「AI事業者ガイドライン」という名称を見て、自社に関係する文書だと受け止める経営者は、どれほどいるでしょうか。名称からは、AIを開発・販売する事業者に向けた文書のように見えます。しかし、このガイドラインが対象とするのは、事業活動においてAIの開発・提供・利用を担う全ての者です。
生成AIサービスを業務で利用する企業も、「AI利用者」としてこのガイドラインの対象になります。名称のために読み飛ばされがちなこの文書を、経営者はどのように読み、何を自ら決めるべきなのでしょうか。
- 「AI事業者」とは、誰のことを指しているのか
- 法的拘束力のないガイドラインを、経営者はなぜ読む必要があるのか
- 経営者は、このガイドラインのどこから読み、何を自ら決めるべきか
- 体系化されたガイドラインに照らすことで、何が得られるのか
- AIの出力に対して、人間の判断はどうすれば機能するのか
1. 「AI事業者」とは誰のことか
「AI事業者ガイドライン」は、総務省と経済産業省が、これまで別々に策定・公表してきた三つのガイドラインを統合・見直しし、2024年4月に策定した文書です。統合の対象となったのは、総務省主導の「国際的な議論のためのAI開発ガイドライン案」と「AI利活用ガイドライン」、経済産業省主導の「AI原則実践のためのガバナンス・ガイドラインVer. 1.1」です（出典①p.3）。2026年3月には、第1.2版が公表されています。
ガイドラインは、その対象を「様々な事業活動において AI の開発・提供・利用を担う全ての者（政府・自治体等の公的機関を含む）」と定めています（出典①p.4）。そのうえで、対象者を「AI開発者」「AI提供者」「AI利用者」の三つに大別しています（出典①p.5）。それぞれの定義は、次のとおりです。
- AI開発者：「AI システムを開発する事業者（AI を研究開発する事業者を含む）」
- AI提供者：「AI システムをアプリケーション、製品、既存のシステム、ビジネスプロセス等に組み込んだサービスとして AI 利用者（AI Business User）、場合によっては業務外利用者に提供する事業者」
- AI利用者：「事業活動において、AI システム又は AI サービスを利用する事業者」
AIを業務で利用する一般企業は、多くの場合、このAI利用者に当たります。英語では「AI Business User」と表記されます（出典①p.5）。事業活動以外でAIを利用する者などは「業務外利用者」と呼ばれ、「本ガイドラインの対象には含まない」と定められています（出典①p.4〜5）。
また、ガイドラインは、「これらの主体は事業者（又は各者内の部門）を想定しており、AI の活用方法によっては同一の事業者が AI 開発者、AI 提供者又は AI 利用者の複数を兼ねる場合もある」としています（出典①p.5）。別添に示された例では、AIエージェント作成サービスを利用する企業が、業務に特化したAIエージェントを構築しています。この企業は、「AI 利用者であると同時に、構築した AI エージェントを自社サービスとして提供する AI 提供者としての区分も兼ねており、保守・運用の役割も担う」と整理されています（出典②p.12）。筆者の整理では、顧客向けだけでなく、社内の他部門にサービスとして提供する場合も、AI提供者の立場を兼ねることがあります。
なお、「AI事業者」という語そのものは、ガイドラインの用語の定義には含まれていません。名称から、AIを事業にしている会社のための文書と受け取られやすいことが、一般企業の経営者がこの文書を手に取りにくい一因になっているのかもしれません。
- 出典①: 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」
- 出典②: 総務省・経済産業省「AI事業者ガイドライン（第1.2版）別添（付属資料）」
2. 法的拘束力を持たないので、判断は経営に委ねられている
