AI 事業者ガイドライン v1.1 vs EU AI Act — 日本企業の実装対応空白

日本と EU は同じ問題に対して別の制度を選んだ。生成 AI を含む高度な AI システムの社会実装に対し、日本は罰則なしのガイドライン（ソフトロー）を、EU は包括法（ハードロー）を採用した。

日本側の現行最新版は経済産業省・総務省が共同で策定したAI 事業者ガイドライン第1.1版（令和7年3月28日公表）である。本ガイドラインは AI 開発者・AI 提供者・AI 利用者の3主体に対し、人間中心・安全性・公平性・プライバシー保護・セキュリティ確保・透明性・アカウンタビリティ・教育リテラシー・公正競争確保・イノベーションの10原則を整理する。改訂は EU AI Act 発効と広島 AI プロセス国際行動規範報告枠組みの運用開始を反映した内容である。直接の罰則は置かず、「Living Document」として継続改訂する設計が採られた。

これに先立つ2025年5月、日本は人工知能関連技術の研究開発及び活用の推進に関する法律（AI 推進法）を成立させ、同年9月1日に施行した。この法律も罰則を持たず、AI 戦略本部設置と国・地方公共団体の責務規定にとどまる。同年4月にはデジタル庁がデジタル庁所管のDS-920行政の生成 AI 調達・利活用ガイドラインを公表し、2026年4月から行政側の調達指針として全面適用が始まる。日本の AI ガバナンス体系は、産業界向けのソフトロー（事業者ガイドライン）と行政側の調達指針（DS-920）の二本立てで構成されている。

一方の EU は Regulation (EU) 2024/1689 — Artificial Intelligence Actを 2024年7月12日[1]に官報掲載、2024年8月1日[2]に発効させた。段階施行スケジュールは Article 113に規定され、禁止 AI（社会信用スコア、職場・教育の感情認識、サブリミナル技法等）は 2025年2月2日[3]から適用、汎用 AI（GPAI）モデル提供者の義務は 2025年8月2日[4]から、残りの一般条項は2026年8月2日から適用が始まる。

2026年5月7日、EU 理事会と欧州議会はDigital AI Omnibus 暫定合意に達した。スタンドアロン高リスク AI（雇用・教育・与信・生体識別・重要インフラ・司法等の Annex III 領域）の適用開始日は当初の2026年8月から 2027年12月2日 へ延期され、製品組込型高リスク AI は 2028年8月2日 へとさらに後ろ倒しされる。EU 内部の実装準備の遅れと、加盟国・産業界の負荷集中を回避する狙いがある（Tech Policy Press 解説（2026-05） 参照）。

時系列を並べると次のとおりである。

ここで読みとるべきは、施行日の数より、**「罰則の有無」と「verify の責任所在」**が日本と EU で異なる点である。日本は事業者の自己評価を前提に、現場の実装判断を企業に委ねる。EU は適合性評価機関による事前審査と、Article 99の罰金構造により、verify の責任を提供者側に置く。同じ「AI を社会実装する」という目的に対して、検証可能性をどこに置くかが正反対の設計となっている。

年月

日本 (ソフトロー)

EU (ハードロー)

2024-04

AI 事業者ガイドライン v1.0

—

2024-07

—

EU AI Act 官報掲載

2024-08

—

EU AI Act 発効

2025-02

—

EU 禁止 AI 適用開始

2025-03

AI 事業者ガイドライン v1.1

—

2025-05

AI 推進法 成立 (罰則なし)

—

2025-08

—

EU GPAI 提供者義務適用

2025-09

AI 推進法 施行

—

2026-04

DS-920 行政 AI 調達 GL 適用

—

2026-05

—

Digital AI Omnibus 暫定合意

2026-08

—

EU AI Act 残条項施行

2027-12

—

EU スタンドアロン高リスク AI 適用 (Omnibus 後)

2028-08

—

EU 製品組込型高リスク AI 適用 (Omnibus 後)

日本: 罰則なし + 自己評価

事業者ガイドライン (継続改訂) + AI 推進法 (理念法、罰則なし) + DS-920 (調達指針)。verify の責任は事業者側

EU: 罰金構造 + 適合性評価

Article 99 で全世界売上 7% / 1,500 万ユーロ高額罰金。適合性評価機関が事前審査、verify の責任は提供者側

※ 出典: 経済産業省・総務省『AI 事業者ガイドライン v1.1』(2025-03)、AI 推進法 (2025-05 成立)、Regulation (EU) 2024/1689 Article 113、EU 理事会『Digital AI Omnibus 暫定合意』(2026-05-07)

ソフトロー戦略の系譜（日本）

日本が事業者ガイドラインによるソフトロー設計を選んだ背景には、産業界からの一貫した提言がある。経団連は『責任あるデジタル技術の開発と利活用に向けて』（2025年3月6日）で「アジャイルガバナンス」概念を支持し、変化の速い技術領域に対する事前固定型ルールの不適合性を主張してきた。事前に細かいルールを置くより、ガイドラインを継続改訂し、産業界との対話を維持する設計が望ましいという立場である。

