はじめに
2026年3月31日、総務省・経済産業省が「AI事業者ガイドライン（第1.2版）」を公布・施行しました。AIエージェントやフィジカルAIが初めて規制対象に加わり、データの透明性やトレーサビリティに関する記述も強化されています。
自社のAI利用にどう影響するのか。トレーサビリティとは具体的に何を満たせばよいのか。ガイドライン全文は40ページを超えますが、AIを業務で利用する企業が押さえるべき論点は限られています。
この記事では、ガイドライン第1.2版の要点を整理し、AI利用者に求められるトレーサビリティ要件をデータパイプライン基盤の管理に落とし込みます。焦点はAIモデルの説明可能性ではなく、AIに渡すデータの管理をどう整えるか。データエンジニアや情シス担当者の目線で読み解いていきます。
AI事業者ガイドライン第1.2版のポイント
ガイドラインの位置づけ
AI事業者ガイドラインは、総務省・経済産業省が策定する非拘束的なソフトローです。法的罰則はありません。ただし「ゴールベース」のアプローチを採用しており、達成すべき目標を明示しつつ、手段は各事業者の判断に委ねる設計になっています。
EUのAI Act（AI規制法）がハードローとして法的拘束力を持つのに対し、日本のガイドラインは柔軟性を重視しています。とはいえ、EYの調査（2025年、21カ国975名のC-suite対象）では、企業が直面するAIリスクとして「AI規制の不順守」が57%で最多でした（出典: EY Japan）。ソフトローであっても、取引先や投資家からガバナンス状況を問われる場面は今後増えていくでしょう。
3つの主体と「AI利用者」の責任
ガイドラインでは、AI事業者を3つの主体に分類しています。
- AI開発者: AIモデルやシステムを開発する事業者
- AI提供者: AIシステムをアプリケーションやサービスに組み込んで提供する事業者
- AI利用者: 事業活動においてAIシステムやサービスを利用する事業者
多くの企業は、SaaS型のAIサービスやAPI経由でAIを利用する「AI利用者」に該当します。ガイドライン第5部では、AI利用者に対しても操作ログの管理やデータの適正利用、ステークホルダーへの説明といった責任が定められています。
脚注には、AI利用者であってもファインチューニングや再学習を行う場合はAI開発者と同様に安全性の担保に努めることが求められる旨の記載があります。モデルの挙動をカスタマイズする工程が入ると、利用者にとどまらない責任が生じる点には注意が必要です。
AI利用者に関わる共通指針
ガイドラインには10の共通指針がありますが、AI利用者のデータ管理に特に関わるのは次の4つです。
| 指針 | 番号 | AI利用者のデータ管理との関わり |
|---|---|---|
| 安全性 | 共通の指針 2） | AIに入力するデータの品質確保、適正利用 |
| セキュリティ確保 | 共通の指針 5） | ログの定期的な確認、異常検知体制の構築 |
| 透明性 | 共通の指針 6） | AIの利用過程におけるログの管理体制整備 |
| アカウンタビリティ | 共通の指針 7） | データの出所の追跡可能性、ステークホルダーへの説明 |
AIエージェントやフィジカルAIが初めて対象に加わったことで、自律的に判断・行動するAIに対するガバナンスの必要性がより明確になりました。
AI利用者に求められるトレーサビリティとは
ガイドラインにおける定義
ガイドラインが求めるトレーサビリティの中核は、以下の2つの条項に集約されます。
共通の指針 6）透明性では、検証可能性の確保が求められています。
AIの判断にかかわる検証可能性を確保するため、データ量又はデータ内容に照らし合理的な範囲で、AIシステム・サービスの開発過程、利用時の入出力等、AIの学習プロセス、推論過程、判断根拠等のログを記録・保存する
共通の指針 7）アカウンタビリティでは、データの追跡可能性が求められています。
データの出所、AIシステム・サービスの開発・提供・利用中に行われた意思決定等について、技術的に可能かつ合理的な範囲で追跡・遡求が可能な状態を確保する
AI利用者に対する具体的な要件
これらの共通指針をもとに、ガイドライン第5部（AI利用者に関する事項）と付属資料では、AI利用者に対して以下の対応が求められています。
| 条項 | 求められること |
|---|---|
| U-2（安全性） | AIに入力するデータの品質確保。利用過程におけるログ（操作履歴、入力・出力の記録等）の管理体制の整備 |
| U-5（セキュリティ確保） | ログの定期的な確認による、AIシステムの利用状況の把握や異常の検知 |
| U-6（透明性） | 入力データの種類およびソース、データ変換プロセス、意思決定の基準および根拠等の情報をステークホルダーに提供 |
| U-7（アカウンタビリティ） | AIの利用に関する方針の策定、ステークホルダーへの説明、AI提供者との協力体制の構築 |
データエンジニアリング視点での読み替え
これらの要件を、データ基盤の管理業務の言葉に置き換えてみます。
| ガイドライン要件 | データ基盤で求められること |
|---|---|
| ログの管理体制整備（U-2） | データパイプラインのジョブ実行履歴、操作ログの記録と管理 |