このガイドラインは、「非拘束的なソフトロー」として作られています（出典①p.2）。その理由として、ガイドラインは、「法律の整備・施行が AI の技術発展及びその社会実装のスピード・複雑さとの間でタイムラグが発生すること」や、「細かな行為義務を規定するルールベースの規制を行うと、イノベーションを阻害する可能性があること」などが指摘されてきたことを挙げています。これらを踏まえ、「関係者による自主的な取組を促し、非拘束的なソフトローによって目的達成に導くゴールベースの考え方」で作成したとしています（出典①p.2）。
あわせて、ガイドラインは、「当該利用分野における利用形態に伴って生じうるリスクの大きさ（危害の大きさ及びその蓋然性）を把握したうえで、その対策の程度をリスクの大きさに対応させる『リスクベースアプローチ』が重要となる」としています（出典①pp.3~4）。別添も、付属資料について「全て記載とおりに実施することが求められているものではない」と明記しています（出典②p.3）。
もっとも、ガイドラインに法的拘束力がなくても、AIの利用には別の規律がかかります。ガイドライン自身も、「憲法、知的財産関連法令及び個人情報保護法をはじめとする関連法令、AI に係る個別分野の既存法令等を遵守すべき」だとしています（出典①p.14）。一般に、取引先からの要請や、顧客・社会への説明責任もあります。
ガイドラインが自ら挙げている理由の一つが、社会からの評価です。ガイドラインは、取組が「社会から不適切又は不十分と評価される場合は、自らの事業活動における機会損失が生じ、事業価値の維持が困難となる事態を招く恐れがある」として、留意を求めています（出典①p.4）。
何をどこまで実施するかは、各社の判断に委ねられています。この構造は、以前に取り上げたサイバーセキュリティ経営ガイドラインとも共通しています。自社への適合性を考えずにガイドラインの全項目を機械的に実施することも、自社には関係がないとして読まないことも、その判断を手放すことにつながります。自社の事業とリスクに照らして、どこに重点を置き、どこを見送るのかを決めることが、経営に残された役割です。
3. 経営者がまず読むのは「基本理念」と「指針」
ガイドラインは、本編と別添（付属資料）で役割を分けています。本編では、「どのような社会を目指すのか」という「基本理念 = why」と、「どのような取組を行うべきか」という「指針 = what」を扱います。別添では、「具体的にどのようなアプローチで取り組むか」という「実践 = how」を扱います（出典①p.6）。
そのうえで、「経営者を含む事業執行責任者は、その職務を全うするために、本ガイドラインにおける『基本理念』（why）及び指針（what）を踏まえて、事業戦略と一体で AI を活用する際のリスク対策を検討・実践し、AI の安全安心な活用を推進することが重要である」としています（出典①p.7）。経営者がまず読むべきなのは、本編の基本理念と指針です。180ページを超える別添は、経営者自身がすべてを精読するのではなく、現場と役割を分担しながら、自社に関係する箇所を確認していくことになります。ガイドラインも、特に具体的な取組が決まっていない事業者にとっては、「別添の記載例が参考となるため、別添の関連箇所を中心とした確認が重要となる」としています（出典①p.7）。
howの設計と運用を現場に委ねるためにも、経営はwhyとwhatを理解し、任せる範囲と判断基準を示す必要があります。基本理念と指針が経営の言葉として示されていなければ、現場は個々の手法を積み上げることはできても、何を優先し、どこで止めるべきかを判断できません。
ここで注目したいのは、ガイドラインがAIガバナンスをどこに位置づけているかです。ガイドラインは、AIガバナンスに関するポリシーの策定などを通じて「AIガバナンス・ゴール」を設定する際、そのゴールを「各主体の存在意義、理念・ビジョンといった経営上のゴールと整合したものとなるように設定する」としています（出典①p.27）。さらに、「経営層の責任は大きく」としたうえで、「短期的な利益の追求の観点から AI ガバナンスの構築を単なるコストと捉えるのではなく、各主体の持続的成長及び中長期的な発展を志向した先行投資として捉えることが重要である」としています（出典①p.28）。
