2025年3月28日、経済産業省は「AI事業者ガイドライン（第1.1版）」を公開しました。2024年4月に経済産業省と総務省が共同で公表した「AI事業者ガイドライン（第1.0版）」のアップデート版です。

政府としてはAIの活用を推進したいものの、日本企業ではAI導入に対して消極的な姿勢が残り、他国と比べて活用率がかなり低いことが課題になっています。そこで、AI開発者・提供者・利用者がリスクベースで取り組む対策と、AIガバナンスの枠組みをひとつにまとめて示したのが、このガイドラインです。

安全性・公平性・透明性などを含む10項目の「共通の指針」と、国際ルールとの整合性を念頭に、イノベーションを進めるための考え方が整理されています。

ガイドラインは、「どんな社会を目指すのか（基本理念=why）」「何を目指すのか（指針=what）」を示す本編と、「具体的にどう実践するか（how）」を解説する別添に分かれています。合計200ページ以上あるため、全部を読む余裕がない方も多いはずです。そこで今回は、「AI事業者ガイドライン（第1.1版）」をの重要ポイントをかいつまんで解説します。

AI事業者ガイドライン策定の背景と目的

「AI事業者ガイドライン（第1.1版）」は「リスクベースアプローチ」を軸にしているのが特徴です。AIの活用によって想定される危害の大きさと発生確率を事前に見積もり、それに応じた対策レベルを定めている、いわばAI版リスクマネジメントを求められています。過剰な規制でイノベーションを阻害するのではなく、必要十分なガバナンスを自律的に組み込む発想と言えます。

基本理念は、人間の尊厳を守る社会、多様な幸せを包摂する社会、そして地球規模で持続可能な社会という三つの価値です。これらを実現するための七つの原則――人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティ――が続きます。

人間中心の原則とは、AIを道具として使いこなし、意思決定や感情を不当に操作しない姿勢のことです。フィルターバブルや偽情報の蔓延に注意し、多様なユーザーが恩恵を受けられるよう支援と環境配慮も忘れてはなりません。安全性の項目では、出力の正確さと堅牢性を維持し、リスク分析と制御可能性を確保することが求められます。不適切な利用を避ける設計や、学習データの質と合法性の確保も欠かせません。

公平性はバイアス対策が要です。データや学習過程、プロンプトまでバイアスの発生源を洗い出し、人間による監督を行います。プライバシー保護では個人情報保護法など国内外の規律を踏まえた設計と運用が必要です。セキュリティ確保は機密性・完全性・可用性を保つ技術的管理に加え、新たな攻撃手法への継続的な目配りを行います。透明性はログ記録やモデルの能力・限界を開示することで検証可能性を高め、アカウンタビリティはトレーサビリティの確保と責任所在の明示で実践します。

加えて、教育・リテラシー向上や公正競争の維持、オープンイノベーション促進など社会と連携した取り組みなども提案しています。高度なAIシステムに関わる事業者には、レッドチーミングによる安全性検証や電子透かしによる生成物の識別など、広島プロセスに沿った追加義務も課されました。

AIのリスク管理と価値創出に向けた三者の協力体制

「AI事業者ガイドライン（第1.1版）」では、AI開発者とAI提供者、AI利用者という三つの役割にスポットを当て、それぞれの立場で「共通の指針」をどのように具体化するかを示しています。バリューチェーン上の役割が違えばリスクの出方も変わるため、責任の在り処を明確にしながら相互に連携する必要があります。

「AI開発者」はモデルを設計・学習させる主体として、生成物が社会に及ぼす影響を事前に想像し、対策を織り込んだ設計を求められます。精度を追うあまりプライバシーや公平性が犠牲にならないよう、リスク同士の衝突を調整する判断力が重要です。

開発フェーズで重視されるのはデータ管理とバイアス対策です。収集段階から法令を順守し、潜在的バイアスを検知・抑制する試行錯誤を繰り返します。学習過程やアルゴリズム選定を第三者が後で追えるよう文書化し、レッドチーミングで脆弱性も洗い出します。

「AI提供者」は開発者のモデルに付加価値を与え、サービスとして社会に届けるアクセラレータの役割です。モデルが用途に適合しているか、環境変化で期待値がズレないかを常時点検し、正常稼働と変更管理を両立させることが使命となります。

