AI導入時の責任分界はどう決めるか｜誤答・事故・第三者クレームへの備え

本記事は2026年9月8日時点の法令・公的資料に基づいて全面的に見直しています。参照している主な一次資料は、民法・製造物責任法・個人情報保護法等の条文（e-Gov法令検索）、経済産業省「AI利活用における民事責任の解釈適用に関する手引き〔第1.0版〕」（2026年4月9日公表、同年6月9日更新）、経済産業省「AIの利用・開発に関する契約チェックリスト」（2025年2月18日公表、同月20日差替え）、総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日）、個人情報保護委員会の各ガイドライン、EU AI Act（Regulation (EU) 2024/1689）およびDigital Omnibus on AI（Regulation (EU) 2026/1744）ならびに欧州委員会の第50条ガイドライン・FAQです。記事末尾にリンクをまとめています。

AIツールを業務に入れるとき、契約書のレビュー段階で真っ先に聞かれるのが「何か問題が起きたら、誰がどこまで責任を負うのか」という論点です。通常のSaaS契約以上に厄介なのは、AIの場合、出力そのものが不確実で、誰が何を間違えたのかを切り分けにくいという点にあります。

この記事では、AIの誤答・第三者権利侵害・情報漏えい・サービス停止・アルゴリズムバイアスといった代表的なAI事故の類型ごとに、ベンダー責任・利用企業責任・共同管理のどこに落ちるかを整理し、契約でどこを交渉すべきかまで踏み込んで解説します。2026年4月に経済産業省が公表した「AI利活用における民事責任の解釈適用に関する手引き」が示す「補助／支援型AI」と「依拠／代替型AI」の2類型、AIエージェントの権限設計、EU AI Actの2026年8月2日以降の適用状況までを踏まえた、BtoBのAI導入契約を主戦場とする法務担当者向けの実務整理です。

1. AI導入で責任分界が問題になりやすい理由

AI導入時の契約で、責任分界の議論が通常のシステム導入より揉めやすい理由は、大きく次の5点に整理できます。

1-1. 出力の正確性が保証されない

生成AIも予測AIも、アウトプットの正確性は統計的なものであって、100%の保証はありません。多くのベンダー契約では、出力の正確性・完全性・適法性を明示的に否認する保証否認条項が置かれています。これは技術的には合理的ですが、利用企業から見ると「間違っていても文句が言えない契約」に見えやすく、レビュー時の最大の摩擦点になります。

1-2. 原因の切り分けが難しい

AIで事故が起きたとき、原因が「モデルの品質」「学習データ」「RAG（検索拡張生成）の構成」「ナレッジベースの更新運用」「ユーザの入力（プロンプト）」「業務フローへの組み込み方」「レビュー体制」のいずれにあるのか、事後的に切り分けるのが極めて難しいケースが多くあります。そのため契約段階で「どちらの責任領域か」を明示的に定義しておかないと、事故後に水掛け論になります。本記事では第4章で、レイヤーごとに責任原因を分解する実務フローを示します。

1-3. インフラが多重構造になっている

現在の企業向けAIサービスの多くは、国内ベンダーが自社でモデルを開発しているわけではなく、海外プラットフォーマー（OpenAI、Anthropic、Googleなど）のAPIを経由して提供されています。このため、日本のベンダーと契約しても、背後にある海外プラットフォーマーの免責範囲が壁になるという構造があります。

この構造への対応として、国内ベンダーが「プラットフォーマーが免責している範囲は当社も免責される」と定める、いわゆるBack-to-Back条項を求めてくるケースが目立ちます。この節は後述（7-6）で改めて扱いますが、導入時点で「実質的な責任主体は誰か」を見極める必要があるという点は、AI契約特有の論点です。

1-4. 第三者に対する責任が発生しうる（ここは正確に理解する必要があります）

AIの出力をそのまま外部提供したり、顧客対応に使ったりすると、第三者（顧客・取引先・権利者）との関係で損害賠償請求や権利侵害クレームが起きえます。契約は当事者間にしか及ばないため、契約外の第三者との関係では、不法行為法（民法709条以下）が基本的なルールになります。

