# ゼロからはじめるAIガバナンス

https://darari-nu.com/governance/

手元のAIに読ませて使ってください。

---

# 第1章 そもそも安全なAIってなんだろう？

このコースは、会社でAIのルール作りを任された人のために書いています。

全20章と付録2本。順番に読むと、安全なAIの見分け方から社内の相談への答え方までが、年間の運用の手順として一本につながります。

第一部は、安全なAIは3つ。倫理・セキュリティ・契約です。

第二部は、回す前に決めるのは2つ。書く場所と、担当です。

第三部は、回す仕事は9つ。

第四部は、作る側。ここだけ数でなく、ゲートで見る3章です。

そのあとに終章と付録。

こんにちは、だらリーヌです！　製造業の会社で働いています。前の職場は同じ会社の中の、AIガバナンスを推進する部署。

AIガバナンスとはざっくりいうと、会社としてAIを安全に使うためのルール作りと、その運用のことを指します。

いまは製造部門に移って、AI活用の推進をやっています。

そもそも、安全なAIってなんだろう？　この章は、そこから始めます。

**会社で使っていい安全なAIとは、倫理的に安全で、セキュリティがしっかりしていて、契約に問題がないAIのことです。**

3つとも外せません。だから、この本では3つを1章ずつ見ていきます。倫理が第2章、セキュリティが第3章、契約が第4章。

## 「安全」は3つでできている

会社が「そのAIはダメ」と言うとき、中身はこの3つのどれかの不安です。倫理、セキュリティ、契約。

倫理は、そのAIを何に使うか。用途を見て、使ってはいけない用途かどうかを仕分けます。

たとえば、採用の合否や人事評価をAIに決めさせる。人の人生に関わる判断を機械に任せると、会社の名前で問題になります。

セキュリティは、入れた情報がどこへ行くか。機密情報や個人情報を入れて、外に漏れないか、です。

たとえば、顧客リストや図面を、個人で登録した無料のAIに貼る。入れた情報が学習に使われ、外に出る可能性があります。

契約は、利用規約や契約書に、会社として飲めない条件がないか。入れたデータの扱いや、責任の範囲がそこに書いてあります。

その規約の上には、サービスを作っている会社がある国の法律があります。

たとえば、利用規約に「入力したデータを学習に使う」「損害は一切補償しない」と書いてある。会社として飲めない条件が、そこにあります。

たとえば「ChatGPTを使いたい」と相談されたら。倫理は使い道を、セキュリティは入れる情報を、契約は規約を見ます。

分けずに「なんとなく不安」のままだと、ダメとしか言えません。分ければ、確かめることが3つに決まります。

会社の「ダメ」は、この3つの確認に置き換えられます。

![会社で使っていい安全なAIは、倫理・セキュリティ・契約の3つの箱でできている図。3つの箱は同じ大きさで横に並ぶ。倫理の下に「何に使うか」、セキュリティの下に「何を入れるか」、契約の下に「どのサービスか（規約）」。各箱の下に第2章・第3章・第4章とある](/images/articles/089-zukai-1.png)

次の章は、3つのうち、まず倫理。用途で仕分けると、使ってはいけない用途が決まります。

## この章の持ち帰り

- 結論: 会社で使っていい安全なAIは、用途・情報・規約の3つで決まる。この本では倫理・セキュリティ・契約と呼ぶ
- 立場: 3つとも外せない。この本では、3つを1章ずつ見ていく
- 注意点: 「なんとなく不安」のままだと、ダメとしか言えない。3つに分解すると、確かめることが決まる
- やること1つ: いま社内で使っているAIを1つ選び、3つのうちどれが不安なのかを考えてみる
- 次章の予告: 3つのうち、まず倫理。用途で仕分けると、使ってはいけない用途が決まる

---

# 第3章 【セキュリティ】入れた情報は、どこへ行くか

第2章ではAIを使う上での倫理チェックを実施しました。

3つのうち、次はセキュリティ。AIを使う際には入れた情報はどこへ行くか？が重要です。

## 入れた情報の置き場所は3つ

AIに入れた情報の置き場所は、おおまかに3パターンあります。

**1. 自社でAIを構築（オンプレ）した場合**

自分たちで、自分の会社用のChatGPTを作るようなもの。情報はすべて自分の会社の中で完結します。

- 例：GPT-OSSやLlamaを使って自社でAIを構築

![自社でAIを構築（オンプレ）。入れた情報は自分の会社の中で完結する図](/images/articles/098-zukai-1.png)

