AI倫理 基本ガイド──バイアス・プライバシー・透明性【2026年】

3行まとめ

1. カリフォルニア州は2026年1月1日施行の法律で、AIの学習データの透明性開示と高影響モデルの安全性テストを義務化した
2. EU AI ActはリスクベースのアプローチでハイリスクAIに透明性・人間の監視・データガバナンスの厳格な要件を課す
3. AI倫理の核心的課題はバイアス/差別、透明性の欠如、説明責任、プライバシー侵害、悪用の5つに集約される

カリフォルニア州法：学習データの透明性と安全テスト

2026年1月1日に施行されたカリフォルニア州の法律は、AIの訓練データに関する透明性の確保と、高影響モデルに対する安全性テストの実施を義務づけている。

この法律の対象はすべてのAIではなく、社会的影響が大きいとされるモデルに限定される。具体的にどの基準で「高影響」と判定するかは運用段階での解釈に委ねられる部分も残っている。

該当する法律は1本ではなく2本ある。学習データの開示は AB 2013（Generative Artificial Intelligence: Training Data Transparency）、フロンティアモデルの安全性は SB 53（Transparency in Frontier Artificial Intelligence Act, Chapter 138, Statutes of 2025） で、規定も対象事業者も別である。以下は leginfo.legislature.ca.gov の条文本文で2026年8月14日に確認した内容。

AB 2013：学習データの開示（Civil Code Title 15.2 / §3110-3111）

AB 2013 はカリフォルニア州民法典に Title 15.2（§3110、§3111）を新設する。義務の形は「開示」であって「禁止」ではない。

• 期限：2026年1月1日まで（On or before January 1, 2026）に、およびそれ以降、生成AIシステム／サービスをカリフォルニア州民が使える形で公開するたびに、開発者は自社サイトに学習データの文書を掲示する（§3111柱書）
• 遡及範囲：2022年1月1日以降にリリースされたシステムが対象（§3111柱書）
• 対象者：生成AIシステムを design, code, produce, or substantially modify する個人・パートナーシップ・州／地方政府機関・法人（§3110(b)）
• 適用除外：セキュリティと完全性のみを目的とするシステム、国家空域における航空機の運用、連邦の安全保障・軍事・防衛目的だけに開発されたシステム（§3111(b)）

掲示すべき項目は §3111(a) に12項目が列挙されている。データセットの出所・所有者／そのデータセットが意図した用途にどう寄与するか／データポイントの数（概数可、動的なデータは推計可）／データポイントの種類（ラベルや一般的な特徴）／著作権・商標・特許で保護されたデータやパブリックドメインのデータを含むか／購入またはライセンスを受けたデータセットか／個人情報を含むか／集計消費者情報を含むか／クリーニング・加工・改変の有無とその目的／データの収集期間（収集が継続中ならその旨）／開発で最初に使用した日付／合成データ生成の使用有無、の12点である。

「何を学習させたか」を開発者自身の言葉で公開させる作りで、第三者が内容を検証する手続は条文に置かれていない。

SB 53：フロンティアモデルの枠組み公開と事故報告

SB 53 は Business and Professions Code に Chapter 25.1（§22757.10以下）、Government Code に §11546.8（CalCompute）、Labor Code に Chapter 5.1（§1107以下、内部告発者の保護）を追加する。

閾値が「モデルの用途」ではなく「学習計算量と企業規模」で切られている点が特徴で、10^26 回超の演算量と年商5億ドル超の両方に当たる事業者だけが枠組み公開の対象になる。

EU AI Actのリスクベース規制

EU AI法、8月2日から「AIと対話中です」表示が義務化 ― 違反でも取り上げたEU AI Actは、AIシステムをリスクレベルで分類し、ハイリスクと判定されたシステムに対して以下の要件を課す：

• 透明性：AIが判断に使ったデータや手法の開示
• 人間の監視：自動判断に対する人間のオーバーライド手段の確保
• データガバナンス：訓練データの品質管理と偏りの低減

AI生成コンテンツについては、AIが生成したものであることのラベル付け・開示も求められる。

以下は Regulation (EU) 2024/1689 の条番号ベースで整理したもの（2026年8月14日確認）。

ハイリスクの入口はArticle 6の2経路

Article 6(1) は Annex I の製品法規（機械、医療機器など）の下で安全部品として使われるAI、Article 6(2) は Annex III に列挙された8分野を指す。Annex III の8分野は次のとおり。

