2026年3月31日、総務省と経済産業省が「AI事業者ガイドライン」の第1.2版を公表しました。名前に「事業者」とあるので、AIを開発している会社の話だと思われがちですが、そうではありません。ChatGPTなどを業務で使っているだけの会社も「AI利用者」として対象に含まれます。改訂の背景と、中小企業が押さえるべき点を整理します。
今回の改訂で何が変わったのか
各種の解説によれば、1.2版の要点はAIエージェントへの対応です。指示を出せば自分で調べ、判断し、作業を進めていく——そうした自律的に動くAIが、正式にガイドラインの対象として明記されました。物理的に動くロボットなどの「フィジカルAI」も同様です。
そして重要なのが、こうしたAIが外部に影響を与える操作を行う前に、人間の判断を挟む仕組み（Human-in-the-Loop）を組み込むべきとされた点です。メールを送る、データを書き換える、外部のサービスに何かを登録する——AIが「実行してしまえる」場面では、その手前に人の確認を置きなさい、という考え方です。
あわせて、2026年3月には総務省から「AIのセキュリティ確保のための技術的対策に係るガイドライン」も公表されており、AIが参照できる情報の範囲を制限することや、悪意ある指示を紛れ込ませる攻撃（プロンプトインジェクション）への備えが挙げられています。
「使っているだけ」の会社にも関係がある
ここで多くの経営者が思うのは「うちは開発していないから関係ない」でしょう。しかし解説を読むかぎり、業務でAIを使っている時点で「AI利用者」に当たり、対応が求められる立場になります。
しかも実態を見ると、この話は他人事ではありません。ある調査では、AIを業務に活用している中小企業は2割弱にとどまる一方、生成AIを「個人的に使っている」社員まで含めると6割を超えるとされています。つまり会社として導入していなくても、現場ではもう使われている。この状態がいちばん危うい、というのが率直なところです。
罰則はない。それでも整えておく理由
日本のこのガイドラインは、EUのような厳しい規制とは性格が異なり、違反しても罰則があるわけではありません。活用を後押しすることを主眼にした、いわゆるソフトローです。
ではなぜ整える必要があるのか。理由は取引先との関係にあります。大手企業や官公庁との取引では、情報の取り扱いについて質問される場面が増えています。「御社ではAIをどう管理していますか」と聞かれたとき、何も答えられない会社と、ルールを示せる会社では、信用が変わります。罰則がないからこそ、対応の有無がそのまま企業の姿勢として見られる——そういう性質のものだと考えています。
中小企業がまずやる3つのこと
とはいえ、いきなり分厚い規程を作る必要はありません。順番として、次の3つから始めるのが現実的です。
ひとつめは、入力してはいけない情報を決めること。個人情報、顧客情報、取引先固有の情報、契約書の全文——これらは生成AIに入力しない、と明文化します。「気をつけましょう」ではなく、具体的に列挙するのが肝心です。
ふたつめは、使ってよいツールを会社が指定すること。無料版を各自が勝手に使っている状態（いわゆるシャドーAI）を放置しないことです。会社が承認したサービスに揃えるだけで、リスクの見通しは大きく良くなります。
みっつめが、今回の改訂で加わった視点です。AIが自動で何かを実行する仕組みを入れるときは、人の確認を挟む。たとえばメールの自動返信や、システムへの自動登録。便利さと引き換えに、間違いがそのまま外に出ていく経路を作らないこと。ここは設計の段階で決めておくべきところです。
おわりに
私たちも自社でAIを業務に組み込んでいますが、この「人の確認を挟む」という一点は、ガイドラインを読む前から譲らないと決めていた部分でした。実際に運用してみると、AIに任せた分だけ、人間は「確かめて、決める」ことに集中できるようになります。制約というより、うまく付き合うための設計だと感じています。
ガイドラインは、読み解こうとすると量があります。ただ、中小企業が最初にやることは、そう多くありません。入力しない情報を決める、使うツールを揃える、自動化には人の確認を挟む。まずはこの3つから、できるところに手をつけてみてください。動き出した会社から、AIは着実に戦力になっていきます。
本稿の内容は執筆時点（2026年7月31日）の公開情報・各種解説に基づきます。ガイドラインの正確な内容と最新版は、総務省・経済産業省の公表資料をご確認ください。
← コラム一覧へ戻る