# AI規制の全体像と、すべてのテック企業が知っておくべきこと

- 番組: [Software Engineering Daily](https://ai-curator.jp/podcasts/shows/cmv3z5c1c000w5o10bjjhgahi)（Software Engineering Daily）
- 元のタイトル: AI Regulation and What Every Tech Company Should Know
- 配信日: 2026年10月29日
- 長さ: 53分
- 要約作成日: 2026年10月29日
- トピック: [#AI規制](https://ai-curator.jp/topics/AI%E8%A6%8F%E5%88%B6) [#EU AI Act](https://ai-curator.jp/topics/EU%20AI%20Act) [#AIガバナンス](https://ai-curator.jp/topics/AI%E3%82%AC%E3%83%90%E3%83%8A%E3%83%B3%E3%82%B9) [#シャドーAI](https://ai-curator.jp/topics/%E3%82%B7%E3%83%A3%E3%83%89%E3%83%BCAI) [#プライバシー](https://ai-curator.jp/topics/%E3%83%97%E3%83%A9%E3%82%A4%E3%83%90%E3%82%B7%E3%83%BC) [#コンプライアンス](https://ai-curator.jp/topics/%E3%82%B3%E3%83%B3%E3%83%97%E3%83%A9%E3%82%A4%E3%82%A2%E3%83%B3%E3%82%B9)
- URL: https://ai-curator.jp/podcasts/cmvtbwcxb00026y11ksdptbx6

## 要約

Orrick のデータ弁護士 Shannon Yavorsky が Kevin Ball と、AI規制の全体像を語った回。単一のAI法は存在せず、プライバシーや消費者保護などの既存法と新しいAI法が重なり合う構造だと説明する。米国の州法パッチワーク、EU AI Act、シャドーAIや会議録音のリスク、AIガバナンス体制の作り方まで、実務的な視点で整理している。

## ポイント

- AI規制は一つの法律ではなく、プライバシー、サイバーセキュリティ、消費者保護、雇用、知的財産などの法が重なる「同心円」であり、まず自社製品とユースケースがどの円に入るかを把握すべきだと述べている。
- 米国には連邦AI法がなく、150を超える州AI法が並立する。GDPR対応と同様に、透明性や安全性などの中核原則を土台に、リスクベースで層を重ねる方法を勧めている。
- AIノートテイカーなどのシャドーAIは、録音同意（州の盗聴法）やデータ保管の問題に加え、記録が訴訟で開示対象になり得るリスクを生む。
- AIガバナンスは、利用ツールの棚卸し、AI利用ポリシー、禁止事項と許可事項を示した簡潔なルール、調達の見直し、継続的な教育、責任者の明確化という順で進めるとよいと語る。
- EU AI Act は域外適用があり、禁止・高リスク・透明性・低リスクの区分を持つ。米国では最近、国家安全保障の観点から規制を求める論調に変化が出ているという見方を示した。

## 章立て

- [02:06] **ゲストの紹介と経歴** — Shannon Yavorsky が自身の経歴と、Orrick での業務内容を説明する。知財から技術取引、プライバシーへと進んだ経歴が、AIを見る視点になっていると語る。
- [04:10] **重なり合う規制の「同心円」** — 単一のAI法はなく、既存法とAI法が重なっていると説明する。米国の州法の乱立に対し、製品とユースケースから適用範囲を絞る考え方を示す。
- [09:25] **原則ベースの対応と録音の問題** — GDPR対応の経験から、透明性・公平性・安全性・説明責任を土台にする方法を語る。AIノートテイカーの同意問題や、録音記録が訴訟で開示され得る点も議論する。
- [17:54] **ガバナンスの始め方とリスクの段階** — ツールの棚卸し、利用ポリシー、実用的な禁止事項と許可事項の作り方を説明する。融資判断のような高リスク用途ほど負担が増える点も語る。
- [37:11] **州法トラッカーと米国政策の変化** — Orrick が公開する州AI法トラッカーの経緯を紹介する。政権の規制緩和路線が、強力なモデルの登場後に変わりつつあるという見方も述べる。
- [45:36] **EU AI Act の構造** — 域外適用と段階的な施行、禁止・高リスク・透明性・低リスクの区分を説明する。社会的スコアリングや職場での感情認識などが禁止例として挙がる。
- [48:47] **企業が最初に整えるべき基本** — ツール棚卿、ポリシー、調達時の契約リスク、教育、責任者の設置を挙げる。新興ベンダーの責任条項や保険の考え方にも触れる。

## 解説記事

AI規制は「どの法律に従えばよいのか」が分かりにくい分野だ。今回の Software Engineering Daily では、国際法律事務所 Orrick でサイバー・プライバシー・データ革新グループとAIプラクティスを共同で率いる Shannon Yavorsky が、Kevin Ball の質問に答えながら、技術者や企業が押さえるべき考え方を語った。

#### 単一のAI法はなく、規制は「同心円」で重なる

Yavorsky はまず、AI規制を「巨大な一つの法律」ではなく「重なり合う円」だと表現する。EUには EU AI Act があるが、それでも消費者保護、プライバシー、サイバーセキュリティといった法は並行して適用される。

米国ではさらに複雑で、連邦レベルのAI法はまだなく、150を超える州AI法がパッチワーク状に存在すると述べている。そこに雇用法、差別・公民権法、知財法、契約上の義務も重なる。