1. 生体認証（遠隔生体識別、センシティブ属性による生体分類、感情認識）
2. 重要インフラ（デジタルインフラ、道路交通、水・ガス・熱・電力供給の安全部品）
3. 教育・職業訓練（入学判定、学習成果の評価、教育レベルの判定、試験中の禁止行為の監視）
4. 雇用・労働者管理・自営業へのアクセス（求人、応募書類の絞り込み、候補者評価、昇進・解雇・業務配分・成果監視）
5. 必要不可欠な民間・公共サービス（公的給付や医療給付の受給資格、信用度評価、生命・医療保険のリスク評価と価格設定、緊急通報の優先順位付け）
6. 法執行（被害者リスク評価、ポリグラフ類似ツール、証拠の信頼性評価、再犯リスク評価、捜査上のプロファイリング）
7. 移民・庇護・国境管理
8. 司法運営と民主的プロセス（事実認定・法適用の補助、選挙・国民投票の結果への影響）

このうち4番は日本企業にも直接効いてくる領域で、採用ツールのバイアス問題はAI採用ツールの企業導入事例と候補者への影響【2026年版】で個別に扱っている。1番の生体認証についても、日本国内でのAIカメラ・顔認証の導入とプライバシー論点をAIカメラ・防犯AI──最新技術と倫理的課題【2026年日本】で個別に扱っている。

事業者に課される要件（Chapter III Section 2）

ハイリスクと判定されたシステムに課される要件は Article 8-15 に並ぶ。

透明性義務は Article 50 に別枠で置かれている。50(1) は「人と直接やり取りするAIシステムは、AIと対話していることが利用者に分かるように設計・開発する」こと（合理的に注意深い人から見て自明な場合を除く）。50(2) は「合成の音声・画像・映像・テキストを生成するAI（汎用AIシステムを含む）の提供者は、出力が機械可読な形式でマーキングされ、人工的に生成・操作されたものとして検出可能であることを確保する」。50(4) はディープフェイクを生成・操作する導入者に、その旨の開示を求める。50(5) はこれらの情報を遅くとも最初の対話・接触の時点で、明瞭かつ区別可能な形で提供せよと定める。EU域外のプラットフォーム（YouTube・TikTok・Meta・X・Amazon KDP等）が実際に制作者へ何を求めているかはAI生成の表示義務はどこまで──YouTube・TikTok・Meta・Xの規約を原文で確認したで横断的に整理した。

適用日は2026年7月の改正で動いた

適用日は Article 113 に定められていたが、Regulation (EU) 2026/1744（Digital Omnibus on AI、2026年7月8日採択、2026年7月27日発効）による改正で、ハイリスク関連の期日が後ろ倒しになった。

2026/1744 は Article 6 に 1a・1b・1c 項も追加し、安全に関係しない利用者支援だけを担うAIは安全部品に当たらないこと、故障が健康・安全を脅かすものは当たること、健康・安全以外のリスクだけを理由に第三者適合性評価が要る製品は Article 6(1) の条件を満たさないことを明文化している。

制裁金の上限（Article 99）

中小企業（スタートアップを含む）については、Article 99(6) により上記の金額と割合の低い方が上限になる。

AI Bill of Rights：5つの基本原則

米国のAI Bill of Rightsは法的拘束力のないガイドラインだが、5つの基本原則を定めている：

1. 安全で効果的なシステム
2. アルゴリズムによる差別からの保護
3. データプライバシー
4. 通知と説明
5. 人間の代替手段とフォールバック

これは大統領府科学技術政策局（OSTP）が公表したブループリントであり、議会が通した法律ではない。執行機関も罰則も無く、この文書を根拠に事業者を訴えることはできない。

さらに、2026年8月14日時点で www.whitehouse.gov/ostp/ai-bill-of-rights/ は404を返す（当方でHTTPステータスを確認）。原文は前政権期のアーカイブサイト bidenwhitehouse.archives.gov 側に残っている。社内資料や研修教材でこの原則を引用している場合、リンク先が切れている可能性がある。

AI Risk Management Framework（AI RMF）

NISTのAI RMFは、AIのリスクが技術的な問題だけでなく社会的・倫理的な問題にも及ぶことを明示している。セキュリティの枠組みとして技術面だけを見ていると、バイアスや公平性の問題を見落とすという認識がベースにある。

