「AI規制」に関連して読みたい編集部お薦め記事

AI規制の乱立が企業を直撃　情シスに求められる「AIレジリエンス」の作り方

国内企業の73％が管理できない「シャドーAI」　Gartnerが示す現実的対策

　企業は、世界中の管理機関から出されるさまざまなAI規制に直面している。CIOは、こうした法律がガバナンスや導入の意思決定にどう影響するかを理解しなければならない。

　「EU AI法（EU AI Act）」は、多国籍企業にとって最も重要なAI規制の1つだ。この法律はリスクベースのアプローチを採用しており、雇用、ヘルスケア、金融などの分野に影響を与える可能性のあるAIシステムにより厳しい要件を課している。

　多国籍企業にとって、この規制はAIガバナンスプログラムを構築し、各市場でのAI展開方法を決定する際の重要な検討事項になっている。

　ネットワークカメラ製造大手、スウェーデンのAxis CommunicationsでCIOを務めるジョナス・ハンソン氏は「EU AI法は、包括的かつ原則に基づいた規制に向けた真剣な試みだ。個々の具体的な規定がどうであれ、ユースケースをリスクに基づいて評価し、明確で一貫した基準を設定するという狙いは正しい」と述べる。

米各州のAI法

　米国では連邦政府の政策立案者がAI規制の枠組みについて議論を続ける一方で、州レベルでは独自のAI法案が次々と成立している。これらの規制により複雑な要件が生まれており、企業がAIシステムを導入する際、特に人間の重要な意思決定にAIが影響を及ぼす分野で考慮すべき点が増えている。

• コロラド州：コロラド州のAI法は、重大な意思決定に使われる自動意思決定技術に焦点を当てており、これらのシステムを利用する企業に透明性、開示、説明責任の要件を規定している
• カリフォルニア州：カリフォルニア州は、透明性、消費者保護、自動意思決定に焦点を当てた複数のAI関連法案を可決しており、同州の広範な技術・プライバシー要件を補強している
• コネチカット州：コネチカット州のAI法は、リスク評価、透明性確保の措置、ガバナンス手法など、ハイリスクなAIシステムに対する要件を定めている
• ユタ州：ユタ州AI政策法は消費者への情報開示に重点を置いており、特定の状況で生成AIシステムとやりとりしていることをユーザーに通知するよう企業に義務付けている
• イリノイ州：イリノイ州は、雇用分野のAIの特定利用を規制しており、雇用主が自動意思決定ツールを使う際の透明性要件や従業員保護の規定を設けている

　コロラド州の法律は、AIによる重大な意思決定を対象とした全米初の包括的な規制枠組みの1つで最も注目を集めた。同州は当初、アルゴリズムによる意思決定でより厳しい要件を提案していた。しかし、AIを開発・導入する企業への負担を懸念する業界団体などの声を受けて、議員らは法案の一部を改定した。

　大手国際法律事務所米Reed Smithの先進技術プラクティスグループでパートナー兼弁護士を務めるタイラー・トンプソン氏は「その後に起きたのは、巨額の外部資金の投入や、コロラド州法を阻止しようとするxAIなど外部からの訴訟だ。経営層が理解すべき重要な環境要素は、現時点でAI規制全般に対する猛烈な反発があるという点だ」と指摘する。

2025年12月のトランプ大統領令

　2025年12月、トランプ大統領は州レベルで異なるAI関連法や規則が乱立するのを抑え、国家レベルで統一された連邦基準の枠組みを構築することを目指す大統領令に署名した。この大統領令は連邦機関に対し、既存の州のAI法を評価し、現政権が過度な負担と見なす州レベルの規制を制限する全国的な枠組みの提言を作成するよう指示している。

　大統領令は、州ごとに分断されたAI法がイノベーションを遅らせ、複数の管轄区域で事業を展開する企業のコンプライアンス上の課題になると主張した。そして、負担を最小限に抑えた連邦AI政策枠組みの策定を求め、その方針に反する州法を特定するよう機関に指示した。

　この大統領令によって既存の州AI法が無効になるわけではなく、企業はすでに施行されている要件に従い続ける必要がある。しかし、大統領令はトランプ政権のAI規制に対する姿勢を明確に示している。

　「少なくとも短期的には、連邦レベルで具体的な動きが起きる気配はない。この見立ては正しいと思う。州レベルであっても、今後のAI法制化は険しい道のりになることを示している」とトンプソン氏は語る。

2026年6月のトランプ大統領令

　2026年6月、トランプ大統領は特定フロンティアモデルと呼ばれる高度なAIシステムのセキュリティリスクに焦点を当てた新たな大統領令に署名した。2025年12月の大統領令とは異なり、この措置は州のAI法を対象とはしていない。最先端のAIモデルを開発する事業者が、一般公開前に連邦政府と情報を共有するための自主的なプロセスを設置した。

　この大統領令は、特定フロンティアモデルが脆弱（ぜいじゃく）性を露出させたり重要インフラに影響を与えたりするリスクなど、安全保証やサイバーセキュリティ上の懸念に重点を置いている。AI開発を遅らせるような強制的な承認要件を避けつつ、政府が潜在的なリスクを特定できるようにすることを目的としている。

