AI推進法、改正へ｜「罰則なし」はどう変わる？企業が今から準備すべき5つのこと

政府は2026年10月26日、AI推進法（AI法）の見直し議論を始めました。焦点は、悪質な事業者への罰則を盛り込むかどうかです。改正の時期や罰則の中身はまだ決まっていませんが、AIを使うだけの企業も「利用実態の把握」と「社内ルールの整備」を今から進めておく必要があります。

この記事では、内閣府の資料をもとに、見直しの中身・EUのAI法との違い・企業が準備すべきことを整理します。

追記ログ

そもそもAI推進法とは？1分でおさらい

AI推進法は「規制する法律」ではなく「推進する法律」として作られた、日本初のAI基本法です。正式名称は「人工知能関連技術の研究開発及び活用の推進に関する法律」で、政府は略して「AI法」と呼んでいます。

現行法のポイントは3つです。

1. 罰則がない：過度な規制でイノベーションを止めないよう、罰則は置かず、悪質な行為には刑法や著作権法など既存の法律で対応する設計
2. 国が調査・指導・公表できる：AIが犯罪や情報漏えいにつながった場合、国は事業者に「指導」「助言」などができ、悪質なケースは事業者名を公表する
3. 企業には「協力する責務」がある：第7条で、AIを使う事業者（活用事業者）に国の施策へ協力する責務を定めている。ただし、リスク評価や届出などの具体的な義務はない

また、法律を補う形で、2025年12月19日に「AI指針（適正性確保に関する指針）」が、2026年7月14日に第Ⅱ期のAI基本計画が決まっています。

つまり現状は、「国が調べに来たら協力してね。でも断っても罰はない」という状態です。今回の見直しは、この「断っても罰はない」の部分に手を入れる議論だと言えます。

▶ AI推進法を踏まえて作られた、生成AIの知財ルールはこちら：生成AIプリンシプル・コードとは？対象企業・3原則・届出方法をわかりやすく解説【10月26日開始】

10月26日、何が決まった？要点を3行で

結論から言うと、「罰則のないAI法」から「罰則つきのAI法」への転換が正式に議題に上がりました。

• 見直し議論がスタート：10月26日の人工知能戦略専門調査会（第7回）で、事務局が「AI法を含む関連法制度の見直し」を論点として提示した
• 焦点は罰則：今のAI法は国に調査権限を与える一方、強制手段がない。AIの「暴走」リスクやAIを悪用したサイバー攻撃への懸念から、悪質な事業者への罰則を盛り込むかが焦点（報道）
• 専用WGが10月28日に始動：専門調査会の下に「制度の在り方検討WG」を新設し、AI法改正を含む法制度の論点を整理する。AI事業者ガイドラインなどの改訂も予定

今後のスケジュールは次のとおりです。

出典：人工知能戦略専門調査会（第7回）配布資料（内閣府）、共同通信（デイリースポーツ）、10月6日古川デジタル大臣会見要旨（事業構想）、ニュースプレミア、日本経済新聞（10/22）

なぜ施行から約1年で見直すのか

一番の理由は、AIのリスクが「想定」から「現実」に変わったことです。法律ができた2025年時点では、罰則なしでも既存の法律とガイドラインで対応できると考えられていました。

1. AIを悪用したサイバー攻撃が現実になった

2026年に入り、高性能なAIがサイバー攻撃に使われる懸念が一気に高まりました。海外では、AIエージェントが自律的に他社のシステムに侵入したと報告される事例も出ています。「指導・助言」だけでは止められないケースが想定されるようになった、というのが背景です。10月26日の会議でも、AI悪用によるサイバー攻撃の深刻化や、AIが自己改善で性能を急激に高める新技術のリスクを洗い出す方針が示されました。

▶ あわせて読みたい：AIのセキュリティ対策とは？運用・開発方法や費用について

2. AI基本計画で「法律は不断に見直す」と明記済み

実は見直しは突然ではありません。2026年に決まった第Ⅱ期AI基本計画の案では、AI推進法などの制度を能動的かつ継続的に見直す方針が示されていました。高性能AIによるサイバー攻撃に対応する体制づくりが狙いとされています。

3. 「調べても協力してもらえない」問題

現行法では、国が調査しても事業者が応じなければ、それ以上の手段がありません。報道でも、現行法は国に調査権限を与える一方で強制手段がない点が指摘されています。今回の罰則の議論は、この「実効性」の弱さをどう補うかがテーマです。

