Executive Summary
2026年のAI開発では、「法務が後から確認する」だけでは追いつきません。
AIシステムの設計段階から、
Data Governance / Security / Human Oversight / Transparency / Logging / Risk Classification
を考慮する必要があります。
特にEU AI Actは2026年に重要な適用段階へ入り、日本でもAI法・AI政策・各種ガイドラインが整備されています。
※本稿は技術者向けの概要であり、個別案件に対する法律上の助言ではありません。
最終確認日: 2026-10-08
背景と重要性
AIガバナンスは、
法務
だけの問題ではありません。
たとえば、
AI生成コンテンツだと表示する
という要件があればUI実装が必要です。
Traceability
が求められればLogging Architectureが必要です。
Human Oversight
が必要ならWorkflow設計が必要です。
規制要件はSystem Requirementsになります。
AIセキュリティ
OWASP GenAI Top 10
2025版では主なリスクとして、
- Prompt Injection
- Sensitive Information Disclosure
- Supply Chain
- Data and Model Poisoning
- Improper Output Handling
- Excessive Agency
- System Prompt Leakage
- Vector and Embedding Weaknesses
- Misinformation
- Unbounded Consumption
が示されています。
OWASP Top 10 for LLM Applications
AI Security Reviewではこの分類をStarting Pointにできます。
NIST AI RMF
NIST AI RMFでは、
Govern
Map
Measure
Manage
という4 Functionを中心としたRisk Managementを提示しています。
Generative AI向けにはGenAI Profileも公開されています。
なお、NISTは2026年時点でAI RMF 1.0を改訂中としています。社内標準へ取り込む場合も更新を追う必要があります。
EU AI Act
現在の適用タイムライン
EU Commissionが2026年8月7日に更新したFAQでは、現行スケジュールを次のように整理しています。
一次情報:
Navigating the AI Act — European Commission
EU AI Act本文:
2026年に注意すべき変更
古い解説資料では、
High-risk rules → 2026-08-02
と記載されている場合があります。
しかしEU Commissionの2026年8月更新FAQでは、2026年7月27日に発効したDigital Omnibusによって、
High-risk AI:
2027-12-02
AI embedded in physical products:
2028-08-02
へ延長されたと説明されています。
このため、規制情報は必ず最新のEU公式情報を確認してください。
Article 50
EU Commission FAQでは、生成AI出力のmachine-readable markingや、Deepfake等に関する表示義務などArticle 50の透明性要件を説明しており、2026-08-02から適用されています。
これらは、
- Metadata
- UI表示
- Content Pipeline
- Logging
などのシステム要件へ影響します。
日本のAI政策・法制度
日本では内閣府が、
「人工知能関連技術の研究開発及び活用の推進に関する法律」
に関する情報を公開しています。
法令本文はe-Govで確認できます。
最新政策や基本計画、各種指針は内閣府AIページを確認します。
事業者向けの実務資料については経済産業省も継続確認すべき情報源です。
ガバナンスをSystem Designへ落とす
AI Inventory
最初に「会社でどこにAIがあるか」を把握します。
AI System Registry
├─ Owner
├─ Purpose
├─ Model / Provider
├─ Data classification
├─ Users
├─ Region
├─ Risk level
├─ Human oversight
└─ Evaluation status
Shadow AI対策にもなります。
実務チェックリスト
Inventory
- 全AI機能を台帳化している
- Ownerが存在する
- Model / Providerを記録する
- 利用データを分類する
- 対象国・地域を記録する
Security
- OWASP GenAI Top 10を確認した
- Prompt Injection Testを行う
- Tool権限を最小化した
- Agent Sandboxを設計した
- Supply Chainを管理する
- AI Incident Response手順がある
Governance
- Use Case Risk Classificationを行った
- Human Oversightを定義した
- Traceabilityを確保した
- Evaluation結果を保存する
- Provider変更履歴を保存する
- Model変更履歴を保存する
Legal / Compliance
- 対象法域を確認した
- EU AI Act該当性を確認した
- 日本の最新AI政策・ガイドラインを確認した
- Privacy要件を確認した
- Copyright / Licenseを確認した
- AI生成物の表示要件を確認した
導入時の注意点とリスク
「社内利用だから規制対象外」と決めつけない
適用範囲は、
- 提供者
- 導入者
- 利用目的
- 対象地域
- 利用者
- System Risk
等で変わります。
個別案件は法務専門家と確認します。
Vendor Compliance = 自社Complianceではない
Cloud Vendorが各種認証を持っていても、
自社が何のDataを
何の目的で
誰に対して
どう使うか
という責任は残ります。
ガバナンスをManual作業だけにしない
Policyを、
「AIを安全に使いましょう」
だけで終わらせず、
IAM
Policy Engine
Approval Workflow
CI/CD Gate
Audit Log
Evaluation Gate
へ実装します。
推奨情報源
国際
- EU AI Act FAQ
- EU AI Act 本文
- NIST AI RMF
- NIST AI RMF Playbook
- OWASP GenAI Security Project
- MITRE ATLAS