「AI事業者ガイドラインに沿った運用にしてほしい」。経営会議でこう指示されたとき、あるいは取引先の情報セキュリティ調査票に「AI事業者ガイドラインへの準拠状況」の欄が現れたとき、多くの発注担当者は本編と別添を合わせて数百ページに及ぶガイドラインを前に立ち尽くします。ガイドライン本編は「AI開発者」「AI提供者」「AI利用者」の3区分を前提に書かれており、「発注者」という単語では書かれていません。そのため、自社がどの区分に該当し、どこから読み始め、契約書と社内規程のどこに何を反映すれば準拠と言えるのかが、条文の中から自力で組み立てられないのです。
一方でガイドラインは法律ではなく任意指針であるため、罰則を根拠にゼロから議論することもできません。準拠しなくても直ちに違法にはなりませんが、「対応済みか」を問われる場面は監査・取引先審査・稟議書と確実に増えています。第1.2版（2026年3月31日改定）ではAIエージェント・フィジカルAI・HITL・トレーサビリティの論点が強化され、発注時にベンダーに求めるべき事項も具体化されました。
本記事では、AIを自社で利用する立場・AI開発を外部に委託する立場の担当者を想定し、AI事業者ガイドライン第1.2版を「委託契約と社内ガバナンスの指針書」として読み解きます。3区分の判定、優先して読むべき別添、契約書と調達仕様書に落とし込む5つのポイント、そして今日から着手できる4ステップの実行計画までを整理しますので、読み終えたときには「明日、月曜日の朝に何をするか」を持ち帰れる状態を目指します。
社内で ChatGPT を使い始めるための実践ガイド――ルール策定・安全なプロンプト設計・部門展開テンプレート付き
この資料でわかること
ChatGPT・生成 AI の社内展開を担当しているが「何から始めれば良いか分からない」情シス・総務・DX 推進担当者に対し、ルール策定・安全な利用環境整備・部門展開のロードマップを一気通貫で提示し、「自社で着手できる」という確信と具体的なアクションプランを持ってもらうこと。
こんな方におすすめです
- 社内ChatGPTの利用ルールを策定したい方
- 情報漏洩リスクを回避しながらAIを展開したい方
- 部門別のプロンプト活用例を知りたい方
入力いただいたメールアドレスにPDFをお送りします。
AI事業者ガイドラインとは何か（発注者が知るべき最低限）
AI事業者ガイドラインとは、総務省と経済産業省が共同で策定した、AIの開発・提供・利用に関わる事業者向けの統一的な指針です。従来別々に存在した「国際的な議論のためのAI開発ガイドライン案」「AI利活用ガイドライン」「AI原則実践のためのガバナンス・ガイドライン」を統合し、一つのソフトローとして再編したものにあたります。
発注者にとって重要なのは、このガイドラインが単なる技術者向けドキュメントではなく、AIを社内利用する企業や、AI開発を外部委託する企業も含めた「AIに関わるすべての事業者」を対象としている点です。SaaS型の生成AIを業務利用しているだけの企業であっても、指針の一部が適用されると位置づけられています。
AI事業者ガイドラインの策定主体と目的
策定主体は総務省と経済産業省の2省であり、AI戦略会議・AI事業者ガイドライン検討会での議論を踏まえて公表されています。目的は、AIによる便益を最大化しつつリスクを抑えるための共通の指針を、事業者が自主的に実践できるようにすることです。
背景には、2023年のG7広島サミットで合意された広島AIプロセスの成果があります。国際的にはEUがAI法（AI Act）で法的規制の道を進む一方、日本はソフトロー（任意ガイドライン）と自主的なガバナンスによる対応を選択しました。そのため本ガイドラインは、事業者が「参照して自社の運用に反映する」ことを前提にした構成になっています。
もう一つの特徴は「Living Document」として位置づけられている点です。AI技術の急速な進化に追随できるよう、原則として毎年改定されており、AIエージェントや生成AIの実装状況を反映して版が更新されていきます。発注者としては「一度読めば終わり」ではなく、年次で改定内容を確認する運用が前提となる点に留意が必要です。
