2026年7月、AI規制に関するニュースが立て続けに動いている。
こうした動きは、AIモデルを自ら開発・提供している企業はもちろん、そうしたモデルを組み込んだサービスやSaaSを提供している企業、さらにはそれを業務で利用しているだけの企業にとっても、もはや他人事ではないリスクになりつつある。
各国・地域で相次ぐ規制の多くは、AIモデルそのもの学習データの中身、出力できる内容、モデルの安全性、モデルを提供・公開できるかどうかという、技術面を主な対象にしている。
一方、この技術面への規制は、モデルを自社開発していない企業にも無関係ではない。
モデルの挙動に制約がかかったり提供が止まったりすれば、その影響は組み込んだサービスを通じて必ず下流に及ぶからだ。
そこで本稿では、筆者が考える世界的に影響力の大きい米・EU・中国・韓国・日本・英国の6極の規制動向を簡易的に整理した上で、そこに見える規制の強弱のグラデーションや方向性の違いを読み解き、AIを組み込んだサービスを提供または利用する企業が備えるべきことを考える。
各国の規制動向
AI規制のニュースとして特に話題になったのが、「Claude Fable 5」の停止・復旧だろう。
米国では、政府指令で停止されていたClaude Fable 5が、輸出管理の解除を経て復旧した。
米国の停止・復旧の経緯はこちら：
米政府に公開3日で停止されたAI「Claude Fable 5」、その能力と企業が今すぐ動くべき理由とは
公開3日で停止された「Claude Fable 5」はなぜ復活できたのか、解除の裏側と実際に使って分かった実力とは
しかし、AI規制の動きはこれだけではない。
EUでも8月2日には、AI法（AI Act）のチャットボット開示義務を含む規則が全面適用となる。
さらに欧州委員会は7月16日、デジタル市場法（DMA）に基づき、GoogleにAndroid上のAI関連機能をChatGPTやClaudeといった競合AIアシスタントにも開放するよう義務付ける、拘束力のある仕様決定を下した。対象となる機能の大半は2027年8月1日までに開放される見通しだ。
中国でも7月15日、AIコンパニオンなど「人格を持つように振る舞う」対話型AIサービスを対象にした新規制が施行されている。
これらを見て「結局AI規制はどこも厳しくなっているのか」と一括りにしたくなるが、実際に主要国・地域を並べてみると、規制の強さも狙いもかなりバラバラであることが分かる。
各国の内容を、さらに詳しく見ていきたい。
中国：事前審査で縛る「国家安全・社会秩序」型
中国は、生成AIサービスに対して学習データの合法性確認・出力内容の審査・利用者の実名認証を義務付ける「生成AIサービス管理暫行弁法」を、2023年から運用してきた。
直近では対象を広げる形で、7月15日に「人工知能擬人化インタラクションサービス管理暫定弁法」が施行された。
これは、AIコンパニオンのように人格を持つように振る舞う対話型AIサービスを対象に、安全保障を害する内容や自傷・自殺の助長、ユーザーの精神的健康を害する言動を禁じる内容だ。
国家の安全と社会秩序を守るため、サービス開始前の許可・審査を前提にする「事前規制型」と言える。
なお同弁法は第三条で「発展と安全を並び重視し、イノベーション促進と法治を組み合わせる」原則を掲げ、章立ての冒頭も「サービスの促進と規範化」となっており、建前上は振興と規制の両立を志向している。
ただし実際の条文は、内容審査・実名認証・安全評価といった安全・秩序側の具体的義務が大半を占めており、実質的な重心は依然として安全・秩序寄りだ。
EU：厳格な法律と先送りが同居する二面性
EUは、AI法（AI Act）が8月2日に全面適用となり、欧州委員会の執行権限も発効する。
汎用AI（GPAI）モデル提供者への義務は、罰則を伴って執行される段階に入った。
一方で6月には、高リスクAIシステムに関する義務の適用を、2027年12月〜2028年8月へ先送りする簡素化パッケージ（デジタル・オムニバス）も成立している。
厳格な法律を作りながら、産業競争力への配慮から適用時期を調整する、という二面性を持つ。
韓国：EU型の骨格に緩やかな運用を組み合わせる
韓国は、2026年1月22日に「AI基本法」を施行し、EUに次ぐ包括的なAI法制を持つ国になった。