**2. 閉域環境でAIを構築し提供しているAI SaaSを使用する場合**

1で作ったAIサービスを他社展開しているものを使うイメージ。

閉域環境とは、他社が管理する専用の場所のこと。入れた情報を、AIを作った会社に渡さない形です。

SaaSは、インターネット越しに使うサービスのこと。あとで出てくるSaaS型AIサービスも同じですが、こちらは自分たち用に閉じた形です。

入れた情報は、モデルを作った会社ではなく、それを動かして提供している会社に留まります。

- 例：Azure OpenAI（Copilotの一部）
- 例：AWS Bedrock、Vertex AI、Cloudflare Workers AI

**3. SaaS型AIサービスを使う場合**

一般的なAIサービス。作った会社が、そのまま動かしています。

- 例：ChatGPT、Claude、Gemini、Grok

![置き場所の3つを比べる図。自社の中・動かす会社まで・作った会社まで](/images/articles/098-zukai-4.png)

実際は、SaaS型AIサービスを選ぶ会社が多い。

契約では「学習には使わない」「データは30日」と書いてあります。裏を返せば、その30日は持っています。

ここのリスクを判断するのは、あなたの会社です。

ちなみに、ぼくの会社はSaaS型を選びました。病院のように、デリケートな顧客情報を扱う業種なら、実質オンプレなのかもしれませんね。

## 「学習に使わない」と「残らない」は別の話

さきほどの置き場所の3パターンの中を、もう一段だけ細かくみてみましょう。

見るのは2つだけ。

- 学習に使われるか
- どの期間残るか？

この2つは別のこと。学習に使わなくても、会話は残る。

「保存しない」でも、監視のログは残ることがあります。

![縦は学習に使うか、横はどの期間残るか。2つの軸で見る図](/images/articles/098-zukai-3.png)

初期設定は、この「学習と保持の表」のとおり。

| サービス | プラン | 学習に使う？ | どの期間残るか？ |
|---|---|---|---|
| ChatGPT | 無料・Plus・Pro | 使う | 消すまで |
| ChatGPT | Business・Enterprise | 使わない | 無期限 |
| ChatGPT | API | 使わない | 監視ログ30日 |
| Claude | 無料・Pro・Max | 許可したときだけ | 最長5年 |
| Claude | Team・Enterprise | 使わない | 消すと30日以内 |
| Claude | API | 使わない | 30日以内に削除 |
| Gemini | 個人 | 使う（一部は人が見る） | 18か月 |
| Gemini | Workspace | 使わない | 90日〜無期限を管理者が決める |
| Gemini | Vertex AI | 使わない | 24時間 |
| Azure OpenAI | — | 使わない | 監視でひっかかった分だけ残る |

個人向けは、手で「学習ON/OFF」を選択できます。よく、「オプトアウト」と言ったりしていますね。

- ChatGPTの無料・Plus・Pro … 設定でオフ
- Claudeの個人プラン … 許可したときだけ
- Geminiの個人 … アクティビティをオフにすると学習に使われず、保持も72時間

エンタープライズ版は、初期設定で学習に使いません。ここが企業向けに選ばれる理由です。ぼくの職場もClaude Teamプランです。

- ChatGPTのBusiness・Enterprise
- ClaudeのTeam・Enterprise
- Google Workspace
- Azure OpenAI

## ゼロ保持のサービスはあるのか

ゼロ保持、つまり初期設定で保存しないプランは、無い。

一部のAPIは、申請と承認のあとに、保存しない設定にできます。

できるのは、OpenAI・Anthropic・GoogleのAPIと、Azure OpenAIの4つ。

画面で使うサービスは、できません。会話履歴が機能そのものだからです。

ゼロ保持がいい。でも、無い。では、どうするか。

学習と保持の表を見て、あなたの会社の中でどこまで情報を渡せるかを決めましょう！ポイントは3つです。

① 絶対に情報を渡したくない → オンプレのみ

② 学習にさえ使われなければいい → 設定で切る（手動の切り替えでもOK）

③ 手動の切り替えすら人に任せたくない → エンタープライズ版

![3つのポイントの分かれ道。オンプレのみ・設定で切る・エンタープライズ版](/images/articles/098-zukai-5.png)

