AI事業者ガイドライン第1.1版の公表

総務省と経済産業省が2025年3月28日に、AI事業者ガイドラインの本編と別添の第1.1版を公表しました。2024年4月19日の第1.0版、同年11月22日の第1.01版に続く更新です。

参考記事: AI事業者ガイドライン（第1.0版）の公表（2024年5月2日）

更新は7項目

両省が示した令和6年度更新内容によれば、更新の論点は次の7つです。

基本理念、10の共通の指針、AI開発者・提供者・利用者という3区分の枠組みは変わっていません。本編が40ページなのに対し別添は170ページを超えており、更新の多くは別添の側に入っています。第1.0版で示された構造を前提に、実践の材料を足した改定と見るのが実態に近いところです。

契約における責任分界

法務の観点で見どころがあるのは、別添6の「AI・データの利用に関する契約ガイドライン」を参照する際の留意事項です。契約モデルや契約当事者の多様化と、開発者・提供者・利用者の間の責任分界について記載が充実しました。

指摘されているのは、既存の契約ガイドラインがベンダとユーザーの二者間取引に焦点を当てており、多様化・複雑化したバリューチェーンを前提とした責任分配は個別の検討が必要になる、という点です。AIに起因する損害の責任を一切開発者が負うとすれば、自身では直接コントロールできないリスクまで引き受けることになり、こうした事態は交渉力に格差のある当事者間で起こりやすいとも述べられています。他方で、影響力の大きいAIについては、開発者がコントロールすべきリスクの範囲を広く捉えるべき場合もあるとされています。

現状、事故発生時にどの主体がどのような責任を負うかについて明確な基準はなく、事業者としてリスクシナリオを描けずにAI導入を断念・躊躇する場合もあり得る。
出典: 総務省・経済産業省「AI事業者ガイドライン（第1.1版）別添」

そのうえで、いずれかの当事者に全てのリスクを負わせる発想ではなく、関係当事者間で協調的にリスクを分配することが重要とし、損害保険等の活用にも触れています。契約実務としては、責任範囲を押し付け合うのではなく、どのリスクを誰が制御できるかを起点に責任分担を設計する、という考え方が要になります。

リスクの分類と指針のマッピング

別添1では、AIのリスクが技術的リスクと社会的リスクに大別されました。技術的リスクは学習及び入力段階、出力段階、事後対応段階の3つに、社会的リスクは倫理・法、経済、情報空間、環境の4つに分けられています。過度な依存、労働者の失業、データや利益の集中といった、第1.0版で扱われていなかったリスク例も加わりました。

実務で使えるのは、この分類と10の共通の指針を対応させたマッピングと、リスクごとの対策例が示された点です。自社が抱えるリスクの側から、参照すべき指針と対策の候補を引ける構造になりました。

生成AIの新しい形態

生成AIについては、マルチモーダルな生成AI、RAGの導入、プログラムコードの生成、AIエージェントに関する記載が追加されています。いずれも、生成AIの技術の進歩と事業者における導入の進展を踏まえて追加された論点です。

社内規程を第1.0版に合わせて整えた企業では、規程が想定するAIの使い方と、実際の使い方がずれている可能性があります。

たとえばRAGは、言語生成に外部情報の検索を組み合わせる仕組みで、参照先は社内文書のこともインターネット上の情報のこともあります。社内文書を参照させる場合、従業員がプロンプトに何を入力するかとは別に、システムの側が自動的に文書を読みに行きます。「機密情報を入力しない」という禁止事項だけを置いた規程では、この経路が抜けます。参照範囲に含める文書群の選定や、閲覧権限のない従業員に権限外の情報が出力されない設定まで、規程と運用の対象になります。

ロジットパートナーズ法律会計事務所のサービス

当事務所では、AIガバナンス構築において、AIの利用範囲の整理やリスクに応じた管理プロセスの設計に対応しています。第1.0版を前提に作った規程の見直しや、RAG・AIエージェントを含む利用形態に合わせた条文の手当ても、あわせて扱います（規程・ポリシー整備）。

開発委託や利用契約における責任分界の設計は契約のレビューとして（契約書作成・レビュー）、自社の立場で求められる対応の範囲を書面で整理する必要があるときは意見書の作成として扱います（法律意見書）。社内体制の整理から進めることもできます（法務コンサルティング）。