| ログの定期的な確認（U-5） | 異常検知のための実行ログのモニタリング、アクセスログの監査 |
| データソース・変換プロセスの説明（U-6） | データリネージ。どのソースからどんな変換を経てAIに渡ったかの可視化 |
| 利用方針の策定・ステークホルダー説明（U-7） | メタデータ管理。テーブル定義、処理ロジック、データオーナーの一元管理 |
こうして並べると、トレーサビリティはAIモデルの説明可能性（Explainability）だけの話ではないことが見えてきます。AIに渡すデータをどう管理し、記録し、追跡可能にしておくか。これはAIを利用する企業のデータパイプライン管理そのものです。
現場で起きがちな課題
操作ログのサイロ化
データパイプラインに関わるツールが複数あると、それぞれがバラバラにログを保持しがちです。「このデータはいつ、誰が、どのツールで処理したか」を横串で追おうとすると、ツールを行き来しながら手作業で突き合わせることになります。ガイドラインが求める「ログの定期的な確認」（U-5）に応えるうえでも、ログの一元管理は避けて通れない課題です。
メタデータ管理の属人化
あるテーブルの作成目的やオーナーを問われたとき、即答できる組織はどれほどあるでしょうか。テーブル定義や処理ロジックが担当者の頭の中にしかなく、異動や退職で暗黙知が失われるリスクを抱えています。「入力データのソースや変換プロセスについてステークホルダーに説明する」（U-6）に応えるには、メタデータの一元管理が欠かせません。
準拠体制の現状
帝国データバンクの調査（2024年8月、有効回答4,705社）によると、生成AIを活用している企業のうち、リスクやトラブルの対応部門が「特に決まっていない」企業は45.1%。AI関連の指針やガイドラインを「策定済み」の企業は19.5%にとどまります（出典: 帝国データバンク 生成AIの活用状況調査）。ガイドライン対応の必要性は認識されつつも、体制整備が追いついていない企業が多いのが実態です。
データパイプライン基盤でトレーサビリティに備える
AI利用者としてのガイドライン対応を見据えたとき、データパイプライン基盤に何が求められるのか。4つの観点で整理します。
求められる4つの要件
| 要件 | 概要 | 対応するAI利用者の条項 |
|---|---|---|
| 操作ログの記録・管理 | パイプラインの実行履歴、設定変更履歴を記録し管理できること | U-2（ログ管理体制の整備） |
| ログの監査・モニタリング | ログを定期的に確認し、異常を検知できること | U-5（ログの定期的な確認） |
| データリネージ | データの出所から変換、格納先までの流れを可視化できること | U-6（データソース・変換プロセスの説明） |
| メタデータ一元管理 | テーブル定義、処理ロジック、データオーナーを一箇所で管理できること | U-7（ステークホルダーへの説明） |
これらは特定のツールに依存する話ではなく、データ基盤全般に求められる管理機能です。自社の環境でどの程度カバーできているか、棚卸しの起点として活用してみてください。
TROCCOとCOMETAによる対応
primeNumberが提供するTROCCO（データパイプライン自動化）とCOMETA（データカタログ・メタデータ管理）は、AI利用者のガイドライン対応を支援する機能を備えています。
| 要件 | TROCCOでの実現 | COMETAでの実現 |
|---|---|---|
| 操作ログの記録・管理 | 監査ログ機能により、誰が・いつ・何の操作をしたかを記録。ジョブ実行履歴で転送元・転送先・処理内容を追跡可能 | — |
| ログの監査・モニタリング | ジョブの実行状況やエラーの確認、権限管理（RBAC）によるアクセス制御。IP制限やSSO/SAML連携にも対応 | — |
| データリネージ | — | データリネージ可視化により、データがどこから来てどこへ流れたかを把握可能 |
| メタデータ一元管理 | — | テーブル定義、処理ロジック、データオーナーなどのメタデータを一元管理 |
TROCCOでデータの入口を管理し、COMETAでデータの流れと意味を管理する。この組み合わせで、AIに渡すデータの出所から処理フローまでを一気通貫で追跡できる状態がつくれます。ガイドラインが利用者に求める「ログ管理」「データソースの説明」「ステークホルダーへの情報提供」への対応で、これらの機能が力を発揮します。
監査ログの保存期間や詳細な仕様は利用プランや契約内容により異なります。詳細は公式ドキュメントやお問い合わせにてご確認ください。
まとめ
AI事業者ガイドライン第1.2版はソフトローであり、法的罰則はありません。ただ、AIガバナンスへの対応状況がビジネス上の評価軸になりつつある中で、AI利用者としての自社の現状を把握しておく意味は大きくなっています。
まずは、自社のデータパイプラインの記録・管理状況を棚卸しするところから始めてみてください。操作ログはどこに残っているか。データの出所を遡れる状態にあるか。ステークホルダーにデータの流れを説明できるか。こうした点を一つずつ確認するだけでも、ガイドライン対応の第一歩になります。
TROCCOの権限管理・監査ログ機能やセキュリティオプションについては、お気軽にお問い合わせください。