ここで、旧来よく見られる「AI事故なら第三者は利用企業とベンダーの双方に当然に不法行為責任を問える」という説明は正確ではありません。民法709条の責任は、請求を受ける主体ごとに、

1. 故意または過失（予見可能性と結果回避義務違反）
2. 他人の権利または法律上保護される利益の侵害
3. 損害の発生
4. 行為と損害との間の因果関係

をそれぞれ個別に判断する必要があります。AIが介在したという事実だけで、開発者・提供者・利用者が自動的に横並びで責任を負うわけではありません。

経済産業省の「AI利活用における民事責任の解釈適用に関する手引き〔第1.0版〕」も、不法行為法と製造物責任法の観点から、AI開発者・AI提供者・AI利用者それぞれについて要件該当性を検討する構成をとっています。とくに、人が最終判断を行う前提の「補助／支援型AI」では、AI開発者・提供者については因果関係が否定される場面が多く、責任が認められる場面は限定的である方向で整理されています（詳細は第3章）。

複数主体が関与する場合には、民法719条1項前段の共同不法行為や同条2項の教唆・幇助の成否が論点になります。これらの要件が満たされれば、各当事者が連帯して損害賠償責任を負います。

共同不法行為者間の求償について

共同不法行為者の一人が被害者に賠償した場合の内部的な求償について、条文上の直接の根拠として「民法442条以下」を単純に引用するのは正確ではありません。共同不法行為の規定は民法719条であり、判例は719条に基づく損害賠償債務をいわゆる不真正連帯債務と位置づけたうえで、判例法理として、各自の過失割合に応じて定まる負担部分を超えて賠償した者は、他の共同不法行為者に対して求償できるとしてきました（最判昭和41年11月18日、最判昭和63年7月1日、最判平成3年10月25日など）。

なお、2017年（平成29年）民法改正により連帯債務における絶対的効力事由が縮減されたため、不真正連帯債務という概念の位置づけ自体には議論があります。契約審査の実務では、条文の引用に踏み込むよりも、契約上の補償条項（indemnity）や責任分担条項で求償の経路を明示的に確保しておくことのほうが実効性が高い、と理解しておくのが安全です。

1-5. 法令上の責任は「合意」で免脱できない

個人情報保護法上の安全管理措置（法23条）、委託先の監督（法25条）、漏えい等の報告・本人通知（法26条）、著作権法上の権利侵害責任、各業法上の責任などは、契約で「ベンダー責任」と書いても、行政上・司法上の責任まで当然に免れるわけではありません。誰が法令上の義務主体になるかは、あくまで法令の適用関係で決まります。

もっとも、後述のとおり（6-3）、「AIベンダーへの個人データの提供がどの法的構成に当たるか」によって、義務主体の整理は変わります。「利用企業が常に一次的責任主体」と一律に述べるのは不正確です。

なお、消費者契約法8条は、事業者の損害賠償責任を全部免除する条項等を無効とし（1項）、さらに令和4年改正（2023年6月1日施行）で新設された同条3項により、責任の一部を免除する条項のうち「軽過失による行為にのみ適用されることを明らかにしていないもの」（いわゆるサルベージ条項）も無効とされています。これは事業者と消費者の契約に適用される規律であり、BtoBのAI導入契約そのものには直接適用されません。もっとも、自社がBtoCサービスの中にAIを組み込んで提供する場合は、エンドユーザ向け利用規約の免責条項が同条の射程に入るため、仕入れ側（AIベンダー契約）の責任配分と整合させておく必要があります。

2. 経産省「AI民事責任手引き」の位置づけ

2026年4月9日、経済産業省は「AI利活用における民事責任の解釈適用に関する手引き〔第1.0版〕」を公表しました（同年6月9日にページ更新）。有識者研究会（座長：大塚直・早稲田大学教授、全4回）とパブリックコメントを経て取りまとめられたものです。

