日本のAI規制はどうなった？中小企業が守るべきこと【2026年版】

「AI規制が始まったらしいが、うちのような小さな会社は何をすればいいのか」という相談が増えています。結論から書きます。2026年8月8日時点の日本には、AIの利用そのものを禁止したり違反に罰則を科したりする法律はありません。あるのは、AIの研究開発と活用を「推進」するためのAI法（人工知能関連技術の研究開発及び活用の推進に関する法律・令和7年法律第53号）と、そこから派生した政府の指針・ガイドライン、そして個人情報保護法・著作権法といった既存の個別法という三層構造です。実務上のリスクが実際に立つのは三層目、つまり既存の個別法の側です。

この記事は、内閣府・総務省・経済産業省・個人情報保護委員会・文化庁が公開している一次資料だけを根拠に、2026年8月8日時点の状況を整理したものです。法令解釈は個別事情で変わるため、本記事は法的助言ではありません。自社の判断は、必ず所管省庁の窓口や弁護士等の専門家に確認してください。

まず全体像：日本のAI規制は「罰則型」ではなく「推進法＋指針」型

日本のAIに関するルールは、性格の違う4つのレイヤーが重なっています。どれが「守らないと罰せられるもの」で、どれが「自主的に取り組むもの」なのかを分けて理解すると、社内の議論が一気に整理されます。

よくある誤解は、「AI法ができた＝AIの使い方が規制された」というものです。実際には逆で、AI法は日本のAI活用を後押しするための基本法という位置づけです。一方で、AIを使った結果として個人情報を漏らしたり他人の権利を侵害したりすれば、それは従来どおり個人情報保護法や著作権法の問題として扱われます。「AI法には罰則がない」ことと「AIを使えば無罪」であることは、まったく別の話です。

AI法は何を定めた法律なのか（2025年9月1日に全面施行）

施行までの経緯

AI法は2025年6月4日に公布されました。附則第1条により本則は公布の日から施行され、人工知能基本計画（第3章）と人工知能戦略本部（第4章）に関する規定は、公布から3か月を超えない範囲内で政令が定める日からの施行とされました。内閣府は「9月1日にはAI戦略本部の設置に係る規定等も含め、全面施行されました」と公表しています。つまり2025年9月1日に全面施行済みです。

その後、AI法第18条第1項に基づく初の「人工知能基本計画」が2025年12月23日に閣議決定され（副題「信頼できるAIによる日本再起」）、約半年後の2026年7月14日には第II期計画「人工知能基本計画 ～日本AX、より強く、より豊かに～」が閣議決定されています。計画が短いサイクルで改訂されていること自体が、この分野のルールが動き続けていることの証拠です。

条文で企業に触れているのは第7条「活用事業者の責務」

AI法は全28条＋附則という短い法律で、企業に直接関係するのは第7条です。条文は、AIを事業活動で活用しようとする者を「活用事業者」と定義したうえで、「自ら積極的な人工知能関連技術の活用により事業活動の効率化及び高度化並びに新産業の創出に努めるとともに、（国・地方公共団体が実施する）施策に協力しなければならない」と定めています。

読んで分かるとおり、これは「AIをこう使ってはいけない」という禁止規定ではありません。むしろ活用を促す条文であり、義務の中身は国の施策への協力です。そしてAI法の条文には、違反に対する罰則や行政処分（命令・勧告等）の規定は置かれていません。

罰則がないのに、放置してはいけない理由

ただし「何もしなくていい」という意味ではありません。AI法第16条は、国が国内外の動向を調査し、不正な目的や不適切な方法によるAIの研究開発・活用で国民の権利利益の侵害が生じた事案を分析したうえで、研究開発機関や活用事業者に対して指導、助言、情報の提供その他の必要な措置を講ずると定めています。何かが起きたとき、国が事案を分析して事業者に働きかける経路は、法律にすでに用意されているということです。

加えて第II期の人工知能基本計画は、複雑化するリスクに対して「責任あるアジャイル・ガバナンス」で臨むとし、AI法等の「制度による対応」に加え、制御機能や標準を設計に組み込む「技術による対応」、組織全体でリテラシーの向上及び責任の所在の明確化を含めたガバナンスを構築する「組織管理による対応」に統合的に取り組む必要があると明記しています。国は制度だけで縛るつもりがなく、企業側の組織的な備えを前提に置いている、と読むのが実務的です。