## その他気をつけることは？

AIを利用する時に気をつけることは「機密情報を入れていいか」だけではありません。以下の点、主に運用面もチェックしておくと良いでしょう。

| No | 内容 |
|---|---|
| 1 | 入力する情報に個人情報は含まれますか？ |
| 2 | 入力する情報に機密情報・重要情報は含まれますか？ |
| 3 | 認証情報、パスワード、APIキー等を入力しない運用にできますか？ |
| 4 | 出力結果を人が確認してから利用できますか？ |
| 5 | 出力結果を社外公開・顧客提出・製品利用する予定はありますか？ |
| 6 | データがAI学習に使われるか確認しましたか？ |
| 7 | 障害時・誤入力時の対応方法は決まっていますか？ |

なお、AIは関係ありませんが、そもそもSaaSを使っていいかのチェックも念のために載せておきます。

これは自分の会社に合わせてチェックして下さいね。

| No | 内容 |
|---|---|
| 1 | どの業務で利用しますか？ |
| 2 | 主な利用目的は何ですか？ |
| 3 | 利用者は誰ですか？ |
| 4 | 利用者ごとのアカウント管理ができますか？ |
| 5 | 管理者権限を必要最小限にできますか？ |
| 6 | 利用ログ、操作ログ、アクセスログを取得できますか？ |
| 7 | ログが取得できない場合、どのようなリスクがありますか？ |
| 8 | そのリスクをどのような条件で受容しますか？ |
| 9 | サービス提供者のセキュリティ認証や公開情報を確認できますか？ |

### 出どころ

- Microsoft Learn「Azure OpenAI のデータ、プライバシー、セキュリティ」 https://learn.microsoft.com/ja-jp/azure/ai-foundry/responsible-ai/openai/data-privacy

## この章の持ち帰り

- 結論: AIを使う際には、入れた情報はどこへ行くか？が重要。置き場所はおおまかに3パターン
- 立場: ここのリスクを判断するのは、あなたの会社。ぼくの会社はSaaS型を選んだ
- 注意点: 「学習に使わない」と「残らない」は別。ゼロ保持、つまり初期設定で保存しないプランは無い
- やること1つ: 学習と保持の表を見て、あなたの会社の中でどこまで情報を渡せるかを決める。ポイントは3つ（絶対に情報を渡したくない→オンプレのみ、学習にさえ使われなければいい→設定で切る、手動の切り替えすら人に任せたくない→エンタープライズ版）
- 次章の予告: 会社で使っていいかは、規約の数行で決まる。その規約の上には、その国の法律がある

---

# 第4章 【契約】規約の上には、その国の法律がある

入れた情報がどこにあるかで、3つに分かれる。学習に使われるかと、何日残るかは、別の話。ここまでが前の章でした。

では、それはどこで確かめるか。第3章で言った契約に書かれた条件、つまり規約です。

会社でそのAIを使っていいか。決めるのは、規約とその関連文書です。

学習に使われるか、何日残るかは、規約に書いてあります。保存場所や監査ログは、法人向けの説明や契約書のほうです。

そして規約の上には、もう1段あります。そのサービスを作っている会社が、どの国にあるか。その国の法律です。

ちょっと小難しいですが、なるべくかんたんに。

## 確かめる文書は、複数ある

利用規約。プライバシーポリシー。法人向けのデータ処理・セキュリティの説明。

欲しい情報は1ページにまとめて記載されていません。このあたりの複数の文書に散っています。

![利用規約・プライバシーポリシー・法人向けセキュリティの説明の3つの棚に、8項目が散っている図](/images/articles/102-zukai-1.png)

何が、どこにあるか。

- 商用利用できますか（生成した文章や画像を、会社の仕事や製品に使ってよいか） … 利用規約
- 学習に使われるか … データ利用の項
- 何日、何のために残すか … データ保持の項
- 保存場所（国とリージョン） … 法人向けのデータ処理の説明
- 再委託先（さらに委託している会社） … サブプロセッサの一覧ページ
- 暗号化（通信と保存の両方） … セキュリティの説明ページ
- 管理者の監査ログ（誰が何を入れたかを会社側で追えるか） … 管理者向けの説明
- 契約形態（法人契約か、個人アカウントか） … 申込の画面と契約書

