3行でいうと

  • ガイドラインは法的拘束力のないソフトローで、別添は「全項目をやれ」ではなく「参考実践」だと書かれています。つまり、そのままの全項目チェックではなく、自社の主体区分とリスクに合わせて項目を選ぶのが前提です。
  • 公式のチェックリスト（別添7）は、共通の指針9項目と広島AIプロセス12項目の計21項目です。主体別の項目は別添の表にあり、AI利用者向けは他の主体より項目が少ないことが、僕らの読んだ範囲では分かりました（項目数は概数で、確認できていません）。
  • 令和7年度の更新（第1.2版にあたると思われますが、その資料に「第1.2版」の表記はありませんでした）で、主体区分が整理されました。たとえばファインチューニングをしてサービスを出すなら、開発者と提供者を兼ねると書かれています。どの主体かで、チェックする項目の範囲が変わります。

この記事は、実際に使って確かめた記録ではありません。この記事は、公式の文書を読んでまとめたものです。法律や契約の助言ではありません。情報は2026年10月16日に確認しました。内容は変わることがあります。

先に結論

公式が用意している資料

2026年10月16日に総務省のAI事業者ガイドラインのページを読んだところ、最新版は第1.2版（令和8年3月31日公表）でした。経済産業省の関連ページは、僕らが読んだ時点で第1.1版までの掲載で、掲載内容を旧版と説明していました。現行版は総務省のページで確認してください。

資料 役割（読んだ範囲で）
本編 位置づけ、主体区分、共通の指針10項目、AIガバナンスの考え方
別添 本編の「どのように」にあたる参考実践。別添1〜6
チェックリスト（別添7） 共通の指針の要約（A）と、広島AIプロセスの項目（B）
ワークシート（別添7、Excel） 具体的なアプローチを検討する様式。僕らは中身を読めていません
活用の手引き（案） ガバナンス構築をこれから始める人向け。令和8年3月版で「案」
令和7年度更新内容 第1.1版からの変更点の説明

本編は、このガイドラインを非拘束的なソフトローと位置づけ、関係者の自主的な取組を促す指針としています。対象は、事業活動としてAIを開発・提供・利用する者です。事業活動以外でAIを使う人や、学習データを提供する人は対象に入っていません。別添の「はじめに」は、別添が参考実践であり、全項目の実施を求めるものではない、と明記しています。

手順1：自社がどの主体かを決める

本編は、主体を3つに分けています。

1つの事業者が複数を兼ねることがあります。令和7年度の更新内容の資料には、兼ねる例が具体的に書かれています。

状況 公式の整理
コード生成AIを使ってシステムを作り、他者に提供する AI利用者とAI提供者を兼ねる
ファインチューニングをして、そのAIでサービスを提供する AI開発者とAI提供者を兼ねる
API仕様を決める／APIを実装する 前者はAI開発者、後者はAI提供者
自社サービスにRAGを導入する AI提供者の役割として整理

最初の判定で、チェックする範囲が決まります。社内の業務でチャットのAIを使うだけなら、利用者です。ところが、そのAIに自社の資料を検索させるRAGを組み込んで、取引先や顧客に出すなら、提供者の項目も入ってきます。

手順2：共通の指針と主体別の表で、項目を洗い出す

本編の共通の指針は、次の10項目です。公式の文言ではなく、僕らの言い換えです。項目名の一つひとつは出典ログに記録がなく、読み取りの結果なので、総務省のPDFで確認してください。

  1. 人間中心（人権の尊重、偽情報への対処など）
  2. 安全性（人や財産への危害を防ぐ）
  3. 公平性（不当な偏見や差別を減らす）
  4. プライバシー保護
  5. セキュリティ確保
  6. 透明性（必要な範囲で情報提供や説明をする）
  7. アカウンタビリティ（責任者を明示し、取組を文書にして説明できるようにする）
  8. 教育・リテラシー
  9. 公正競争確保
  10. イノベーション

別添の表1は、この10項目を行に、AI開発者（D）、提供者（P）、利用者（U）を列にして、主体ごとの取組事項を置いています。項目の識別子は「主体-指針番号）」の形で、たとえば「D-2）」は開発者の安全性に関する項目です。表の中の「-」は、対応が要らないという意味ではなく、共通の指針に基づく対応が期待されるという意味だと書かれています。

