AI事業者ガイドラインとは？AIを使う会社（AI利用者）がやること：義務や罰則の有無、AI法との関係、実務の確認項目

「AI事業者ガイドライン」は、総務省と経済産業省が、AIを開発・提供・利用する事業者に向けてまとめた指針です。2024年4月に第1.0版が出て、2026年3月31日に第1.2版に改訂されました。本編が「何をするか」を、別添が「どう取り組むか」を書いています¹²。

本編・別添ともに分量が多く、AIを作る会社向けの記載も多く含みます。この手引きでは、生成AIなどを業務で使う会社（ガイドラインでいう「AI利用者」）に関わる部分に絞って、社内で何をすればよいかを整理します。

※ 2026年10月20日時点で最新の第1.2版にもとづきます。ガイドラインは毎年のように改訂されるので、最新版は総務省の掲載ページで確かめてください⁸。

義務や罰則はあるのか

ガイドラインに法的な拘束力はなく、罰則もありません。ガイドライン自身が「非拘束的なソフトロー」と位置づけ、事業者の自主的な取り組みを促すものだとしています¹。総務省・経済産業省の「活用の手引き（案）」も、記載事項の遵守は義務ではないこと、書いてあることを全部そのまま自社に当てはめるのではなく、規模や状況に合わせて過不足なく対応することを、よくある誤解として挙げています³。

ただし、それで何をしてもよいわけではありません。

既存の法律は適用される: たとえば個人情報保護委員会は、本人の同意なく個人データを生成AIに入力し、それが応答の出力以外に使われる場合は、個人情報保護法に違反する可能性があるとしています⁷
社内の規則や契約の物差しとして使われている: 活用の手引き（案）では、ガイドラインを社内の規則づくりや、契約の実務の整理、チェックリストの作成に使っている事業者の声が紹介されています³

AI法・AI指針との関係

2025年に「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI法、令和7年法律第53号）ができ、同年9月に全面施行されました¹。AIを使う会社にとってのポイントは次のとおりです。

事業者の責務: AIを事業活動で使う事業者（法律上の「活用事業者」）は、積極的な活用で事業の効率化・高度化に努めるとともに、国や自治体の施策に協力しなければならない、とされています（第7条）⁵
罰則: AI法に罰則の規定はありません⁵
国の調査と指導: 国は、AIの不正な目的・不適切な方法での利用によって権利が侵害された事案を分析し、事業者などに指導・助言・情報提供を行う、とされています（第16条）⁵

AI法第13条にもとづいて、2025年12月に「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」（AI指針）が決定されました。すべての主体の自主的な取り組みを促すもので、AIを使った製品・サービスを開発・提供する事業者には、国際的な規範や国際規格、各種のガイドラインを活用しながら、AIガバナンスの構築などに取り組むよう求めています⁶。AI事業者ガイドラインも第1.2版でAI法とAI指針に触れています¹。具体的な取り組みの例は、AI事業者ガイドラインの別添にまとまっています²。

自社はどの立場か

ガイドラインは、対象の事業者を3つに分けています¹。

立場	どんな事業者か
AI開発者	AIのモデルやシステムを開発する
AI提供者	AIを製品・サービスや業務の仕組みに組み込んで提供する
AI利用者	事業活動でAIのシステム・サービスを使う

ChatGPT・Gemini・Copilotなどを社員が業務で使う会社は「AI利用者」です。ただし、次の点に注意します。

社内の部門も主体になりうる: ガイドラインは、事業者だけでなく社内の部門も主体として想定し、同じ会社が複数の立場を兼ねることもあるとしています¹。たとえば、情報システム部門がAIを組み込んだ社内の仕組みを作り、ほかの部門に使わせるなら、その部門は「AI提供者」にあたりえます
コード生成AIで作った場合: 第1.2版では、コード生成AIなどの支援を受けてAIシステムを提供した場合は、AI利用者とAI提供者を兼ねると整理されました⁴

