2026年3月31日、総務省と経済産業省はAI事業者ガイドラインの第1.2版を公表しました。2024年4月の第1.0版から数えて3度目の更新で、今回はAIエージェントやフィジカルAIに関する記述が新たに加わっています。

生成AIを業務に取り入れる企業が増えるなか、「何を守ればよいのか」「法律との関係はどうなっているのか」を整理できていない現場は少なくありません。この記事では、AI事業者ガイドラインの位置づけ、対象となる主体、共通の指針10項目、AI推進法との関係、そして業務システムにAIを組み込む際の実務ポイントまでを順に解説します。

この記事を読むと理解できること

• AI事業者ガイドラインとは何か、策定の背景と法的な位置づけ

• 第1.0版から第1.2版までの改定履歴と最新版の主な変更点

• AI開発者・AI提供者・AI利用者という3つの対象主体の違い

• すべての主体に共通する10の指針の内容

• AI推進法とAI事業者ガイドラインの関係

• 社内規程、リスク評価、チェックリストなど企業が取るべき対応

• 業務システムにAIを組み込むときに押さえたい実務ポイント

AI事業者ガイドラインとは何か、策定の背景と位置づけ

AI事業者ガイドラインとは、総務省と経済産業省が共同で策定した、AIの開発・提供・利用に関わる事業者向けの指針です。AIがもたらす社会的なリスクを抑えつつ、イノベーションと活用を促すことを目的としています。生成AIに限らず、業務システムや分析システムに組み込まれるAIも広く対象に含みます。

AI事業者ガイドラインの特徴は、事業者が自ら判断して行動できるよう、理念だけでなく具体的な実践方法まで示している点です。国が細かくルールを決めて守らせるのではなく、事業者がリスクの大きさに応じて自主的に取り組む考え方をとっています。

3つの既存ガイドラインを統合して生まれた

AI事業者ガイドラインは、それまで別々に存在していた国内のAI関連ガイドラインを1本にまとめたものです。統合の対象になったのは、総務省の「国際的な議論のためのAI開発ガイドライン案」(2017年)、総務省の「AI利活用ガイドライン」(2019年)、経済産業省の「AI原則実践のためのガバナンス・ガイドライン」(2022年)の3つです。

統合にあたっては、G7で議論された広島AIプロセスの国際指針とも整合が取られています。国内の事業者が国際的な議論と同じ方向を向いて取り組めるようにすることも、AI事業者ガイドラインの狙いの一つです。

法的拘束力と罰則はあるのか

AI事業者ガイドラインは法律ではなく、いわゆるソフトローです。守らなかったことを理由に罰則が科される仕組みはありません。

ただし、拘束力がないから無視してよいわけではありません。AIによる情報漏えいや差別的な判断が表面化すれば、取引先や顧客からの信頼を失います。大手企業の調達や取引の場面で、AIガバナンスの取り組み状況を確認されるケースも増えており、AI事業者ガイドラインは事実上の共通言語になりつつあります。

本編と別添の2部構成

AI事業者ガイドラインは「本編」と「別添」で構成されています。本編はなぜ取り組むのかという基本理念と、何に取り組むのかという指針を示し、別添はどう実践するのかという具体的な手法や事例をまとめています。

別添には、自社の取り組み状況を確認するためのチェックリストとワークシート、主体をまたぐ仮想事例、海外ガイドラインの参照先なども含まれます。はじめて読む場合は、本編の概要資料で全体像をつかみ、自社に関係する部分だけ別添を参照する読み方が現実的です。

AI事業者ガイドラインの改定履歴と第1.2版の主な変更点

AI事業者ガイドラインは、技術や社会の変化にあわせて更新を続ける「Living Document」として運用されています。総務省の掲載ページで確認できる公表日は次のとおりです。

第1.2版で追加されたAIエージェントとフィジカルAI

第1.2版の大きな変更点は、AIエージェントとフィジカルAIについて、定義、便益、リスクと対策、留意事項、システムやサービスの例が追記されたことです。AIエージェントについては、権限を適切に設定すること、人間の判断を介在させること、操作履歴を定期的に確認・報告することなどが整理されています。

リスクの記載も見直されました。データ汚染攻撃、マルチモーダル生成AIによるプライバシー侵害、自動化バイアスや教育現場での過度な依存などが追加・見直しの対象です。あわせて、事後学習はAI開発者、ガードレールの設定やプロンプトの安全設計はAI提供者の役割として整理され、RAGは推論の一形態であると明記されました。

