レッスン8：全社員が明日からできること／規制の今後

このレッスンで学ぶこと

AIベンダーの利用規約・学習利用条項を、自分でどこから読めばよいかを理解する
誤用したときの責任の所在（担当者個人・会社・AIベンダーの分界）を整理できる
ディープフェイクへの防御と、加害者にならないための線引きを理解する
AI学習のオプトアウトをめぐる国際的な考え方の違いを把握する

前回のレッスンでは、法律より先に動く国際フレームワーク——NIST AI RMFとISO/IEC 42001を学びました。これで、日本・EU・米国・中国・アジア、そして国際フレームワークまで、世界の主要な規制の地図が一通り揃いました。最終レッスンとなる今回は、これまで学んだ地図を土台に、全社員が明日から実践できることを整理し、最後に規制の今後の見通しを確認します。

AIベンダーの利用規約・学習利用条項を自分で読む視点

これまでのレッスンで繰り返し触れてきたとおり、AIサービスの利用規約や学習利用に関する条項の具体的な内容は、サービスやプランによって異なり、また時期によって改定されます。特定のサービス名を挙げて「このサービスの規約はこうなっている」と断定することは避けますが、規約を読むときに「どこに何が書いてあるか」という型を知っておくことは、どのサービスにも応用できる普遍的なスキルです。

利用規約を確認するときに見るべき代表的な項目を、4つに整理します。

1つ目は、入力データの学習利用に関する条項です。 入力した内容がAIモデルの学習に使われるかどうか、使われる場合はどのような条件かが記載されています。一般向けプランと法人向けプランで、この扱いが異なることが多いため、自社が契約しているプランがどちらに該当するかをあわせて確認します。

2つ目は、生成物の権利に関する条項です。 AIが生成したコンテンツの権利が、利用者に帰属するのか、提供者に留保されるのか、あるいは特に定められていないのかが記載されています。

3つ目は、責任の制限に関する条項です。 AIの出力に誤りがあった場合や、それによって損害が生じた場合に、提供者がどこまで責任を負うか（あるいは負わないか）が記載されています。多くのサービスで、提供者の責任は限定的に定められている点に注意が必要です。

4つ目は、禁止事項に関する条項です。 そのAIサービスを使ってはいけない用途や行為が列挙されています。業務での想定利用が、この禁止事項に抵触しないかを確認します。

💡 ポイント 利用規約は長文であることが多く、すべてを精読するのは現実的ではありません。まずはこの4つの項目に絞って確認する習慣を持つだけでも、リスクの見落としを大きく減らせます。新しいAIサービスを業務に導入する際は、導入担当者がこの4項目をチェックし、記録に残しておくことをおすすめします。

誤用したときの責任の所在

AIを業務で使い、何らかの問題が起きたとき、「誰の責任になるのか」という問いは、多くの人が漠然とした不安を抱くテーマです。ここでは、責任の所在を考えるための大まかな整理を示します。

責任の所在は、一律に決まるものではなく、状況によって担当者個人・会社・AIベンダーのいずれか、あるいは複数にまたがって発生します。

担当者個人の責任が問われやすい場面 は、AIの出力を十分に確認せずにそのまま業務に使い、明らかな誤りが見過ごされた場合です。AIが生成した内容を検証する義務は、多くの場合、利用者側にあります。「AIが言ったから」という理由は、責任を免れる根拠にはなりません。

会社の責任が問われやすい場面 は、組織としての利用ルールが整っていなかった、または周知が不十分だった結果として問題が起きた場合です。個人の不注意というより、組織としての管理体制の不備が問われる構図です。

AIベンダーの責任が問われやすい場面 は、AIサービス自体に明らかな欠陥があった場合や、提供者が約束していた仕様と実際の動作が大きく異なっていた場合です。ただし、多くの利用規約では、提供者の責任が限定的に定められているため、期待するほど広い範囲でベンダーの責任が認められるとは限りません。

flowchart TD
  A[AI利用でトラブル発生] --> B{出力を検証せず使ったか}
  B -->|Yes| C[担当者個人の責任が問われやすい]
  B -->|No、ルールが未整備だった| D[会社の責任が問われやすい]
  B -->|No、AI自体に明らかな欠陥| E[AIベンダーの責任が問われうる]

この図は、トラブルの原因をたどることで、責任の所在が大まかにどこに向かいやすいかを示す簡易的な整理です。実際には複数の要因が絡み合うことが多く、最終的な責任の判断は個別の事情によって変わります。

