AI法（AI推進法）とは｜企業が今やること。罰則・施行日、AI事業者ガイドライン、EU AI法の日付まで整理

日本にも「AI法」ができたと聞いて、自社に何か義務が生じたのか、対応しないと罰せられるのかと気になっている方は多いのではないでしょうか。調べてみると、AI推進法、指針、AI事業者ガイドライン、EUのAI法と似た名前が並び、どれが自社に関係するのかが見えにくくなっています。

しかも、2026年に入ってからも、国の人工知能基本計画が新しい版になり、EUのAI法は改正で適用の日付が動きました。少し前の解説記事を読むと、今とは違う日付が書かれていることもあります。

日本のAI法は、企業に罰則つきの義務を課す法律ではなく、国がAIの活用を進めるための法律です。企業に求められているのは、ガイドラインを参考にした自主的な取組で、まずは社内ルール・AIの台帳・承認の手順を持つことから始めれば足ります。EUのAI法は、EUで使われるAIに関わる会社だけが気にすればよい規制ですが、当てはまるかどうかは自社で確かめておく必要があります。この記事では、法令とガイドラインの原文をもとに、企業が今やることを日付つきで整理し、最後にAIを毎日の業務で使う当社の考えをお伝えします。

AI法（AI推進法）とは

正式名称と施行日

一般に「AI法」「AI推進法」と呼ばれているのは、「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号）です。2025年6月4日に公布され、同じ日に一部が施行されました。内閣府によると、人工知能戦略本部の設置に関わる規定などを含め、2025年9月1日に全面施行されています。

法律の目的は、第1条にあるとおり、AIの研究開発と活用を進める施策を総合的かつ計画的に進め、国民生活の向上と国民経済の健全な発展に役立てることです。中身の多くは、国が基本計画を作ること、首相を本部長とする人工知能戦略本部を置くことなど、国の進め方を決めたものになっています。

一方で、AIを推進するだけの法律でもありません。第3条第4項は、AIが不正な目的や不適切な方法で使われると、犯罪への利用、個人情報の漏えい、著作権の侵害などを助長するおそれがあるとして、透明性の確保などの施策を講じなければならないとしています。

企業（活用事業者）に求められること

企業に関わるのは第7条の「活用事業者の責務」です。AIを使った製品やサービスを開発・提供する会社だけでなく、AIを事業活動で使おうとする会社も「活用事業者」に含まれます。社員が業務で生成AIを使っている会社なら、ほぼ当てはまると考えてよいでしょう。

第7条が求めているのは、AIを積極的に使って事業活動を効率化・高度化することに努めることと、国や地方公共団体が行う施策に協力することの2つです。「使ってはいけない場面」や「守るべき手続き」を細かく定めた条文ではありません。

罰則はない。その代わりに国が調べ、指導・助言する

AI法には罰則の規定がありません。その代わりに第16条で、国はAIの不正な使い方で人の権利や利益が侵害された事案を分析し、その結果に基づいて、活用事業者などに指導、助言、情報の提供その他の必要な措置を講じるとしています。

罰則が無いからといって、何をしてもよいわけではない点には注意が必要です。個人情報保護法や著作権法など、AIを使う場面にもかかる法律は、これまでどおり適用されます。AI法は、これらの法律の上に「国としてAIをどう進め、どう見守るか」を足した法律と考えると分かりやすくなります。

法律・指針・ガイドラインの3層

AI法だけを読んでも、企業が具体的に何をすればよいかは書かれていません。実際の取組の目安は、法律に基づいて作られた計画・指針と、以前からあるガイドラインに書かれています。

人工知能基本計画（第Ⅱ期・2026年7月14日）

AI法第18条に基づいて政府が作る計画で、初版は2025年12月23日、第Ⅱ期は2026年7月14日に閣議決定されました。第Ⅱ期の概要は、AIを前提に意思決定や業務の進め方を見直す「AIトランスフォーメーション（AX）」を掲げ、「AIを使う」「AIを創る」「AIの信頼性を高める」「AIと協働する」の4つの方針を並べています。