実務の芯はここ：AI指針が挙げる「活用事業者が特に取り組むべき5項目」

AI法第13条は、国が「国際的な規範の趣旨に即した指針の整備」を行うと定めており、これに基づいて「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」（2025年12月19日 人工知能戦略本部決定）が策定されました。指針は自主的・能動的な取組を促すものですが、政府が「事業者にはこれをやってほしい」と考えている内容が最も明確に書かれている一次資料です。社内ルールを作るなら、まずここを土台にするのが遠回りに見えて一番早いと感じます。

指針が活用事業者に挙げる項目は次の5つです。

1. AIガバナンスによる俯瞰的な適正性の確保：設計から実装までのライフサイクル全体で、リスクの特定・評価・対処を行う組織的なプロセス（経営層が関与するモニタリングや評価の仕組み、情報の適切な開示、教育・研修の実施等）を構築・運用・継続改善する
2. 透明性の確保：学習データの出所と出力される生成物について、知的財産やプライバシーの保護を含め、合理的な範囲で説明可能性を確保する。AIを提供する際は、仕組み・限界・禁止事項・出力の信頼性に関する注意喚起などを利用者に伝える
3. 十分な安全性の確保：AIを悪用した攻撃や詐欺のリスクを特定・評価して対策する。ハルシネーションや偏見・差別の助長、偽情報・誤情報の拡散につながる不適切な出力の抑制に取り組む
4. 事業継続性の確保：AIを用いたシステムやサービスに障害が生じた場合に備え、損害を最小限にとどめ早期復旧するための事業継続計画をあらかじめ策定する
5. データに関するステークホルダーへの配慮：データの利用状況に応じて、知的財産等のデータ保有者と適正な活用の在り方について継続的にコミュニケーションを図る

指針は「一義的な定義や絶対的な水準を定めるものではなく」、各主体の規模や立場、AIがもたらすリスクに応じて適切な水準で対応することが求められると明記しています。ここは中小企業にとって重要な一文です。大企業と同じ体制を作る必要はなく、自社の規模とリスクに見合った水準でよい、と一次資料が言っている。実務では、この一文を根拠に「まず1枚のルールと担当者1名」から始めるのが現実的な着地点になります。

AI事業者ガイドライン第1.2版は「作業道具」として使う

総務省・経済産業省が公表しているAI事業者ガイドライン（第1.2版・2026年3月31日）は、上記の指針をさらに実務レベルへ落とした文書です。位置づけは明確で、細かな行為義務を規定するルールベースの規制はイノベーションを阻害しうるという認識のもと、「非拘束的なソフトローによって目的達成に導くゴールベースの考え方」で作られたと本文に書かれています。

構成は、主体をAI開発者・AI提供者・AI利用者の3つに分け、それぞれの章を設けるかたちです。多くの中小企業は「AI利用者」に該当し、自社サービスにAIを組み込んで顧客に提供していれば「AI提供者」の章も読むことになります。総務省の掲載ページでは本編・別添に加えてチェックリストとワークシートも配布されており、社内ルールを一から書き起こす必要はありません。

法的リスクが実際に立つのは個別法（ここが本丸）

個人情報保護法：2026年7月17日に改正法が公布された

中小企業にとって最も現実的なリスクは、AI法ではなく個人情報保護法です。個人情報保護委員会は2023年6月2日の時点ですでに「生成AIサービスの利用に関する注意喚起等について」を公表しており、プロンプトに個人情報を入力する行為の扱いに注意を促しています。この論点は、AI法ができたことで消えたわけではありません。

さらに2026年に入って大きな動きがありました。「個人情報の保護に関する法律等の一部を改正する法律」が2026年4月7日に閣議決定、7月10日に成立、7月17日に公布されています。個人情報保護委員会の公表資料によれば、主な内容は次のとおりです。

• 個人情報の違法な取扱い等によって財産上の利益を得た場合に、個人情報保護委員会が課徴金納付を命ずる制度を設ける
• 身体の一部の特徴に係る情報が含まれる個人情報等について、違法な取扱い等がなくても本人による利用停止等の請求を可能とする
• 統計等の作成を行う第三者に個人情報を提供する場合等について、本人の同意を不要とする

施行時期は、「一部を除き、公布日から起算して2年以内で政令で定める日から施行される」とされています。具体的な施行日はこの記事の執筆時点（2026年8月8日）では確認できなかったため、ここでは書きません。政令・規則・ガイドラインの整備が進行中なので、個人情報保護委員会の公式ページを定期的に確認するのが確実です。実務的な含意ははっきりしていて、AI利用に伴う個人データの扱いは、これまでより高い代償を伴う領域に移りつつあるということです。