⚠️ 注意 「AIが間違えたのだから自分に責任はない」という発想は危険です。多くの組織で共有されている基本姿勢は、「AIの出力を最終的に使うと判断したのは人間であり、その判断に責任が伴う」というものです。この姿勢は、レッスン1で扱った「責任の所在」というリスクの類型に、実務レベルで向き合うための基本的な心構えです。

ディープフェイク・なりすましへの防御と、加害者にならない視点

生成AIの技術が進むにつれ、実在の人物の映像・音声・画像を、本人が発言・行動していないにもかかわらず、あたかも本物のように作り出す「ディープフェイク」が、社会的な問題として認識されるようになっています。レッスン4で触れた、限定リスクAIの透明性義務の対象にもなる領域です。

被害者にならないための防御 として、業務上意識しておきたい点を整理します。取引先や経営層になりすました音声・映像による詐欺的な指示（振込先の変更を電話や動画で指示されるなど）には、必ず別の手段（直接の電話確認、対面での確認など）で真偽を確かめる習慣を持つことが重要です。特に、緊急性を強調して冷静な判断をさせないように仕向ける手口には注意が必要です。

加害者にならないための線引き も同様に重要です。同僚や有名人の顔・声を使って、本人の許可なく画像や音声を生成し、SNSやチャットで共有する行為は、たとえ悪意がなく「面白いから」という軽い気持ちであっても、肖像権やプライバシーの侵害、場合によっては名誉毀損に当たる可能性があります。業務で使う場合はもちろん、私的な利用であっても、実在の人物を無断で模倣したコンテンツの生成・共有には慎重であるべきです。

🔰 初学者の方へ 「これくらいなら大丈夫だろう」という軽い気持ちが、ディープフェイクの加害につながる典型的なパターンです。実在する人物の顔や声を使ったコンテンツを生成する前に、「本人がこれを見たらどう感じるか」を一度想像する習慣を持つことをおすすめします。

AI生成物を業務で使うときに残しておく記録

業務でAIの生成物を使う際、後から説明責任を果たせるように、記録を残しておくことが望ましいとされています。何を、いつ、どのような目的でAIに生成させ、誰がどのように確認・修正したかという経緯を残しておくことで、万が一問題が起きた際にも、経緯を追跡し、適切に説明できるようになります。

記録の粒度は、業務の重要度に応じて調整して構いません。日常的な社内文書の下書き作成であれば簡単なメモ程度で十分ですが、対外的に公表する資料や、重要な意思決定に関わる場面では、より丁寧な記録が望ましいといえます。

業務の場面	記録の粒度の目安
社内向けの下書き・要約	「AIで下書きを作成し、自分で確認・修正した」程度の簡単なメモ
顧客向けの提案資料・広報物	使用したAIサービス、確認した担当者、修正した箇所の記録
重要な意思決定に関わる分析	入力した条件、出力結果、判断の根拠とした部分、確認者の記録

この目安はあくまで一般的な考え方であり、業種や社内規程によって適切な粒度は変わります。自社の情報セキュリティ担当や法務担当と相談しながら、無理なく続けられる記録の仕組みを作ることが大切です。

AI学習のオプトアウトをめぐる国際的な考え方の違い

AIモデルの学習に、著作物を含むデータが使われることをめぐっては、国や地域によって考え方の違いがあります。ここでは、制度の細部ではなく、「オプトアウト（権利者が拒否の意思を示す仕組み）」という視点から、国際的な考え方の違いを比較します。

EUでは、DSM著作権指令（デジタル単一市場における著作権に関する指令）において、研究目的以外の商用のテキスト・データマイニング（AIの学習を含む、大量のデータを解析する行為）について、権利者が機械可読な方法で明示的に利用を拒否する意思を示した場合、その拒否が尊重される仕組みが設けられています。権利者が「使わないでほしい」という意思を示せば、原則としてその意思が優先される制度設計です（出典：日本複製権センター（JRRC）「欧州AI規則の解説」、著作権情報センター（CRIC）「外国著作権法一覧・EU」）。

日本の著作権法における考え方は、権利者ごとの個別のオプトアウトを前提にした制度設計とは異なる枠組みを採っています。学習段階での著作物の利用に関する日本の具体的な条文と要件は、生成AI関連の入門コースやコンプライアンス関連の入門コースで扱われている内容であるため、本コースでは重ねて説明しません。ここで押さえておきたいのは、「権利者が個別に利用を拒否できる仕組みを明示的に設けている地域」と、「そうした個別の拒否の仕組みを前提としない地域」があるという、国際的な設計思想の違いそのものです。