2-1. 何を扱う文書か

• 【推奨（ガイドライン）】新しい法制度を作る文書ではありません。現行の民法（不法行為）および製造物責任法を前提に、解釈適用の方向性を示すものです。法的拘束力はありません。
• 中心的な検討対象は不法行為責任であり、契約関係を踏まえた当事者間の厳密な責任分界を確定するものではありません。契約上の留意事項は「AI・データの利用に関する契約ガイドライン1.1版」および「AIの利用・開発に関する契約チェックリスト」が扱う、という役割分担になっています。
• そのうえで、契約当事者間でも不法行為責任を加重・制限・放棄する合意が可能であることから、契約に基づく責任・損失の分配を設計する際の参考になると位置づけられています。

2-2. 想定事例

手引きは、AIを用いたサービス・システムが事故に寄与した以下の想定事例を題材に検討しています。契約審査でのアナロジーを探す際に有用です。

• 配送ルート最適化AI
• 弁護士業務支援AI
• 画像生成AI
• 取引審査AI
• 外観検査AI
• 自律走行ロボット（AMR）
• （補論）AIエージェント（カスタマーサポートの事例）

2-3. 「補助／支援型AI」と「依拠／代替型AI」

手引きの中核は、AIの利用形態に応じた2類型の整理です。まず自社の使い方がどちらに該当する（または近い）かを検討することが出発点になります。

2-4. 実務へのインパクト：ガバナンスが過失判断に効く

手引きは、AI利用者について、AI事業者ガイドラインの考え方も踏まえてリスクの調査・分析や体制構築を行っていた場合、それでもなお予見が困難であった特異なリスクが顕在化したケースでは予見可能性を否定する方向の事情として斟酌され得ること、また見込まれたリスクの程度に応じて実務上合理的な対応策を講じていた場合には結果回避義務違反と評価される可能性を低くする事情として斟酌され得ることを示しています。

これは法務にとって重要な示唆です。AIガバナンス文書・レビュー運用・ログ・承認工程の整備は、単なる「望ましい取組」ではなく、事後の過失判断で自社を守る材料になり得るということです。ただし、これは解釈の方向性を示すものであって、体制を整えれば免責されるという意味ではありません。

2-5. 製造物責任法との関係

製造物責任法（平成6年法律第85号）は、「製造又は加工された動産」の欠陥により生命・身体・財産に損害が生じた場合に、過失の有無を問わず製造業者等に賠償責任を認める不法行為法の特則です（同法2条1項、3条）。

• 日本法では、AIソフトウェア単体は「製造物」に当たらないと一般に解されています。
• 他方、ソフトウェアがハードウェアに組み込まれている場合には、当該製造物の欠陥として製造物責任が問題となり得ます。自律走行ロボット、AI搭載機器、フィジカルAIを扱う場合は、この観点の検討が必要です。
• EUでは2024年12月に発効した改正製造物責任指令により、ソフトウェア等の無体物が「製造物」に含まれることとされています。日本法とEU法で射程が異なる点は、越境取引では見落とせません。

3. AI事故の主な類型

契約審査で整理すべきAI事故は、おおむね以下の6類型に分かれます。類型ごとに責任の落としどころが違うため、ひとまとめに議論せず、類型別に論点を整理するのが実務的です。

1. 誤答・幻覚・出力不正確性：生成AIが事実と異なる回答を出した、予測AIが誤った判定をした、といった事故。
2. 第三者権利侵害：出力物が第三者の著作権・意匠権・肖像権・商標権・パブリシティ権等を侵害した事故。
3. 個人情報漏えい・秘密情報流出：入力データがベンダー側に保持・学習され、外部に流出する事故。
4. サービス停止・障害：AIサービスが長時間停止し、業務に影響が出る事故。
5. アルゴリズム・バイアス：学習データやモデルの偏りにより、不当な差別的出力や公平性を欠く判定が行われる事故。
6. 不適切利用・社内ルール違反：従業員がガイドラインに反する使い方をし、情報漏えいや不適切な出力につながる事故。

4. レイヤー別・責任原因分析フロー

AI事故の原因究明は、「ベンダーか自社か」という二択で考えると必ず行き詰まります。実務上は、AIシステムを次の6レイヤーに分解し、どのレイヤーで何が起きたかを先に特定してから、責任主体の議論に進むのが有効です。