この考え方は、以前の記事で論じた問題とつながります。DXを特別枠として制度化した結果、DX戦略と経営戦略、DXの成果と事業の成果が分かれて扱われ、デジタルが通常の経営に組み込まれにくくなる構造です。AIガバナンスもまた、DX部門や法務部門の専門領域として切り出されれば、同じ道をたどりかねません。ガイドラインが求めているのは、AIガバナンスを経営上のゴールの中に組み込むことです。
4. 個別の判断を、体系の中に位置づける
4-1. 個別に論じてきた論点は、体系の中に位置づけられる
当ブログでは、生成AIやAIエージェントの活用のほか、デジタル化における責任の所在やリスクの考え方など、判断にかかわるテーマを個別に論じてきました。あらためてガイドラインを読むと、AIを直接のテーマとしない記事も含めて、その多くを、本編の共通の指針や別添のリスク整理の中に位置づけて読めることが分かります。なお、図表1の対応づけは、ガイドライン自身による分類ではなく、記載内容との論点上の近さから筆者が整理したものです。
| 論点(各記事へのリンク) | ガイドラインの該当箇所 |
|---|---|
| 生成AIの出力は正しさを保証しない | 「ハルシネーション等による誤った出力」（出典②p.19）、「AI の出力について精度及びリスクの程度を理解し、様々なリスク要因を確認した上で利用する」（出典①p.40） |
| 速さが思考の省略と過度な依存を生む | 「AI システムによる判断を過度に人間が信頼し、自らの判断や確認を怠ってしまう（自動化バイアス）」、「独自の思考力を育む機会が減少する可能性がある」（出典②p.20） |
| AIエージェントに渡す権限と機密情報 | 「人間の意図しない商品の注文やファイル削除等の動作を行う可能性がある」（出典②p.19）、「エージェントの挙動が不正に操作され、内部データが意図せず外部に送信されるなど、機密情報が漏洩する可能性がある」（出典②p.21） |
| 人とAIの境界の変化と、人の役割の移行 | 「人間の尊厳が尊重される社会」（出典①p.12）、「AI と人間の作業の棲み分けが変わっていくと想定されるため、新たな働き方ができるよう教育・リスキリング等を検討する」（出典①p.23） |
| AIに機能を委ねても、要所に人の判断を残す | 「AI に単独で判断させるだけでなく、適切なタイミングで人間の判断を介在させる利用を検討する」（出典①p.18） |
| 生成コードの理解 | 「作成者の意図やコード構造の把握が難しくなり、保守・更新が困難になる可能性」（出典②p.166） |
| 生成コードの保守性 | 「社内ノウハウを如何に蓄積するか」（出典②p.166） |
| 判断の根拠と責任を記録に残す | 「トレーサビリティの向上」「責任者の明示」「文書化」（出典①p.21〜22） |
| 委託先に判断まで委ねない | 「関係者間の責任の分配」：「業務外利用者も含めた主体間の契約、社会的な約束（ボランタリーコミットメント）等により、責任の所在を明確化する」（出典①p.22） |
| 任せても、成果責任は手放さない | 「責任をもって AI 出力結果の事業利用判断を行う」（出典①p.40）、「責任者の明示」：「各主体においてアカウンタビリティを果たす責任者を設定する」（出典①pp.21~22） |
| リスクの許容度から対策を決める | 「リスクベースアプローチ」（出典①pp.3~4）、「AI の利活用によって生じるリスクをステークホルダーにとって受容可能な水準で管理しつつ」（出典①p.10） |
| AIを特別枠に閉じ込めない | 「各主体の存在意義、理念・ビジョンといった経営上のゴールと整合したものとなるように設定する」（出典①p.27） |
個々の記事は、それぞれ異なる問題意識から出発しています。生成AIの誤り、エージェントの権限、人の役割、責任の所在、記録の残し方。それぞれは単独の論点として読むこともできます。ガイドラインは、AIに関する取組を「人間中心」「安全性」「公平性」「プライバシー保護」「セキュリティ確保」「透明性」「アカウンタビリティ」「教育・リテラシー」「公正競争確保」「イノベーション」という10の指針のもとに整理しています（出典①p.14〜23）。個々の論点が、どの指針に関わる判断なのかを確かめられることに、体系の価値があります。