NISTのサイトによると、AI RMF 1.0 は2023年1月26日に公開され、「自主的な利用（voluntary use）」を前提としている。中核（Core）は4つの機能で構成される。

生成AIに固有のリスクについては、2024年7月26日に NIST AI 600-1「Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile」が公開されている。位置づけはあくまで自主的なフレームワークで、法的義務ではない。

AI倫理の5つの核心的課題

現時点で繰り返し指摘されている課題は以下の5つに整理できる：

1. バイアスと差別：訓練データに含まれる偏りが出力に反映される
2. 透明性の欠如：判断根拠がブラックボックス化する
3. 説明責任の不明確さ：AIの判断で損害が生じた場合の責任の所在
4. プライバシー侵害：大量の個人データの収集・利用
5. 悪用の可能性：ディープフェイク（香港企業が$25Mを騙し取られた事件が実例）、監視、操作への転用

AI規制 日本の2026年最新動向では日本国内の規制動向を、AI著作権の現在地 ― 米最高裁「AI単独の著作権なし」確定、NYTでは著作権面の訴訟事例を扱っている。

EUの適用日は7月の改正で後ろ倒しになっている

• 規制の多くはまだ施行初期段階か、ガイドラインレベル（AI Bill of Rightsに法的拘束力はない）。実際の執行や罰則の運用は今後の問題
• EU AI Actの「ハイリスク」の分類基準は決まっているが、個別ケースでの運用がどうなるかは未確定の部分がある
• カリフォルニア州法の具体的な運用ガイダンスも、施行から半年程度では事例の蓄積が十分でない
• 「AI倫理」は広すぎる概念であり、本記事は主要な規制枠組みの概要にとどまる。個別のユースケースでの適用判断は専門家の助言が必要
• EUの適用日は2026年7月の Digital Omnibus 改正（Regulation (EU) 2026/1744）で後ろ倒しになった。ハイリスク義務の開始を2026年8月と書いた社内資料や解説記事は日付が古い可能性がある
• 条文の確認範囲について。EUR-Lex の AI Act 本文HTMLは分量が大きく、当方の取得では前文（recital）の範囲までしか読み込めなかった。適用日・改正関係・Annex III の内容は EUR-Lex の書誌情報と欧州委員会のページで確認しているが、Article 99 や Article 50 の逐語は AI Act の条文データベース（artificialintelligenceact.eu）で照合した値である。最終的な確認は EUR-Lex の官報本文で行われたい
• SB 53 には施行日を定める明文が条文中に見当たらない（CalCompute の §11546.8(k) のみ「予算措置があって初めて施行」と規定）。カリフォルニア州法の一般原則では成立の翌年1月1日だが、条文からの直接確認はできていない
• カリフォルニア州プライバシー保護庁（CPPA）は「CCPA Updates, Insurance, Cybersecurity Audits, Risk Assessments, and Automated Decisionmaking Technology (ADMT) Regulations」の規則制定を2025年9月に完了しているが、遵守期限を規則本文で確認できていないため本記事では扱っていない
• 米国の連邦レベルの動向（大統領令の改廃など）は、一次資料へのアクセスが確認できなかったため本記事には含めていない

全ソースを2026年8月14日に閲覧、法的助言ではない

すべて2026年8月14日に閲覧。

• California AB 2013 条文（leginfo.legislature.ca.gov） : 学習データ開示義務、Civil Code §3110-3111
• California SB 53 条文（leginfo.legislature.ca.gov） : フロンティアモデルの枠組み公開・事故報告・民事罰
• Regulation (EU) 2024/1689（AI Act）EUR-Lex : AI Act 官報本文
• Regulation (EU) 2026/1744（Digital Omnibus on AI）EUR-Lex : 2026年7月8日採択、7月27日発効の改正規則
• Regulatory framework for AI（欧州委員会） : リスク区分と適用スケジュール
• AI Risk Management Framework（NIST） : AI RMF 1.0 の公開日、AI 600-1 の公開日
• AI RMF Core（NIST AI Resource Center） : GOVERN / MAP / MEASURE / MANAGE の定義
• NIST AI 600-1 Generative AI Profile（PDF） : 生成AI向けプロファイル本文
• Blueprint for an AI Bill of Rights（OSTP、アーカイブ） : 5原則の原文
• EU AI Act 条文データベース（artificialintelligenceact.eu） : Article 50・99・Annex III の逐語照合に使用（非公式サイト）

本記事は法的助言を構成するものではない。各規制の詳細は公式文書を参照されたい。