第1.0版から第1.2版までの改定履歴
版数の推移は次のとおりです。
版数 | 公表日 | 主な特徴 |
|---|---|---|
第1.0版 | 2024年4月19日 | 3つの旧ガイドラインを統合して初版として公表 |
第1.1版 | 2025年3月28日 | 別添の拡充。契約チェックリストの整理など |
第1.2版 | 2026年3月31日 | AIエージェント・フィジカルAIへの対応追記、HITLの明確化、トレーサビリティ強化 |
第1.2版は、経済産業省の公表ページから本編・別添・概要・見え消し版を入手できます。特に発注者は、まず本編概要（AI事業者ガイドライン（第1.2版）概要 PDF）に目を通し、その後に別添概要（別添（付属資料）概要 PDF）を確認する順番が効率的です。
法的拘束力とビジネス上の位置付け（任意だが無視できない理由）
AI事業者ガイドラインには法的拘束力はありません。準拠しなくても罰則はなく、行政処分の直接的な根拠にもなりません。それにもかかわらず「実質的な業界標準」と表現されるのは、以下のような場面で参照点として使われ始めているためです。
- 大手企業の情報セキュリティ調査票・ベンダー審査シートに「AI事業者ガイドライン準拠状況」の項目が加わってきている
- 監査法人・内部監査部門がAI活用状況をレビューする際の参照フレームワークとして採用され始めている
- 民事責任の議論（AIが誤判断を起こした際の過失有無の判断）で、注意義務の水準を判断するリファレンスとなり得る
- 稟議書・経営会議で「AIガバナンス対応済み」と説明する際の共通言語として機能する
つまり、任意ガイドラインではあるものの、対応していない状態が続くと「取引継続の可否」「監査での指摘」「トラブル発生時の民事責任」といったビジネスリスクにつながる構造になっています。この「無視できない理由」を経営層と共有できると、社内での対応推進がしやすくなります。
なお、AI活用に伴うガバナンス全般の考え方については、生成AIに絞った視点として生成AIガバナンスの考え方と実装も参考になります。
発注者は「AI開発者」「AI提供者」「AI利用者」のどれに該当するか
ガイドラインを読み進めるうえで最初にぶつかる壁が、この3区分の判定です。ガイドライン本文は「AI開発者はこうすべき」「AI提供者はこうすべき」という主体別の指針で構成されているため、自社がどの区分に該当するかを決めないと、どの指針が自社に適用されるかが分からないのです。
3区分の公式定義と役割
第1.2版本編では、AI事業活動を担う主体を以下の3区分に整理しています（対象外として「データ提供者」と「業務外利用者」が別途定義されています）。
区分 | 定義（要約） | 発注者側での典型例 |
|---|---|---|
AI開発者 | AIモデル・AIシステムを開発する主体 | 自社でLLMをファインチューニングして提供する場合など |
AI提供者 | AI開発者が開発したAIシステム・サービスに機能追加や統合を行い、AI利用者に提供する主体 | 自社サービスにベンダーのAIを組み込んで顧客に提供する場合など |
AI利用者 | 事業活動においてAIシステム・サービスを利用する主体 | SaaSの生成AIを社内業務で利用する場合、業務システムに組み込まれたAIを利用する場合など |
発注者として一般的な立場（AI開発は委託し、その成果物を社内利用する）であれば、まずは「AI利用者」に該当するケースが多くなります。ただし、自社サービスにAI機能を組み込んで顧客に提供する場合は「AI提供者」の指針も適用されます。
ケース別・発注者の該当区分
抽象的な定義だけでは判定に迷うため、代表的な発注シーンごとに整理します。
ケースA｜市販のSaaS型生成AIを社内利用する （例: 対話型生成AIサービスの有料版を全社導入する） 該当区分は「AI利用者」です。自社は開発も提供も行わないため、社内利用者向けのガバナンス（利用ポリシー・教育・監査ログ）が中心の対応となります。
