AI法制がリスクベースへ向かう時代、中小企業はAI利用をどう分類すべきか

先に結論

AI法制がリスクベースへ向かう、という話を聞いて中小企業がまず作るべきものは、難解な法律メモでも、海外法の対訳でもありません。自社のどの業務でAIを使い、その用途が失敗したときにどこまで影響が及ぶかで並べ替えた、一枚の分類表です。

ここで先に強調しておきます。本記事が示す「4段階の分類」は、GXOが中小企業の実務のために提案する社内の整理軸であって、特定の法令が定める分類ではありません。海外の法制度には独自の段階分けがありますが、それと本記事の分類を同じものとして扱わないでください。本記事の目的は、法律の階層を暗記することではなく、自社のAI利用を自社の言葉で説明できる状態にすることです。

やることは単純です。用途を「社内で完結し人が必ず確認するもの」「顧客とのやり取りに触れるもの」「金銭・契約・法的判断に影響するもの」「人の権利・安全に影響するもの」の順に並べ、上に行くほど承認・ログ・レビュー・停止条件を厚くする。これだけで、規制が来ても、取引先に聞かれても、社内で事故が起きても、落ち着いて答えられる土台ができます。

この記事を読むべき人

• 情シス担当が一人、あるいは他業務と兼任で、AIの社内利用がいつのまにか広がっている中小企業の経営者・役員
• 「うちは規制業界ではないから関係ない」と思っているが、取引先や元請けからAI利用について質問され始めた事業者
• 生成AIの利用規程を作ろうとして、細かすぎて誰も読まない文書になりかけている担当者
• 海外や国内のAI法制のニュースを見て不安はあるが、何から手を付ければいいか分からない決裁者

逆に、専任のAIガバナンス部門があり、モデル開発そのものを行っている企業には、本記事はやや基礎的です。本記事は「まだ何の整理もしていない会社が、最初の一歩をどう踏み出すか」に絞っています。

「法制が固まってから対応する」では間に合わない理由

不安があると、つい「制度がはっきりしてから動こう」と考えたくなります。しかしこの順番は、実際には二重に損をします。

第一に、分類は法制のために要るのではなく、自社のリスク管理のために要るからです。法律がまだ整っていない今この瞬間も、社員は顧客向けの文書をAIに書かせ、契約書の要点をAIに要約させています。そこで情報漏えいや誤った出力が起きたとき、「規制がまだなかったから」は説明になりません。損害は制度の完成を待ってはくれません。

第二に、分類を先にやっておくと、いざ制度や取引先の要求が来たときの作業が「当てはめるだけ」で済むからです。用途ごとにリスクの高さを整理し、承認者とログを決めてある会社は、新しいルールが来ても「この用途はうちの高リスク欄に入るから、既にこの統制がある」と対応できます。整理していない会社は、そこで初めて全社の利用状況を棚卸しすることになり、締め切りに追われながらの調査は抜け漏れを生みます。

つまり分類は、法制への「予習」ではなく、事故への「保険」です。制度が来るかどうかに関係なく、先に持っている会社が強い。この順序を取り違えないことが、最初の分かれ道になります。

何が起きているのか — 「リスクベース」という共通の流れ

いま各国・各機関のAIへの向き合い方に共通しているのは、AI利用を一律に「全部自由」でも「全部禁止」でもなく、リスクの大きさに応じて求める対策の重さを変える、という考え方です。これが「リスクベース」と呼ばれるものの中身です。

たとえば米国のNIST AI Risk Management Frameworkは、AIの信頼性を高めるための枠組みを示していますが、これは法的な強制力を持つものではなく、あくまで自主的な活用を前提とした任意のガイダンスです。日本国内でも、総務省・経済産業省がとりまとめている「AI事業者ガイドライン」が、対策の程度をリスクの大きさに対応させるリスクベースアプローチの考え方を採用しています。このガイドライン自体は法的拘束力を持つ規制ではなく、事業者が自主的に参照する非拘束的な指針(ソフトロー)として位置づけられ、内容も継続的に更新されています(最新は第1.2版、2026年3月31日)。

海外の報道では、AIのルールをリスクに応じて段階的に整理しようという議論も伝えられています。ただし、それらの制度の細部・罰則・施行時期は国ごとに異なり、内容も流動的です。本記事はそうした個別の法令の条文を断定することはしません。ここで押さえてほしいのは一点だけ、「AI利用を用途ごとにリスクで分ける」という発想が、法制であれ任意の枠組みであれ広く共通しているということです。だからこそ、その発想を先に自社へ取り込んでおく価値があります。