入力 → モデル → RAG・外部データ → システム実装 → 人のレビュー → 外部行為

5. 事故類型ごとの責任分界の考え方

各類型について、責任判断の出発点をまとめたのが次の表です。ここに書いてあるのは交渉前のたたき台であり、法的な結論ではありません。実際の帰結は、AIの利用形態（補助／支援型か依拠／代替型か）、ベンダーの性質（汎用AIか、カスタマイズAIか、オンプレAIか）、用途、契約形態によって変わり、最終的には各主体について不法行為・債務不履行の要件を個別に検討することになります。

AI事故類型別の責任分界表

6. 類型別の実務対応

6-1. 誤答・幻覚：「原則利用企業責任」と単純化しない

生成AIの誤答は、多くの契約で「出力の正確性は保証しない」と明記され、利用企業側がレビューすることが前提になっています。手引きの整理でも、補助／支援型AIでは利用者の本来の注意義務が維持されるため、「AIが間違えた」という抗弁は通りにくい方向です。

もっとも、誤答をすべて「利用企業責任」と分類するのは不正確です。原因ごとに責任判断の材料が異なります。

【推奨（契約実務）】交渉ポイントは、保証の有無そのものではなく、(1)利用目的に関する説明資料と実態が乖離していないか、(2)ベンダー側の「通常の技術水準を下回るミス」まで免責しているか、の2点です。特にRAG型サービスや業務特化型AIの場合、ナレッジベースの更新不備やRAG構成の欠陥を保証否認条項の例外として切り出す交渉の余地があります。

6-2. 第三者権利侵害への対応

AI出力が第三者の著作権・意匠権・肖像権・パブリシティ権等を侵害した場合、知財補償条項（IP indemnity）を設けているベンダーもあります。ただし、主要ベンダーが一律に同じ補償を提供しているわけではありません。補償の内容は契約・プラン・提供形態（コンシューマ／エンタープライズ／API）によって大きく異なり、また改定も頻繁です。「大手だから補償がある」という前提を置かず、その案件の契約条件を都度確認してください。

確認すべきは次の項目です。

• 補償の対象（著作権のみか、意匠・商標・特許・肖像権まで含むか）
• 補償の対象者（自社のみか、自社の顧客まで及ぶか）
• 補償の前提条件（指定フィルタ・安全機能の利用、指示違反がないこと、出力の改変がないこと等）
• 除外事由（入力データ起因、模倣を意図した指示、ファインチューニング、第三者データの混入等）
• 補償の上限（年間支払額か、利用料の一定倍数か、上限なしか）
• 通知・協力義務と、訴訟防御の主導権（ベンダーが防御を引き取るのか、和解に自社の同意が必要か）
• 第三者から直接請求された場合に、一旦自社で賠償してから求償できる構造になっているか

「補償条項がある」と書いてあるだけでは不十分で、条件が厳しく実際には発動しないケースもあります。条項を具体的に読み込んでください。

6-3. 個人情報漏えい：まず「どの法的構成か」を決める

ここが本記事でもっとも誤解の多い論点です。「AIベンダーに入力したら常に利用企業が一次的責任主体」と一律に整理するのは正確ではありません。個人データをAIベンダーに提供する場合、法的構成は少なくとも次の4パターンに分かれ、それぞれ適用される規律が異なります。

さらに、ベンダーが海外事業者である場合や、データが海外サーバで処理される場合は、外国にある第三者への提供の制限（法28条）の適用を検討する必要があります（委託構成であっても、外国にある委託先への提供は法28条の規律を受け得ます）。

【推奨（ガイドライン）】個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表しており、個人情報を含むプロンプトを入力する場合には特定した利用目的の達成に必要な範囲内であることを十分に確認すること、応答結果の出力以外の目的（機械学習等）で取り扱われる場合には法違反となる可能性があるため、当該サービス提供事業者が個人データを機械学習に利用しないこと等を十分に確認すべきことなどを示しています。AI導入時の入力ルール設計では、この文書が実務上の出発点になります。

6-4. 漏えい発生時の報告期限（正確な整理）

【法的義務】報告対象事態（施行規則7条各号の4類型）が生じた場合、個人情報取扱事業者は個人情報保護委員会（権限委任がある場合は事業所管大臣）に報告し、本人に通知する義務を負います（法26条）。期限の整理は次のとおりです。

