AIガバナンスの最新潮流 主要規制・標準の整理とコンプライアンス実務への示唆

1. 役割の異なる基準

まずはじめに、本稿は2026年8月24日時点の情報に基づいて執筆している。

AIガバナンスに関する基準は単一の「確立された基準」に収束しているわけではない。現在は、それぞれ役割の異なる基準が、重層的に展開されている状況である。例えば、EU AI Actのような法令は市場アクセスの条件を定めるものである。一方、ISO/IEC 42001は組織の管理体制を認証可能な形にするマネジメントシステム規格である。また、NIST AI RMFや日本のAI事業者ガイドラインは、リスクを特定し、統制へ落とすための共通言語として作られている。

企業にとって重要なのは、基準ごとに個別のチェックリストを作ることではない。むしろ自社のAI台帳、リスク評価、承認、監視、インシデント対応という一連の業務プロセスに、各基準の要求を紐付けることである。規制改正のたびに仕組みを作り直すのではなく、更新の必要性のある領域を特定し、自社のAI使用実態と整合性を持たせて更新するのが現実的かつ効果的だろう。

2. 主要な規制・標準と想定インシデント

NIST AI Risk Management Framework（AI RMF）

AI RMF 1.0は、Govern(統治)、Map(文脈把握)、Measure(測定)、Manage(管理)の四機能でAIリスクを扱う任意の枠組みである。生成AI固有のリスクに関しては、2024年公表のGenerative AI Profileが補助線となる。NISTでは現在AI RMF 1.0の改訂が進み、2026年4月には重要インフラ向けプロファイルの構想も公表された。

ここで想定しているリスクは、誤情報、差別的な判断、機密情報の漏えい、敵対的入力による誤動作、モデル更新後の性能劣化などである。AI RMFを参照すれば、これらを技術部門だけの課題にせず、利用目的、影響を受ける人、評価指標、残余リスクを誰が受容するかなどを制度実装するための指針を得られる。

ISO/IEC 42001（AIマネジメントシステム）

ISO/IEC 42001は、方針、責任、リスク対応、運用評価、継続的改善をPDCAで回す、認証を伴う標準である。2025年にはAIシステム影響評価の手引であるISO/IEC 42005と、認証機関への要求を定めるISO/IEC 42006も発行された。組織の管理体制、個別システムの影響評価、認証の信頼性という三つの層が明確になったといえる。

ここで想定される典型的なインシデントは、影響評価の未実施、変更記録の欠落、委託先モデルの責任分界の曖昧さ、是正措置の形骸化である。ISO/IEC 27001など既存のマネジメントシステムを持つ企業はその延長線で、監査、教育、文書管理を共通化しやすい。

EU AI Act（欧州AI規則）

EU AI Actは法的拘束力を持ち、禁止行為、高リスクAI、透明性リスク、汎用AIモデルなどに応じた義務を課す。AI Omnibusは2026年7月27日に発効した。しかしながら高リスク用途システムについては、附属書IIIに定められた単独使用に対しては2027年12月2日から、附属書Iに定められた製品組み込み使用に対しては、2028年8月2日から適用される。

一方、第50条の透明性義務は延期されず、2026年8月2日に適用が始まった。対話型AIでは、相手がAIであることを知らせる必要がある。またディープフェイクを含めて、生成・加工コンテンツには機械可読な標識を付与することが求められる。8月2日より前に市場投入されたシステムには生成・加工コンテンツの標識・検出義務に限って猶予が認められるが、同年12月2日までには対応するよう求められている。

したがって、「高リスク義務が延びたので対応を止める」という判断はできない。顧客対応用チャットボットの告知漏れ、生成広告の表示漏れ、域外適用の見落としなど、発生し得る違反について点検すべきであろう。

日本のAI法、指針・ガイドライン

AI法は2025年6月4日に公布され、9月1日に全面施行された。同法は罰則中心の法律ではなく、事業者に国の施策への協力責務を求めている。国は権利利益を侵害する事案について、調査、指導・助言、情報提供などを行う。2025年12月には同法に基づく適正性確保指針と初の人工知能基本計画が定められた。

その後、AI事業者ガイドライン第1.2版が2026年3月に公表され、AIエージェントとフィジカルAIが明示的に定義された。7月14日には第Ⅱ期人工知能基本計画も閣議決定された。同計画は、エージェント型AIを前提とするAIトランスフォーメーションと、責任あるアジャイル・ガバナンスを打ち出している。

AISIの「AIセーフティに関する評価観点ガイド」第1.20版も7月7日に公表され、エージェント固有の評価観点として「観測と制御」が加わった。自律的な挙動や外部環境との相互作用を、ログ、権限、停止手段、人間の介入点から評価する必要がある。これらのガイド自体には法的強制力はないが、事故後の説明、取引先審査、社内承認などにおいて有力な参照基準となる可能性が高い。

コンプライアンス部門が整えるべき5つの実務

（1）AI台帳を用途別に整備する：モデル名だけでなく、利用目的、対象者、入出力データ、外部接続、意思決定への影響、EUとの接点を記録する。
（2）一つのAI統制として統合する：NISTの四機能を骨格として、ISO/IEC 42001、日本のガイドライン、EU AI Actの該当事項を同じ統制と証跡に紐付ける。
（3）エージェントの権限を限定する：実行可能な操作、利用できるデータ、支出上限、承認が必要な行為、緊急停止手段、脆弱性情報の入手手段を事前に定める。
（4）継続的に評価する：導入時だけでなく、モデルやプロンプト、外部ツール、利用目的の変更時にも再評価し、レッドチーミングとインシデント訓練を行う。
（5）説明責任を果たせる証跡を残す：評価結果、承認理由、既知の限界、残余リスク、利用者への告知、事故後の是正までを保存する。

各制度の名称を並べるだけでは、ガバナンスは機能しない。問われるのは、誰が、どのリスクを、何の証拠に基づいて受容したかである。複数の基準を一つの体系に統合できれば、規制対応、取引先への説明、事故予防を一連のまとまりとして運用できる。

3. おわりに

2026年夏の制度改定は、単なる適用期限の変更ではなく、 AIガバナンスの重要性が一段と高まっているということである。 EUでは高リスクAIの期限が延びつつも透明性義務は開始され、日本ではエージェント型AIを前提とした政策と評価手法の整備が進んでいる。こうした状況を踏まえ、企業はまず、顧客接点で使う生成AIと、外部システムを操作するAIエージェントを棚卸しし、告知、権限、ログ、停止手段を確認し、ガードレールを設計したい。AIの技術の進化が速い現状では、制度の動向とともに自社の具体的な使用実態を把握しながら、将来の変化を柔軟に取り込めるガバナンスの基盤を整備しておくことが、コンプライアンス部門に求められ実務的な備えであろう。

執筆者

合同会社デロイト トーマツ
フォレンジック & クライシスマネジメントサービス　
マネジャー　横溝 道夫
（2026.10.1）
※社名・役職・内容等は、掲載日時点のものとなります。