## 規約の上には、その国の法律がある

法律までは、基本は見なくていい。規約を確かめれば足ります。

いまのところ、中国のサービスは要注意です。データを国内に置かせる法律と、国が求めたら協力させる法律があるからです。

![サービスと会社の約束（規約）の上に、その会社がある国の法律がもう1段乗っている図](/images/articles/102-zukai-2.png)

例が DeepSeek です。

2025年2月、個人情報保護委員会が「DeepSeekに関する情報提供」を出し、政府からのメッセージとして話題になりました。

前の職場でも、使いたいという声が上がって、緊急に調べました。

利用規約を見たら、日本語、中国語、英語で書いてあることが違う。中国語が一番厳しい。あやしい。

決め手は、契約というより、その上の中国のデータ保存の法律です。会社としてリスクが高すぎる。

最終判断は事業部門の責任者で、会社からブロック、でした。

## 同意した画面を撮って、法務に預ける

利用規約は、サービスの側が用意して、こちらは同意するだけ、という形の条項。民法でいう定型約款です。

定型約款に同意すると、個別の条項にも合意したとみなされます。

用意した側は、条件を満たせば、こちらの合意なしに規約を変えられます。

だから、同意したら、その画面を撮って、法務に預ける。

撮るのは2つ。同意ボタンの画面と、そのとき出ている規約の版（日付やバージョンが見えるところ）。

預ける先は、契約書と同じ場所。AI専用の保管場所は作りません。有償も無償も撮ります。

![同意ボタンの画面を撮って、契約書の並ぶ棚に預ける流れの図](/images/articles/102-zukai-4.png)

ぼくは、利用規約の同意は必ずスクショを撮って、法務に保管してもらっています。デジタル保管です。

## そのまま使えるもの

社名と設定は、2026年9月時点の一般例です。使う前に、現物で確かめてください。

### 8項目の確認表

サービス名 ＿＿＿＿／確認日 ＿＿＿＿／規約の版（日付・バージョン） ＿＿＿＿

| 項目 | 見る場所 | 書いてあったこと |
|---|---|---|
| 商用利用できますか（生成した文章や画像を、会社の仕事や製品に使ってよいか） | 利用規約 | ＿＿＿＿ |
| 学習に使われるか | データ利用の項 | ＿＿＿＿ |
| 何日、何のために残すか | データ保持の項 | ＿＿＿＿ |
| 保存場所（国とリージョン） | 法人向けのデータ処理の説明 | ＿＿＿＿ |
| 再委託先（さらに委託している会社） | サブプロセッサの一覧ページ | ＿＿＿＿ |
| 暗号化（通信と保存の両方） | セキュリティの説明ページ | ＿＿＿＿ |
| 管理者の監査ログ（誰が何を入れたか会社側で追えるか） | 管理者向けの説明 | ＿＿＿＿ |
| 契約形態（法人契約か、個人アカウントか） | 申込の画面と契約書 | ＿＿＿＿ |

### 国の指針（2つ）

- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」 https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/
- 総務省・経済産業省「AI事業者ガイドライン」 https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html

### 1行ルール

「AIサービスの利用規約に同意したら、同意した画面を撮って、法務に預ける」

- 撮るもの … 同意ボタンの画面と、そのとき出ている規約の版（日付やバージョンが見えるところ）
- 預ける先 … 契約書と同じ場所（AI専用の保管場所は作らない）
- 対象 … 有償も無償も

### 規約を読むときの3行

- 更新日を、言語ごとに並べて見る
- 準拠法の欄（どの国の法律か）と、裁判所の欄（争いをどこで扱うか）を見る
- 保管地の欄を見る

### 出どころ

- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」 https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/
- 総務省・経済産業省「AI事業者ガイドライン」 https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html
- 個人情報保護委員会「DeepSeekに関する情報提供」 https://www.ppc.go.jp/news/careful_information/250203_alert_deepseek/
- 総務省『情報通信政策研究』 https://www.soumu.go.jp/main_content/000783869.pdf
- JETRO大連事務所の資料 https://www.jetro.go.jp/ext_images/world/asia/cn/tohoku/pdf/labor_018.pdf
- DeepSeek 利用規約 日本語版 https://cdn.deepseek.com/policies/ja-JP/deepseek-terms-of-use.html （ja-JP を ko-KR、zh-CN に替えると韓国語版と中国語版）
- Microsoft サービス規約 https://www.microsoft.com/ja-jp/servicesagreement/
- 民法 https://laws.e-gov.go.jp/law/129AC0000000089