　この大統領令が日常的な企業向けAIの導入に新たなコンプライアンス要件を生むわけではない。影響を受けるのは主に最先端のフロンティアモデルを開発する事業者だ。

AIガバナンスのフレームワーク

　AI規制が流動的な状態であっても、企業は変化する要件に適応できるガバナンスプログラムを構築できる。

1. AIガバナンス委員会の設置

　企業はまず、IT、法務、セキュリティ、リスク、コンプライアンス、人事、その他の関連事業部門の代表者からなる横断的なガバナンス委員会を設立すべきである。この組織は、提案されたAIのユースケースの審査、リスク評価、ポリシー策定、社内開発システムやサードパーティー製ツールの監督を担う。

　SedgwickのグローバルCIOを務めるジェイソン・ランドラム氏は「そのメンバーが隔月で集まる会議を設けている。そこで組織に寄せられるAIの利用申請を全て審査している」と話す。

　AIの導入が進むにつれ、手動の審査では追い付かなくなる恐れがある。ランドラム氏のチームは、承認プロセスの一部自動化を進めている。低リスクの申請はあらかじめ設定したワークフローで自動処理し、高リスクのユースケースに絞って人間による詳細な審査を実施する仕組みだ。

　例えば、承認済みベンダーを使用し、リスクの低いデータのみにアクセスするAI申請は自動ワークフローで処理される。一方で、顧客の機密情報や新しいモデルを扱う申請は手動審査のために委員会へエスカレーションされる。

　ハンソン氏は、ガバナンスを公式な委員会の枠にとどめるべきではないと指摘する。各事業部門に「AIアンバサダー」のネットワークを構築することで、新たなリスクを発掘し、ガバナンスを机上の空論ではなく日常業務の一部として定着させることができる。

2. AIシステムとユースケースの棚卸し

　使われている場所が分からなければ、AIをガバナンスで管理することはできない。ポリシーの策定や新しい規制への対応を始める前に、AI委員会は使用中のあらゆるAIシステムを特定し、その役割を把握し、法的リスクやビジネスリスクの有無を判断する必要がある。

　トンプソン氏は「事実確認や調査を行い、ユースケースを理解することだ。現状を把握することが間違いなく第一歩になる」と語る。

　棚卸しの対象には、承認済みのAIツールだけでなくシャドーAIも含める必要がある。従業員が気付かないうちにAIを使っているケースもあるため、サードパーティー製ソフトウェアに組み込まれたAI機能も特定すべきだ。

3. AIリスク評価の実施

　委員会がAIシステムを特定したら、それぞれのシステムがもたらすリスクを評価する。審査ではバイアス、プライバシー、セキュリティ、コンプライアンスなどのリスクに加えて、期待できるビジネス上のメリットを検証し、システムを本番稼働させる前にどのような統制が必要かを特定する。

　ロカンドロ氏は「監査可能性とリスクについて評価する。IT部門は自社エコシステムでの稼働可能性を評価し、そこに数人の事業部門担当者が加わる」と説明する。

4. 複数管轄区域で通用する基準の確立

　複数の州や国で事業を展開する企業が、管轄区域ごとに別々のAIガバナンスプログラムを作成することは現実的ではない。代わりに、透明性、説明責任、人間の関与、リスク管理といった中核的な原則に基づいて、社内ルールを一本化して構築すべきだ。このアプローチによりさまざまな地域の要件に対応しやすくなり、新しい法律が施行されるたびにポリシーを書き直す手間を削減できる。

　「規制の不透明感を理由にAI戦略や取り組みを停止させてはならない。複数の管轄区域をカバーできる原則を持つべきだ」とロカンドロ氏は助言する。

　AIガバナンスで高い社内基準を設定している企業は、新たな規制が出ても大幅な変更を迫られずに済むことが多い。規制ごとに新しいガバナンスプロセスを作るのではなく、既存ポリシーの微調整で新要件に対応できる。

　ハンソン氏は「長期的な視点での計画を優先すれば、規制のルールが確定する前であっても、すでに規制の方向性に沿った状態を維持できていることが多い」と話す。

5. ベンダーに対するAIガバナンスの要求

　社内システムに適用するガバナンス基準は、AIベンダーでも同様に適用すべきである。AIツールを採用する前に、情シスはその動作の仕組み、使用データ、自社のセキュリティ・プライバシー・コンプライアンス要件に適合しているかを確認する必要がある。

　ハンソン氏は「リスクプロファイル、データセキュリティの取り扱い、知的財産の扱い、ベンダーの再委託先の管理体制などを評価している」と語る。

　この審査には情シスだけでなく他のチームも巻き込むべきだ。事業部門のリーダーが業務上のニーズを満たしているかを判断し、法務・セキュリティチームが契約上、規制上、データ保護上のリスクを評価する。

　ガバナンス基準を満たさないAIツールの不採用を決める覚悟も求められる。データの使用方法を追跡・制御できない場合、いくら有用な機能であってもリスクに見合わない可能性がある。

　ロカンドロ氏は「導入を見送ったツールが2、3ある。一部のツールは、企業に入り込むと学習モデルに使うデータを抽出し、外部の広範な環境に出てしまうからだ。データが自社の管理下を離れた後の追跡性を確保できないため採用を見送った」と明かす。

6. 柔軟性の組み込み

　規制の進展に合わせて、企業は規制環境を継続的に監視し、システム全体の大幅な改修を行わずに適応できるガバナンスプログラムを構築する必要がある。ポリシーや統制手段を一本化すれば、新しい要件を一貫して適用しやすくなり、組織全体でのコンプライアンス管理の負担を軽減できる。

　ランドラム氏は「当社が構築している枠組みは、エージェントの行動を自動的に監視するツールを導入できるようにするものだ。規制変更が生じた場合でも、インフラの1カ所を修正するだけでシステム全体にその変更を反映できる」と語る。