人の生命・安全・基本的権利に重大な影響を与える高インパクトAIや生成AIには事前通知義務を課し、一定の計算量を超えるモデルには安全義務を課すなど、法律の骨格はEU型に近い。
同法第31条の透明性確保義務については、科学技術情報通信部（MSIT）が施行と同時に「人工知能透明性確保案内指針（ガイドライン）」を公開し、1年以上の啓発期間を設ける方針を示している。
この期間中は、重大な社会的被害を伴う例外的なケースを除き、事実調査や過料の賦課を見送る運用だ。
なお、この猶予期間は法律・施行令の条文自体に明記されたものではなく、MSITが運用方針として別途示しているものである点には注意したい。
厳格な法律と緩やかな運用を組み合わせた、産業振興との両立を志向する姿勢がうかがえる。
米国：平時は自由、有事は既存の権限を転用
米国は、包括的なAI法こそ持たないが、国家安全保障が絡む場面では強い介入を行う。
今年の6月2日の大統領令は、フロンティアモデルの開発企業が、他の信頼できるパートナーへのリリースに先立って最大30日間、政府にモデルへの早期アクセスを提供できるという枠組みを設けた。
ただしこれはあくまで任意の枠組みであり、大統領令自身も「新たなAIモデルの開発・公開・配布に関する義務的な許認可制度の創設を意味するものではない」と明記している。
実際にClaude Fable 5が19日間、全ユーザー向けに停止されたのは、この枠組みとは別の仕組みである輸出管理を通じてであり、政府とAnthropicの共同検証を経て、改良版セーフガードの導入などを条件に復旧している。
平時は自由度が高い一方、有事には既存の権限を転用して強い介入を行える、という構図だ。
日本：罰則なきソフトロー（法的拘束力のないルール）で振興を後押し
日本は、罰則も禁止規定もない「AI推進法」と、総務省・経済産業省による「AI事業者ガイドライン（第1.2版、2026年3月）」でAI活用を後押ししている。
ガイドライン自体は「非拘束的なソフトロー」「自主的な取組の促進」と明確に位置づけられており、法的拘束力はない。
ただし日本の行政指導の一般的な運用実態を踏まえれば、このようなガイドラインが行政指導の根拠として事実上の遵守基準のように機能する場合が多い、というのが一般的な理解だ。
つまり、振興を軸に据え、違反しても罰則のない、企業の自主性に委ねるやり方だ。
英国：専用法を作らず、既存法とサンドボックスで対応
英国は、専用のAI法自体が2026年時点でも成立していない。
GDPRや金融規制（FCA）、医薬品規制（MHRA）といった既存の分野別規制の枠内でAIをカバーする方針を取っており、代わりに「Regulating for Growth Bill」によって専門職・医療・輸送・製造業などセクター別の規制サンドボックス「AI Growth Lab」を展開している。
統一法を作らず、成長を最優先に置く点で、6極の中でも最も規制色が薄い。
[各国の規制動向まとめ]
| 規制圏 | 規制の重心 | 直近の動き |
|---|---|---|
| 中国 | 国家安全・社会秩序 | 生成AIサービスに学習データの合法性確認・コンテンツ審査・実名認証を義務付け。7月15日には人格を持つように振る舞う対話型AIサービスを対象に、自傷・自殺助長や精神的健康を害する言動を禁じる新弁法が施行 |
| EU | 市場構造・権利保護 | AI法が8月2日に全面適用、罰則を伴う執行権限も発効。一方で6月には高リスクAIシステムの義務適用を2027〜2028年へ先送りする簡素化パッケージも成立 |
| 韓国 | 包括法制・産業振興の両立 | 2026年1月22日に「AI基本法」施行。透明性確保義務（第31条）を中心に、科学技術情報通信部（MSIT）が1年以上の啓発期間を運用方針として示し、その間は事実調査や過料賦課を見送る |
| 米国 | 国家安全保障 | 大統領令により、フロンティアモデルを政府に任意で早期提供できる仕組み（最大30日）を整備。義務的な許認可制度ではないと明記。Fable 5は別途、輸出管理により19日間停止、政府との共同対応を経て条件付きで復旧 |
| 日本 | 産業振興・ソフトロー | 罰則なしのAI推進法とAI事業者ガイドライン（第1.2版、2026年3月）。行政指導の根拠にはなるが法的拘束力はない |