## この章の持ち帰り

- 会社で使っていいかは、規約や関連文書の記載で決まる。欲しい情報は複数の文書に散っている
- 規約の上には、サービスを作っている会社がある国の法律がある。いまのところ中国のサービスは要注意
- 同意した画面を撮って、法務に預ける。契約書と同じ場所に
- 次章の予告: 決めた3つの確認を、会社のどの文書に書くか

---

# 第5章 AIのルールは、なるべくガイドラインに書く

第1〜4章で、3つの確認を見てきました。
倫理・セキュリティ・契約です。
これで、会社で使っていい安全なAIが決まります。

ここから第二部。
回す前に決めるのは、2つ。
この章は、その1つ目です。

では、「3つの確認をしましょう！」ということを会社のどの決まりに書けばよいか？

直すのに時間がかからない文書に書きます。
多くの会社では、それがガイドラインです。

## 規程とガイドラインは、重要さがちがう

弊社では規程は会社の決まりでした。
変えるには本部長クラスの決裁が要ります。

起案して、関係部署へ回して、審査。
最後に本部長クラスの決裁。
ここまでで、半年くらいかかります。

ガイドラインは、現場向けの手引きです。
担当部門の判断で直せます。

![規程とガイドラインを上下に並べ、規程は本部長クラスの決裁で半年かかること、ガイドラインは担当部門の判断で直せることを示す図](/images/articles/074-zukai-4.png)

規程のほうが重要。
そのぶん、直すのに手間と時間がかかるんです。

ただ、会社によって文書の呼び名も階層もちがいます。
規程・基準・要領・マニュアル。

なので、変更に時間がどれくらいかかるのか、で決めましょう。

## AIの細目は、直しやすいほうに置く

AIは、モデルが数ヶ月で世代交代します。
新しいサービスは毎月出てきます。

ぼくが前の職場に来たとき、規程もガイドラインも、もうありました。
AIのルールは、ガイドラインの側。

規程を変えるのは、とても大変です。
半年くらいかかります。

だから、ガイドラインで柔軟に変えていく。
比較的かんたんに変えられるように、そう設計してあったんです。

しかもAIは、流れがとても速くて改訂が多い。
つまり、ガイドラインの改訂が多くなります。

全部がしょっちゅう変わるわけではありません。
変わりにくい原則と、変わりやすい細目があります。

![変わりにくい原則を規程に、変わりやすい細目をガイドラインに仕分ける図](/images/articles/074-zukai-5.png)

直す回数が多いのは、右の細目。
だから細目をガイドラインに置きます。

### 直しやすくても、レビューはなくならない

ぼくの最初の仕事は、たまたまガイドラインの改訂でした。

最初は1項目の追加だけでした。
書くのは1週間ほどで終わりました。
ところが、終わるまでに2カ月くらいかかりました。

確認のゲートは4つ。
リーダー、課長、部長、管理チーム全体です。
どのゲートでも、みんなちがうことを言いました。

ガイドラインにすれば、役員の決裁は要らなくなります。
でも、関係者のレビューはなくなりません。

### もう規程に書いてしまった会社は

すでに規程の本文に、AIの細目を書いてある場合。
このままだと、細目を1つ直すたびに規程の改訂になります。
半年かかります。

そこで、規程の改訂を一度だけやる。
書き込んだ細目を抜いて、代わりに一行を入れます。
「利用の細部は、別途ガイドラインに定める」。

抜いた細目は、ガイドラインへ移します。

規程にこの一行があれば、下のガイドラインも規程の縛りの中に入ります。
半年かかる改訂は、この1回だけ。
あとの直しは、ガイドラインで済みます。

![規程に一行足せば、下のガイドラインも規程の縛りの中に入ることを示す図](/images/articles/074-zukai-6.png)

## そのまま使えるもの

以下の原則と細目は一般的な例です。
前の職場の実際の条文ではありません。

### 1. どの文書に書くかの決め方

自分の会社の文書ごとに、直すときに決裁する人と、直すのにかかる時間を調べて書き込みます。

| 文書（例） | 直すときに決裁する人 | 直すのにかかる時間 |
|---|---|---|
| 規程 | | |
| 基準 | | |
| 要領 | | |
| ガイドライン | | |
| マニュアル | | |