ケースB｜業務システムにAIを組み込む開発を外部委託し、社内利用する （例: 社内問い合わせ対応のためのRAGシステムを開発ベンダーに委託し、社員向けに提供する） 該当区分は「AI利用者」が中心ですが、社内ユーザー向けに提供する立場としてAI提供者に近い責務も一部発生します。契約書での役割分担が特に重要になります。
ケースC｜自社サービスにAI機能を組み込み、エンドユーザー（顧客）に提供する （例: 自社の顧客向けWebサービスに生成AIによる推薦機能を追加する） 該当区分は「AI提供者」および「AI利用者」の両方です。顧客に対して提供者責任を負い、同時に自社もAIを業務で利用する立場になります。契約・利用規約・顧客説明の整備が必須です。
ケースD｜社内向けAIアシスタントを受託開発で構築する （例: 従業員向けの独自LLMアシスタントを開発ベンダーに委託して構築する） 該当区分は「AI利用者」ですが、開発プロセスに深く関与する分、開発時の設計・データ管理に対する要求水準を発注者が明示する責任が発生します。委託契約書に開発者側の遵守事項を盛り込むアプローチが有効です。
複数区分を兼ねる場合の考え方
上記ケースCのように、発注者が「AI提供者」と「AI利用者」の両方を兼ねる状況は珍しくありません。この場合の対応原則は次のとおりです。
- 各区分に対応する指針を「重ねて」適用する（一方だけに絞らない）
- 特に「AI提供者」としての責務（顧客への情報提供、リスク説明、苦情対応）は、AI利用者の指針よりも厳しい水準を要求される場面が多い
- 委託契約書では、開発ベンダー（AI開発者）と自社（AI提供者・利用者）の役割分担・責任分界点を明文化する
複数区分を兼ねる場合、社内の関係者（法務・情シス・事業部門・カスタマーサポート）を横断した対応体制の整備が必要になるため、後述の実行計画のステップ1で「3区分の該当整理」を最初のアクションに置く構成にしています。
AI事業者ガイドライン第1.2版の全体構成と発注者が押さえるべき箇所
ガイドラインは本編と別添で構成されており、それぞれに役割が明確に分かれています。「膨大で読めない」問題を解消するには、発注者としてどこから読むかの優先順位付けが有効です。
本編と別添の全体像
第1.2版の本編は、以下のような大きな構成になっています。
- 第1部｜AIとは（前提知識）: AI・機械学習・生成AIの基本概念、AIによる便益とリスクの整理
- 第2部｜AIにより目指すべき社会と各主体の役割: 基本理念、10の共通指針（人間中心・安全性・公平性・プライバシー保護・セキュリティ確保・透明性・アカウンタビリティ・教育リテラシー・公正競争確保・イノベーション）、アジャイル・ガバナンスの考え方
- 第3部〜第5部｜AI開発者・AI提供者・AI利用者に関する事項: 各主体別に、共通指針を実践するための具体的な取組み事項
- 第6部｜AIガバナンスの構築: 継続的なリスク評価と改善の枠組み
そして本編を実践に落とし込むための資料として、別添（付属資料）が用意されています。別添の全体像は別添（付属資料）概要 PDFで一覧できます。第1.2版では10種の別添が整備されており、そのうち発注者が優先的に参照すべきものが後述する別添6・別添7です。
本編を全部精読するのは負荷が大きいため、発注者としてはまず本編概要（20ページ程度）と別添概要を読み、その後に自社に関係する別添（特に契約チェックリスト・自己点検チェックリスト）を深掘りする順序が効率的です。
第1.2版で追加された6つの改定ポイント
第1.2版は、第1.1版から次のような論点で強化・追記が行われました。発注者が押さえておくべき変更点を6つに整理します（詳細はPwC Japan「AI事業者ガイドライン（第1.2版）改定のポイントと事業者への期待」も参考になります）。
- AIエージェント・フィジカルAIへの対応追記: 従来の「Webブラウザ上での対話AI」から「自律的に判断・行動し、物理世界に影響を与えるAI」までを射程に含めた
