エグゼクティブサマリー
日本政府は、2025年9月1日に全面施行された「AI推進法」に基づき、AIの適切な利活用とイノベーションを推進しています。2026年には「AI事業者ガイドライン（第1.2版）」や「プリンシプル・コード」が公表され、自社でAIを開発していなくても、他社AIを自社サービスに組み込む中小企業は「提供者」として明確にルール適用の対象となりました。本レポートでは、直接的な罰則はないものの、サプライチェーンからの排除や既存法令違反などの重大なビジネスリスクを回避し、市場の信頼を勝ち取るために中小企業経営者が直ちに講じるべき実践的な対応策を解説します。
1. 中小企業への影響（どの企業が対象か）
2025年9月1日に全面施行された「人工知能関連技術の研究開発及び活用の推進に関する法律（令和7年法律第53号、以下「AI推進法」）」を契機に、政府はAIガバナンスの整備を加速させています。
中小企業経営者が最も留意すべき点は、自社でAIモデル自体を開発（学習・構築）していなくても、既存のAI技術（API等）を自社のアプリケーション、製品、既存のシステム、ビジネスプロセス等に組み込んで提供する場合は、政府ルールの適用対象となることです。
2026年8月25日（一部資料では26日）に内閣府が公表した「生成AIの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル・コード」では、対象となる「生成AI提供者」の定義に、他社AIを組み込む企業が明示されています。また、総務省と経済産業省が2026年3月31日に改定公表した「AI事業者ガイドライン（第1.2版）」においても、AI組み込み企業は「提供者」に分類されます。
さらに、自律的な処理を行うAIエージェントの活用時等においては、重要な意思決定プロセスに「人間の判断の介在（Human-in-the-Loop）」を組み込む体制整備が求められるなど、中小企業であっても相応のガバナンス構築が期待されています。なお、日本向けにサービスを展開する海外企業も等しく対象となります。
2. 具体的な内容・要件（何が定められているか）
内閣府が公表した「プリンシプル・コード」は、細かい手順を法律で一律に縛るのではなく、守るべき大まかな基本原則を示し、各社の自主的な取り組みを促す行動規範です。本コードでは、「コンプライ・オア・エクスプレイン（遵守するか、さもなくば説明せよ）」という方式が採用されています。これは、原則を「守る」か、営業秘密などの理由で守らない場合は「その理由を説明する」かを選択し、対応状況を自ら開示することで説明責任を果たす仕組みです。
企業に求められる具体的な要件は以下の通りです。
3. 具体的な対応方法（何をすべきか）
AI推進法第13条などの趣旨を踏まえ、中小企業は実務において以下の具体的なアクションを取る必要があります。
4. 罰則・リスク（違反した場合どうなるか）
日本政府のAI政策は、イノベーションを阻害しないよう「罰則なし」の推進型アプローチ（非拘束的なソフトロー）を採っています。AI推進法（特に第7条「活用事業者の責務」等）や、ガイドライン第1.2版、プリンシプル・コードのいずれにも、直接的な法的罰則は設けられていません。
しかし、AI特有の罰則がないからといってリスクがないわけではありません。従業員が独自の判断で非公式なAIを利用する「シャドーAI」などにより、既存の個人情報保護法や著作権法に抵触した場合は、既存法令違反による直接的な罰則や損害賠償請求のリスクを企業が負うことになります。
また、社会的な関心が高まる中、知財保護や透明性確保への対応を怠ることで、企業としての信頼失墜（レピュテーションリスク）を招くなど、ビジネス上の深刻な実質的リスクを伴う点に注意が必要です。
5. BtoB取引およびサプライチェーンへの影響
直接的な罰則以上に中小企業経営者が警戒すべきなのが、BtoB取引や公的調達における実質的な排除リスクです。
近年、顧客や取引先企業はコンプライアンスを厳格化しており、取引先に対して「AIガバナンス体制の説明責任」を求める場面が急増しています。調達要件（RFP）の確認やセキュリティ監査において、政府のガイドラインやプリンシプル・コードへの準拠状況が問われるようになっています。
これらに未対応の場合、コンプライアンス審査を満たせず、既存のサプライチェーンから排除される、あるいは新規取引の機会を失うという事業継続に関わる重大な不利益が生じます。さらに、政府や自治体の公的調達においても、AIガイドラインへの準拠が事実上の入札・審査基準として定着しつつあり、未対応企業は公共事業への参入が極めて困難になります。罰則の有無に関わらず、市場の規律を通じた実質的な対応が不可避となっています。