グローバルで本格化するAI関連法規制整備を受け、AI活用を推進するために日本企業はどうするべきか

2024年8月、世界で初めて包括的なAI（人工知能）規制となる「EU AI法（AI Act）」が発効しました。AIの活用が期待される一方で、そのリスクへの懸念も高まり、各国や国際機関が相次いでガイドラインや規制案を打ち出しています。こうした動きは、グローバルで統一された規制枠組みがいまだ存在しないことの裏返しでもあります。日本は非拘束的な「ソフトロー」を基本としていますが、各国では法的拘束力を持つ「ハードロー」への移行が加速しています。こうした国際的な潮流の中、日本企業はAI活用を推進する上で、いかに対応すべきでしょうか。本稿では、アレシア国際法律事務所代表弁護士の有本真由氏、慶應義塾大学大学院特任准教授の吉永京子氏、PwC Japan有限責任監査法人パートナーの宮村和谷が、世界の最新動向を踏まえつつ、日本企業に求められる戦略と実務対応について考察します。（本文敬称略）

登壇者

慶應義塾大学大学院 政策・メディア研究科 特任准教授
ジョージタウン大学ロースクールテクノロジー法・政策研究所ノンレジデントフェロー
吉永 京子氏

アレシア国際法律事務所 代表弁護士
有本 真由氏

PwC Japan有限責任監査法人
パートナー
宮村 和谷

モデレータ

PwCコンサルティング合同会社
ディレクター
橋本 哲哉

EU AI法と米国・日本のアプローチの違い

橋本：
AI規制をめぐる国際的な動きが本格化する中で、日本企業はどのように対応すべきかが課題となっています。まずはEU AI法をはじめとした各国の最新動向について、吉永先生、説明いただけますか。

吉永氏：
はい。ではEU、米国、日本の動向に焦点を当ててその概要を紹介します。

EUではAIを包括的に規制する「EU AI法」が成立し、2024年8月より段階的に施行が始まっています。この法律では、感情の推測や潜在意識への働きかけといった特定のAIの利用が禁止されており、「ハイリスクAI」「特定用途AI」「汎用目的AIモデル」なども規制の対象とされています。中でもハイリスクAIは安全性や基本的人権への配慮が義務付けられ、透明性や情報開示といった対応も求められます。

次に米国です。米国の場合、連邦レベルではガイドラインを中心としたソフトローによる対応が主流となっていますが、州単位では法的拘束力のある規制、いわゆるハードローの導入も進みつつあります。例えば、コロラド州やユタ州では既にAI関連法が制定されています。また、カリフォルニア州では2024年だけで17件の関連法案が成立しました。バイデン政権下では大統領令として「信頼できるAI」の推進が掲げられていました。ちなみに、この大統領令によって米国はハードローに舵を切ったと認識されがちですが、これは米国で弁護士や大学教授、政府関係者にも確認してきましたが、ハードローではありません。大統領が行政府の長として、各省庁にこういうことに取り組むようにとした命令であり、各省庁はそれぞれガイダンスによる対応でも良いというものです。ただし、この大統領令は、トランプ政権への交代に伴い撤回されました。現在は「AIによる米国の競争力強化」に重点を置いた政策が展開されています。

一方、日本では2024年4月に「AI事業者ガイドライン」が公表され、現在も改訂に向けた検討が進められています。このガイドラインはOECD（経済協力開発機構）のAI原則とも連動しており、基本理念や取り組みの指針をはじめ、具体的な事例が整理された構成になっています。

また、日本では分野ごとに必要に応じて法改正も進められています。例えば、検索による掲載順位決定のアルゴリズムの透明化を求める法律や、高速取引アルゴリズムに関する規制、自動運転技術に対応した制度整備などがその例です。

その他の国を見ると、韓国では2026年施行予定のAI基本法が既に制定されており、国によるAIガバナンスや産業支援、安全性・透明性の確保などが義務化されています。ブラジルやカナダでも法案レベルで動きがありますが、包括的なAI規制としてハードローを採用しているのは、世界的にみると実はまだ少数です。

橋本：
次に有本先生に伺います。先生は国際法、とりわけ米国におけるサイバーセキュリティやAI法制が専門と伺っています。吉永先生の説明に補足いただけますか。

有本氏：
はい。強調したいのは、EUのAI法のような「包括的で注目される規制」だけでなく、各国が分野ごとに導入しているハードローにも目を向ける必要があるという点です。特に、グローバルでビジネスの展開を検討している企業にとっては、表面的な法制度の比較だけでは不十分であり、実際の運用や執行の実態まで含めた理解が不可欠です。その観点から、米国の規制構造について簡単に整理します。