この状況に対する彼女の助言は、法律の一覧から始めないことだ。創業者はすべての制度の専門家になる必要はなく、自社の製品とユースケースがどの円に入るかを把握すればよいという。たとえばヘルステックなら、米国の医療データ法である HIPAA の対象かどうかを確認し、他の連邦機関や州の規制、事業を行う地域へと絞り込む。州のプライバシー法には売上や取り扱う情報量などの適用基準があり、そもそも対象になるかを見極める作業も欠かせない。

#### GDPR対応に学ぶ、原則ベースの土台づくり

各国の弁護士に個別に相談するのはコストが高い。そこで Yavorsky は、GDPR以降に世界へ広がったプライバシー法への対応と同じ発想を勧める。透明性や安全性といった中核原則で土台を作り、その上に細かな対応を重ねるリスクベースの方法である。

原則としては OECD などの自主規制的な枠組みに共通する、透明性、公平性（データセットの偏りや差別）、安全性、説明責任が挙げられた。なかでも説明責任は、判断の過程を文書に残すことだと強調する。規制当局や訴訟の相手が後から振り返ったとき、組織がリスクをどう考え、どう対処したかが分かる記録があることが重要で、AIが「ブラックボックス」と言われる現状では特に意味が大きいとしている。

Kevin は、エンジニアは「唯一の正解」を探しがちだが、規制対応では考え方を文書化し透明にすることが本質だと気づいたと語った。Yavorsky も、法の世界は灰色の領域が大半で、顧客とは「リスクのスペクトラム」の中でどこに立つかを話し合うと説明する。一方で、明確に違法となるケースもあり、その例として周囲の会話を録音してモデル学習などに使う用途を挙げた。古い州の盗聴法が新しい文脈に当てはめられるためだ。

#### シャドーAIと録音の訴訟リスク

議論の中心の一つが、AIノートテイカーに代表されるシャドーAIである。従業員が会社の把握しないまま便利なツールを導入すると、録音への同意、データの保管場所とアクセス権、要約の正確性といった問題が生じる。さらに、録音は訴訟や当局の調査で開示の対象になり得る記録を大量に生み出す。弁護士事務所でこれが問題になったのは当然だと彼女は話す。企業向けの版を導入して管理を効かせれば、リスクは下げられるという。

ツール提供側も、利用者に同意を促す設定を備えないと責任を問われ得ると述べている。通話開始時の「録音しています」という通知が同意に当たるかは、まだ十分に争われていないという。銀行の通話案内のように、他に方法がないために安全策として受け入れられている面があるとも説明した。

#### ガバナンスの始め方と、リスクに応じた負担

何から手を付けるかについて、Yavorsky はまず利用中のAIツールの把握を挙げる。調達部門が入れた正規のツールの一覧が不完全だったり、既存ツールに追加されたAI機能を気軽に有効にしていたりして、実態が見えていない企業は多い。明らかに危険な利用は、この段階で遮断することもあり得る。

次に社内のAI利用ポリシーを作る。ただし、10ページの文書は読まれにくかったという経験から、従業員向けには「してよいこと、いけないこと」を白黒はっきり示すルールが効果的だったと述べている。例として、調達を通さず利用規約に同意してツールを入れること、採用でAIの判断を人が確認せずに使うことを危険な行動に挙げた。内容は企業のリスク許容度に合わせて調整する必要があるとする。

規制の重さは害の大きさで決まる。製造業のデータで学習するモデルは比較的低リスクだが、個人の金融データや健康データ、融資判断のように人生に影響する用途は、ガバナンスの負担が高まる。融資なら連邦法（Gramm-Leach-Bliley Act）に加え、AIと融資に関する州法も確認する。

#### 米国とEUの動向

州法を追う負担から、Orrick は有効な法律だけを示す AI law tracker を作り公開した。過去1年に州レベルで約1,500のAI法案が提案されたが、成立したものに絞ることで見通しがよくなるという。作成は当初、人手が中心で、AIは政府サイトの階層をうまく扱えなかったと語っている。

米国の政策については、バイデン政権のAI大統領令が就任初日に無効化され、規制緩和の流れが続いたと説明する。州AI法のモラトリアム案は成立せず、昨年12月の大統領令で州法を見直す動きがあるが、それによって無効になった法律は把握していないという。ただし最近は、Mythos モデルの公開後に、国家安全保障の観点から強力なモデルにはガードレールが必要だという論調が出てきたという見方を示した。対中競争の意識も背景にあると述べている。

EU AI Act には域外適用があり、EU内でAIを展開すれば対象になり得る。禁止、高リスク、透明性、低リスクのリスクベースの区分があり、禁止例には社会的スコアリング、深刻な害を生む操作的AI、職場や学校での感情認識（例外あり）が挙がった。健康データ、融資、採用に関わる用途は高リスクとされる。施行は段階的で、透明性ガイドラインは数週間前に確定したという。

#### まとめ

日本の読者にとっての要点は、規制を網羅的な条文暗記ではなく、製品・データ・地域から絞り込む実務として捉える点にある。ツールの棚卸し、簡潔な利用ルール、調達時の契約確認、継続的な教育、責任者の明確化は、国や規模を問わず応用しやすい。特に新興ベンダーの責任条項や、無制限の補償を掲げる会社の資力まで見るという指摘は、AIツールを導入する企業にとって参考になる。EU AI Act は日本企業にも域外適用され得るため、自社のAIがどの区分に入るかの確認が出発点になる。

> この要約・解説記事は、元の音声の文字起こしをもとに AI（Claude）が日本語で作成したものです。出典: Software Engineering Daily「AI Regulation and What Every Tech Company Should Know」