利用者向けの第5部（項目）も読みましたが、見出しと要旨は出典ログに個別の記録がなく、確認できていないため、ここでは書きません。

手順3：リスクの大きさで、項目を絞る

ガイドライン全体は、リスクベースアプローチという考え方に立っています。利用の分野と形によって生じうる危害の大きさと起こりやすさを見て、対策の程度をそれに合わせる、という考え方です。前述のとおり別添は全項目の実施を求めておらず、公式の立場は「全部を満点で」ではないと読めます。令和7年度の更新では、別添2にリスクベースアプローチの説明が加わっています。活用の手引き（案）にも、実践時の参照事項として、リスク分類の整理とリスクベースアプローチが挙がっています。

別添1のBには、AIのリスクの例が列挙されています（p.18-27）。個々のリスクの名前は出典ログに記録がなく、ここでは挙げません。自社の利用場面でどれが起こりうるかを、この一覧と照らして洗い出すことが、絞り込みの出発点になります。

手順4：行動目標に載せて、回し続ける

AIガバナンスの構築について、本編は「アジャイル・ガバナンス」を重要とし、環境・リスク分析、ゴール設定、システムデザイン、運用、評価というサイクルを、継続的に回すことを想定しています。別添2は、これを14件の行動目標にしています。

別添2の行動目標14件（表6、読んだ範囲）
  • 環境・リスク分析: 1-1〜1-3（3件）
  • ゴール設定: 2-1（1件）
  • システムデザイン: 3-1〜3-4（4件）
  • 運用: 4-1〜4-3（3件）
  • 評価: 5-1、5-2（2件）
  • 環境・リスクの再分析: 6-1（1件）

個々の行動目標の題名と、実践のポイント・実践例は、出典ログに記録がなく、ここでは書きません。

活用の手引き（案）は、この前段として、構築時の準備事項を4つ挙げています。組織内のAI利用状況の把握、リスク評価の体制、インシデント報告の体制、組織に合ったルールの策定と運用です。準備の順序は事業者の状況で変わる、とも書かれています。既存の体制があれば、AIのために新たな体制をつくる必要はない、という記述もあります。

公式チェックリスト（別添7）を読む

別添7は、AとBの2部です。

AとBの検討には、どちらも「具体的なアプローチ検討のためのワークシート」を使うよう案内されています。別添の説明では、ワークシートに、開発者・提供者・利用者それぞれの記載例、広島AIプロセスの確認フォーマット、別添2のガバナンス確認フォーマットがあるとされています。掲載項目をすべて採用せず、自社に必要なものを選んで独自版をつくる想定です。

僕らの見立て：1行の作り方

ここからは僕らの見立てです。公式が書いている手順ではありません。

チェックリストの1行を、「指針」「自社の主体」「想定するリスク」「いまの状況」「証拠（文書や記録）」「担当」「見直す日」の7列で書くと、公式の考え方（説明できる状態、再分析）と合うと考えました。透明性やアカウンタビリティの項目は、「文書にして説明できるようにする」ことが中心なので、証拠の列がそのまま使えます。

たとえば、社内で生成AIを使うだけの会社（AI利用者）の最小の例を、共通の指針のうち6項目（安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティ）から作ると、次のようになります。質問文は僕らの文章です。

指針 確認の質問（僕らの案） 証拠の例
安全性 使ってよい業務と、使ってはいけない業務を決めているか 利用ルールの文書
公平性 入力する資料や頼みごとに、偏りが入っていないかを見る場面があるか レビューの記録
プライバシー 個人情報や機密を入力しないルールがあり、周知されているか ルールと周知の記録
セキュリティ 使うサービスの管理者設定や、アカウントの管理を決めているか 設定の一覧
透明性 取引先などへ、AIを使っていることを知らせる場面と方法を決めているか 説明文書のひな形
アカウンタビリティ 提供元の規約や文書を読み、守っているか。誰が責任者か 責任者の一覧、規約の確認日

令和7年度の更新で、利用者向けの留意事項には、AIエージェントについて、操作履歴を定期的に確認・報告すること、生成物の保守が難しくなることへの備えと社内ノウハウの蓄積、重大な影響が想定される場面での人間の判断が加わっています。エージェント型のAIを業務に使うなら、これらは追加の行になりそうです。

気をつけること

出典

更新履歴