AI利用者に求められていること（第5部）

本編の第5部「AI利用者に関する事項」は、次の項目を挙げています¹。要旨と、社内で何に落とし込むかを並べます（要旨は当サイトによる要約です）。

項目	要旨	社内でやること
U-2 安全を考慮した適正利用	提供者が定めた留意点を守り、想定された範囲で使う。動作を確かめ、出力の精度とリスクを理解して使う	使ってよい用途を決める。出力を人が確かめる手順を決める
U-3 バイアスへの配慮	入力やプロンプトの偏りに注意し、出力を事業に使う判断に責任を持つ	採用・評価など人に影響する用途では、使い方を特に慎重に決める
U-4 個人情報・プライバシー	個人情報を不適切に入力しない。プライバシー侵害の情報を集め、防止を検討する	入力してよい情報・いけない情報を決める
U-5 セキュリティ対策	提供者のセキュリティ上の留意点を守る。機密情報などを不適切に入力しない	契約・設定の確認（学習への利用など）、ログの確認、事故のときの手順
U-6 ステークホルダーへの情報提供	出力を事業判断に使ったときは、関係者に合理的な範囲で情報を提供する	顧客向けの説明にAIの利用をどう書くかを決める
U-7 説明と規約の遵守	関係者への説明、AIで人を評価するときの通知と説明、問い合わせ窓口、提供者の文書の保管と規約の遵守	利用規約・提供者の資料を保管する。問い合わせの窓口を決める

セキュリティに関わる部分の具体的な手法（別添5）

別添5「AI利用者向け」は、上の項目ごとに具体的な手法の例を挙げています。セキュリティに関わるものを抜き出します²。

入力する情報: 入力した機密情報が提供者側で学習に使われる予定なら、機密情報を含むプロンプトを入力しない。学習させない設定の手順
ログの確認: 利用状況や異常な操作を把握するため、ログを定期的に見る。異常を見つけたらすぐ報告する体制を整える
ログの管理: 使い始める前に、操作履歴や入力・出力の記録を管理する体制を整える
侵害されたときの初動: 元の状態に戻す（ロールバック）・代わりのシステムを使う、AIシステムを止める、ネットワークから切り離す、侵害の内容を確かめる、関係者に報告する、を検討しておく
提供者への報告: セキュリティ上の疑問や事故（その兆しを含む）は、AIの提供者に伝える

第1.2版では、AI利用者向けに次の点が追記されました⁴。

データ最小化: 意図しない漏洩の被害を抑えるため、不要なデータや冗長なログを消す
AIエージェントの操作履歴の確認: 自律的に動くAIは、操作履歴を定期的に確かめ、報告させる
人の判断を挟む: 出力によって重大な影響や被害が出うる場面では、人が判断する仕組みにもとづいて判断する
生成したコードの保守: AIでコードを作りやすくなった分、保守や更新が難しくなるおそれがあり、社内にノウハウをためることが重要

ガイドラインは、リスクの全体像として、間接プロンプトインジェクション、AIエージェントによる意図しない操作、従業員による機密情報の入力、AIを悪用した攻撃なども挙げています²。それぞれの対策は当サイトの解説にまとめています。プロンプトインジェクション・シャドーAI・生成AIからの情報漏洩・AIを悪用したサイバー攻撃

最初に手をつける4つ

活用の手引き（案）は、これからAIガバナンスを作る会社が、土台として最初に取り組む事項として次の4つを挙げています³（各項目の説明は当サイトによる）。

社内のAIの利用状況を把握する仕組み: どの部門が、どのAIを、何に使っているかをつかむ。申告されない利用（シャドーAI）も前提にする
リスクを評価する体制: 新しいAIツールや用途を、誰がどんな観点で認めるかを決める
事故を報告する体制: 誤って入力した、出力の誤りで損害が出た、といったときに、誰にどう報告するかを決める
扱うAIの特性に合わせたルール: 社内ガイドラインを作り、運用する。生成AIの社内ガイドラインの作り方

付属資料の使い方

チェックリストとワークシート（別添7）: ガイドラインには、取り組みを確かめるためのチェックリストとワークシートが付いています。別添は、これを参考に、自社の事業やAIの方針に合わせた独自のものを作って使うよう勧めています²⁸。項目を増やしすぎると形骸化しやすい、という事業者の実践例も紹介されています²
活用の手引き（案）とチャットボット: ガイドラインの使い方を説明する「活用の手引き（案）」と、知りたいことを質問できるチャットボットも公開されています³⁸

確認表

自社がAI利用者のほか、AI提供者（社内向けの仕組みを含む）も兼ねていないか確かめたか
業務で使ってよいAIと用途を決めたか（U-2）
入力してよい情報・いけない情報を決め、個人情報の扱いを確かめたか（U-4）
使っているサービスの規約と、入力が学習に使われるかを確かめたか（U-5・U-7）
ログを残して定期的に見る体制と、異常を報告する窓口があるか（U-5）
侵害や誤入力が起きたときの初動（止める・切り離す・確かめる・報告する）を決めたか（U-5）
重大な影響が出うる用途で、人が判断する手順を決めたか
社内のAIの利用状況を把握する仕組みがあるか
ガイドラインの改訂を確かめる担当と頻度を決めたか