この設計は、利点と弱点が表裏一体である。利点はイノベーション阻害が最小化される点にある。新規参入企業や中小事業者は、ガイドラインを参照しながら自社の判断で実装を進められる。弱点は、検証可能性が外部から見えにくい点である。「ガイドラインに沿っている」と企業が宣言した場合、それを外部で検証する第三者監査・適合性評価の制度が存在しない。第1.1版の本編31ページと別添（実践編）の二層構造は、読みやすさを重視するが、その読みやすさが「読めば対応した気になれる」リスクを伴う可能性がある。認知的負債の議論に近い構造で、ガバナンス文書を読むことと現場が verify されることのギャップは、ソフトロー単独では埋まりにくい。

ハードロー戦略の系譜（EU）

EU は化学物質規制（REACH）、医療機器規制（MDR）、データ保護規制（GDPR）と同様のリスクベース包括法のアプローチを AI にも適用した。EU AI Act は次の4階層リスク分類を採る。

罰金構造は Article 99に明示される。3類型のいずれも「金額と売上比のうち高い方」を上限とする。

GDPR の最大4% を超える7% という水準は、EU 側が AI ガバナンスに置く優先度を象徴する。さらに高リスク AI は CE マーキング相当の適合性評価（conformity assessment、出荷前に第三者機関が要件への適合を審査する制度）を経なければ EU 域内で流通できない。化学物質や医療機器と同じ枠組みで、第三者認証機関による事前審査と継続監査が制度化される。

域外適用条項

EU AI Act の Article 2は域外適用条項を含む。AI システムの提供者・利用者が EU 域内にいない場合でも、システムが生成する出力が EU 域内で利用される場合は適用対象となる。日本企業が日本国内のサーバーで運用する AI システムであっても、出力が EU 顧客に届く時点で EU AI Act の対象となりうる構造である。PwC Japanや KPMG Japan など主要監査法人系コンサルティングは、域外適用への準備を日系企業に強く促している。EY Japanの整理によれば、適用範囲の判定だけでも社内ガバナンス上の追加作業が発生する。

米国・中国との比較

米国は連邦レベルではNIST AI Risk Management Framework 1.0（2023年1月公表）とNIST AI 600-1 Generative AI Profile（2024年7月26日）を中心に自主基準が構築され、州レベルでは個別法（カリフォルニア、コロラド、テキサス、ニューヨーク）が並立する分散型ガバナンスとなっている。中国は『生成式人工知能サービス管理暫定弁法』（2023年8月15日施行）でアルゴリズム届出制度・安全評価制度を組み込み、「包容審慎・分類分級監督」というやや異なる原則を採用する。

国際比較の観点では、日本の AI 事業者ガイドラインは米国 NIST AI RMF に近い「自主基準型」と、EU AI Act が代表する「包括法型」のあいだに位置する。だが米国も州レベルでは具体的義務化が進む（例: カリフォルニア州 TFAIA は10²⁶ FLOPS 超のフロンティアモデルに義務を課す）一方、日本は連邦相当の中央レベルでも罰則なしで、地方自治体レベルでも独自規制を持たない。この点で日本の制度設計は国際的に異質である。

広島 AI プロセス国際行動規範報告枠組み

日本主導の国際枠組みも触れておくべきである。広島 AI プロセス国際行動規範報告枠組みは2025年2月に運用が開始され、GPAI 提供者が自主的にリスク管理状況を報告する仕組みとなっている。2025年4月の初回回答では日本企業7社を含む19組織が参加した。報告先は OECD ウェブサイト経由で公開されるが、EU AI Act の GPAI 義務（2025-08-02適用）と内容的に重なる部分があり、提供者は同種の情報を2系統に提出する事務負担に直面する。国際協調の建前と、地域別制度差分の実態のあいだに、運用負荷のズレが残っている。

論点1: リスク等級の死角

EU AI Act の Annex III は高リスク AI 領域を具体的に列挙する。雇用（採用・人事評価 AI）、教育（試験採点・進級判定 AI）、与信スコアリング、重要インフラ（電力・交通制御）、法執行、司法支援、移民管理、生体識別が含まれる。これらは「人の権利・機会に重大な影響を与える AI」という抽象基準を、具体的領域リストで運用可能にする設計である。

日本の AI 事業者ガイドライン第1.1版は「リスクベース・アプローチ」を導入するが、領域別の具体リストは EU ほど詳細でない。本編は「特に重要な AI システム」「重要 AI システム」という抽象区分を示し、具体例として医療・金融・教育・採用等に言及する。だがどの領域が高リスクに相当するかは事業者自身の評価に委ねられ、第三者監査による領域確定の手続きは存在しない。

結果として日本国内で稼働する採用 AI・与信 AI・教育 AI は、EU 同等の verify を受けずに運用されうる。本人異議申立て・説明義務の制度的根拠も EU と比較すると薄い。これは EU 域内事業を持たない日本企業にとっては当面の対応コストを下げる一方、AI が直接影響する個人の側に立つと、不服申立て先と訂正手段が明確でない構造を意味する。