まず、ガイドラインはNIST（米国標準技術研究所）が策定した「AIリスクマネジメントフレームワーク（AI RMF）」など、複数の基準が存在しています。これらは法的拘束力を持ちませんが、企業がリスクに向き合う上での重要な行動指針です。2024年には生成AIに特化したガイドラインも追加されました。

次に、既存法を根拠とした規制が挙げられます。これは「AI」という言葉が法律上に明記されていなくても、従来から存在する法令を通じて規制が行われることがあります。この点は企業にとって特に見落としやすく、対応が難しい領域です。例えば連邦レベルでは、司法省を含む4省庁が「AIを含む新技術に対しても既存法を適用する」とする共同声明を発表しています。これを踏まえFTC（連邦取引委員会）は、既存法に基づき、倫理的・差別的リスクのあるユースケースにおいて一定期間の技術使用禁止や関連データの削除を求めるといった、実際の規制執行を行っています。

また、生成AIを開発・提供する企業に対しては、著作権侵害を巡る訴訟が相次いでいます。アーティストや報道機関が自身のコンテンツが無断で学習に利用されたとして複製権の侵害を主張しており、訴訟件数はすでに多数に上っています。現時点では決定的な内容の判決は出ていませんが、今後の法解釈に大きな影響を及ぼすとみられます。

もう1つ、政策面での変化として、吉永先生からも言及があったAI関連の大統領令について補足させてください。トランプ政権への交代とともに撤回された大統領令で特に影響が及ぶのは、連邦機関による既存法の適用や、その運用に関する部分です。今後は、規制の緩和に向かう可能性が高いでしょう。一方で、大統領令とは別に存在するガイドラインなどについては、現時点では大きな影響はないとみています。

規制理念の違いから見る各国のAI戦略

橋本：
お話を伺って、国によってAI規制のアプローチにハードローとソフトローといった違いがあること、そしてその背景や目的も国ごとに異なることが見えてきました。有本先生、米国とEUの規制アプローチの違いについて、その背景や意図も含めて解説いただけますか。

有本氏：
先ほど吉永先生も触れられたとおり、米国の大統領令は少なくとも民間部門に関しては法的拘束力を持つハードローではなく、ソフトローに位置付けられます。

米国がこうした柔軟な規制方針を取る背景には、国内にAI分野のリーディング企業が数多く存在していることがあります。過度に厳格な規制を設けることは、自国の産業競争力や国家安全保障、特に軍事AIのような戦略的分野における自由な開発を損なうリスクがあるとみられています。

その一方で、米国では長年にわたり人種的不平等や差別が社会問題となってきた経緯があり、公平性や多様性への意識が高まっています。アルゴリズムによるバイアスや偏見に対しても市民の感度は高く、前政権ではこうした懸念に対応する形で、大統領令や各種の規制が導入されました。しかし現政権では、その方針に変化が生じる可能性もあり、今後の動向には注意が必要です。

これに対してEUでは、AIの開発・提供・利用の各段階に対し、統一的かつ強制力のある規制を課す「AI法」を採用しており、明確にハードローのアプローチを取っています。この考え方は、個人情報保護を目的としたGDPR（EU一般データ保護規則）にも通じるもので、国外企業によるAIの濫用から域内の市民や企業を守る目的があります。

さらに、EUが掲げる「ブリュッセル効果」も見逃せません。これは、EUの市場規模の大きさを背景に厳格なルールを導入することで、それが国際標準として広がり、結果としてEU産業の競争力を高める戦略です。AI分野においても、EUはこのような政策思想を持って臨んでいると考えられます。

橋本：
ありがとうございます。各国の規制の目的はそれぞれ異なります。そうした中で、日本はよく「EUと米国の中間」と表現されます。この「中間」という立場について、宮村さんはどうお考えですか。

宮村：
日本が「中間」と呼ばれるのは、EUの包括的なハードローと米国の産業競争力を重視したソフトローの良い面を組み合わせているからです。この立場は企業に自由度を与える一方で、自己責任での対応が求められます。

AIは国境を越えて利用されるため、全ての国の規制に対応するのは現実的ではありません。重要なのは、自社のポリシーをしっかり定め、展開する市場のリスクに応じた対応を取ることです。日本のAI事業者ガイドラインには、「アジャイルガバナンス」の考え方が盛り込まれています。これは状況変化に応じて柔軟に見直しを行うアプローチです。こうした考え方は、日本企業にとって特に重要だと考えています。

