- share :
社内に生成AIの利用ガイドラインを配布し、社員研修も実施した。それでも、実際に公開された広告素材や提案書について、「どのAIを使ったのか」「どの工程で人が確認したのか」を後から説明できない企業は少なくありません。
海外では、AIガバナンスの焦点が、規程を整えることから、生成物の来歴やAI利用の証拠を残すことへ移りつつあります。EU AI Act第50条は、AIで生成・改変されたコンテンツの透明性を求め、C2PAやContent Credentialsのような来歴証明技術も、撮影・生成・編集の各工程へ広がり始めています。
これは、AIガバナンスが法務文書だけでは完結しなくなることを意味します。今後問われるのは、ルールがあるかどうかではなく、実際の生成物について、どのように作られ、どこで人が関与したのかを説明できるかどうかです。
本記事では、EUと日本の制度動向、C2PAをめぐる技術の広がりを手がかりに、AIガバナンスが「規程」から「証跡」へ移る構造変化を整理します。
【本記事の要点】
- AIガバナンスの焦点は、利用規程の整備から、生成物の来歴やAI利用の証拠を残すことへ移りつつある
- EU AI Act第50条や日本のAI関連ガイドラインでは、透明性、記録、文書化、監査可能性が重視されている
- C2PAやContent Credentialsの普及により、撮影、生成、編集の各工程で来歴情報を残す環境が整い始めている
- 今後のAIガバナンスでは、規程があるかだけでなく、生成物について後から説明できるかどうかが企業の信頼を左右する
AIガバナンスの現在地：規程を配っただけでは守れない現場
生成AIの業務利用が広がる一方で、多くの中小企業は「利用ポリシーを配布して終わり」の状態から抜け出せていません。海外の規制動向を追うと、規程の存在だけでは不十分で、生成物に技術的な証拠を残すことが問われる段階へと入っていることがわかるでしょう。この章では、現場で起きているズレと、規程だけでは不足する理由を整理します。
現場で起きているズレ
- 広報担当が生成AIで作った画像を素材集の一部として公開したが、どのAIで生成したかの記録が残っていない
- 営業担当が提案書の下書きにChatGPTを使ったが、機密情報が含まれていたかを事後に確認する手立てがない
- 採用ページの文章を生成AIで整えたところ、応募者から「AIが作成したのですか」と問われ、社内で答えが揃わなかった
こうした具体的な問題が、規模を問わず起きています。ガイドラインには「機密情報を入れない」「著作権を守る」と書かれていても、実際に守られたかを後から確認する仕組みが用意されていないのです。
なぜ「規程だけ」では不足するのか
AIに関する利用規程は、多くの企業では「してよいこと・してはならないこと」を宣言する文書です。しかし、仮に「してはならない」とされた作業で生成物を作ったとしても、生成物そのものに痕跡は残りません。
そのため、外部公開後に問題が生じた際、どの工程でAIが介在したかを再現できなければ、対外説明も内部監査も成立しない状態になってしまいます。まして、海外の当局や取引先が求めているのは、規程の写しではなく、生成物レベルでの証跡です。つまり、現代のAIガバナンス問題は、理念ではなく実装、宣言ではなく記録、という軸に移っている点を押さえる必要があります。
EU AI Act第50条が示す「透明性義務」の実装要件
EU AI Act第50条は、AIで生成・改変されたコンテンツに機械可読なマークを付与し、ディープフェイクには表示を義務付ける条項です。理念の宣言ではなく、実装要件が明文化された点が転換点となります。この章では、条文が求める内容と、日本の中小企業にも及ぶ影響を整理します。
機械可読マーキングとディープフェイク表示
第50条は、AIシステムのプロバイダーに対し、画像・音声・動画・テキストが機械で判別できる形式でマーキングされることを求めています。つまり、仮に人間が目視で気付かなくても、機械が「これはAIで生成された」と読み取れる仕組みが前提なのです。