論点2: 二重対応コストの非対称性

EU 市場へ AI システムを提供する日本企業や、EU 顧客向けに AI サービスを提供して出力が EU 域内で利用される日本企業は、EU AI Act の高リスク AI 義務に対応する必要がある。具体的には、適合性評価のための技術文書整備、ログ保存基盤の構築、人間による監視体制の設計、CE マーキング相当の認証取得である。これは GDPR 対応コストと並走するため、AI 分野だけで完結しない管理体制の再構築を要する。

一方、日本国内のガイドラインは EU 対応を「奨励」するが「義務」とはしていない。EU AI Act 対応分の負担はそのまま日本企業の自己負担となる。逆方向、すなわち EU 企業が日本市場に AI サービスを提供する場合、日本側ガイドラインは事実上 free pass である。罰則を持たないため、日本側のガイドラインを参照しなくても日本市場に到達できる。この非対称性が長期化した場合、日本市場での AI サービス供給に占める EU 企業のシェアと、EU 市場での日本企業のシェアは、規制対応コストの差を通じて構造的に偏ることになりうる。

西村あさひ法律事務所のN&A ニュースレター（2026年1月）は、Omnibus 暫定合意後の動向と日系企業の準備状況を整理している。Hogan Lovells の英文解説とIAPP の分析もあわせて読むと、延期は実装猶予であって免除ではない点が確認できる。

論点3: 実装空白を生む verify ループ不在

日本側ガイドラインには verify（検証）の制度的ループが組み込まれていない。具体的には次の3つが欠けていると整理できる。

第一に、第三者監査・適合性評価機関の制度化である。EU は CE マーキング体系における Notified Body のように、AI に対しても第三者認証機関ネットワークを整備する方向にある。日本側は事業者の自己評価が前提で、外部からの verify を制度的に要求しない。

第二に、技術文書整備義務である。EU AI Act 高リスク AI には Article 11に基づく技術文書、Article 12に基づくログ保存、Article 13に基づく透明性、Article 14に基づく人間による監視が義務化される。日本側はこれらを「推奨」するが、欠けていることに対する制裁はない。

第三に、不服申立てと訂正の制度的経路である。EU AI Act は影響を受ける個人の権利として、AI 決定への説明請求と人間による再評価を組み込む。日本側ガイドラインは「アカウンタビリティ」原則として説明可能性を挙げるが、個人が事業者に対して説明を請求できる法的根拠は AI 事業者ガイドラインからは生じない（個人情報保護法等の既存法に依存する）。

この3つの欠如が組み合わさると、「ガイドラインを読んだ」と「現場が verify された」のあいだに大きな実装空白が生じる。AI セーフティインスティテュート（AISI）が第1.1版公表時の解説を出しているが、AISI 自体に企業 AI を強制監査する権限は与えられていない。「ガバナンス文書を読んだ」≠「現場が verify された」というギャップを認知的負債として可視化する必要がある。

論点4: 国際整合性と日本の選択肢

日本が現行のソフトロー型から動くとすれば、選択肢は理論的に3つある。

第一に、独自路線の維持である。AI 推進法とガイドラインを継続改訂し、verify は産業界の自主基準と業界団体の認証制度に委ねる。利点は実装現場の柔軟性が保たれること、弱点は EU 域外適用への対応で実質的に EU 基準が国内事実上標準となる「ブリュッセル効果」が静かに進行する可能性である。

第二に、部分準拠である。高リスク AI の領域別リスト（採用・教育・与信等）を EU Annex III と整合させ、適合性評価相当の手続きを国内認証制度として導入する。完全な EU 同調ではないが、日系企業の二重対応コストを軽減し、輸入 AI に対しても国内基準を要求できる。

第三に、完全準拠である。EU AI Act 同等の包括法を国内で制定し、罰金条項と適合性評価機関を制度化する。日本産業界のアジャイルガバナンス論とは正面から衝突するが、verify 不能性のリスクは構造的に解消される。

Bradley の比較研究とUniversity of Washington の比較分析を踏まえると、各国がそれぞれの法文化と産業構造に整合する設計を選んでいることは確かである。日本が「verify 基盤を持つソフトロー」という独自設計を組めるかが、現実的には最大の問いとなる。罰則なしのまま、第三者監査・適合性評価・不服申立ての3つを制度化できれば、ハードロー化せずに verify ループを閉じる経路は理論的にありうる。だが現時点でその設計は組み立てられていない。

ガイドラインは罰則がなくても、verify と外部監査の仕組みがなければ実装空白を埋めない。日本が EU に追随してハードロー化すべきか、ソフトロー × verify 基盤を独自設計するかは別の論点だが、verify 不能のソフトローは識別すべきリスクとして残る。本記事は、日本企業の現場で AI を実装する個別の判断を促すものではない。制度の設計差が、現場の判断負荷をどこに配置するかという構造を読んだ。次に問われるのは、その配置を変えるか、配置に合わせて自社の verify ループを補完するかである。

---

関連コラム

• AI 規制、米国連邦vs州の攻防 — 統一フレームワークは実現するか（このサイトの記事）
• 認知的負債 — AIに思考を委ねるとき、脳と社会に何が起きるか（このサイトの記事）
• AI 権威バイアスと知識の空洞化（このサイトの記事）

---