日本のAI法制度の方向性と課題

橋本：
次に日本の今後の法制度について伺います。現在、AI戦略会議などで法制度の方向性が議論されており、2023年末には中間取りまとめ案も公表されました。そこでは「ハードローとソフトローの組み合わせが重要」とされた一方で、「自主的な対応が期待できる分野では規制を控えるべき」とも書かれています。ただ、「どの分野で自主的対応が期待できないのか」という基準が明確でないため、企業にとっては実務上の判断が難しい場面も出てくるのではないでしょうか。この点について、吉永先生はどう見ますか。

吉永氏：
まず前提としてお伝えしたいのは、「ハードローかソフトローか」の優劣を論じるのではなく、各国の社会的・経済的な背景に応じた制度設計が重要だということです。例えば、既存の法律の有無や社会的制裁の影響力、経済的社会的要因、企業文化、テクノロジーの進み具合とその社会的受容性などが、その国の制度のあり方に大きく関わってきます。

EUがハードローを採用した背景には、基本的人権や法の支配といった価値観を守るという理念があります。それに加えて、製品安全に関する新法規フレームワークとの整合性を図る目的もありますし、27カ国にまたがる市場を統合するという産業政策上の必要性もありました。

一方、日本ではソフトローでも機能しやすい土壌があると思います。日本企業には政府や監督官庁の要請に真摯に対応する文化が根づいており、例えばAI開発や利活用に関する旧来のガイドラインにも、多くの企業が積極的に対応してきました。また、日本は社会的制裁の力が強い国とも言われています。具体的には個人情報の漏えいなどが起きた場合、企業はメディアや世論から厳しく批判され、経営に大きなダメージを受けることもあり得ます。こうした社会的背景が、企業の自主的な取り組みを後押ししているという面もあります。

さらに、日本には「失敗を避けたい」という文化が根強くあります。そうした中で、過度に厳格なハードローを導入すると、かえって企業のイノベーションを萎縮させてしまうリスクもあります。こうしたことから現時点では、全体的にはソフトローをベースにしつつ、リスクの高い分野にはハードローを適用するという、バランスの取れた組み合わせが適していると考えます。

実際、中間取りまとめ案でも、政府による調査権限や、企業の情報提供義務といった要素については、ハードローとして制度化する方向性が示されています。特に社会的影響の大きい重要インフラ分野などでは、今後さらに明確なルール化が進む可能性があります。

ただし、仮に国内外の主要なAI事業者が、倫理面で問題のあるAIを開発・提供するようなことがあれば、ソフトローだけでは対応しきれません。そうした場合には、法による明確な規制が求められることになるでしょう。また、技術の進展や利用の拡大によって、具体的なリスクが明確になった場合にも、法律による対応が求められる可能性があります。

日本企業の法令遵守意識とAI規制の関係

橋本：
中間取りまとめ案では「日本企業は法令遵守意識が高い」とされていますが、この点については国民性や企業文化の違いも影響しているように思います。有本先生は日本の制度や議論の方向性をどのように評価されていますか。

有本氏：
ご指摘のとおり、法制度の設計や運用のあり方は、その国の文化的背景によって大きく異なります。例えば、厳格なルールを作ることと、それが現実に守られているかどうかは別の問題です。

「海外で厳しい規制があるから日本も同様にすべきだ」といった単純な模倣は避けるべきです。法制度は文化や産業政策、そして国益とも密接に結びついています。日本はまだAI産業の育成段階にあり、過度な規制をかけることは産業発展の観点からも望ましくないと考えます。

他方、法制度の設計は各国に一定の自由が認められていますが、技術的な内容や安全性などの基準は国際的な整合性が求められます。日本政府もこの点を踏まえ、国際的な枠組みとの整合を意識して制度設計を進めています。

もう一点、日本の制度の特徴として「外から見えづらい」という課題もあります。例えばEUのように包括的な法律が整備されている場合、規制の内容が外部にも分かりやすく伝わります。しかし、日本のようにソフトローとハードローを組み合わせた柔軟な制度は、海外からは理解しにくい面があります。その結果、「日本企業はルールを守っていないのではないか」といった誤解を受けることもあり、それが国際的な信用に影響する可能性もあります。

実際、サイバーセキュリティの分野でも、同様の誤解がみられることがあります。したがって、日本としては、政府が主体となって制度の全体像を海外に向けて適切に発信していく必要があります。AI事業者ガイドラインはすでに英語で公表されていますが、制度全体の枠組みや背景も含めて、より分かりやすく説明していくことが今後の課題だと考えます。また、企業側も「自社がどのような規制環境のもとでAIを開発・運用しているのか」について、対外的に明確に説明できるよう備えておくことが重要です。