提供者には情報開示のハブとしての責任も課されます。データの最新性や入力時の留意点を利用者へ説明し、サービス規約やプライバシーポリシーを整備してアカウンタビリティを確保しなければなりません。高度なAIを扱う場合は、広島プロセスで定められた追加指針も適切な範囲で遵守する義務が加わります。

「AI利用者」は、提供者の想定した範囲でAIを使いこなします。業務効率や創造性を高める一方、最終判断を人が担うことで人の尊厳と自律を守り、事故回避の安全弁として機能します。

利用者は入力データやプロンプトに潜むバイアス、個人情報の扱いなどを理解し、サービス規約を順守しつつ説明責任を果たす努力が求められます。そのために提供者からの文書を活用し、継続的にリテラシーを高めなければいけません。

この三者を貫く横串が「文書化とガバナンスのループ」です。環境・リスク分析からゴール設定、運用、評価、改善を高速で回すアジャイル・ガバナンスを共有することで、システム同士の連携が生む新たな価値とリスクを同時に制御します。

ガイドラインは、AIガバナンスをコストではなく中長期的投資と見なすリーダーシップを経営層に促しています。短期利益に傾き、原則を無視し続けると、後から説明を求められた際のダメージが大きくなることは肝に銘じておくとよいでしょう。

アジャイル・ガバナンスが企業の競争力を左右する。生成AI時代の事業戦略

AIを事業に取り込む企業はAI活用の場面だけに目が行きがちですが、学習データが巡り巡って別のモデルを鍛え直す循環構造まで視野に入れなければ、予期せぬリスクが跳ね返ってくることは頭に入れておく必要があります。

いまや生成AIまで含むシステムは、物流の最適化や社内問い合わせの自動化など、即効性の高いメリットをもたらす一方で、組織変革を促す起爆剤にもなります。しかし同時に、ハルシネーションによる偽情報の拡散やデータ汚染攻撃、説明不能な判定といったネガティブな面も増幅させてしまいます。性能だけを追い続けると、いつの間にか信用コストや訴訟リスクが大きく膨らむ可能性があるのです。

だからこそ技術論以前に、経営課題を考えることが重要になります。経営層がリーダーシップを発揮し、自社の文脈で便益とリスクを洗い出し、社会的受容度を測り、組織内の習熟度を見極めたうえでガバナンス目標を掲げることで、一連の流れ自体がガバナンスの要となり、目標を外部に示すことで信頼の土台が築かれます。

環境分析を行う際には、まず事業が巻き込むステークホルダーを細かく想定し、その立場から便益とリスクを並べ替えるプロセスが欠かせません。生成AIが関わる領域では、ヒヤリ・ハット情報やインシデントのデータベースをしっかり調べ、起こり得る未来を先取りする姿勢が求められます。そして、その情報をもとに、経営の意思決定を柔軟にアップデートしていくことが重要です。

開発現場に目を向けると、AIモデルの精度を土台から支えるためには、適切なデータ収集と来歴の追跡が欠かせません。プライバシー・バイ・デザインで個人情報を扱い、データリネージを整え、外部ソースの権利関係まで遡れる仕組みをライフサイクル全体で維持することが基盤となります。

質を担保した後に問われるのは、バイアスの制御です。データやアルゴリズムに内在するバイアスは完全に排除できないという前提に立ち、代表的なデータを使った再学習や複合的評価を回し続ける運用が不可欠です。

セキュリティは後づけではなく、設計段階から練り込む必要があります。SBOM（Software Bill of Materials）で依存関係を可視化し、アクセス制御と暗号化を基本として、侵害が起きた際の対応手順を事前に文書化しておくことが推奨されます。生成AIを扱う場合には、とりわけ社内コードや機密情報の流出経路に注意を払う必要があります。

透明性と説明責任も開発者に求められます。モデルの更新履歴や評価結果をドキュメントとして残し、提供者や利用者が再検証しやすい状態を常に維持することで、バリューチェーン全体の信頼が高まります。

こうした実践を結び合わせる要となるのがアジャイル・ガバナンスです。リスク評価や教育、文書化、改善などを一度で完結させるのではなく、技術と社会の変化を映し出す鏡として、サイクルを回し続けることが求められます。この循環が組織文化にまで定着したとき、AIは単なる効率化の道具ではなく、新たな価値を創造する戦略資産へと進化していきます。

この記事の監修