「AI事業者ガイドラインに沿って運用していますか」。取引先のセキュリティ確認や社内の監査で、この質問が出ることがあります。総務省と経済産業省がまとめたこのガイドラインに法的な拘束力はありませんが、AIの使い方を社外に説明するときの共通の物差しとして使われています。
本編と別添を合わせると分量が多く、最初から順に読むと時間がかかります。先に自社の立場を決めて、読む範囲を絞るのが近道です。
どんなガイドラインか
第1.0版は2024年4月19日に公表され、2024年11月22日の第1.01版、2025年3月28日の第1.1版を経て、2026年3月31日に第1.2版が出ました。それまで国が出していたAIに関する3つのガイドラインを統合して作られたもので、AIを開発する会社だけでなく、業務でAIを使う会社も対象にしています。
本文は「本編」と「別添（付属資料）」に分かれます。本編は何に取り組むかを、別添はその考え方と具体的な記載例を書いています。罰則はなく、各社が自分の状況に合わせて取り組みを決めることが前提です。第1.2版と合わせて、読み方を補う「活用の手引き（案）」と、質問に答える総務省のチャットボットも公開されました。
まず自社の立場を決める
ガイドラインは、AIの事業活動を担う主体を3つに分けています。
- AI開発者。AIモデルやAIシステムを開発する事業者です。学習と検証に加え、運用後のファインチューニングなどの事後学習も担います
- AI提供者。AIシステムを自社のアプリや製品、業務の仕組みに組み込み、サービスとして提供する事業者です
- AI利用者。事業活動の中でAIシステムやAIサービスを使う事業者です
生成AIのサービスを契約して社員が使っているなら、AI利用者です。社内文書を検索して答える仕組み（RAG）を作り、顧客向けのサービスに組み込むなら、AI提供者も兼ねます。第1.2版では、RAGで外部のデータを参照させることは「推論」に含まれ、その導入は主にAI提供者の役割だと整理されました。1つの会社が複数の立場を兼ねることは珍しくなく、ガイドラインも部門ごとに立場が分かれる場合を想定しています。
読む順番
本編は5部構成です。
- 第1部：用語の定義
- 第2部：目指す社会と基本理念、原則、全主体に共通の指針、AIガバナンスの構築
- 第3部〜第5部：AI開発者、AI提供者、AI利用者それぞれの留意点
ガイドライン自身が、第2部はAIを使うすべての事業者が確認すべきだとしています。第2部の「共通の指針」は10項目で、人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティ、教育・リテラシー、公正競争確保、イノベーションです。
次に自社の立場の部を読み、最後に別添の該当箇所を開きます。具体的な取り組みがまだ決まっていない会社には、別添の記載例が参考になると本編に書かれています。
第1.2版で加わったAIエージェントの記載
第1.2版は、AIエージェントを「特定の目標を達成するために、環境を感知し自律的に行動するAIシステム」と定義しました。高度な自律だけでなく、ある程度の自律性を持つものも含むとしています（AIエージェントとは）。
留意事項として加わったのは、主に次の3点です。
- 判断が必要な事項を重要度で分け、人間の判断を挟む仕組みを作る
- 意図しない操作を防ぐため、権限を必要な範囲に絞って設定する
- 操作の履歴を定期的に確認し、報告する
9月に報じられた、読み取り専用とされていたAIエージェントが外部のwikiに約1万8000件を書き込んでいた事例（解説記事）は、この3点のうち権限の設定と操作履歴の確認が足りないと何が起きるかを示しています。
社内ルールにつなげる
ガイドラインを読んだ後は、自社のルールと突き合わせます。
- チェックリストと並べる。別添7のチェックリストは、第2部の共通の指針を質問の形にまとめたもので、全主体向けの項目は1ページに収まります。自社の生成AIの利用ルールと並べ、各質問に対応する決まりがあるかを確かめます（生成AIの社内ルールで、守られなかった3つの決まり）
- AIエージェントの決まりを足す。使い始めている、または検討しているなら、上の3点を利用ルールに加えます
- 説明用の1枚を作る。自社の立場（利用者か提供者か）と、チェックリストへの対応状況を1枚にまとめておくと、取引先からの質問にそのまま答えられます
社員が会社の把握していないAIサービスを使っていると、どのルールも届きません。利用実態のつかみ方はシャドーAIとはで解説しています。