そして繰り返しますが、この「リスクで分ける」という発想を借りることと、特定の法律の階層区分をそのまま社内に持ち込むことは別です。自社に必要なのは、条文の階層ではなく、自社の業務に即した分類です。

中小企業が実際に使える4段階の分類

では、どう分けるか。中小企業が現場で回せる粒度は、細かすぎない4段階です。判断軸は「その用途でAIの出力が間違っていたら、誰が、どこまで困るか」。技術的な難しさや使っているツールの高機能さではなく、失敗したときの影響範囲で分けます。

表そのものより、段階が上がるにつれて何が増えるかを理解することが大事です。上がるほど「承認する人が増える」「記録する項目が増える」「確認する目が増える」「止める判断が速くなる」。この四つが連動して重くなる、という関係だけ覚えておけば、新しい用途が出てきたときも自分で当てはめられます。

注意したいのは、段階1を軽く見ないことです。「社内の下書きだから安全」という思い込みが、機密情報の入力という一番ありがちな事故を招きます。段階1に必要なのは厳しい承認ではなく、「何を入れてはいけないか」の明確な線引きです。逆に段階3・4を段階1と同じ気軽さで扱うと、契約や人事という取り返しのつかない領域で事故が起きます。段階を分ける意味は、軽いものを軽く、重いものを重く扱えるようにすることにあります。

分類を「付ける」手順 — 誰が、いつ、迷ったらどうするか

分類表を作っても、実際の各用途にどの段階を付けるかで現場は迷います。ここを決めておかないと、表は飾りになります。

誰が付けるか。 最初の付与は、その用途を使う現場担当ではなく、用途を俯瞰できる立場の人(情シス兼任者や管理部門、小規模なら経営者自身)が行うのが安全です。使う本人は「便利だから低リスクに置きたい」という力が働きやすいからです。とはいえ現場の実態を知らないと正しく付けられないので、現場へのヒアリングとセットにします。

いつ見直すか。 付けたら固定、ではありません。最低でも四半期に一度、あるいは新しいAIツールを導入したとき、新しい業務にAIを使い始めたとき、取引先から利用状況を聞かれたときに見直します。見直しのトリガーを「時期」と「出来事」の両方で決めておくと、更新が止まりません。

迷ったらどうするか。 これが一番大事なルールです。段階2か3か判断がつかない、という用途は、必ず上の段階に置きます。迷ったら重いほうへ、が原則です。理由は単純で、重く扱いすぎて起きる損は「手間が少し増える」だけですが、軽く扱いすぎて起きる損は「事故そのもの」だからです。過剰統制は後から緩められますが、事故は後から取り消せません。

この三つ、「俯瞰できる人が付ける」「時期と出来事で見直す」「迷ったら上へ」を決めておくだけで、分類は生きた運用になります。

AI台帳の最小構成 — 増やしすぎないことが続けるコツ

分類を維持するには、どの用途がどの段階か、を一覧で持っておく必要があります。それがAI台帳です。ここで失敗しがちなのは、最初から項目を増やしすぎて、更新が止まることです。誰も更新しない完璧な台帳より、全員が更新できる最小の台帳のほうが、はるかに役に立ちます。

最小構成は、次の八項目に絞ります。

• 用途(何のために使っているか)
• 部署(どこが使っているか)
• 使っているサービス(ツール名・契約形態)
• 入力するデータ(顧客情報・個人情報・営業秘密などを入れているか)
• 出力の使われ方(社内限りか、顧客に出るか、判断に使うか)
• 分類(上の4段階のどれか)
• 責任者(この用途の管理を負う人)
• 最終確認日(いつ見直したか)

これ以上増やすと、更新の負担が現場の許容量を超え、台帳は古い情報の墓場になります。逆にこの八項目さえ埋まっていれば、「顧客情報を入れていて、出力が顧客に出て、分類が段階2以上」という危険な組み合わせを機械的に拾えます。台帳は完璧さではなく、鮮度で価値が決まります。項目を足したくなったら、その項目を毎月更新し続けられるかを先に自問してください。

分類が変わる瞬間を見つける

一度付けた分類がずっと正しいとは限りません。むしろ用途は、誰も意図しないまま静かに昇格します。この「昇格の瞬間」を見つけられるかどうかが、分類運用の成否を分けます。

典型はこうです。最初は「社内メモの下書き」として段階1で使っていたAIの出力が、いつのまにかそのまま顧客への提案書に貼り付けられている。段階1のつもりが、実態は段階2になっている。あるいは、「参考情報」として気軽に出させていた要約が、いつのまにか会議での判断の根拠として扱われている。参考のはずが、実態は判断材料、つまり段階3に近づいている。