なお、2026年7月10日に成立し同月17日に公布された改正個人情報保護法（令和8年法律第56号）では、課徴金制度の導入、子どもの個人情報・特定生体個人情報の規律、委託を受けた事業者の規律、漏えい等発生時の本人通知に関する見直し等が盛り込まれています。主要部分は未施行（原則として公布から2年を超えない範囲内で政令で定める日、罰則の一部は2027年1月17日先行施行）であり、政令・規則・ガイドラインの整備が進行中です。現行制度と混同しないよう注意してください。

6-5. サービス停止・障害への対応

サービス停止については、ほとんどのベンダー契約で免責が広く設定されています。稼働率保証（例：月間99.9%）があっても、超過分の返金上限が月額料金の一部に限定され、実損害の回復にはならないケースが大半です。さらに、上位のプラットフォーム側の障害が起きた場合、国内ベンダーが「当社の責めに帰すべき事由ではない」として免責を主張する構造もあります（Back-to-Back構造の帰結です）。

法務の役割は、事故を防ぐことよりも、長期停止が起きたときに解除できるか、代替手段があるかを確認することに移ります。SLA違反が一定回数・一定期間を超えた場合の中途解約権の確保は、交渉の最後に必ず入れておきたい条項です。

6-6. アルゴリズム・バイアスへの対応

学習データの偏りや用途への不適合により、採用・与信・人事評価等で不当な差別的出力や公平性を欠く判定が行われるケースは、AI事業者ガイドライン第1.2版でも公平性・透明性・アカウンタビリティの観点から扱われています（同ガイドラインは法律ではなく、違反に罰則があるわけではありません）。責任分界の考え方は共同管理が基本で、モデル側（学習データとモデル構造）はベンダー、用途適合性（業務への使い方）は利用企業という切り分けが出発点です。

【推奨（契約実務）】ベンダーに対してモデルの評価・テスト結果の開示を求めつつ、利用企業側も用途拡張時に再評価を行うという運用責務を明記するのが現実的です。社内的には、モニタリング体制と、是正の必要が生じたときの利用停止・運用見直しのフローを定めておくべき論点になります。

なお、EUでは採用・与信・教育等の用途は高リスクAIとして規律されますが、その適用時期は後述のとおり延期されています（第9章）。国内法上、これらの用途を直接規律する横断的なAI規制法は現時点で存在しません。

6-7. 不適切利用への対応

従業員が利用規約違反の使い方をした場合、契約上の責任は原則として利用企業にあります。ここでベンダーに求めるべきは「事故を防ぐ義務」ではなく、違反が検知された場合の通知義務と、合理的な利用停止の前置手続です。いきなりアカウント停止されて業務が止まる事態を避けるためです。

7. AIエージェントの責任分界

2026年時点で実務上もっとも論点が集中しているのがAIエージェントです。AI事業者ガイドライン第1.2版では、第1.1版からの更新点としてAIエージェント・フィジカルAIに関する記述が追加され、特定の目標を達成するために環境を感知し自律的に行動するAIシステムとして整理されています（【推奨（ガイドライン）】であり法規制ではありません）。

経産省の民事責任手引きは、AIエージェントを補助／支援型にも依拠／代替型にもなり得るものと位置づけ、個別技術やユースケースへの依存が強いため当事者の責任を個別具体的に整理することは現時点では困難としつつ、手引きの基本的な考え方が高度なシステムを検討する際の基礎になると指摘しています。カスタマーサポートの想定事例では、品質・精度が同種業務の通常人と同等以上の水準を発揮している場合には依拠／代替型に、回答精度が十分でない場合には補助／支援型に該当し得ると整理されています。

実務的な含意は明確です。「どちらの型として使うかを自社が選択し、選択した型に見合った体制を構築していたか」が問われます。依拠／代替型として運用するなら、AIに判断を委ねることの合理性を裏付ける検証と、誤出力を防ぐ体制の構築が必要になります。

