります。予定があるなら、期限が明確なEU側が先です。本体は2026年8月2日に一般適用となり、附属書IIIの高リスク分野は2027年12月2日から適用されます。EU市場に出す予定がないなら、日本の指針に沿った社内ルールの整備を先に済ませるほうが投資対効果の高い判断です。両方に該当する企業は、EU側の技術文書の要求水準に合わせて記録を設計すると、日本の指針が求める説明可能性も同時に満たせます。

AI推進法とAI事業者ガイドラインは何が違いますか？

法律と、その下で参照される実務文書という関係です。AI法は国の施策と戦略本部の設置を定めた法律で、事業者への言及は第7条だけです。第13条を根拠に人工知能戦略本部が決定した適正性確保の指針が枠組みを示し、経済産業省・総務省のAI事業者ガイドラインが具体の実務手順を示します。社内規程を書くときの参照先はガイドライン、経営層や取引先への説明の根拠として使うのが法律と指針、という使い分けになります。

社内で生成AIを使うだけでもAI法の対象になりますか？

第7条の対象には「AIを事業活動において用いようとする者」が含まれるため、社内利用のみでも条文上の対象です。ただし求められているのは国と地方公共団体の施策への協力であり、届出や登録の手続きはありません。実務として必要なのは、入力してよい情報の範囲と出力の確認手順を定めた1枚のルールです。外部提供や顧客向けの出力が発生した段階で、指針の5項目が本格的に当たってきます。

AI法対応として最初に作るべき社内文書は何ですか？

利用ルールを1枚です。入力禁止情報の範囲、出力を対外文書に用いる際の確認者、禁止用途の3点を書けば足ります。その次に着手するのは、AIを組み込んだシステムが止まったときの縮退運転の手順で、指針が事業者に求める事業継続計画に対応する文書です。委員会の設置やリスク評価シートの整備は、外部提供が始まってからで間に合います。順番を逆にすると、使われない文書だけが増えます。