4-2. 体系に照らすことで得られるもの
体系化されたガイドラインに照らして自社のAI活用を見直すことには、少なくとも四つの利点があると考えます。
一つ目は、抜け漏れに気づけることです。個別の判断を積み重ねるだけでは、自社がまだ検討していない論点は見えにくいままです。活用の手引きでは、ガイドラインを活用した事業者の声として、「AIガバナンスにおいて考慮すべき点の不足に気付くことができた」ことが挙げられています（出典③p.3）。
二つ目は、共通言語になることです。同じ手引きには、「部門間・会社間のやり取りの共通言語となった」という声も紹介されています（出典③p.3）。本編も、「共通の指針」への対応状況について、ステークホルダーに対して「情報の提供及び説明を定期的に行う」ことを挙げています（出典①p.21）。自社独自の言葉で説明するよりも、共有された枠組みに沿って説明する方が、取引先や社外の関係者には伝わりやすくなると考えられます。
三つ目は、国際的な議論との接続です。ガイドラインは広島AIプロセスを含む国際的な議論を踏まえて検討されています（出典①p.7〜8）。参照している海外のガイドライン等は、別添9で「参照している主要な海外のガイドライン等の参照先をまとめた表」として整理されており、本編・別添のパートごとに、「該当パートの参照先となる比較対象ガイドライン等の該当パートを記載」しています（出典④p.1）。海外の取引先や規制の動向を意識する企業にとって、自社だけで各国の文書を読み比べる負担は小さくありません。別添9を見れば、本編・別添のどのパートがどの海外文書を参照しているかを確認でき、比較の出発点になります。
四つ目は、更新が続くことです。ガイドラインは、「Living Document として本書における定義等も含めた内容について適宜更新を行っている」としています（出典①p.4）。各社が技術・法令・社会環境の動向を追う必要は残りますが、点検の起点となる共通の文書が更新され続けることは、その負担を和らげる助けになります。
もっとも、体系に従うとは、自社の状況に照らして取捨選択することです。活用の手引き自身も、「AI事業者ガイドラインに書いてあることは、全てそのまま自社に適用すればよい」という理解を誤り（×）とし、「自社の事業規模および状況等に合わせて過不足なく対応いただくことが重要です」としています（出典③p.6）。なお、この活用の手引きは、現時点では案の段階として公表されています。体系は、自社の判断がどこに位置し、何が抜けているかを確かめる地図として使うことに意味があります。
- 出典③: 総務省・経済産業省「AI事業者ガイドライン活用の手引き（案）」
- 出典④: 総務省・経済産業省「AI事業者ガイドライン（第1.2版）別添9. 海外ガイドライン等の参照先」
5. 人の判断は、配置するだけでは機能しない
5-1. 人を介在させるかどうかも、判断事項である
AIの活用をめぐって、最終的には人が判断する、という原則はよく語られます。公平性に関する指針の中で、ガイドラインも、「AI に単独で判断させるだけでなく、適切なタイミングで人間の判断を介在させる利用を検討する」よう求めています（出典①p.18）。AI利用者に対しては、「AI の出力について精度及びリスクの程度を理解し、様々なリスク要因を確認した上で利用する」こと、「責任をもって AI 出力結果の事業利用判断を行う」ことを挙げています（出典①p.40）。
注目したいのは、ガイドラインが、人間の判断を介在させるかどうか自体を判断の対象として扱っている点です。別添は、「人間の判断の介在要否に関する判断（以下に判断基準の例を記載）」として、次のような項目を挙げています（出典②p.179）。
- 「AI の出力に影響を受ける AI 利用者又は業務外利用者の権利・利益の性質及び AI 利用者又は業務外利用者の意向」
- 「AI の出力の信頼性の程度（人間による判断の信頼性との優劣）」
- 「人間の判断に必要な時間的猶予」
- 「判断を行う AI 利用者又は業務外利用者に期待される能力」