- HITL（Human-in-the-Loop）の明確化: 人間の関与を形式化して「HITLを組み込んでいる」と説明するだけでは不十分で、実効性のある監督の水準が求められることが強調された
- トレーサビリティ要件の強化: 学習データ・入出力・推論過程・判断根拠のログを文書化し、必要時に利用可能な形で保管することが明示された（詳細はprimeNumber「AI事業者ガイドライン第1.2版が求めるトレーサビリティ」も参考）
- リスク分類の拡充: 人権影響・情報漏洩・誤判断・ハルシネーションといった多層的なリスク分類が整備された
- 責任分担の明確化: AIによる民事責任の解釈と適用に関する別ハンドブック（2026年4月経産省公表）と組み合わせて参照することで、AI関連トラブル時の責任分担を整理しやすくなった
- 実装支援ツールの拡充: 経産省の活用ハンドブック、総務省のチャットボット（ルールベースAI）など、中小企業・自治体向けの実装支援策が整備された
これらの改定は、発注者にとって「委託契約書の再点検が必要な論点」の宝庫です。特に2・3・5は、契約条項の追加・改訂の直接的な根拠になります。
発注者が優先して読むべき別添（別添6・別添7の使い方）
10種の別添のうち、発注者が最初に手をつけるべきは以下の2つです。
別添6｜AI・データの利用に関する契約ガイドライン（契約チェックリスト系） 経済産業省が別途公表している「AIの利用・開発に関する契約チェックリスト」と併せて参照します。委託契約書に盛り込むべき論点（学習データの取扱い、成果物の権利帰属、成果責任と過失責任の分担、トレーサビリティの保存、モデルの継続改善の責任）が整理されており、発注者にとって最も実務直結する別添といえます。
別添7｜チェックリスト・ワークシート 10の共通指針それぞれに対して、AI開発者・AI提供者・AI利用者向けの自己点検チェックリストが用意されています。全項目を一度に埋めようとせず、まずは自社の代表的なAI活用プロジェクト1件を対象に、AI利用者向けチェックリストを試行するのが現実的な進め方です。
上記2つを起点として、必要に応じて他の別添（プライバシー保護、セキュリティ、リスクマネジメント、生成AI固有のリスク、実装ハンドブック等）を追加参照する二段階アプローチが、発注者としてはコストパフォーマンスの高い読み方になります。
発注者が対応すべき5つのポイント
前章までの整理を踏まえ、発注者が具体的にどこに何を反映すべきかを5つのポイントに凝縮します。ポイントは「委託先への要求事項（契約書・調達仕様書）」と「自社のガバナンス（社内ポリシー）」の2軸に分かれます。
ポイント1｜委託先の役割分担を契約書で明確化する
AI開発を外部委託する場合、「開発ベンダーがAI開発者」「自社がAI利用者」という区分になりますが、実際の運用では責任の境界が曖昧になりがちです。特に、モデルが誤判断を起こした場合、学習データに不備があった場合、リリース後にモデル性能が劣化した場合、それぞれの責任分担が契約書に書かれていないと、トラブル時に交渉に長期間を要します。
契約書に盛り込むべき条項の例:
- 学習データの権利帰属と加工の可否
- 成果物（モデル・重み・プロンプト・ファインチューニング済み設定）の権利帰属
- モデルリリース後の性能維持責任・再学習の実施主体
- 誤判断発生時の一次対応窓口・原因調査の分担
- 第三者からの侵害クレーム時の対応主体
「委託先が全て責任を負う」型の契約は、実務的にはベンダーが受けられません。現実的には、責任分界点を明文化し、リスクを保険や上限額でヘッジする形が主流です。
ポイント2｜調達仕様書に「学習データのトレーサビリティ」と「HITL（Human-in-the-Loop）」を要件化する
第1.2版で強化されたトレーサビリティとHITLは、契約書の総論条項ではなく、調達仕様書（RFPやSOW）の技術要件として書き込むことで実効性が高まります。
調達仕様書に含める要件例:
- 学習データの取得元・取得日・前処理内容・データ量の記録と提供
- 入力プロンプト・出力・モデルバージョンのログ保存期間（例: 1年以上）