直すのに時間がかからない文書に、AIの細目を書きます。

### 2. 原則と細目の仕分け

| 変わりにくい原則 | 変わりやすい細目 |
|---|---|
| AIを使うときは、会社のルールに従う | 使っていいAIサービスの一覧 |
| 許可されたAI以外には機密情報と個人情報は入力しない | 入力していい情報の区分 |
| 出力は、使う人が内容を確認してから使う | 出力を使うときの確認のしかた |
| | 困ったときの相談先 |
| | この文書の改訂のしかた |

### 3. 規程に細目を書いてしまったときの改訂

1. 規程の本文から、AIの細目を抜く
2. 抜いたところに、次の一行を入れる
3. 抜いた細目を、ガイドラインへ移す

```
利用の細部は、別途ガイドラインに定める。
```

### 4. ガイドラインの目次の例

1. 使っていいAIサービスの一覧
2. 入力していい情報の区分
3. 出力を使うときの確認のしかた
4. 困ったときの相談先
5. この文書の改訂のしかた

## この章の持ち帰り

- AIのルールは、直すのに時間がかからない文書に書く。多くの会社では、それがガイドライン
- 規程とガイドラインのちがいは、重要さ。どこに書くかは、変更にかかる時間で決める
- 変わりやすい細目をガイドラインへ。ガイドラインでも、関係者のレビューはなくならない
- 規程に細目を書いてしまったら、一度だけ改訂して細目を抜き、一行で委任する。抜いた細目はガイドラインへ
- 次章の予告: ガイドラインに書いたルールを、誰がやるか

---

# 第7章 AIガバナンスでやることは、9つ

第6章で、担当が決まりました。次は、その担当が回す仕事が9つある、という話です。

「回す」とは、安全なAIを選んで終わりではなく、法規制の確認から社内の相談への対応までを、決まった仕事として続けることです。

この章で決めるのは、その9つが何で、誰がやるのか。

**AIのルール作りは、専門家がいないと始められない仕事ではありません。決まった9つの仕事を、1年かけて回すことです。**

## この仕事は、誰もやりたがらない

担当が決まらない理由は、単純です。めんどくさいし、AIは新しいことだから大変そうだと、みんな分かっているからです。

ルール作りを始めたころ、まず揉めたのは「法規制の調査を誰がやるか」でした。

ある部門からは、こう返ってきました。

> うちはAIの技術的なことに答えるだけであって、法規制はうちの役割じゃない

気持ちは分かるんです。担当になるということは、責任を持つということ。法規制の対応が漏れたら、それは担当の責任になる。

そんな役、誰もやりたくない。工数もかかりますしね。

担当がどう決まったかは、第6章の法務との綱引きで書いたとおり。

結局この仕事は、AI管理チームにいたぼくが引き受けました。誰かがやるしかなかったからです。

あなたの会社で誰もやっていないなら、話は同じです。手を挙げた人が、担当になります。

## これから読むのは「使う側」です

このコースは、AIを社内で「使う」側を軸にします。

会社のAIガバナンスには、2方向あります。

- AIを載せた製品やサービスを「作る」側（国のAI事業者ガイドラインで言う、AI開発者とAI提供者）。発売する国の規制・用途・技術要件の話になって、正直かなり重い
- AIを社内で「使う」側（同じくAI利用者）。Copilot ChatやChatGPTを、社内でどう安全に使うか

![AIをどう扱うかの分岐図。製品に載せて売る場合は発売国・用途・技術要件を確認し、社内で使う場合は用途・サービス・機密レベルを確認する。社内で使う側に「この章の読者はこっち」の注記がある](/images/articles/067-zukai-2.png)

最初に任されるのは、たいてい「使う」側です。だからこのコースは使う側を軸に進めて、作る側は第四部でまとめて扱います。

押さえる中身は、第1章で見た倫理・セキュリティ・契約の3点です。

このコースで渡すのは、その先です。「3点を、誰が・いつ・どの順番で回すのか」。

## 1年でやることは、9個です

1年で回す仕事がこれです。順番に進めるものではなく、並行して回します。

1. 法規制を確認する
2. 世間と他社の動きを見る
3. 新しいAIを見つけたら止める
4. 従業員に教育する
5. 活用状況と点検を年1回聞く
6. 基準を改定する
7. 問い合わせに即答する
8. 申請を受ける
9. 表からはみ出したら審議する