活用の手引きとチャットボットも公表

第1.2版の公表と同時期に、AI事業者ガイドラインを読み解くための「活用の手引き(案)」と、内容を対話形式で調べられるチャットボットも公開されました。分量の多いガイドラインを実務担当者が使いこなせるよう、ユーザビリティの改善が進められています。

AI事業者ガイドラインは今後も改定が続く見込みです。社内規程などで引用する場合は、版数を明記したうえで、総務省・経済産業省の公式ページで最新版を定期的に確認する運用にしておくと安心です。

AI事業者ガイドラインの対象となる3つの主体

AI事業者ガイドラインは、事業活動でAIに関わる者を3つの主体に分けて、それぞれに求める取り組みを示しています。

一方で、業務外でAIを使う個人や、学習用データを提供するだけの法人・個人は、AI事業者ガイドラインの直接の対象外とされています。

1社が複数の主体を兼ねるケース

注意したいのは、1つの企業が複数の主体に同時に当てはまることがある点です。たとえば、外部の大規模言語モデルを使って社内向けの問い合わせ対応システムを構築し、自社の社員に使わせる場合、その企業はAI提供者であり、同時にAI利用者でもあります。

AI事業者ガイドラインでは、まずユースケースを特定し、関係するステークホルダーを洗い出したうえで、自社がどの立場にあたるかを当てはめる方法が示されています。立場を取り違えると、本来果たすべき役割が抜け落ちるため、最初に整理しておくべきポイントです。

AI事業者ガイドラインが示す共通の指針10項目

AI事業者ガイドラインの中心にあるのが、すべての主体に共通する10の指針です。国内外の原則やガイドラインで共通認識となっている考え方を、10項目に再構成しています。

このうち1から7は各主体が取り組む事項、8から10は社会と連携した取り組みが期待される事項として位置づけられています。前半はリスク管理、後半は活用の促進に重心があると捉えると理解しやすくなります。

安全性と公平性は業務利用で問われやすい

10項目のうち、企業の業務利用で特に問題になりやすいのが安全性と公平性です。生成AIがもっともらしい誤情報を出すハルシネーションは安全性に関わり、採用や与信の判断にAIを使う場面ではバイアスによる不公平が問題になります。

ハルシネーションへの具体的な対処については、ハルシネーション対策の記事でも詳しく整理しています。AI事業者ガイドラインの指針を自社の運用に落とし込むときは、こうした個別リスクの対策とセットで考えることが大切です。

高度なAIシステムに関係する事業者への追加指針

AI事業者ガイドラインには、共通の指針とは別に、基盤モデルや生成AIを含む高度なAIシステムに関係する事業者向けの指針もあります。広島AIプロセスの国際指針をもとに、リスクの特定・評価・軽減、脆弱性への対応、情報共有、リスク管理方針の策定と開示、コンテンツ認証の仕組みなどが挙げられています。

主にAI開発者を想定した内容ですが、AI提供者やAI利用者にもリスク低減や適切な利活用の役割が書かれています。生成AIを業務で使う企業であれば、自社に関係する部分に目を通しておく価値があります。

AI事業者ガイドラインで主体別に求められる対応

共通の指針を土台に、AI事業者ガイドラインでは主体ごとに重要な取り組みが整理されています。ここでは要点を絞って紹介します。

AI開発者に求められること

AI開発者には、開発のライフサイクル全体での配慮が求められます。データの前処理や学習の段階では、適切なデータを使い、バイアスや個人情報に配慮することが重要です。

開発段階では安全性やセキュリティを考慮した設計を行い、開発後は検証できるよう記録を残し、AI提供者などの関係者に必要な情報を提供します。第1.2版では、事後学習もAI開発者の役割として整理されました。

AI提供者に求められること

AI提供者は、AIを製品や業務システムに組み込んで届ける立場です。実装時には、意図しない使われ方を想定したリスク対策、バイアスへの配慮、プライバシーとセキュリティの確保が求められます。

提供後は、システムの構成や想定する使い方を文書化し、AI利用者に正しい使い方や限界を説明することが重要です。第1.2版ではガードレールの設定やプロンプトの安全設計もAI提供者の役割として明記されており、システムを作る側の責任範囲が以前より具体的になっています。

AI利用者に求められること

AI利用者には、AI提供者が想定した範囲で安全に使うことが求められます。入力するデータにバイアスが含まれていないか、個人情報や機密情報を不適切に入力していないかに注意が必要です。