- 人間による最終判断が必要なユースケース（人事評価・与信判断・医療判断など）の明示とHITL実装の具体化
- モデル更新時の性能比較レポートの提出義務
- 監査時にログ・データを検索可能な形で提供する仕組み
HITLは「人間がボタンを押せば承認される」形式では不十分で、判断材料が人間に理解できる形で提示され、覆すコストが十分に低いことが求められます。この点は仕様書レビュー時に確認する必要があります。データ管理の全体設計についてはAI導入におけるデータガバナンスの考え方も併せて確認すると全体像が掴みやすくなります。
ポイント3｜自社の「AI利用者」としてのガバナンス体制を整える（AIポリシー・利用者教育・監査ログ）
契約書と調達仕様書で委託先を管理するだけでなく、AI利用者としての自社ガバナンスも整備する必要があります。ガイドライン別添7のAI利用者向けチェックリストで自己点検すると、以下の論点が浮かび上がります。
- 社内向けAI利用ポリシー（禁止事項・許容範囲・機密情報の取扱い）の策定
- 全従業員向けのリテラシー教育（生成AIの限界、ハルシネーション、プロンプトインジェクション等）
- AI利用時のログ保存・アクセス権管理・監査プロセス
- AI関連インシデント発生時のエスカレーションフロー
- 社外情報公開時のAI利用有無の表示ルール
社内AIポリシーの策定手順は生成AIガイドラインの作り方で詳しく解説しています。既に社内にIT・情報セキュリティポリシーがある場合は、中堅・中小企業のためのITガバナンスと情報セキュリティの基本を参照しつつ、そこにAI固有の条項を追加する形が現実的です。
ポイント4｜リスク評価と分類（人権影響・情報漏洩・誤判断・ハルシネーション）を委託前に実施する
AI事業者ガイドラインは、リスクベース・アプローチを基本としています。すべてのAI利用に同じ管理水準を課すのではなく、リスクの高低に応じて対応の深度を変えることが推奨されています。委託前のリスク評価で押さえるべき観点は以下です。
- 人権影響: 個人の人生に影響する判断（採用・与信・保険引受・医療）に使うか
- 情報漏洩: 学習データや入力データに機密情報・個人情報が含まれるか
- 誤判断: 誤った出力が業務・顧客に与える影響の大きさ
- ハルシネーション: 生成AI固有の「もっともらしい嘘」が発生した場合の影響と検知方法
- セキュリティ: プロンプトインジェクション・データポイズニング等の脅威への耐性
ハルシネーション対策や、生成AI固有のリスクマネジメント全般については生成AIのリスクマネジメントガイドライン、AI倫理の考え方についてはAI倫理の実務ガイド（発注者向け）、出力を制約するガードレール設計はAIガードレール仕様策定ガイドを参照してください。
リスク評価は本番稼働前のPoC段階で実施しておくと、後工程での手戻りが減ります。PoC段階での評価観点は発注者向けAI PoC実施ガイドにまとめています。
ポイント5｜継続的なモニタリング体制を組み込む（アジャイル・ガバナンスの実装）
ガイドラインの重要概念の一つが「アジャイル・ガバナンス」です。AI技術と事業環境は変化し続けるため、一度ポリシーを策定して終わりではなく、継続的にモニタリングし、リスクと対応を見直す運用が求められます。発注者としては次の仕組みを組み込みます。
- 四半期または半期ごとのAI活用状況の棚卸し（新規プロジェクト・停止プロジェクト・想定外の利用の洗い出し）
- インシデント・ヒヤリハットの記録と分析
- ガイドライン改定への追随（第1.2版以降の版数更新の定期チェック）
- 委託先ベンダーとの定例レビュー（モデル性能・ログ・インシデントの共有）
- 経営層への年次報告
AIガバナンスは情シスだけで抱え込むと形骸化しやすく、法務・事業部門・経営企画を含む横断体制を整えるのが望ましい形です。全社的なAI導入プロセスの立て付けについてはAI導入ガイド（発注者向け）を参考にしてください。
発注者が今日から始められる4ステップの実行計画
前章のポイントは、そのまま並べると同時進行が必要に見えますが、実際には順序があります。稟議書や社内展開資料にそのまま使える粒度で、4ステップの実行計画に整理します。