元は、前の職場で整理したもの。この本用に並べ直しています。

![1年で回す9つの仕事を、調べる・教える・点検する・直す・答えるの5つの列に分けて示した図解。調べるに法規制確認・世間と他社の動き・新しいAIを止めるの3つ、教えるに従業員へ教育、点検するに活用状況と点検、直すに基準の改定、答えるに問い合わせに即答・申請を受ける・はみ出しは審議への3つ。矢印はなく、順番でなく並行して回すことを表す。各箱の下に対応する章番号がある](/images/articles/067-zukai-1.png)

ガバナンスという言葉の圧に比べて、中身は地味です。調べて、教えて、点検して、直して、聞かれたら答える。

ぼくはこの9個を、1年のスケジュールに置きました。

多くの会社では、役員も入る会議で月次か四半期にガバナンスの報告があります。9個を回した結果を、そこで出せる形にしておきます。

ただし、ひとりで始められても、ひとりでは完結しません。基準を決める段階で、必ず他の部門と当たる。

この9つを、1つずつ章にしました。次の章は、1番目の法規制からです。

## この章の持ち帰り

- 結論: AIガバナンスは専門家の仕事ではなく、決まった9つの仕事を1年で回すこと
- 立場: 担当がいないなら、いちばん先に手を挙げた人のものになる
- 注意点: 「ひとりで始められる」と「ひとりで完結する」は別。基準を決める段階で必ず他部門と当たる
- やること1つ: 社内ポータルでAI利用のルールを検索し、回している人がいるかを確かめる
- 次章の予告: 9つの1番目は、法規制を確認すること

---

# 第8章 全世界のAI法規制なんて追えません。見るのは「売る国」だけでいい

第7章で、回す仕事が9つあると並べました。ここからは1つずつです。1番目は、法規制を確認すること。

ここで「世界中のAI法を全部読む」から始めると、いつまでも次に進めません。

**全部は追えません。** 見るのは、自社が売っている国だけ。その中で一番厳しい国に基準を合わせる。

例外は、あとで1つだけ足します。

## 絞り方は2段階だけ

全部を追う前提を捨てると、読む量が現実的になります。

前の職場で、法規制の担当を引き受けたころのぼくの作業記録がこれです。

> EUから新しいAI関連の法制度が出そうだと認識している。パブコメ期限が2/11までという情報を見た。今日夕方の会議で報告が必要である。法律を読み解く必要がありカロリーが高いと感じている。まだ慣れておらず不確実性が高いと感じている

「カロリーが高い」と、自分で書いてる。

パブコメ（法案への意見公募）の締切と、夕方の会議。同じ視界に入ってきて、たった1件でこの状態でした。

1件でこれです。世界中の法規制を全部追う。できるわけがありません。

だからぼくは、見る範囲そのものを絞りました。

![AI法規制の絞り込み3段階図。左が世界中のAI法規制、中央が自社が売っている国だけに絞った状態、右が一番厳しい国に基準を収束させた状態。右端に例外としてEUだけは売り先になくても注目の注記](/images/articles/069-zukai-1.png)

やることは2つです。

1. 自社が売っている国（売る予定のある国）だけに絞る
2. その中で一番厳しい国に基準を合わせる

例外がひとつだけあります。EUです。売り先にEUがなくても、EUだけは見ておいてください。

個人情報の世界では、EUのGDPR（EUの個人情報保護ルール）に合わせて作った仕組みが、そのまま世界中の標準っぽくなりました。

AIでも、同じことが起こりえます。

## 数えたら、拘束力のあるAI法が施行済みなのは3つでした

絞った結果を、数字で見せます。

13カ国・地域を調べました（2026年8月時点）。罰則や届出義務のある、拘束力のあるAI法がすでに施行されているのは、このうち3つだけです。

- EU（EU AI Act。規則(EU) 2024/1689）
- 韓国（AI基本法）
- 中国（生成AI管理暫定弁法ほか、分野別の規則群）

![13カ国・地域のAI法規制ステータスマップ（2026年8月時点）。施行済みグループにEU・韓国・中国・日本、審議中と検討中のグループにブラジル・英国・台湾、まだなしのグループに米国・カナダ・シンガポール・インド・豪州・カンボジアを配置](/images/articles/069-zukai-2.png)