アクション類型別の権限設計

8. 契約で見ておきたい条項

責任分界の観点で優先的に見るべき条項を、「契約条項でどこに落とすか」の視点で整理します。

共同管理で整理しておくべき典型項目

8-1. 保証否認条項

「現状有姿（AS IS）」「一切の保証を行わない」といった広範な保証否認は、AI契約でほぼ必ず登場します。全面削除は現実的ではないものの、少なくともベンダーの故意・重過失、秘密保持義務違反、個人情報取扱違反、知財侵害を免責から外す（carve-out）ことは、交渉で持ち出すべき論点です。

ただし、これらを一律にcarve-outすべきと断定するのは適切ではありません。carve-outの範囲は、案件のリスクの大きさ、当事者の交渉力、ベンダーの保険付保状況、サービス対価の水準によって変わります。少額のツール導入で無制限の責任を求めれば、ベンダーは対価を上げるか、取引自体を断ることになります。「何をcarve-outするか」ではなく「このリスクに、この対価で、どこまでの責任を求めるのが合理的か」という交渉事項として整理してください。

8-2. 損害賠償上限条項

AIベンダー契約では、賠償上限が「過去12か月に支払った利用料」や「事故発生月の利用料」に限定されているケースが多く見られます。少額利用の段階では問題になりにくいのですが、本格導入後に一度事故が起きると、上限金額が実損害と大きく乖離するのが実務上の問題です。

交渉で検討する選択肢は次のとおりです。いずれも「必ず取るべき水準」ではなく、リスクに応じて選ぶカードです。

• 上限金額を契約総額や年間料金の複数倍に引き上げる
• 特定の事由（個人情報漏えい・秘密保持違反・知財侵害・故意重過失）について、通常上限より高いスーパーキャップを設定する（上限の完全撤廃だけが選択肢ではありません）
• ベンダーが加入するサイバー保険・E&O保険の付保内容と支払限度額を確認し、実際に回収可能な水準を見極める
• 逸失利益・間接損害の扱い（除外するのか、上限の内側に取り込むのか）を明確にする

上限を無制限にしても、ベンダーに支払能力がなければ意味がありません。「条項上の上限」と「現実の回収可能性」を分けて評価するのが実務です。

8-3. 免責条項

免責が広すぎる条項は、重大過失・故意・守秘違反・個人情報事故がcarve-outされているかを確認します。carve-outがない場合、ベンダーに明らかな過失があっても責任追及しにくくなります。前記のとおり、どこまでを外すかは案件ごとの判断です。

8-4. 補償条項（知財補償・個人情報漏えい補償）

補償条項は「あるかないか」ではなく、発動条件・手続・上限・除外で実効性が決まります。発動条件が「ベンダーが指定したフィルタを利用したこと」「ユーザが明示的な指示違反をしていないこと」となっている場合、カスタム利用や独自のプロンプト設計を行うとすぐに外れる構造になりがちです。6-2の確認項目に沿って、条項単位で読み込んでください。

8-5. 解除条項

解除条項は、SLA違反・セキュリティ事故・法令違反・業務不適合時に解除できるかが核です。解除後のデータ消去義務と、過渡期の運用責任も合わせて確認します。AI契約では移行コストが大きい（プロンプト資産・運用ノウハウ・RAGインデックスの再構築）ため、解除権を取りにいく実益は通常のSaaSより大きくなります。

8-6. Back-to-Back条項（上位プラットフォーマー免責との連動）

国内SIerや国内AIベンダー経由で海外プラットフォーマーのAPIを利用する場合、契約書に「上位プロバイダが免責されている範囲については当社も責任を負わない」趣旨のBack-to-Back条項が入っていることがあります。

この条項は、国内ベンダーの側から見れば事業継続上やむを得ない面がありますが、そのまま受け入れると上位プロバイダの利用規約が実質的な天井になります。ただし、上位プラットフォーマーの免責が当然に国内ベンダーへ転嫁されるわけではありません。事故原因を切り分けたうえで、連動の範囲を限定するのが実務です。

あわせて、レビュー時には次の3点を確認してください。

• Back-to-Back条項の射程（免責・賠償上限・解除・知財補償のどこまで連動するか）
• 上位プロバイダの利用規約変更時に、自動的に国内ベンダー契約の条件も変わる構造になっていないか。変更時の事前通知と、受け入れられない場合の解除権があるか
• ベンダー独自の付加価値部分については、上位プロバイダ免責の外で独自の責任を負う設計になっているか