日本企業のAIリスクへの実務的対応策とは

橋本：
ここからは視点を変えて、実務的な対応について伺いたいと思います。グローバルな統一ルールがまだ確立していない中で、越境リスクに直面する日本企業はAIリスクにどう向き合えばよいのでしょうか。宮村さん、具体的な対応策についての考えをお聞かせください。

宮村：
AI専用の新たな枠組みを1から作るのは現実的ではありません。まずは既存のガバナンスやコンプライアンス体制をベースに、AI対応を組み込むことが有効です。多くの企業は既に、輸出入規制やプライバシー保護といった分野で国際的な対応の仕組みを持っており、それを活用すべきです。ただし、AIは変化が非常に早い分野なので、特定領域では専用の対応体制を別途整備する必要が出てくる場合もあります。

出発点として重要なのは、自社や他社がどのようなAIユースケースを展開しているかを正確に把握することです。その上でリスクに応じて対応を切り分け、どこに注力すべきかを戦略的に判断することが、グローバルなリスクマネジメントの鍵になります。

橋本：
吉永先生、有本先生の立場からも日本企業が今後どう対応していくべきか、アドバイスをいただけますか。

吉永氏：
日本のAI事業者にとって、「AI事業者ガイドライン」への対応は、単なる法令遵守にとどまらず、社会的責任やESGの観点からも不可欠です。また、EU域内でビジネスを行っている、あるいは今後の展開を検討している企業にとっては、「EU AI法」への対応も避けては通れません。

EU AI法は、EU域内でAIシステムや汎用目的AIモデルをサービス提供・市場投入する全ての事業者に適用されます。また、アウトプットがEU域内で利用される場合、第三国に所在するAIシステムのプロバイダーやデプロイヤーも対象となる点が重要です。違反した場合には高額な罰金が科され、例えば禁止行為に対しては、最大3,500万ユーロ、または違反者が企業である場合には前会計年度の全世界売上高の7％までのいずれか高い方が科される可能性があります。たとえ直接の影響がなくとも、取引先を通じて間接的に影響を受けるリスクがあるため、無関係とは言えません。そのため日本企業も、海外の制度を参考にしながら、どのようなAIが禁止・規制の対象になっているのかを把握し、それを踏まえて開発・活用を進めていく必要があります。

実務面では自社のAIポリシーや行動基準を策定し、どのようなリスクがあるのかを洗い出して業務フローに組み込むことが求められます。また、経営層・法務・リスク管理などの部門が連携できる、横断的で柔軟な体制を整えることも重要です。さらに、社外の専門家を含むAI倫理委員会を設けたり、設計段階からアルゴリズムのバイアスリスクを検討し、販売後も継続的に改善したりといったプロセスも欠かせません。その際にはチーム構成にも配慮し、ダイバーシティを確保することが望まれます。

このように、AIのライフサイクル全体を見据えたガバナンス体制の構築が、今後の日本企業にとって不可欠だと考えます。

橋本：
有本先生、お願いします。

有本氏：
私からは重要なポイントを大きく3つに絞ってお伝えします。

1点目は、法令上で使われている用語の確認です。必ずしも「AI」という言葉が使われているとは限らず、例えば「自動システム」など、別の用語で定義されているケースもあります。こうした用語の意味や適用範囲を正しく理解していないと、法令の対象を誤解し、対応を誤るリスクがあります。

2点目は、ソフトローに対する正しい認識です。AI事業者ガイドラインのように法的拘束力のない文書であっても、それに沿った対応を取らなかった結果、損害が生じた場合には、裁判などで注意義務違反と判断される可能性があります。社会的に受け入れられている基準である以上、実質的な拘束力を持ちうるという認識が必要です。これは日本国内に限らず、海外でも同様です。

3点目は、グローバルに事業を展開する企業に求められる視座についてです。ハイレベルな包括法だけでなく、下位の法令や判例、実務上の運用実態まで含めて把握することが重要です。そのためには、まず自社がAIを活用している分野を明確にすることが重要です。例えば、自動運転や医療機器といった具体的な領域を特定し、それに関連する法制度を絞り込んだ上で、深く理解していく姿勢が求められます。

橋本：
本日はありがとうございました。AIを巡る議論は今後も続いていくと思いますので、引き続き注目していきたいと思います。