また、AIの出力を使って顧客や取引先に影響する判断をする場合は、その旨を関係者に説明できるようにしておくことも大切です。AI事業者ガイドラインは、利用者であっても使い方次第で責任が生じるという前提に立っています。

AI推進法とAI事業者ガイドラインの関係

AI事業者ガイドラインとあわせて押さえておきたいのが、2025年に成立したAI推進法です。正式名称は「人工知能関連技術の研究開発及び活用の推進に関する法律」で、AI法と呼ばれることもあります。

AI推進法の概要

AI推進法は2025年5月28日に成立し、6月4日に公布・一部施行、9月1日に全面施行されました。全面施行により、内閣総理大臣を本部長とするAI戦略本部が設置され、国としてAI基本計画を策定する枠組みが整いました。

AI推進法は、AIの研究開発と活用を推進することを主な目的としています。事業者には、AIの活用による事業の効率化や高度化に努めることと、国や地方公共団体の施策に協力することが責務として定められています。違反に対する罰則は設けられていませんが、国は権利侵害の事案などを調査し、事業者に指導・助言・情報提供を行う仕組みを持っています。

法律と指針、ガイドラインの役割分担

AI推進法そのものは、事業者が守るべき細かい行動基準を定めていません。2025年12月には、AI推進法に基づき「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」が決定され、事業者が自主的に取り組む際の考え方が示されました。

この適正性確保の指針でも、各府省庁のガイドラインの代表例としてAI事業者ガイドラインが挙げられています。つまり、AI推進法が全体の枠組みを示し、AI事業者ガイドラインが事業者の具体的な行動の拠り所になるという関係です。AI推進法への企業の対応については、AI推進法への対応を解説した記事もあわせて参考にしてください。

AI事業者ガイドラインに沿って企業が取るべき対応

AI事業者ガイドラインを読んだだけでは、現場の運用は変わりません。ここでは、企業が実際に取り組むべき対応を4つのステップで整理します。

自社の立ち位置とAI利用の棚卸し

最初に行うのは、社内でどのようなAIがどこで使われているかの棚卸しです。生成AIツールの利用、AI機能付きSaaSの導入、自社開発の業務システムへのAI組み込みなど、ユースケースごとに一覧にします。

そのうえで、ユースケースごとに自社がAI開発者、AI提供者、AI利用者のどれにあたるかを当てはめます。部門ごとに勝手に導入された生成AIツールが見つかることも多く、この段階で利用実態が初めて見えるという企業も少なくありません。

社内規程とAI利用ポリシーの整備

次に、AI事業者ガイドラインの共通の指針を参考に、社内のAI利用ポリシーやガイドラインを整備します。入力してはいけない情報の範囲、出力をそのまま使ってよい業務と人の確認が必要な業務、利用を許可するツールの基準などを明文化します。

規程は作って終わりではなく、教育とセットで浸透させることが重要です。共通の指針の8番目にある教育・リテラシーは、まさにこの部分にあたります。AIガバナンスの体制づくり全体については、AIガバナンスとは何かを解説した記事で詳しく紹介しています。

リスク評価とチェックリストの活用

ユースケースごとに、AIの誤りや偏りが起きたときの影響の大きさを評価します。社内向けの文書要約と、顧客への与信判断では、求められる管理の水準が大きく異なります。リスクの大きいユースケースから優先的に対策を講じるリスクベースの考え方が、AI事業者ガイドラインの基本です。

評価の際に役立つのが、AI事業者ガイドラインの別添として公開されているチェックリストとワークシートです。共通の指針や主体別の重要事項に沿って、対応状況を項目ごとに確認できます。自社独自の評価シートをゼロから作るより、公式のチェックリストを起点にカスタマイズするほうが抜け漏れを防げます。

アジャイル・ガバナンスで継続的に見直す

AI事業者ガイドラインは、環境やリスクの変化に合わせてガバナンスを回し続ける「アジャイル・ガバナンス」の考え方を採っています。一度ルールを作って固定するのではなく、運用で見えた課題を踏まえて規程や体制を見直すサイクルを回します。

AI事業者ガイドライン自体も改定が続いているため、版の更新をきっかけに社内規程を点検する運用にしておくと、無理なく最新の考え方を取り込めます。

業務システムにAIを組み込む際のAI事業者ガイドライン実務ポイント

社内の業務システムや顧客向けサービスにAIを組み込む場合、企業はAI提供者としての役割を担うことになります。ここでは、設計や開発の段階で押さえておきたい実務ポイントを紹介します。