9. 実務で交渉対象にしやすいポイント

ベンダーが汎用大手の場合、標準利用規約のままで交渉余地がない条項は多いのですが、エンタープライズ契約や、国内SIer経由の契約、日本のAIスタートアップとの契約では、以下の項目は比較的交渉しやすい領域です。

契約交渉で修正したい典型条項一覧

10. EU AI Actの現在地（2026年9月8日時点）

EU向けにサービスを提供する場合、または出力がEUで利用される場合は、EU AI Act（Regulation (EU) 2024/1689）の適用を検討する必要があります。2026年に大きな動きがあったため、タイムラインを正確に把握してください。

10-1. Digital Omnibus on AIによる改正

2026年7月8日に採択されたRegulation (EU) 2026/1744（Digital Omnibus on AI）がEU官報に2026年7月24日に掲載され、同月27日に発効しました。これはAI Act採択後初の実質的改正であり、高リスクAI規律の適用時期を延期する一方、第50条の透明性義務は原則として当初のスケジュールどおり維持しています。

10-2. 適用時期のタイムライン

10-3. 第50条の透明性義務

欧州委員会は2026年7月20日に第50条の実施ガイドラインを最終版として採択し、あわせて「AI生成コンテンツの透明性に関する実践規範（Code of Practice）」が委員会およびAI Boardにより適合的（adequate）と評価されました。委員会FAQによる主な内容は次のとおりです。

• 第50条1項（提供者）：人と直接やり取りするAIシステム（チャットボット、AIエージェント、アバター等）は、AIとやり取りしていることが分かるように設計する。明白な場合の例外は限定的に解釈される。
• 第50条2項（提供者）：合成音声・画像・動画・テキストを生成するAIシステムの出力に、機械可読なマーキングを施し検出可能にする。短い記号列、ソースコード、機械間通信のみに用いられる出力等は対象外。B2B・産業用途については限定的な適用除外がガイドラインで想定されています。
• 第50条3項（デプロイヤー）：感情認識システム・生体分類システムにさらされる者への情報提供。
• 第50条4項（デプロイヤー）：ディープフェイクの表示、および人のレビュー・編集責任を経ずに公共の関心事項について公衆に情報提供する目的で公表されるAI生成テキストの表示。実質的な人のレビューまたは編集上の管理を経た場合は対象外（スペルチェック等の形式的確認では足りません）。
• 執行：主として加盟国の市場監視当局が執行します。AI Officeの役割は限定的です。第50条違反の制裁金は最大1,500万ユーロまたは全世界年間売上高の3%のいずれか高い額に達し得ます。
• 遡及適用：2026年8月2日より前に生成されたコンテンツを遡って表示する義務はありません。

11. 国内のソフトローと基本法

11-1. AI事業者ガイドライン（第1.2版）

総務省・経済産業省は2026年3月31日に「AI事業者ガイドライン（第1.2版）」を公表しました。2024年4月の第1.0版、2025年3月の第1.1版に続く改訂で、主な更新点は、①AIエージェント・フィジカルAIに関する事項の追記、②AIによるリスクの記載の見直し、③各主体に関する記載や別添事例の拡充、AI推進法・適正性確保指針への参照の追加です。AI開発者・AI提供者・AI利用者という3主体の区分、10の共通の指針、リスクベースアプローチという骨格は維持されています。

【重要】本ガイドラインは法律ではなく、法的拘束力を持ちません。違反しても罰則の対象にはなりません。もっとも、関係省庁・大企業の調達基準やセキュリティ評価で参照されるため、実務上は事実上の要求仕様として機能します。また、前述のとおり民事責任手引きは、AI事業者ガイドラインの考え方も踏まえた体制構築が、事後の過失判断において斟酌され得ることを示しています。

契約設計に落とし込む際は、安全性・公平性・プライバシー保護・セキュリティ確保・透明性・アカウンタビリティといった共通の指針を、「誰が、どの工程で、どう担保するか」という分担の言語に翻訳するのが実務的です。たとえば透明性であれば、ベンダー側の「性能・限界の説明義務」と、利用企業側の「エンドユーザへのAI利用の明示」に分解できます。