出典：日本経済新聞、共同通信（Yahoo!ニュース）

改正で何が変わる？論点の整理

結論から言うと、第7回の事務局資料に「罰則」という言葉は出てきません。示されたのは「AI法を含む関連法制度の見直しに着手する」という方針と、それを議論する専用のワーキンググループの設置です。罰則を入れるかどうかは、このWGでこれから詰められます。

以下、内閣府が公開した第7回の事務局説明資料（資料1）をもとに整理します。ページ番号はPDFのページ数です。

新設されるのは「制度の在り方検討WG」

AI法の見直しを担うのは、人工知能戦略専門調査会の下に置かれる「制度の在り方検討WG」です（資料1・p.51）。

設置の目的として資料が挙げているのは、高性能なAIモデルが悪用されたり、予期せぬ挙動を起こしたりして、社会に深刻な影響が出ることへの懸念です。海外では高性能AIモデルの開発・提供事業者を対象にした法規制や業界の自主規制が出てきていることも踏まえ、既存のAI法制度の見直しを含めて検討するとしています。

進め方は、10月28日に第1回を開き、AI法の改正を含む法制度の論点を整理するというものです。必要に応じて、AI開発事業者などをゲストとして招く予定とされています。

7人のうち4人が法学者・弁護士で、法制度の設計を詰める顔ぶれです。経団連やAI企業の経営者も入っており、産業界の意見も反映される構成になっています。

想定されているリスクは3種類

資料では、英国AIセキュリティ・インスティテュートの分類を引用して、AIのリスクを3つに整理しています（資料1・p.48）。

これに加えて、AIが自分自身を改良して性能を急激に高める「RSI（再帰的自己改善）」への関心も高まっていると指摘しています。

「モデル」ではなく「システム全体」で守る6つの要素

企業にとって実務的に一番参考になるのがここです。資料は、AIモデルだけに着目したリスク対応では足りないとして、AIエージェントのシステム全体で安全性を確保する6つの要素を挙げています（資料1・p.11）。

法律の中身がどう決まっても、この6つを押さえておけば「国に聞かれたら説明できる」状態に近づけます。

「制度・技術・組織」の3つで信頼をつくる

第Ⅱ期AI基本計画を引用し、信頼できるAIは政府の制度運用だけでは実現できないとしています（資料1・p.47）。そのうえで、次の3つを組み合わせる考え方を示しています。

• 制度による対応：技術の進み具合に合わせて、制度を能動的に見直し続ける
• 技術による対応：AIに制御機能を組み込む技術標準や、AISI（AIセーフティ・インスティテュート）などによる技術評価
• 組織管理による対応：技術動向やリスク事案を把握し、組織全体のリテラシーを高める

論点のページでは、既存の制度で対応できる範囲と、新しい制度が必要な領域をどう切り分けるかが問われています（資料1・p.53）。あわせて、活用事業者・研究開発機関・国・自治体・国民がそれぞれ果たすべき役割の整理も論点に挙がっています。AIを使うだけの企業にも、何らかの役割が求められる可能性があるということです。

ガイドラインも一斉に見直し

資料には、ガイドライン類の見直し方針も明記されています（資料1・p.52）。

• AI指針：内閣府が、指針の改正も含めて検討
• AI事業者ガイドライン：総務省と経済産業省が連携して改訂を予定
• 生成AIの調達・利活用ガイドライン：デジタル庁が改訂を予定

AI事業者ガイドラインは2026年3月に第1.2版、行政機関向けの生成AI調達ガイドラインは2026年6月に第2.0版が出たばかりです。法改正より先に、これらのガイドラインが変わる可能性が高いと言えます。調達ガイドラインは行政向けの文書ですが、契約・調達のチェックシートは民間企業がAIベンダーを選ぶときの参考にもなります。

スケジュール：年内に中間整理、年明けにガバナンス強化

上位の会議体である「AI・デジタル改革推進会議」は、年内に「中間整理」をまとめる予定です（資料1・p.3、p.14）。官房長官は、AIガバナンスの強化など残された論点を年明け以降に具体化し、関連する計画の改定につなげる考えを示しています。

資料の想定スケジュールでは、2027年から6月ごろにかけて「人工知能基本計画3.0」などへ反映していく流れが示されています。ただし、AI法の改正案をいつ国会に出すかは、資料には書かれていません。

出典：人工知能戦略専門調査会（第7回）資料1 事務局説明資料（内閣府）、AI事業者ガイドライン（経済産業省）、生成AIの調達・利活用に係るガイドライン第2.0版（デジタル庁）、共同通信（デイリースポーツ）

EUのAI法との違い：日本は「EU型」になるのか？

結論として、罰則が入っても日本がEU型の「包括規制」になるわけではありません。EUはAIをリスクで分類して義務を課すのに対し、日本はあくまで「推進」が軸で、罰則は調査の実効性を担保するための限定的なものになる見込みです。