ステップ1｜自社のAI活用範囲と3区分該当を棚卸しする（1〜2週間 / 情シス＋各事業部）
最初のステップは「対象範囲の可視化」です。以下の項目を一覧化し、各事業部にヒアリングをかけます。
- 現在利用中のAI関連サービス・システム（SaaS、業務システム組込みAI、社内開発AI）
- それぞれの利用目的・利用部門・利用頻度・扱うデータ
- 該当区分の仮判定（AI開発者 / AI提供者 / AI利用者）
- 委託先・提供元ベンダー
この棚卸しがない状態で契約書改訂や社内ポリシー策定を始めると、対応範囲が絞れずに空回りします。想定より多くの「シャドーAI利用」（各部門が独自に契約している生成AIサービス等）が見つかることも多く、棚卸し自体が価値ある成果物になります。
成果物の目安: AI活用マップ（Excel等）、経営層向けサマリ（1枚）
ステップ2｜別添7のチェックリストを主要プロジェクトで試行する（2〜4週間 / プロジェクト単位）
棚卸しで洗い出したAI活用のうち、リスク・影響が最も大きい1〜2件を対象に、別添7のAI利用者向けチェックリストを試行します。全項目を一度に完璧に埋めようとせず、「現状の記述」「未対応の項目」「対応方針」の3列で書き出すのが実務的です。
このステップの目的は、全社展開前にチェックリスト運用の勘所（誰が回答するか、どの粒度で書くか、どの証跡を求めるか）を掴むことです。試行結果を踏まえてチェックリストの記入手順書を作ると、全社展開時の効率が上がります。
成果物の目安: 代表プロジェクトのチェックリスト記入結果、記入手順書（社内向け）
ステップ3｜委託契約テンプレートを改訂する（1〜2ヶ月 / 法務＋情シス）
ステップ2で見えた要求水準を、新規AI開発委託の契約書テンプレートに反映します。既存の委託契約テンプレート（システム開発委託契約）にAI関連条項を追加するアプローチが、法務部の負担が最も少なくなります。
追加する条項の主な論点は前章のポイント1・2に整理したとおりです。テンプレートの改訂に加えて、既存の稼働中プロジェクトについては、次回の契約更新・追加発注のタイミングで新条項を差し込む形で段階的に移行するのが現実的です。
成果物の目安: 委託契約テンプレート改訂版、既存契約の移行ロードマップ
ステップ4｜定期的なリスク再評価の仕組みを組み込む（継続 / AIガバナンス委員会など）
最後のステップは、単発の対応で終わらせない仕組み化です。四半期または半期ごとに「AIガバナンス委員会」等の場で、AI活用状況・インシデント・ガイドライン改定内容を棚卸しし、必要に応じてポリシー・契約テンプレートを更新します。専任組織がなくても、既存の情報セキュリティ委員会にAI枠を追加する形で始められます。
Living Documentであるガイドラインは年次改定を前提としており、この定期レビューがなければ2年後には自社の運用がガイドラインから乖離することになります。仕組み化のコストは大きくありませんが、経営層のコミットメントが必要になるため、ステップ1〜3の成果を根拠に上程することがポイントです。
成果物の目安: AIガバナンス委員会規程、定例レビューアジェンダテンプレート
中堅・中小企業がAI事業者ガイドラインに現実的にどこまで対応すべきか
大企業向けの重厚な対応論をそのまま中堅・中小企業に適用すると、リソース不足で頓挫します。ここでは、従業員100〜500人規模の企業を想定し、現実的な着地点の考え方を整理します。
ミニマム対応の3原則
原則1｜全指針を一度に満たそうとしない 10の共通指針すべてを最初から完全準拠しようとすると、対応が始まらないまま時間が過ぎます。まずはリスク影響の大きい2〜3項目（プライバシー保護・セキュリティ・透明性など）に絞って着手し、他の項目は後追いで整備する優先順位付けが有効です。
原則2｜段階的な拡張を前提にする 初回対応は「一部の主要AI活用プロジェクト＋AI利用者向けチェックリストのみ」で構いません。次年度以降に対象範囲を広げ、AI提供者向け項目を追加していく段階拡張型のロードマップで進めます。