こうした昇格は、規程を破ろうとして起きるのではなく、便利だから自然に起きます。だからこそ、禁止では止まりません。止めるには、「この出力は今どこまで使われているか」を定期的に確認する習慣が要ります。見直しのときに現場へ一言、「その要約、社内だけで止まっていますか。お客様に出していませんか」と聞くだけで、昇格は見つかります。用途は静かに上がる、という前提で運用を組むことが肝心です。

規制がまだ無い領域でも問われるもの

「法律で決まっていないなら、まだ問われない」と考えるのは早計です。法制が整うより先に、実務の現場ではAI利用の説明を求められる場面が増えています。ここは断定を避け、構造として理解してください。

• 顧客への説明。自社の成果物にAIが関与している場合、顧客が「どこまでAIが作ったのか」「人が確認しているのか」を気にすることがあります。分類表があれば、「この工程は段階2で、送付前に必ず人が全文確認しています」と具体的に答えられます。
• 取引先からの調査票。元請けや大手取引先が、サプライヤーに対してセキュリティやAI利用の質問票を送る動きが見られます。何を聞かれるかは相手次第ですが、聞かれてから慌てて調べるのと、台帳を見て答えるのとでは、信頼のされ方が違います。
• 保険。事業活動に伴うリスクを引き受ける保険の世界では、リスク管理の状況が問われることがあります。AI利用についても、統制の有無が説明を求められる対象になり得ます。
• 入札の要件。公共・大手の調達では、情報管理体制が要件に含まれることがあります。AI利用の管理状況が、こうした要件の一部として問われる可能性は否定できません。

これらはいずれも「必ずこう問われる」と断定できるものではありません。相手も時期も内容も一様ではないからです。しかし共通するのは、問われたときに答えられるかどうかが、法制の有無とは別に、取引や契約の場で効いてくるということです。分類と台帳は、その「答えられる状態」を、規制を待たずに先に用意する手段です。

よくある誤解

分類に着手する前に、つまずきやすい思い込みを解いておきます。

「うちは規制業界ではないから関係ない」。 リスクベースの発想は、業界の規制の有無ではなく、用途の影響の大きさで動きます。非規制業界でも、契約や採用でAIを使えばそこは段階3・4に相当します。業界ではなく用途で決まる、と考え直してください。

「無料のAIなら対象外」。 料金の有無とリスクの大きさは無関係です。むしろ無料ツールは利用規約や情報の扱いが自社に不利な場合があり、機密を入れる運用があれば段階に関係なくまず止めるべき対象です。無料だから軽い、はありません。

「社員が個人で使っている分は関係ない」。 会社の業務に使っている以上、それは会社の利用です。個人アカウントでの利用こそ台帳から漏れやすく、事故が起きたときに把握できていなかった、という最悪の形になりがちです。個人利用も棚卸しの対象に含めてください。

「ルールを作れば統制できる」。 規程を配っただけでは現場は動きません。分類が生きるのは、承認・ログ・レビュー・停止条件という具体的な運用に落ちて、しかも定期的に見直されているときだけです。文書の量ではなく、運用の実態が統制を作ります。

相談前に棚卸ししておくこと

自社だけで進めるにせよ、外部に相談するにせよ、先に次を手元で整理しておくと、話が一気に具体的になります。

• どの部署が、どのAIツールを、何のために使っているか
• そこに顧客情報・個人情報・営業秘密・契約情報を入力していないか
• AIの出力を、顧客向け文書・契約・採用・評価・見積のどれに使っているか
• 利用の記録、承認者、レビュー担当を残しているか
• 取引先から利用状況を聞かれたとき、答えるための一覧があるか

この五点が埋まらない、あるいは埋めようとして実態が分からない、という状態そのものが、最初に手を付けるべき場所を教えてくれます。分からない欄が、いま一番リスクの見えていない用途です。

GXOが支援できること

自社のAI利用を用途ごとに分類し、社内監査や取引先の質問に説明できる状態を作りたいが、どこから棚卸しすればよいか判断がつかない、という場合は、外部の視点を一度入れると早く進みます。GXOでは、現場ヒアリングから利用中・利用予定のAIを洗い出し、本記事の考え方に沿った分類表とAI台帳のたたき台に落とし込む支援を行っています。

• 自社のAI利用を分類・整理できるかを短時間で見極めたい方は、AI導入可否アセスメントから。
• 社員の生成AI利用が経営の目の届かないところで広がっている、という課題には、生成AI社内ガバナンスの考え方が参考になります。
• AI開発や本格活用を発注する前の整理は、AI開発・生成AI活用の発注前相談で30分から整理できます。