| 英国 | 既存法の適用・成長優先 | AI専用法は不成立のまま。GDPRや金融・医薬品規制など既存の分野別規制でAIをカバーしつつ、「Regulating for Growth Bill」でセクター別の規制サンドボックスを推進 |
見えてきた二つの軸
この6極を並べると、少なくとも二つの軸が浮かび上がる。
法的拘束力
一つ目は、「法的拘束力の強さ」という軸だ。
強い方の端にいるのは中国とEUで、いずれも罰則を伴う法律に基づき、事業者に具体的な義務を課している。
続く韓国は、EU同様に包括的な法律を持ちながら、施行初年度は罰則の適用を見送るという運用面での緩和を選んでいる。「法律の骨格は厳格、運用は緩やか」という中間的なポジションだ。
日本は罰則のないガイドライン行政、そして英国はAI専用法そのものが存在しないという、弱い方の端に位置する。
米国は、この軸だけでは測れない特殊な位置にいる。包括的なAI法は存在しないが、大統領令が設けた政府への早期アクセスの枠組みも義務ではなく任意だ。
しかし国家安全保障に関わる場面では、輸出管理のような既存の権限を転用し、特定モデルの提供を政府判断で止めるという、ピンポイントかつ強力な介入を行う。
「普段は自由、有事は強権」というタイプだ。
優先事項
二つ目は、「何を守ろうとしているか」という軸だ。
中国は国家の安全と社会秩序、EUは市場の競争構造とユーザーの権利、米国は安全保障、日本と英国は産業の成長、韓国はその両方のバランスを志向している。
同じ「規制」という言葉を使っていても、実際に企業へ求められる対応はこの二軸の掛け合わせで大きく変わる。
EU向けサービスと中国向けサービスでは、「対応すべき義務」の中身も性質もまったく別物になる、ということだ。
今後どうなるか、三つの予測
この二軸のグラデーションは、固定された地図ではない。
EUの先送り、韓国の猶予期間、米国の有事介入といった動きが示す通り、各極の立ち位置は現在進行形で動いている。
このダイナミズムを踏まえると、今後の展開は次の三つの方向に進むと筆者は見ている。
予測1：「厳格な法律」と「緩やかな運用」が並走する国が増える
EUの高リスク義務先送りと、韓国の猶予期間の運用は、狙いは違えど同じ現象だ。
法律は包括的で厳格に見えても、実際の執行タイミングは産業への影響を見ながら調整される。
この背景には、規制当局が抱える共通のジレンマがある。
AI活用で他国に後れを取りたくないという産業競争力への配慮と、リスクの大きい技術を野放しにできないという安全性への配慮、この二つを同時に満たそうとすると、「法律は厳格に作るが、運用は段階的に緩める」という折衷案（せっちゅうあん）に落ち着きやすい。
EUがAI法を成立させながら高リスク義務を数年単位で先送りしたのも、韓国が包括法を施行しながら罰則を一年見送ったのも、根っこは同じ力学だ。
この傾向は今後、他の規制圏にも広がる可能性が高い。
すでに厳格な法制を持つ国・地域が、産業界からの反発や国際競争力への懸念を受けて、条文を変えずに運用だけを緩めるという手法を取ることは、法改正よりも政治的コストが低いためだ。
企業側からすると、「法律の文言」だけを見て身構えるのではなく、「今、実際に何が執行されているか」「猶予期間や先送りの措置が予定されていないか」を継続的に追う必要が、今後さらに増していくだろう。
一度整理した規制情報を「固定情報」として扱わず、四半期に一度は更新する運用が現実的な対応になる。
予測2：米国型の「有事介入」が他国にも広がる可能性がある
包括的な法律を持たない米国が、安全保障を理由に個別モデルを止めるという手法を実際に使った以上、同様の枠組みを持たない国・地域が、必要に応じて同種の権限を持とうとする動きが出てくる可能性がある。
「平時は自由放任、有事は強権発動」という規制のスタイルは、企業にとって都合が良い面と悪い面が両方ある。
都合が良いのは、包括的な法律の整備を待たずに運用を始められるため、大半の時間はイノベーションを妨げないことだ。
都合が悪いのは、介入の基準が法律として明文化されていないぶん、いつ・どんな条件で発動するかの予測可能性が低いことだ。
Fable 5の一件では、停止の引き金が「一件のジェイルブレイク報告」という、外部から見れば些細に見える出来事だった。
この型は、法制化に時間がかかる国ほど採用しやすい。
包括的なAI法を持っていなかったり、法制化が遅れていたりする国・地域が、特定の高リスク領域（重要インフラ、選挙、安全保障など）に限定して、既存の緊急権限や輸出管理の枠組みを転用する形でこの型に近づく可能性は十分にある。
