国が生成AIの新ルールを公表｜バックオフィスが読むべき要点

内閣府の知的財産戦略推進事務局から、生成AIの新しいルールが出されました。 「**生成AIの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル・コード**」という文書です。 本稿では「プリンシプル・コード」と呼びます。

このルールはAIを作る側へ向けたものであり、一般の事業会社はほとんどの場合、直接の対象にはなりません。 だからといって、無関係な話ではありません。

AIツールを導入するとき、何を基準に安全性を判断すればよいのか。 その公式な物差しができた、というのが本稿の主題です。

罰則がないのに守られる理由

この文書はAI新法（人工知能関連技術の研究開発及び活用の推進に関する法律・令和7年法律第53号）の趣旨を踏まえて作られました。 そう聞くと厳しい規制を想像するかもしれません。 しかし、文書には「法的拘束力を有する規範ではない」と明記されています。 罰金も業務停止もありません。

代わりに採用されたのが、**コンプライ・オア・エクスプレイン**（実施する、または実施しない理由を説明する）という手法です。 実施すること自体は強制されません。 ただ、実施しないならその理由を公表しなければなりません。 理由が薄ければ、市場からそういう企業だと評価されます。

受け入れた事業者は、自社のコーポレートサイトで表明し、内閣府の事務局に届け出ます。 事務局はその一覧を公表します。 一覧に載っていれば、取引先を選ぶ際の安心材料になりそうに思えます。

ここに落とし穴があります。 事務局は届出の中身を審査しません。 第三者からの問い合わせにも回答しません。 一覧に載っている事実だけでなく、企業が公開した中身を自力で読み解かなければ、安全性の確認にはなりません。

自社はルールの対象になるのか

では、どのような企業がこのルールの対象になるのでしょうか。 文書では「生成AI開発者」と「生成AI提供者」を合わせて**生成AI事業者**と定義しています。 分かれ目は、生成AIシステムを公衆（不特定または特定多数の人）に提供したかどうかです。

したがって、社内でしか使っていない場合は対象外です。 自社の社内文書だけを読み込ませ、社員だけが使うチャットボットを作ったケースはこれに当たります。

その社内専用AIを作ったベンダーのほうも、基本的には対象外となります。 お客様から預かったデータだけを使って社内業務専用のAIを納品した場合は、該当しない典型例として挙げられています。

対象外の会社が対象に変わる瞬間

安心したかもしれません。 しかし、対象外だと思っていた会社が、ある日突然対象になることがあります。

先ほどの「公衆に提供した」という条件が鍵になります。 社内業務専用に作ってもらったAIが便利だからと、自社サイトに置いて顧客にも使ってもらうことにしたとしましょう。 この瞬間、自分たちはAIを使う側のつもりでも、定義上は「生成AI事業者」の側に立つ可能性があります。

特定の業界に特化した生成AIを作り、複数の会社に提供し始めた場合も同様です。 社内向けに作ったものを外へ出した瞬間に、適用されるルールが変わります。

AI事業者に求められる開示と対応

対象となった事業者は、具体的に何を求められるのでしょうか。 大きく分けて、情報の開示と、質問への回答です。

情報の開示では、使用モデルの名称や想定用途に加え、学習データについて踏み込んだ公開が求められます。 データの種類だけでなく、**クローラ**（ウェブ上の情報を自動で収集するプログラム）の目的、収集期間、名称までが含まれます。

もちろん、営業秘密やセキュリティに関わる機微な情報まで強制的に出させるものではありません。 出せない場合は、その理由を説明することになります。

知的財産権を守るための対応状況も開示の対象です。 ウェブサイト側が機械向けに読み込みを拒否する指示を書く **robots.txt**（ロボッツ・テキスト）に従うこと。 海賊版サイトへのクロールを避けること。 **C2PA**（コンテンツの出所を証明する技術）や電子透かしなど、可能な限り技術的な対応を講ずること。 そして、権利者が申し出るための窓口を整備し、対応記録を保存することなどが並びます。

これらすべてを実施するには、かなりの体制が必要になります。 だからこそ、やっている事業者とやっていない事業者の差が、外から見えるようになります。

利用者からAI事業者へ質問できる権利

残る原則は、質問に答えることです。 権利者からの問い合わせだけでなく、AIを使っている利用者本人からの質問にも答える仕組みが用意されました。

画像生成サービスで画像を作った利用者が、それとよく似た画像がウェブサイトに載っているのを見つけたとしましょう。 このとき利用者は、自分が作った生成物やプロンプトを示して、そのウェブサイトが学習データに含まれていたかどうかを事業者に問い合わせることができます。

もし提供者が答えられない場合は、そのサービスに組み込まれている生成AIモデルを開発した会社の名前を教えてもらう仕組みになっています。

事業者が「まだ体制ができていない」と回答を断ることは許されるのでしょうか。 文書では、体制がないと述べるだけでは不十分であり、いつ完成するのかまで説明しなければならないと明記されています。

まとめ

「プリンシプル・コード」は、自社が直接の対象にならなくても、ツール選定の強力な武器になります。 社内規程で許可するツールを決める際、「なんとなく大手だから」ではなく、このルールへの対応状況を根拠にできるからです。

最後に、明日から使える判断基準を整理しておきます。

• そのAIベンダーが「プリンシプル・コード」の受け入れを表明しているか。
• 学習データやクローラについて、具体的に何を開示しているか。
• 実施していない原則があるとき、「いつまでに整えるか」など具体的な理由が書かれているか。

自社で使っているAIツールが対象か判断がつかない、あるいは社内規程の作り方に迷う場合は、無料のホワイトペーパー『生成AI社内利用ガイドライン テンプレート』や、業務の棚卸し・可視化サービスを活用して整理するのも一つの手です。