原則3｜外部委託先との協業で分担する 自社ですべてをカバーするのではなく、開発ベンダー（AI開発者）が既に整備している技術的統制（学習データ管理・ログ保存・脆弱性対応など）を活用し、契約書でそれを担保する形にします。「自社が全部やる」ではなく「委託先の統制を可視化させて自社の統制と組み合わせる」考え方です。
受託側（AI開発者・提供者）にどこまで依存できるか
発注者が委託先に期待できることと、自社で担わざるを得ないことは明確に線引きが必要です。目安は以下のとおりです。
領域 | 主に委託先が担う | 主に発注者が担う |
|---|---|---|
学習データの取得・管理 | ○ | 提供する自社データの妥当性確認 |
モデル開発・テスト | ○ | 受入テスト・PoC評価 |
ログ保存・監査対応 | 保存機能の提供 | ログを見て判断する運用 |
社内利用ポリシー | - | ○ |
従業員教育 | 教材協力は可能 | ○ |
インシデント発生時の一次判断 | - | ○ |
顧客への説明・対応 | 技術情報の提供 | ○ |
「顧客への説明」「社内ポリシー」「利用者教育」は、性質上、発注者自身が担うしかありません。逆に技術的統制の多くは委託先の統制設計を活用できるため、契約書で「委託先が備えるべき統制水準」を要件化することが要となります。信頼できる委託先の選び方については生成AIガバナンスの考え方と実装も参考になります。
対応しない場合のリスク
「任意ガイドラインだから対応しなくてもよい」と結論づけると、以下のようなリスクを抱え込むことになります。
- 民事責任リスク: AIが誤判断で損害を発生させた場合、注意義務違反の水準を判断する参照点として本ガイドラインが使われる可能性がある
- 取引継続リスク: 大手取引先・顧客の情報セキュリティ調査でAI事業者ガイドラインへの準拠状況を確認され、未対応であれば取引縮小や新規案件停止の判断につながる
- 監査指摘リスク: 監査法人・内部監査部門からAIガバナンスの整備状況について指摘を受ける可能性がある
- 国際展開時のリスク: EU AI法（AI Act）への対応を検討する際、AI事業者ガイドラインへの対応実績があると初動が速い（両者は完全に一致しないが、リスクベース・アプローチや基本原則には共通点が多い）
- レピュテーションリスク: AI関連トラブル発生時に「ガイドラインを参照していなかった」という事実が広報上の弱点となる
これらは短期には顕在化しにくいものの、AI活用が深まるほどリスク量が積み上がる性質を持ちます。「まずミニマム対応を始めて段階拡張する」のが、リスクとコストのバランスが取れた選択肢です。
まとめ：発注者にとってのAI事業者ガイドラインは「委託契約の指針書」
本記事の要点を整理します。
- AI事業者ガイドラインは総務省・経済産業省が策定した任意指針であり、法的拘束力はないが取引審査・監査・民事責任の参照点として実質的な業界標準になりつつある。発注者にとっては「無視できないソフトロー」である
- 発注者は多くの場合「AI利用者」に該当するが、自社サービスにAIを組み込む場合は「AI提供者」の指針も適用される。3区分の判定を最初のアクションに置く
- 本編は概要（20ページ程度）から入り、別添は「別添6｜契約チェックリスト」と「別添7｜自己点検チェックリスト」に絞って深掘りするのが効率的
- 第1.2版（2026年3月31日改定）ではAIエージェント・HITL・トレーサビリティが強化された。契約書・調達仕様書の再点検の主要論点になる
- 発注者が対応すべきは、①委託契約書の役割分担明確化、②調達仕様書へのトレーサビリティ・HITL要件化、③自社のAI利用者ガバナンス整備、④委託前リスク評価、⑤継続的なモニタリング体制、の5つ
- 実行は「棚卸し→チェックリスト試行→契約テンプレ改訂→定期レビュー仕組化」の4ステップで段階的に進める
- 中堅・中小企業はミニマム対応（優先順位付け・段階拡張・委託先との協業）で現実的な着地点を狙う