プロンプトへの入力ルール、社内で使ってよいツールの線引き、学習利用のオプトアウト設定といった具体的な手順は、ChatGPT・生成AI業務利用の情報漏洩対策と社内ガイドライン雛形で実装レベルまで整理しています。この記事が「何を守るのか」なら、あちらは「どう守るのか」です。

著作権：法改正ではなく「考え方」とチェックリストで運用されている

生成AIと著作権については、新しい法律ができたわけではありません。文化審議会著作権分科会法制度小委員会が2024年3月15日に「AIと著作権に関する考え方について」を取りまとめ、文化庁著作権課が2024年7月31日に「AIと著作権に関するチェックリスト＆ガイダンス」を公表しています。「考え方」自体は法的な拘束力を有するものではなく、特定の生成AIについて確定的な法的評価を行うものでもない、と文書自体が明示しています。

実務では、生成物が既存著作物に依拠し類似していれば著作権侵害になりうるという原則は変わらない、という理解から出発するのが安全です。個別の事案は事実関係で結論が変わるため、判断に迷う案件は弁護士に相談してください。

海外の法制（EU AI Act等）は「自社に適用されるか」を勝手に決めない

EUのAI規則をはじめ、海外にはリスクベースで義務や罰則を課す法制が存在します。ただし、それが日本の中小企業に適用されるかどうかは、EU域内での提供の有無、取引先との契約、サービスの提供形態など個別の条件によって変わります。この記事では、海外法制の適用条件や施行スケジュールについて断定しません。EU向けにサービスや製品を出している、あるいは欧州企業との取引で契約上の要求が来ている場合は、条文と契約書を突き合わせて専門家に確認するのが唯一の正解です。

逆に言えば、国内だけで事業をしている多くの中小企業にとって、いま優先すべきは海外法制の勉強ではなく、日本の指針とガイドラインに沿って自社の運用を1段整えることです。

中小企業がいまやるべき5つ（優先順）

ここまでの一次資料を、規模の小さい会社が実際に手を動かせる粒度まで落とすと、次の5つになります。

現場で多いのは、1と2を飛ばして3の分厚いチェックリストから始めてしまい、途中で止まるパターンです。実務では、A4の1枚ルールと担当者1名が決まっているだけで事故の大半は防げます。逆に、その2つがないまま高度なガバナンス文書だけを作っても、誰も参照しない書類が1つ増えるだけになりがちです。

もう1つ、意外に効くのが「AIを使ったかどうかを記録する習慣」です。顧客に納品する成果物にAIをどこまで使ったかを社内で残しておくと、後から問い合わせが来たときの説明コストが劇的に下がります。指針が求める透明性・アカウンタビリティの、最も安価な実装がこれだと考えています。

私たちMihataは、こうした社内ルールづくりと運用の定着を月1回のAIミーティングで進めるAI導入支援として提供しています。記事の途中で恐縮ですが、規模の小さい会社ほど「決める人が1人しかいない」という事情でここが止まりやすいので、よろしければ合わせてご覧いただけたら嬉しいです。なお、法令の解釈そのものについては私たちは判断せず、必要に応じて専門家への確認をお願いしています。

まとめ：2026年8月8日時点の確認結果

• 日本にAIの利用を直接禁止・処罰する法律はなく、AI法（令和7年法律第53号）は推進法。2025年9月1日に全面施行済み
• 企業に関係する条文は第7条「活用事業者の責務」。条文に罰則規定はないが、第16条で国が指導・助言・情報提供を行う経路がある
• 実務の芯はAI法第13条に基づくAI指針（2025年12月19日決定）の5項目。規模とリスクに応じた水準でよいと明記されている
• 作業道具はAI事業者ガイドライン第1.2版（2026年3月31日）のチェックリストとワークシート
• 法的リスクが立つのは個別法。改正個人情報保護法は2026年7月17日公布、一部を除き公布日から2年以内の政令で定める日に施行

ルールは動き続けています。本記事は2026年8月8日時点で各省庁の公開資料を確認して書いたものであり、以降の改正や施行日の確定は反映していません。自社の対応を決めるときは、必ず下記の一次情報と、所管省庁・専門家への確認を並行してください。

あわせて、AI学習オプトアウト設定も参考にしてください。