AI事業者ガイドラインは何を求めているか——禁止ではなく、リスクに応じた運用

生成AIを使う企業は、何を守ればよいのか。日本では2024年4月19日に、総務省と経済産業省が「AI事業者ガイドライン（第1.0版）」を公表している。

ポイントは、細かい禁止リストではない。ガイドライン自身が、AIの技術発展と社会実装は速く、法律の整備・施行にはタイムラグがあると整理したうえで、非拘束的なソフトローとして作られている。つまり「AIを使うな」ではなく、リスクを把握して、事業者が自分で運用を設計せよという文書だ。

3つの主体に分けている

この分け方は実務的だ。多くの会社は、最先端モデルを開発していない。それでも、ChatGPTや国内外のAIサービスを業務に入れれば「AI利用者」になる。自社サービスに組み込めば「AI提供者」に近づく。同じ会社が複数の立場を兼ねることもある。

リスクベースで考える

ガイドラインは、AI利用の分野や利用形態によって社会的リスクの大きさが変わるとし、リスクの大きさに応じて対策を変える「リスクベースアプローチ」を重視している。

たとえば、社内の文章下書きに使うAIと、採用評価・融資審査・医療相談に使うAIでは、同じ「生成AI利用」でも失敗時の影響が違う。前者は誤字や機密入力のリスクが中心だが、後者は個人の機会や生活条件に直接影響する。必要な説明、記録、監督、人間の関与は同じではない。

企業に必要なのは「使う/使わない」より運用設計

AIの社内利用ルールでありがちな失敗は、全面禁止か全面自由かに寄せすぎることだ。全面禁止は実態として守られにくい。全面自由は、機密情報・個人情報・著作権・誤情報のリスクを個人に押しつける。

企業が最低限決めるべきなのは、次のような運用だ。

AI活用は「便利ツールの導入」ではなく、業務プロセスの再設計に近い。だから、ルールは情シスだけの仕事でも、現場任せの仕事でもない。

この記事の限界

• ガイドラインは非拘束的なソフトローであり、個別法令上の義務そのものではない。個人情報、著作権、労務、金融、医療などは別途確認が必要
• この記事は第1.0版をもとにしている。ガイドラインは更新される前提のLiving Documentであり、記事化後も改訂確認が必要