企業に近いところでは、中堅・中小企業のAI導入の支援が施策に挙がっています。また、概要には「本基本計画は当面毎年変更」とあり、国の方針は毎年見直される前提です。

適正性確保に関する指針（2025年12月19日）

AI法第13条に基づき、人工知能戦略本部が決めた「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」です。適正性について一つの定義や絶対的な水準を定めるのではなく、各主体がAIの特性や用途、自身の立場を踏まえて自主的に取り組むという考え方をとり、考慮すべき要素として、人間中心、公平性、安全性、透明性、アカウンタビリティ、セキュリティ、プライバシー・個人情報などを挙げています。

活用事業者が特に取り組む事項としては、AIガバナンスによる適正性の確保、透明性の確保、十分な安全性の確保、事業継続性の確保、データの重要性を踏まえた配慮の5つが並びます。これらはAIを使った製品やサービスを開発・提供する事業者に向けた書き方が中心ですが、AIガバナンスについては、ゼロから作らずに既存のITシステムのガバナンスの仕組みを生かすことも有用だと注記されています。

AI事業者ガイドライン（第1.2版）

総務省と経済産業省が出しているガイドラインで、2026年3月31日に第1.2版になりました。AIを開発する人、提供する人、利用する人の立場ごとに、取り組むことを示しています。リスクの大きさに対策の程度を合わせる「リスクベースアプローチ」や、分析・設計・運用・評価を繰り返し回す「アジャイル・ガバナンス」の考え方も、このガイドラインに書かれています。

法的な拘束力はありませんが、自社の取組を決めるときの一番具体的な手本です。中堅企業がガイドラインの考え方で体制を作る手順は、「AIガバナンスとは｜中堅企業が最小限で始める体制」で詳しく説明しています。

EU AI法（AI Act）は日本企業に関係あるか

EUのAI法（Regulation (EU) 2024/1689）は、日本のAI法と違い、禁止事項や義務と制裁金を定めた規制です。2024年8月1日に発効し、項目ごとに順に適用が始まっています。

リスクの4区分

欧州委員会は、AIをリスクの大きさで4つに分けて説明しています。人の行動を操作するなど受け入れられないリスクのものは禁止、採用や教育など人の権利に大きく関わる「高リスク」は市場に出す前に厳しい義務、人と対話するAIや作られた画像・音声などは「透明性」の義務、それ以外の多くのAIは特別な決まり無し、という分け方です。

制裁金は大きく、禁止事項に違反した場合は最大3,500万ユーロか、前の年度の世界全体の売上高の7%のどちらか高い方とされています（第99条第3項）。

日本企業に関わる場面

第2条は、EUの中に拠点がない会社でも、EUでAIを市場に出す提供者や、AIが出したものがEUで使われる場合の提供者・利用者（deployer）に、この規則が及ぶとしています。日本の会社が気にしたほうがよいのは、たとえば次のような場面です。

• EUの子会社や拠点で、社員がAIを業務に使っている
• EUの顧客や利用者に向けて、AIを組み込んだ製品やサービスを出している
• AIが作った文章や画像、判定の結果を、EUの取引先や利用者に渡している

想定の例として、日本の本社で作った採用の書類選考を補助するAIを、EUの子会社でも使う場合を考えると、採用は高リスクに当たる用途なので、適用が始まる日までに義務を確かめる必要があります。反対に、国内だけで社内の資料作りに生成AIを使っている会社なら、EU AI法の義務が直接かかる場面は少ないと考えられます。当てはまるかどうかの判断は、EUの事業がある会社では専門家に確かめてください。

2026年の改正で変わった日付

EUは2026年、AI法の運用を簡素にする改正（Regulation (EU) 2026/1744、いわゆるデジタル・オムニバス）を決め、2026年7月27日に発効しました。これで、当初2026年8月2日だった高リスクの義務の適用が後ろにずれています。

改正では、AIリテラシーの決まり（第4条）も書き換えられました。当初は、AIの提供者と利用者に、社員のAIリテラシーを十分な水準にする措置を求めていましたが、改正後は、社員のAIリテラシーを高めることを支える措置をとる形に改められ、個人ごとに特定の水準を保証することまでは求めないと明記されています。それでも、AIを使う社員を学ばせる責任が会社にあるという考え方は残っています。