EU向けにサービスを出している企業は別途注意

EUのAI法は、EU域内でAIを提供・利用する場合に日本企業にも適用されます。EU向けに事業を展開している企業は、日本の法改正とは別にEUの対応が必要です。

▶ EU側の動きはこちら：EN 18286とは？EU AI法の品質マネジメント規格をわかりやすく解説

出典：参議院 内閣委員会調査室「AI法案をめぐる国会論議」、日本経済新聞

自社はどこに当てはまる？立場ごとの影響

影響の大きさは、自社がAIの「開発者」「提供者」「利用者」のどれに当たるかで変わります。この3区分は、AI事業者ガイドラインの区分と同じです。

「使っているだけ」でも無関係ではない

多くの企業は「AI利用者」に当たります。罰則の対象になるかはまだ決まっていませんが、AI推進法の協力責務はすでに利用者にもかかっています。また、取引先から「AIの利用状況を説明してほしい」と求められる場面は、法改正を待たずに増えていくはずです。

1社で複数の立場を兼ねるケースも多い

例えば、社内ではAIを使い（利用者）、顧客にはAIを組み込んだサービスを出している（提供者）会社は珍しくありません。AI事業者ガイドライン第1.2版でも、同じ事業者が複数の主体を兼ねる場合が明示されています。自社がどの立場に当たるかを、事業ごとに整理しておくと安心です。

他のClaudeの記事はこちら！

• 【Claude Opus最新アップデート】Claude Opus 5.5とOpus 5を比較（2026年9月版）
• 【Claude Haiku最新アップデート】Claude Haiku 5.5とHaiku 4.5を比較（2026年10月版）
• Claude Fable 5.1で何が変わった？Fable 5からのアップデートを実際に検証

企業が今から準備すべき5つのこと

法改正の中身が固まるのを待つ必要はありません。どんな形の罰則になっても「国に聞かれたら、自社のAI利用を説明できる」状態を作っておけば対応できます。

1. 社内のAI利用を棚卸しして台帳を作る

まず「どの部署が、どのAIを、何に使っているか」を一覧にします。調査に協力しようにも、自社の利用実態が分からなければ答えられません。

• 使っているAIツール・モデル名
• 利用部署と用途
• 入力しているデータの種類（顧客情報・機密情報を含むか）
• 契約形態（個人アカウントか法人契約か）

▶ 台帳の項目や運用手順はこちら：AI利用台帳とは？導入判断・記載項目・運用手順を実務テンプレートで解説

2. AI利用ポリシーを作る・見直す

「何を入力してよいか」「出力をどう確認するか」「誰が責任者か」を決めて文書にします。すでにある会社も、AIエージェントの利用を想定した内容になっているか確認しましょう。

▶ あわせて読みたい：AIガバナンスとは？経営者が導入可否を決める比較基準・7ステップ・チェックリスト

3. AIベンダーとの契約を確認する

AIを外部から調達・委託している場合、国の調査があったときにベンダー側がどこまで協力してくれるかが重要です。ログの提供、インシデント時の報告、調査への協力について、契約に定めがあるか確認します。デジタル庁の生成AI調達・利活用ガイドライン（第2.0版）の契約チェックシートも、確認項目の参考になります。

4. 調査・問い合わせに対応する窓口を決める

国の調査や取引先からの問い合わせに、誰が答えるのかを決めておきます。法務・情シス・事業部のどこが窓口になるのかがあいまいだと、初動が遅れます。あわせて、AIの利用記録（ログ）を一定期間保存する仕組みも整えておくと安心です。

第7回の事務局資料でも、AIエージェントの安全を確保する要素として「権限管理」や「監査ログ」が挙げられています（資料1・p.11）。AIに何を任せ、何をしたかを記録しておくことは、今後どんなルールになっても求められる基本と考えてよいでしょう。

▶ 記録をどう点検するかはこちら：AI監査とは？導入判断・評価との違い・実務手順とチェックリスト

5. AI事業者ガイドラインのチェックリストで自己点検する

AI事業者ガイドライン第1.2版には、チェックリストとワークシートが別添で用意されています。まずはこれで自社の現状を点検するのが一番手軽です。

今日からできるチェックリスト

• 社内で使っているAIツールを一覧にした
• AI利用ポリシーがあり、AIエージェントの利用も想定している
• AIベンダーとの契約に、ログ提供・調査協力の定めがある
• 国の調査や取引先の問い合わせに答える窓口が決まっている
• AI事業者ガイドラインのチェックリストで自己点検した