国ごとの中身は、ぼくが作った[AI規制の一覧サイト（AI Reg Atlas）](/atlas/)にまとめてあります。

ここで読み方をひとつ。

日本のAI推進法も施行済みですが、罰則がないので上の3つには数えていません。だからといって「日本は緩いから安心」と読むのは間違いです。

日本とEUで違うのは、厳しさの度合いより縛りの種類。

日本には、EU AI Actの第5条にあたる禁止リストも、第50条にあたるAI生成表示の義務もありません。

EU AI Actから覚えて帰るのは、名前だけで大丈夫です。

第2章で見た4つのうちの、禁止と透明性義務。

- 禁止AI（第5条）。サブリミナル的な操作や社会的スコアリングなど、法律で禁止されている用途があります
- 透明性義務（第50条）。「これはAIですよ」と人に分かるようにする義務。2026年8月2日から適用が始まっています。AIと会話しているなら人にそう伝える、AIで作った画像や音声にはその印を付ける、が中心です

売り先に中国が入っている会社は、もうひとつ注意です。

中国はEU型の横断法ではありません。

生成AIサービスの管理弁法、アルゴリズム推薦の規定、深度合成の規定と、別々の規則で縛ってきます。当局への届出が要る場面もある。

「EUに合わせておけば中国もカバーできる」にはならないので、中国で売るなら個別に見てください。

## 基準を1つ決めておくと、案件ごとに調べ直さずに済む

先に一番厳しい国を1つ決めてあると、相談が来るたびの読み直しが消えます。

前の職場で、「チャットボットの製品を海外展開したい」と進め方の相談を受けたことがあります。

サイトで製品説明や規格を相談できるBOT、という用途。

売り先はEUではありませんでした。それでも、うちの会社では一番厳しいEUに合わせると決めていたので、EU基準で判断しました。

結論は、透明性義務程度。「これはAIの回答です」という表示をせよ、として事なきを得ました。

基準がないと、どうなるか。冒頭のあの記録の状態が、案件が来るたびに発生します。

1件ごとにカロリーの高い読み解きをやる。それを避けるための「先に1つ決める」です。

ただし、絞っても勉強はゼロになりません。売る国のぶんは、ちゃんと読みます。

「これで法規制対応は完璧」ではなく、「読む範囲が現実的な量になる」。ここまでです。

見る範囲が決まりました。

次は、この範囲を見続けるための週1の仕組みです。

## そのまま使えるもの

上の図解2枚目を、写して使える表にしておきます。自社の売り先の一覧と並べて、どの国を見るかの確認に使ってください。

13カ国・地域の施行状況（2026年8月時点の調査）

| 国・地域 | 状況 | 備考 |
|---|---|---|
| EU | 施行済み | EU AI Act（規則(EU) 2024/1689）。禁止AI（第5条）と透明性義務（第50条）がある |
| 韓国 | 施行済み | AI基本法 |
| 中国 | 施行済み | 生成AI管理暫定弁法ほか分野別の規則群。EU型の横断法ではなく、当局への届出が要る場面もある |
| 日本 | 施行済み | AI推進法。罰則がないので、本文の「拘束力のある3つ」には数えていない |
| ブラジル | 審議中・検討中 | |
| 英国 | 審議中・検討中 | |
| 台湾 | 審議中・検討中 | |
| 米国 | まだなし | |
| カナダ | まだなし | |
| シンガポール | まだなし | |
| インド | まだなし | |
| 豪州 | まだなし | |
| カンボジア | まだなし | |

## この章の持ち帰り

- 結論: 見るのは自社が売っている国だけ。その中で一番厳しい国に合わせる
- 立場: 売り先にEUがなくてもEUは見ておく。個人情報でGDPRに起きたことがAIでも起こりうる
- 注意点: 中国はEU型の横断法ではないので、売るなら個別に見る。絞っても勉強はゼロにならない
- やること1つ: 自社の製品・サービスがどの国で売られているか書き出し、EUが入っているか確認する
- 次章の予告: 見る範囲が決まったら、次は見続けるための週1の仕組み