企業にとっては、「法律がまだないから安全」という判断が通用しなくなる規制圏が増えていく、ということを意味している。
予測3：企業にとっての最大の実務負担は「多極化そのもの」になる
一つの厳しい規制に対応すれば済むなら、企業はそこに集中すればよい。
しかし実態は、各国がそれぞれ異なる軸・異なるタイミングで動いている。
中国は事前審査、EUは市場構造への介入、韓国は厳格な法律と緩やかな運用の組み合わせ、米国は有事介入、日本と英国はソフトローと既存法の応用、というように、対応の設計思想そのものが規制圏ごとに異なる。
これは、一つの高機能なコンプライアンス部門を作れば解決する問題ではない。
規制圏ごとに求められる対応の「種類」が違うため、EU向けの対応をそのまま中国向けに転用することはできないし、米国向けの体制を韓国にも適用できるわけではない。
グローバルにサービスを展開する企業ほど、規制対応のマトリクスが掛け算的に複雑化していく。
さらに厄介なのは、この複雑さが今後さらに増す方向にあることだ。
予測1・2で見た通り、各規制圏の立ち位置自体が動き続けているため、一度作った対応マトリクスもすぐに陳腐化する。
個々の規制の強さよりも、「規制圏ごとに求められることが違う」「しかもそれが変わり続ける」という状態そのものが、今後の企業にとって最大のコストになっていくだろう。
企業が問うべきこと
以上を踏まえ、企業が今から着手すべきことを整理する。
自社サービスがどの規制圏に触れているかを棚卸しする
規制は「自社がどこの国の会社か」ではなく、「ユーザーがどこにいるか」「データがどこに保存されているか」「モデルの提供元がどこの国の企業か」で及ぶ範囲が決まる。
この三つは必ずしも一致しない。
日本企業が米国製モデルを使い、EUのユーザーにサービスを提供していれば、その一つのサービスだけで米・EU二つの規制圏の影響を同時に受けることになる。
提供する側は、提供中のサービスごとに「利用者の所在地」「保存・処理するデータの種類と保存先」「使用しているAIモデルとその提供元」を一覧化し、該当する規制圏をマッピングすることから始めたい。
特にEUのユーザーに対話型AIを提供している場合、8月2日の全面適用で発効するAIである旨の開示義務への対応期限はもう目前に迫っている。
「自社は日本企業だから関係ない」という思い込みが、最も見落としやすい落とし穴だ。
利用する側も無関係ではない。EUのAI法のように、システムを作った提供者だけでなく、それを業務に組み込んで使う側の企業にも一定の義務を課す制度設計は珍しくない。
特に注意したいのは、導入したAIサービスを社内で使うだけでなく、それを土台に自社の新しいサービスを開発して顧客に提供している場合だ。
この場合、ベンダーから見れば自社は「利用者」でも、自社が提供する新サービスの先にいる顧客から見れば、自社は「提供者」の立場になる。
そのため、導入済み・導入予定のAIサービスについて、「自社は提供者と利用者のどちらの義務を負う可能性があるか」をベンダーに確認しておくと、後になって「知らなかった」では済まない事態を避けやすくなる。
規制を「法律の文言」ではなく「執行の実態」で追う体制を作る
EUの高リスク義務先送りや韓国の猶予期間が示す通り、法律が成立・施行された時点と、実際に罰則が科され始める時点には、意図的なズレが作られることがある。
逆に米国のように、包括的な法律がないまま、大統領令一つで実質的な強制力を持つ介入が起きることもある。
つまり「法律ができたかどうか」だけを追っていては、規制の実態を捉えきれない。
提供する側は、各規制圏について「施行日」「罰則の適用開始日」「猶予・先送りの有無」を分けて記録し、定期的に更新する運用が有効だ。
法務・コンプライアンス部門だけでなく、AIを実際に業務に組み込んでいる現場側にもこの情報が届く仕組みを作っておかないと、法律の文言だけを見て過剰に萎縮したり、逆に運用実態の変化に気づかず対応が遅れたりする事態を招きやすい。
利用する側は、自ら規制の一次情報を追う代わりに、契約しているサービスベンダーが規制対応の状況をどれだけ開示しているかを確認事項にしたい。
規制対応の遅れは、機能制限や仕様変更という形で利用者側に降りてくる。ベンダーへの定期的な確認を、契約更新のタイミングなどに組み込んでおくと抜け漏れが少なくなる。