現場の声：法務・情シスはどう見ているか

法改正を受けて、実務の現場では何から手をつけるべきか。法務と情報システムの担当者にインタビューし、現場で出てきた声をまとめました。

法務担当者のコメント（BtoBサービス企業・法務）

「仮に罰則が導入されるなら、まず確認したいのは、社内のAI利用ルールと実際の業務が合っているかです。入力してよい情報、出力結果を確認する責任者、問題が起きたときの報告先を優先して見直します。契約面では、顧客から預かった情報をAIで扱える条件や、委託先のAI利用について、取り決めが十分かを確認したいですね。

ルールが曖昧なままだと、現場は不安から利用を控えてしまいます。使える条件を具体的に示せれば、安心して活用できる場面はむしろ増えると考えています。」

情報システム担当者の想定コメント（中堅メーカー・情報システム）

「棚卸しで一番難しいのは、会社で契約しているサービス以外の利用を把握することです。個人アカウントでの利用に加えて、普段使っているソフトにAI機能が追加され、本人がAIを使っていると意識していないケースもあります。

シャドーAIについては、アンケートや部門へのヒアリングで、利用目的や入力している情報を確認します。その際、『申告すると怒られる』と思われない進め方が大切です。禁止だけでは業務上のニーズが残るので、会社として使える環境と相談窓口を用意する。今回の見直しも、現場が何に困ってAIを使っているのかを知る機会にしたいですね。」

よくある誤解3つ

誤解1：「AI推進法には罰則がないから関係ない」

これまではその理解でも大きな問題はありませんでした。しかし今回の見直しで、罰則が入る可能性が出てきました。「罰則なし」を前提にした社内判断は、見直しておくべきタイミングです。

誤解2：「うちはAIを使っているだけだから対象外」

罰則の対象範囲はまだ決まっていません。また、AIの利用者にも国の施策に協力する責務はすでにあります。対象外かどうかは、議論の結論を見てから判断すべきです。

誤解3：「ベンダーに任せておけば大丈夫」

AIを外部に委託していても、そのAIを使って事業をしているのは自社です。調査を受けたときに、自社がどこまで説明できるかは契約内容と社内の記録次第です。

よくある質問

Q. AI推進法に罰則はありますか？

A. 現行のAI推進法に罰則はありません。ただし2026年10月26日から見直し議論が始まり、悪質な事業者への罰則を盛り込むかどうかが焦点になっています。

Q. AI推進法の改正はいつですか？

A. 改正案の提出時期はまだ示されていません。10月28日に初会合を開く「制度の在り方検討WG」でAI法改正を含む論点を整理し、AIガバナンスの強化は年明け以降に具体化される見込みです。

Q. 中小企業も対象になりますか？

A. 現行法では、中小企業を含むAIの活用事業者に国への協力責務がありますが、具体的な義務や罰則はありません。改正後の対象範囲は、これから議論されます。

Q. EUのAI法は日本企業にも適用されますか？

A. EU域内でAIを提供・利用する場合は、日本企業にも適用されます。日本の法改正とは別に対応が必要です。

Q. 今すぐやるべきことは何ですか？

A. 社内のAI利用の棚卸しと、AI利用ポリシーの整備です。どんな形の罰則になっても、自社のAI利用を説明できる状態にしておけば対応できます。

まとめ：罰則の中身より先に「説明できる状態」を作ろう

AI推進法は、施行から約1年で「罰則なし」の前提が見直されることになりました。罰則の対象や中身はこれから決まりますが、企業がやるべきことは変わりません。

• 自社のAI利用を棚卸しし、台帳にする
• AI利用ポリシーとベンダー契約を見直す
• 調査や問い合わせに答える窓口を決める

Mojiに相談する

Mojiは、AIの受託開発を通じて、ガバナンスまで含めたAI導入を支援しています。「自社のAI利用をどう整理すればいいか分からない」という段階からご相談ください。社内のAI利用を台帳化・可視化したい企業向けには「AI利用評価クラウド」も提供しています。

お問い合わせはこちら

参考資料

• 政府、AIリスク抑制策を議論 法改正、悪質な事業者に罰則も（共同通信／Yahoo!ニュース）
• ＡＩ法見直し、今月下旬に（福井新聞）
• ミュトス級AI対処へ「不断に法改正」（日本経済新聞）
• ＡＩ法案が参院審議入り 悪質事案は調査・公表（時事ドットコム）
• AI事業者ガイドライン（経済産業省）
• AI法案をめぐる国会論議（参議院 内閣委員会調査室）
• AI戦略（内閣府）
• 人工知能戦略専門調査会（第7回）議事次第・配布資料（内閣府）