企業が今やること5つ

日本のAI法には罰則つきの義務がなく、EU AI法も多くの会社には直接かからないとすると、何もしなくてよいように見えるかもしれません。しかし、指針もガイドラインも、各社が自主的に取り組むことを前提に作られています。中堅企業なら、次の5つを順に進めれば、法令とガイドラインが求める方向から外れません。

1つ目の社内ルールは、「生成AIの社内ルールの作り方｜そのまま直して使えるひな型（条項の例）つき」にそのまま直して使えるひな型を載せています。2つ目の台帳と3つ目の承認は、AIガバナンスの記事で説明した「決める人・台帳・リスクの段階・見直し」の形で持つと、新しいAIを入れるたびに迷わずに済みます。

社員が会社の知らないところで個人のAIサービスを使っている場合は、台帳を作る前に実態をつかむ必要があります。その進め方は「シャドーAIとは？禁止しても使われる理由と、見つけ方・安全な道の用意の仕方」で、入力した情報が漏れる経路と防ぎ方は「ChatGPT・生成AIの情報漏洩はなぜ起きる？」でまとめています。4つ目の学ぶ場では、AIがもっともらしく間違えること（ハルシネーション）を知っておくのが出発点で、「AIの間違い（ハルシネーション）はなぜ起きる？」が教材として使えます。

当社の考え｜罰則がないことを「何もしなくてよい」と読まない

ここからは、AIを毎日の業務で使い、企業のAI導入を支援している当社の考えです。

日本のAI法に罰則がないことは、「規制が緩いから様子を見ればよい」という意味ではないと当社は考えています。法律は国の進め方を決め、細かな取組は指針とガイドラインに委ね、国は事案を調べて指導・助言する、という作りは、企業が自分で決まりを持ち、自分で直していくことを前提にしています。決まりを持たない会社は、問題が起きたときに「どう判断して使っていたか」を説明できません。

もう一つ、規制が固まるのを待ってからAIを使い始めるのも得策ではないと考えます。第Ⅱ期の基本計画は毎年見直す前提で、EUも施行の途中で日付を動かしました。ルールは動き続けるので、使いながら決まりを文書にし、変わったら直すほうが、待っているより早く安全に進めます。

当社自身も、社内の多くの業務をAIに任せていて、AIに作業させるときの決まりを文書にして持っています。パスワードやAPIキーの値はAIとのやり取りに貼らないこと、メールの送信や外部のサービスへの書き込みは、内容と件数を示して承認を得てから行うことを決めていて、指針のいう「人間自らが最終的な判断を行うこと」を、日々の手順の中に組み込んでいる形です。

当社の業務用AI「相棒AI」でも、回答の生成には Claude、資料を探す補助には OpenAI の埋め込みモデルを使っていて、どのサービスにどの情報が渡るかを決めたうえで使っています。社外に出せない情報が多い場合は、AIを社内に置く選択肢もあり、「ローカルLLMとは？」で比べ方を説明しています。

あわせて読みたい：AI研修とは？、サイバー攻撃とは？

AIの使い方の決まりづくりや、社内で使うAIの導入について相談する

まとめ｜法令を読み、自社の決まりを持って使い始める

• 日本のAI法（人工知能関連技術の研究開発及び活用の推進に関する法律）は2025年9月1日に全面施行された、罰則のない推進の法律
• 企業（活用事業者）に求められるのは、AIの積極的な活用と、国や地方公共団体の施策への協力（第7条）
• 具体的な取組の目安は、適正性確保に関する指針（2025年12月19日）とAI事業者ガイドライン（第1.2版・2026年3月31日）にある
• EU AI法は、EUで使われるAIに関わる会社にかかる。高リスクの義務は改正で2027年12月2日（採用・教育など）からに延びた
• 今やることは、社内ルール・AIの台帳・人の承認・学ぶ場・EUとの関わりの確認の5つ

AI法は、AIを使うことを止める法律ではなく、使いながら信頼を保つことを企業に任せた法律です。まずは社内ルールと台帳の2つから始め、基本計画やガイドラインが改まるたびに見直していけば、法令の動きに振り回されずにAIの活用を広げられます。