発注者にとってAI事業者ガイドラインは、単なる「読み物」ではなく「AI外部委託の契約・調達・運用の全工程で参照すべき指針書」として位置づけると、対応の輪郭が明確になります。
明日から着手するアクションは以下の3つです。
- 経済産業省のAI事業者ガイドライン公表ページから本編概要と別添概要をダウンロードし、まず本編概要を通読する
- 社内のAI活用一覧を各事業部にヒアリングして棚卸しシートを作成する
- 主要な1プロジェクトについて別添7のAI利用者向けチェックリストの記入を試行し、ギャップを洗い出す
この3つが完了すると、経営会議・取引先の情報セキュリティ調査への説明材料が揃い、以降のステップ（契約テンプレ改訂・ガバナンス委員会設置）を上程できる状態になります。ガイドライン準拠は一気に完璧を目指す性質のものではなく、棚卸しと段階拡張を積み重ねる継続的な取組みです。まずは今週、AI活用の棚卸しから始めてみてください。
社内で ChatGPT を使い始めるための実践ガイド――ルール策定・安全なプロンプト設計・部門展開テンプレート付き
この資料でわかること
ChatGPT・生成 AI の社内展開を担当しているが「何から始めれば良いか分からない」情シス・総務・DX 推進担当者に対し、ルール策定・安全な利用環境整備・部門展開のロードマップを一気通貫で提示し、「自社で着手できる」という確信と具体的なアクションプランを持ってもらうこと。
こんな方におすすめです
- 社内ChatGPTの利用ルールを策定したい方
- 情報漏洩リスクを回避しながらAIを展開したい方
- 部門別のプロンプト活用例を知りたい方
入力いただいたメールアドレスにPDFをお送りします。
よくある質問
- 自社が「AI提供者」と「AI利用者」の両方に該当する場合、どちらの指針を優先すべきですか？
優先順位をつけるのではなく、両方の指針を重ねて適用します。AI提供者としての責務（顧客への情報提供・苦情対応）はAI利用者より水準が高いため、委託契約書で開発ベンダーとの責任分界点を明文化することが優先課題になります。
- ガイドラインへの対応は何から始めればいいですか？
まず情シスと各事業部で、現在利用中のAIサービス・システムと利用目的・利用部門・扱うデータ、AI開発者・提供者・利用者の該当区分を1〜2週間で棚卸しします。この工程を飛ばして契約書改訂や社内ポリシー策定に着手すると対応範囲が絞れず空回りするうえ、各部門が独自契約した「シャドーAI利用」の見落としにもつながります。
- 法的拘束力がないなら対応を後回しにしてもよいですか？
罰則はありませんが、大手取引先の情報セキュリティ調査票やベンダー審査シート、監査法人によるAIガバナンスレビュー、AIトラブル発生時に注意義務違反の水準を判断する参照点として使われる場面が増えています。放置すれば取引継続の可否や監査対応、民事責任の場面でリスクが顕在化するため、後回しは得策ではありません。
- 中堅・中小企業でも10の共通指針すべてにすぐ対応する必要がありますか？
必要ありません。まずプライバシー保護・セキュリティ・透明性などリスク影響の大きい2〜3項目に絞り、主要プロジェクト1件とAI利用者向けチェックリストのみで初回対応を始め、次年度以降に対象範囲を段階的に広げるのが現実的です。加えて開発ベンダーが備える技術的統制を契約書で活用すれば、自社ですべてを抱え込まずに済みます。
- 別添6と別添7、どちらを先に読むべきですか？
契約書の見直しが急ぎなら別添6（契約チェックリスト）、社内のガバナンス状況をまず把握したいなら別添7（自己点検チェックリスト）から着手します。多くの発注者は別添6で契約条項の抜け漏れを確認するのが効率的です。
- 第1.2版の改定を受けて、既存の委託契約は必ず巻き直す必要がありますか？
既存契約をすぐに巻き直す必要はありません。法務と情シスで既存の委託契約テンプレートにAI関連条項（学習データの権利帰属や誤判断時の責任分担など）を追加改訂したうえで、稼働中の個別プロジェクトは次回の契約更新や追加発注のタイミングでトレーサビリティ・HITL関連の新条項を段階的に差し込む移行方法が現実的です。