ディープフェイクや合成メディアには、利用者が理解できる形での表示も課されます。単なるロゴ表示ではなく、メタデータや電子透かしなど技術的な仕込みが必要となる点が従来の「注記対応」との違いです。
適用時期と対象範囲
透明性義務は2026年8月に適用開始となる予定です。対象はEU域内で提供・利用されるAIシステムのプロバイダーおよびデプロイヤー（利用事業者）に及びます。
欧州委員会は2026年1月に、透明性義務の実装方法を具体化する行動規範のドラフトを公表し、来歴情報（provenance）とウォーターマーク（電子透かし）の両輪でのマーキングを推奨しています。単一技術への依存ではなく、冗長性を持たせた設計が示された点は、企業側の実装方針にも影響してくるでしょう。
出典・参照：
日本の中小企業にとって関係のない話ではない理由
自社は海外展開はしておらず、「EUに拠点はないから対象外」と切り離すのは早計です。SaaSやSNSプラットフォームがEU向けに機能を実装すれば、日本の利用者にも同じUIが提供されます。まして、最近では海外の取引先から、AI利用状況の説明を求められる場面は増加傾向にあります。
また、国内向けの制作物であっても、海外プラットフォームを経由すれば意図せず域外へ届いてしまうでしょう。いわれのないトラブルに巻き込まれないためにも、法令の直接適用を断定することは避けつつ、取引・ブランド管理・レピュテーション（信用）の観点から説明可能な状態を整えておかなければなりません。
日本の制度動向：AI事業者ガイドラインとAI法
日本国内でも、AIガバナンスは規程から記録・文書化へと軸足を移しています。この章では、2025年に相次いで公表・成立した3つの制度動向を整理し、いずれも「証跡を残す運用」に接続していることを示します。
AI事業者ガイドラインが求める記録・文書化
総務省と経済産業省は、令和7年（2025年）3月28日に『AI事業者ガイドライン第1.1版』を公表しました。
- モデルの仕様
- 学習内容
- 評価結果の記録と文書化
- 認証
- 暗号化
- ログ管理
こうした要素を含むセキュリティ設計を求めています。ただし、文書化については、後から容易に確認可能な状態であれば紙媒体である必要はないと明記されており、監査可能な形での記録保持を前提とした構成です。中小企業でも、社内共有ドライブやSaaSのログ機能を活用した記録が実務的な出発点となります。
出典・参照：
AI法（活用推進法）の枠組み
人工知能関連技術の研究開発及び活用の推進に関する法律（AI法）は、2025年5月28日に成立、6月4日に公布され、2025年9月に全面施行されました。AI法は罰則を伴わないソフトロー型の枠組みで、活用事業者には努力義務が課されます。
ただし、罰則がないからといって放置してよいわけではありません。取引先や消費者からの信頼を維持する観点で、実質的な対応が問われるでしょう。最近では、取引契約書にAI利用に関する説明義務を盛り込む動きも出てきており、「法令上義務ではないが、契約上求められる」局面が増えていくと想定されます。
出典・参照：
デジタル庁DS-920が示す行政での運用像
デジタル庁は2025年5月27日にDS-920『行政の進化と革新のための生成AIの調達・利活用に係るガイドライン』を公表しました。同ガイドでは、行政機関における生成AI利活用の記録・監査の考え方を示しており、民間企業の運用設計にも参考になります。
調達段階からログ管理・出力確認・レビュー体制を織り込む発想は、中小企業のガバナンス設計にも応用できます。特にSaaS選定時の要件定義に、ログエクスポート機能や監査対応の項目を追加する参考として役立つでしょう。
出典・参照：
技術で証拠を残す：C2PA/Content Credentialsの潮流
規制側が求めるマーキングを、技術的に実現する国際標準がC2PAです。この章では、C2PAの仕組みと対応が進む主要プレーヤー、日本国内での実証事例を整理します。技術は既に大手企業や公的サイトで実装フェーズに入っています。
C2PAとは何か