人間の判断が介在する画面と業務フローを設計する

AI事業者ガイドラインが繰り返し求めているのが、必要に応じて人間の判断を介在させることです。これは規程に書くだけでは実現せず、業務システムの画面と業務フローに組み込んで初めて機能します。

たとえば、AIが作成した回答案を担当者が確認してから送信する画面、AIの判定結果に根拠や確信度を表示して担当者が判断しやすくするUIなどが考えられます。確認のステップが手間になりすぎると形骸化するため、使いやすさと確認の確実さを両立させる設計が求められます。

AIエージェントには権限と操作履歴の管理を組み込む

第1.2版で追記されたAIエージェントの留意事項は、業務システムへの組み込みで特に重要です。AIエージェントが社内システムを操作できる範囲を必要最小限に絞り、重要な操作の前には人間の承認を挟む設計にします。

あわせて、AIエージェントがいつ何を実行したかを操作履歴として残し、定期的に確認できる仕組みも必要です。外部からの指示文でAIが不正に操作されるプロンプトインジェクションへの対策も、セキュリティ確保の観点から欠かせません。

データの扱いと利用者への説明を設計段階で決める

RAGのように社内データを参照させる仕組みでは、どのデータを参照させるか、権限のない社員に機密情報が出力されないかを設計段階で決めておく必要があります。第1.2版ではRAGが推論の一形態と明記され、AI提供者の役割として整理されています。

また、AI利用者である社員や顧客に対して、AIが何をしているのか、どのような限界があるのかを画面上やマニュアルで説明することも、透明性の指針に沿った対応です。こうした要件は後から追加すると手戻りが大きいため、要件定義の段階でAI事業者ガイドラインを参照しておくのが効率的です。

業務システムへのAI組み込みを外部パートナーと進める場合は、こうしたガバナンス要件まで設計に落とし込めるかどうかも選定のポイントになります。AI導入支援の進め方と依頼先を紹介した記事も参考にしてください。

まとめ

AI事業者ガイドラインは、総務省と経済産業省が3つの旧ガイドラインを統合してまとめた、AIの開発・提供・利用に関わる事業者向けの指針です。法的拘束力や罰則はありませんが、取引や信頼の面では事実上の共通言語になりつつあります。2026年3月公表の第1.2版では、AIエージェントやフィジカルAIに関する記述が加わりました。

対象はAI開発者、AI提供者、AI利用者の3主体で、1社が複数の立場を兼ねることもあります。人間中心から始まる共通の指針10項目を土台に、主体ごとの取り組みが整理されています。2025年に全面施行されたAI推進法が全体の枠組みを示し、AI事業者ガイドラインが事業者の具体的な行動の拠り所になるという関係です。

企業がまず取り組むべきは、AI利用の棚卸し、社内規程の整備、チェックリストを使ったリスク評価、そして継続的な見直しです。業務システムにAIを組み込む場合は、人間の判断の介在、AIエージェントの権限と操作履歴、データの扱いを設計段階から組み込むことが、AI事業者ガイドラインを実務で生かす近道になります。

AI事業者ガイドラインに関するよくある質問

AI事業者ガイドラインに違反すると罰則はありますか

AI事業者ガイドラインは法律ではないソフトローのため、違反を理由とする罰則はありません。ただし、AIに起因するトラブルが起きた場合の信頼低下や取引への影響は避けられないため、自主的に取り組む価値は大きいといえます。

生成AIツールを使うだけの企業も対象になりますか

対象になります。事業活動で生成AIツールなどを利用する企業は、AI事業者ガイドラインのAI利用者にあたります。入力する情報の管理や、出力の確認体制など、利用者として求められる取り組みがあります。

AI事業者ガイドラインの最新版はどこで確認できますか

総務省と経済産業省の公式ページで、各版の本編、別添、概要資料、チェックリストなどが公開されています。2026年10月時点で確認できる最新版は2026年3月31日公表の第1.2版です。今後も改定が予定されているため、定期的に公式ページを確認してください。

AI事業者ガイドラインとAI推進法はどちらを優先すべきですか

両者は役割が異なるため、どちらか一方ではなく両方を前提に考えます。AI推進法は国全体の推進の枠組みと事業者の責務を定めた法律で、AI事業者ガイドラインは事業者が具体的にどう行動するかを示した指針です。実務ではAI事業者ガイドラインを社内規程やリスク評価の拠り所にするのが一般的です。