特定モデル・特定地域への依存を避ける
米国のような有事介入型の規制は、事前の予測がきわめて難しい。
Fable 5の一件でも、停止の引き金になったのは一件のジェイルブレイク報告であり、企業側に予兆を察知する手段はなかった。
特定のモデルやベンダーへの依存度が高いほど、こうした規制の直撃を受けたときの業務影響は大きくなる。
提供する側にとって有効なのは、主要な業務プロセスについて、少なくとも二つ以上のモデル・ベンダーで代替可能な設計にしておくことだ。
プロンプトやワークフローを特定のモデルの挙動に過度に最適化してしまうと、切り替えのハードルが上がる。
加えて、モデルが一時的に使えなくなった場合の代替手順を、平時のうちに一度ドキュメント化し、実際に切り替えテストをしておくことが望ましい。
これは規制リスクへの備えであると同時に、通常のベンダー障害への備えにもなる、汎用性の高い投資だ。
利用する側にとっては、自社の基幹業務を特定のAIサービス一つに委ねきってしまうと、そのサービスが規制で機能停止・制限を受けたときに業務が止まりかねない。
重要度の高い業務ほど、代替手段や乗り換え先を平時から把握しておく、いわゆるベンダーロックインへの備えが規制リスクへの備えにも直結する。
まとめ
AI規制は、一つの物差しで測れる「厳しい・緩い」の一本道ではない。
今回の整理で言えば、拘束力の強さと、守ろうとしているものの違いという二つの軸が絡み合い、各国それぞれが異なる立ち位置を取っている。
このグラデーションを正しく把握できれば、「どの規制圏で何を優先すべきか」の判断は比較的精緻になる。
逆に一括りに捉えてしまうと、必要のない対応にコストをかけたり、本当に備えるべき規制圏への対応が後手に回ったりしかねない。
これまで解説してきた通り、これはAIを組み込んだサービスやSaaSを自ら提供する企業だけの話ではない。
そうしたサービスを一つでも業務に組み込んでいれば、規制の影響は契約の裏側を通じて及んでくる可能性がある。
規制は動き続ける変数であり、その動き方も地域によって性質が異なる。
この前提に立って、自社がどの規制圏からどれだけ影響を受けているかを継続的に見直すことが、今後のAI活用における基礎体力になるだろう。
参照元：
- AI Act | Shaping Europe’s digital future
- Article 50: Transparency Obligations
- EU agrees to simplify AI rules to boost innovation and ban ‘nudification’ apps
- EU AI Act Omnibus Agreement — Postponed High-Risk Deadlines and Other Key Changes
- AI事業者ガイドライン（第1.2版）本編PDF
- 人工知能関連技術の研究開発及び活用の推進に関する法律
- Redeploying Claude Fable 5
- Executive Order 14409: Promoting Advanced Artificial Intelligence Innovation and Security
- 人工智能拟人化互动服务管理暂行办法 全文
- South Korea’s AI Basic Act: Overview and Key Takeaways
- 과기정통부, 「인공지능 투명성 확보 안내 지침(가이드라인)」 공개 보도자료
- AI Growth Lab: Call for Evidence
- The King’s Speech 2026
- AI Growth Lab 審議録
- Commission provides guidance to Google for AI interoperability on Android and sharing of Google Search data under the Digital Markets Act
- Alphabet specification proceedings ‒ Interoperability for AI services
- AI Basic Act Update: Enforcement and Key Implications