「C2PA（Coalition for Content Provenance and Authenticity）」は、コンテンツの来歴を暗号署名付きで記録する国際技術標準です。画像や動画、音声が編集されるたびに新しいマニフェスト（作成者・使用ツール・編集履歴などの情報）が追加され、編集の連鎖を追跡できます。
この国際技術標準は、Adobe、Microsoft、Google、Meta、BBC、OpenAIなどビックテックをはじめとする数々の大手企業が支持しています。閲覧者は対応ビューアーで「いつ・誰が・どのツールで作成し、どこで編集されたか」を確認できます。
対応が進む主要プレーヤー
C2PAへの対応は、生成AIサービスだけでなく、カメラやスマートフォン、画像編集ソフトへも広がっています。LeicaやSonyは撮影時に来歴情報を付与できる対応機器を展開し、Googleもスマートフォンで撮影した画像に署名を残す仕組みを取り入れました。生成・編集の領域では、Adobe FireflyなどがContent Credentialsの付与を進めています。
ここで重要なのは、個々の製品名ではありません。コンテンツの来歴を、制作後に人が追記するのではなく、撮影、生成、編集の各段階で自動的に残す環境が整い始めているということです。企業にとっても、独自の証跡管理システムを一から構築するだけでなく、来歴情報に対応した制作環境を選ぶという考え方が現実的な選択肢になりつつあります。
日本国内での実証事例
TOPPANデジタルは2024年10〜12月に、デジタル大臣公式サイトでC2PA準拠の来歴情報と電子透かしを埋め込む実証実験を実施しました。米NSAと英連邦3か国（ASD ACSC、CCCS、NCSC-UK）の共同発表（2025年1月）でも、AI生成物の検知は生成側とのいたちごっこになるため、来歴証明の広範な導入が必要と提言されています。技術は特定企業の囲い込みではなく、社会インフラとして整備が進む段階にあると理解しておくとよいでしょう。
出典・参照：
まとめ：AIガバナンスの基準は「規程があるか」から「説明できるか」へ
AIガバナンスは、利用規程を作り、研修を実施すれば完了する段階を越えつつあります。EU AI Act第50条が示しているのは、AIで生成・改変されたコンテンツについて、表示や機械可読な情報を通じて、その来歴を確認できる状態を求める流れです。日本でも、『AI事業者ガイドライン』などを通じて、記録、文書化、監査可能性が重視されるようになっています。
その変化を技術面から支えているのが、C2PAやContent Credentialsです。これらは、コンテンツがいつ、どのツールで作られ、どのような編集を経たのかを、生成物そのものに結び付けて残そうとする仕組みです。この動きは、AIガバナンスの焦点が、社内ルールの有無から、外部へ公開した後でも利用経緯を説明できるかどうかへ移っていることを象徴しています。
今後は、AIガバナンスが法務部門だけの仕事ではなくなるかもしれません。生成物の来歴を残すには、実際にAIを使う制作部門、公開や利用の妥当性を判断する管理職、ログや権限を管理する情報システム部門が関わらざるを得ないのです。重要なのは、細かな役割分担を先に固定することではありません。誰か、どこか一部門へ任せれば済む問題ではないと、すべての企業が認識することです。
規程は、企業としての方針を示すために必要です。しかし、問題が起きたときに「どのAIを使い、どの工程で人が確認し、何を根拠に公開したのか」を説明できなければ、規程だけでは取引先や顧客の信頼を支えきれません。
これからのAIガバナンスで問われるのは、ルールを持っているかではなく、そのルールが実際の生成物や業務記録へつながっているかです。生成AIの利用が広がるほど、企業の信頼は、何を禁止したかだけでなく、何が起きたかを後から確かめられる仕組みによって支えられるようになるのではないでしょうか。
執筆者
DXportal®運営チーム
DXportal®編集部
DXportal®の企画・運営を担当。デジタルトランスフォーメーション（DX）について企業経営者・DX推進担当の方々が読みたくなるような記事を日々更新中です。掲載希望の方は遠慮なくお問い合わせください。掲載希望・その他お問い合わせも随時受付中。