このほかにも、複数の項目が示されています。
すべての判断に人を介在させれば、AIを活用する意味は薄れかねません。逆に、介在の要否を検討しないまま運用を広げれば、誰が何に責任を負うのかが曖昧になりかねません。どの判断に、どの段階で人を介在させるかという問いは、当ブログでも、責任の所在や、誤りの影響と取り返しのつかなさという観点から考えてきました。ガイドラインの判断基準は、その検討を自社の規定として整えるときの拠り所になります。
5-2. 形式的な承認は、統制として機能しない
人間の判断を介在させる仕組みは、人を配置しただけでは機能しにくいものです。同じ項目で、ガイドラインは、人間の判断を介在させる際には、「人間の判断が自動化バイアスに左右されないような対策を講じるべきである」としています（出典①p.18）。
自動化バイアスについて、別添は「人間の判断や意思決定において、自動化されたシステムや技術への過度の信頼や依存が生じる現象を指す」と説明しています（出典②p.121、脚注109）。具体的には、「AI システムによる判断を過度に人間が信頼し、自らの判断や確認を怠ってしまう（自動化バイアス）」ことが例として挙げられています（出典②p.20）。ガイドラインは、AIの出力を特定の個人又は集団に対する評価の参考にする場合は、「自動化バイアスも鑑みて人間による合理的な判断のもと、評価の対象となった個人又は集団からの求めに応じて説明責任を果たす」ことを求めています（出典①p.41）。
別添は、人間の判断の実効性を確保するための手法として、次の三つを挙げています（出典②p.179）。
- 「説明可能性を有する AI から得られる説明を前提として、人間が判断すべき項目を事前に明確化しておく」
- 「AI の出力を適切に判断ができるよう、必要な能力及び知識を習得する」
- 「人間の判断の実効性を確保するための対応を事前に整理しておく」
このうち最初の二つは、「AI の出力に対し、人間が最終判断をすることが適当とされている場合」が条件になっています。承認欄に人の名前があることと、その人がAIの出力を検証できることは別の問題です。
さらに、別添は、「AI エージェントの自律性が高まるにつれ、人間による監視のみでは高速な AI 間相互作用への対応が困難となる場合が十分に想定される」としています（出典②p.19、脚注13）。人を置くことだけに頼る統制には、限界が生じる場合があります。
そのうえで、筆者は、経営として少なくとも次の二点をあらかじめ決めておくことが、人間の判断を機能させる重要な条件になると考えます。
- 誰がAIの出力を覆せるのか。出力に異論があるとき、それを退ける権限と責任を持つ人を明確にしておく
- どの条件で上位者へエスカレーションするのか。影響の大きさや判断の難しさに応じて、判断を引き上げる基準を定めておく
これらは、ガイドラインの記述を踏まえた筆者の整理です。ガイドラインが示す「人間の判断の実効性の確保」（出典②p.179）を自社の運用に落とし込むとき、避けて通れない論点だと考えます。覆す権限を持たない承認者や、引き上げる基準のない承認プロセスは、形式として残っていても統制として機能しにくくなります。
結び
AI事業者ガイドラインが示しているのは、各社が自らの答えを出すための考え方です。自社がどの立場でAIに関わり、どのリスクを受け入れ、どこに人間の判断を残すのか。その答えを書き込むのは、各社自身です。
だからこそ、体系を手元に置くことには意味があります。これまで個別に下してきた判断が、どの指針に関わるものなのか、何が検討されずに残っているのかが見えてくるからです。名称に「AI事業者」とあるこの文書は、AIを事業活動で使うすべての企業の経営者にとって、自社の判断を一つの体系の中で確かめ直すための手がかりになり得ます。AIが業務の中に深く入り込んでいくほど、その確かめ直しは、一度きりでは終わらない営みになっていくはずです。
粕谷英雄
サマーオーシャンコンサルティング
ソフトウェア開発、情報システム刷新、DX推進などの実務知見をもとに、デジタル化に関する意思決定を支援。デジタルを経営に活かすための視点や推進の考え方を整理して発信しています。
