AI・データ法務

AIを使うこと自体を直接禁じる法律があるわけではなく、企業が実際に参照するのは、政府が示した枠組みと、そこから導かれる社内ルールです。問題は、文書が複数あって役割が重なって見えることと、「自社がどの立場（開発者・提供者・利用者）に当たるのか」が曖昧なまま対応を始めてしまうことです。まず立場を決め、その立場で求められる水準を確認するのが出発点になります。

AIサービスの実態は、外部のAI事業者から調達したモデルの上に自社のサービスを乗せた多層構造です。そのため、自社が顧客に約束できることは、上流のベンダー契約で確保できている範囲を超えられません。入力データの扱い、学習への利用、出力物の権利、ハルシネーションが起きたときの責任は、契約と、実際に誰がリスクを管理できたかの両面から決まります。

AIの議論はモデルや出力に集まりがちですが、実務で先に問題になるのは、そこに入れるデータの方です。2026年の改正個人情報保護法は、AI開発に使える例外を整える一方で、課徴金や顔特徴データの規律など、違反時の重さも引き上げています。施行前にデータフローを把握しておけるかどうかで、対応の負担が変わります。

官公庁の資料そのものを、対話形式で読み解く音声コーナー 「10分で聴くリーガルアップデート」です。全文テキストも同じページにあります。

順番としては、①自社がAIのバリューチェーンのどこにいるか（開発・提供・利用）を決め、 ②上流ベンダーとの契約で何を確保できているかを確認し、 ③入力するデータに個人情報・第三者の権利が含まれていないかを見て、 ④出力をそのまま使うのか人が確認するのかを決める、という流れになります。

この順番で見ると、「ガイドラインに対応する」という抽象的な作業ではなく、 契約書のどの条項を直し、社内のどの運用を変えるかという具体的な作業になります。