11-2. AI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）

正式名称は「人工知能関連技術の研究開発及び活用の推進に関する法律」（令和7年法律第53号）です。施行状況を正確に押さえておきます。

• 2025年6月4日：公布、および一部施行
• 2025年9月1日：人工知能戦略本部の設置に係る規定等を含め全面施行（内閣府公表）
• 本則28条・附則2条。第1章 総則、第2章 基本的施策、第3章 人工知能基本計画、第4章 人工知能戦略本部という構成
• 同法に基づき、2025年12月19日に「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」が決定され、2025年12月23日に人工知能基本計画が閣議決定されています

したがって、「2025年9月1日全面施行」という表現自体は正確です。ただし、同法は基本法的な性格の法律であり、AIの利用に個別の禁止行為や制裁を課す規制法ではありません。

12. 社内運用で吸収すべき部分

契約で全てを取りにいくのは現実的ではないため、契約の外側──つまり社内ルールとレビュー運用で吸収すべき部分を整理しておくことも、法務の重要な仕事です。前述のとおり、これらの整備は事後の過失判断でも意味を持ち得ます。

• AI出力は人がレビューしてから外部提供するという原則を、社内規程・ガイドラインに落とし込む（＝補助／支援型として運用することを明確化する）
• 依拠／代替型として運用する業務を限定し、その選択の合理性を裏付ける検証記録を残す
• 機密情報・個人情報の入力禁止ラインを明確化する（具体例付きで）
• 重要な判断（契約条件の決定、与信判断、人事判断など）は、AI出力のみで決めない
• ログ保存期間とインシデント発生時の対応フローを事前に決めておく（レイヤー別に何を保存するかを決める）
• 利用範囲・用途を限定し、用途拡張は法務レビューを経由する
• AIエージェントを業務に組み込む場合は、権限境界・Human-in-the-Loop・停止権限・ログ・承認工程を設計文書として残す
• ISO/IEC 42001等のAIマネジメントシステム規格を参考に、自社のAIガバナンス体制を文書化する
• EU域内の顧客・ユーザにAIが直接応対する構成、または合成コンテンツを公開する構成の場合は、第50条の適用有無を役割ベースで確認する

契約上の責任分界は、社内ルールで補完されて初めて実効性を持ちます。「契約で勝ちにいく」発想と同じくらい、「運用で吸収する」発想が必要です。

13. 事故発生後の法務対応フロー

AI事故が起きたときに、法務が着手すべき順序をチェックリスト化しました。順序が重要です。証跡の保全に失敗すると、その後の責任分析も交渉も成立しません。

14. チェックリスト

15. まとめ

AI導入時の責任分界は、通常のSaaS契約以上に「契約だけでは吸収しきれない」構造を持ちます。重要なのは、次の3つのレイヤーを区別して考えることです。

1. 契約で取りにいく部分：賠償上限とcarve-outの設計、知財補償、通知義務、ログ提供、解除権、準拠法、Back-to-Back条項の射程整理
2. 社内運用で吸収する部分：人のレビュー、入力データの制限、エージェントの権限設計、用途拡張時の再レビュー、AIガバナンス体制の文書化
3. 法令上避けられない部分：個人情報保護法上の安全管理措置・委託先監督・漏えい時の報告と本人通知、著作権法その他各業法上の責任、EU向けサービスにおけるAI Actの該当義務

「AIだから全部ベンダー責任」でも「使った側が全部悪い」でもありません。第三者との関係では、各主体について不法行為の要件を個別に判断する必要があり、当事者間では契約条項が優先します。経済産業省の民事責任手引きが示した「補助／支援型」と「依拠／代替型」の切り分けは、この個別判断を進めるうえでの共通言語になります。

AI推進法の全面施行（2025年9月1日）、AI事業者ガイドライン第1.2版の公表（2026年3月31日）、民事責任手引きの公表（2026年4月9日）、そしてEUにおける第50条透明性義務の適用開始（2026年8月2日）と、企業側には説明責任と統制設計の水準を高めることが求められています。契約審査の段階で「なぜこの条項をこう設計したか」を記録として残しておくことが、今後の紛争対応・行政対応の両面で効いてきます。