📖 もっと詳しく この違いは、AIの学習データをめぐる国際的な議論の中で、今後も焦点であり続けると見られています。海外の権利者団体や、海外でコンテンツを公開している企業にとっては、自社のコンテンツがどの国のルールのもとでAIの学習に使われうるかを把握しておくことが、将来的な実務課題になる可能性があります。

規程化の実務は、専門のコースに委ねます

本コースは、レッスン1で述べたとおり、「規制の地図を持ち、自社と自分の業務がどこに当たるかを判断できるようになる」ことを目的としてきました。ここまで8つのレッスンを通じて、日本・EU・米国・中国・アジア、そして国際フレームワークまでの地図を一通り学び終えたことになります。

一方で、この地図をもとに、実際に自社の社内規程やAI利用ルールを設計し、運用していく実務には、本コースでは踏み込んでいません。就業規則や情報セキュリティ規程との整合性を取りながら利用ルールを条文化する作業、部門ごとの利用範囲を具体的に定める作業、周知・研修・違反時の対応フローを設計する作業といった実務は、AIの社内ルール関連の入門コースが専門に扱う領域です。地図を手にした今、次に必要な実務の各論は、そちらのコースに委ねます。

規制がこれからどう動くか

最後に、規制の今後の見通しについて、確実に言えることと、まだ不確実なことを分けて整理します。

確実に言えるのは、AI規制は今後も見直しが続くという点です。日本のAI基本計画は法定計画として定期的な改定が予定されており、EU AI Actも段階的な適用が今後さらに進みます。米国の州法パッチワークは、新しい州の参入や既存の法律の改正によって、今後も変化し続けると見られます。国際フレームワークも、技術の進歩にあわせて改定が重ねられていくでしょう。

一方で、具体的にどのような内容の規制がいつ生まれるかは、本コースの執筆時点で確実に予測できることではありません。ここで大切なのは、レッスン1で示した3つの問い——「どのリスクに対応しているか」「推進型・リスクベース型・分野別型のどれに近いか」「ハードローかソフトローか」を、新しいニュースに接するたびに自分で当てはめる習慣です。この習慣さえ持っていれば、制度がどう変わっても、自分の力で位置づけられるようになります。

修了後の情報源

本コースを修了したあとも、規制動向を継続的に追いかけるための情報源を紹介します。日本国内では、内閣府のAI戦略に関する公式ページ、総務省・経済産業省が公表するAI事業者ガイドラインの関連ページ、独立行政法人情報処理推進機構（IPA）が発信するAI関連の情報が、信頼できる一次情報源です。海外の動向については、欧州委員会が運営するEU AI Actの公式ページ、米国国立標準技術研究所（NIST）が公表するAI関連の資料が参考になります。これらの公的機関の情報を定期的に確認する習慣を持てば、本コースで得た地図を、常に最新の状態に更新し続けることができます。

まとめ

このレッスンでは、以下のことを学びました。

AIベンダーの利用規約は、学習利用・生成物の権利・責任の制限・禁止事項の4項目を軸に確認する習慣が実務的である
AIの誤用時の責任は、担当者個人・会社・AIベンダーのいずれかまたは複数にまたがって発生し、「AIが言ったから」は責任を免れる理由にならない
ディープフェイクへの防御には、なりすまし指示を別手段で確認する姿勢が、加害を避けるには、実在の人物を無断で模倣しないという線引きが必要
AI生成物を業務で使う際は、経緯を記録し、説明責任を果たせるようにしておくことが望ましい
AI学習のオプトアウトは、EUのように個別の拒否の仕組みを明示する地域と、そうでない地域とで、国際的に考え方が異なる
社内規程・利用ルールの策定実務は、AIの社内ルール関連の入門コースが専門に扱う領域である
規制は今後も変化し続けるが、レッスン1で示した3つの問いを当てはめる習慣があれば、変化にも自分の力でついていける

これで、本コース「AI推進法・AI規制動向」は修了です。8つのレッスンを通じて、日本の推進型のアプローチから、EUのリスクベース型のアプローチ、米国・中国・アジアの多様な規制、そして国際フレームワークまでを一通り学びました。制度は今後も変わり続けますが、本コースで身につけた「地図の読み方」は、これからのニュースを理解するための、変わらない土台になります。学んだ内容を、日々の業務での判断に役立ててください。

確認クイズ

このレッスンの理解度をチェックしましょう。