AI台帳とリスク分類について相談する

よくある質問（FAQ）

Q. 分類は何段階がよいですか。3段階では足りませんか。 A. 中小企業では4段階を推奨します。3段階だと「顧客に触れる」と「金銭・契約・法的判断に影響する」が同じ箱に入ってしまい、承認やレビューの重さを分けられません。逆に5段階以上は運用が煩雑になり、現場が付けられなくなります。迷ったら4段階から始め、必要に応じて調整してください。

Q. 本記事の4段階は、海外のAI法制の区分と同じですか。 A. 別物です。本記事の分類は、GXOが中小企業の実務のために提案する社内の整理軸であり、特定の法令が定める区分ではありません。海外の制度には独自の段階分けがありますが、それをそのまま社内に持ち込む必要はありません。共通しているのは「リスクで分ける」という発想だけです。

Q. 日本にはAI利用を縛る法律はありますか。守らないと罰則がありますか。 A. 本記事では個別の法令の条文・罰則・施行時期を断定しません。国内で参照される総務省・経済産業省の「AI事業者ガイドライン」は、法的拘束力を持つ規制ではなく、事業者が自主的に参照する非拘束的な指針(ソフトロー)として位置づけられています。個人情報の取り扱いなど既存の法令が及ぶ領域は別途あるため、具体的な適用は専門家に確認してください。

Q. 小さい会社で専任者がいません。誰が分類を付ければよいですか。 A. 専任者は必須ではありません。用途を俯瞰できる立場の人、たとえば情シス兼任者や管理部門、規模が小さければ経営者自身が付けるのが現実的です。重要なのは、使う本人だけに任せないこと。便利さから軽い分類に寄りがちなためです。

Q. AI台帳はどのツールで作ればよいですか。 A. 表計算ソフト一枚で十分です。専用のシステムは、運用が回り始めてから検討すれば足ります。大事なのはツールではなく、八項目に絞って毎月更新し続けられることです。項目を増やすより、鮮度を保つことを優先してください。

Q. 分類の見直しはどのくらいの頻度で行いますか。 A. 最低で四半期に一度を目安にしつつ、新しいAIツールの導入時、新しい業務での利用開始時、取引先から利用状況を聞かれたときにも見直します。時期と出来事の両方をトリガーにしておくと、更新が止まりにくくなります。

Q. 取引先からAI利用の調査票が来ました。どう答えればよいですか。 A. 分類表と台帳があれば、「どの業務で使い、どの情報を入れず、誰が確認し、どのログを残しているか」を用途ごとに答えられます。逆に一覧がないと、聞かれてから全社を調べることになり、抜け漏れが信頼を損ねます。調査票が来る前に台帳を用意しておくことが最善の備えです。

関連するGXOナレッジ

• AI規制がリスクベースへ向かう時代、企業はAI台帳と責任分界をどう作るべきか
• 中小企業向けAIエージェント台帳テンプレート
• 規制業界でAIエージェントを使う前に作る、部署横断の責任分界と監査ログ
• 金融・士業の生成AIワークフローはモデルリスク管理外でも統制が必要になる
• 自社のDXの現在地を先に測りたい方は、DX成熟度診断から。
• AIエージェントの権限設計に踏み込む段階の方は、AI営業支援エージェントの設計例も参考になります。

参考・出典

本稿の出典は2026年7月10日に確認したものです。法制の内容は今後変わり得るため、最新の公表資料をご確認ください。一次／二次の区別を併記します。

• NIST AI Risk Management Framework（米国国立標準技術研究所・一次）— 自主的（任意）活用を前提とした枠組みであること、Govern／Map／Measure／Manage の機能で構成されることを確認: https://www.nist.gov/itl/ai-risk-management-framework
• AI事業者ガイドライン（総務省・経済産業省・一次）— リスクの大きさに応じて対策の程度を変えるリスクベースアプローチを採用する、法的拘束力を持たない非拘束的な指針（ソフトロー）であること、最新が第1.2版（2026年3月31日）であることを、経済産業省ドメイン上の公開資料で確認: https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/index.html
• 個人情報保護委員会（一次）— 個人情報の取り扱いを所管する公的機関であることを確認。個人情報を含む入力・出力の扱いは本委員会の所管領域: https://www.ppc.go.jp/
• Economic Times（二次）— AIのルールをリスクに応じて段階的に整理しようという海外（インド）での議論を報じた報道。制度の細部・罰則・施行時期は本記事では断定しておらず、あくまで「リスクベースという発想が広く共通している」ことの傍証としてのみ参照: https://m.economictimes.com/tech/artificial-intelligence/new-ai-law-may-focus-on-graded-risk-based-rules-officials/articleshow/132228436.cms