【実務ガイド】AI事業者ガイドライン第1.2版を「QMSの型」で読み解く：中小企業がAI利用規程を最短で作る方法【2026年版】

TL;DR 2026年3月31日、AI事業者ガイドラインが第1.2版に改定されました。最大の変更点はAIエージェント・フィジカルAIの新規追加です。法的拘束力はありませんが、トラブル時に「相当の注意義務」を果たしていたかの判断基準として参照される可能性があり、中小企業も無関係ではいられません。本記事では、ガイドラインの骨格(3主体×10の共通指針×リスクベースアプローチ)をISO 9001/13485のQMS(品質マネジメントシステム)の発想で翻訳し、専任のAIガバナンス担当者がいない会社でも回せる「AI利用規程」を Claude Code で作る手順を、現役医療機器QAの視点で公開します。

目次

• はじめに：「手引き」があっても中小企業が動けない理由
• AI事業者ガイドライン第1.2版とは何か
• 第1.2版で何が変わったか
• 【核心】QMSの発想でガイドラインを読み替える
• 中小企業が「AI利用者」としてやることリスト
• Claude CodeでAI利用規程の初稿を半自動生成する
• 出力例：AI利用規程の骨子
• 工数比較（ゼロから作成 vs AI併用）
• AIが苦手な点・限界
• 次の一手
• FAQ
• 関連リソース

はじめに：「手引き」があっても中小企業が動けない理由

「AIガバナンスをやらなければいけないのは分かっている。でも、何から手をつければいいか分からない」

中小企業の管理部門や、なんとなく情報システム担当を任されている方から、この手の相談を何度も聞いてきました。

総務省・経済産業省も同じ課題を認識しています。2026年3月31日に公表されたAI事業者ガイドライン第1.2版では、事業者から寄せられた「ボリュームが増えて読み切れない」という声を受け、「活用の手引き」やチャットボット検索ツールが新たに用意されました。ガイドライン側も「読みにくさ」を課題として認識し、手を打ってきているわけです。

それでも、専任のAIガバナンス担当者を置けない中小企業にとって、ガイドライン本文を読んでから自社の規程に落とし込むまでの距離は、依然として遠いままです。

私は医療機器メーカーで10年以上、品質保証（QA）を担当してきました。ISO 9001やISO 13485のQMS（品質マネジメントシステム）を日常的に扱う立場から今回のガイドラインを読むと、「これ、QMSの文書体系とほぼ同じ骨格じゃないか」という感覚がありました。3主体への責任分担、リスクベースの優先順位付け、文書の版数管理──品質管理の実務者にとっては馴染みのある構造です。

本記事では、この「QMSとしての読み方」を軸に、ガイドラインの実務ポイントを整理し、Claude Codeを使ってAI利用規程の初稿を作る手順まで公開します。

AI事業者ガイドライン第1.2版とは何か

まず前提を整理します。

ポイントは、このガイドラインが「一度作って終わり」の文書ではなく、今後も改定され続けることを前提に設計されている点です。QMSでいう「文書管理台帳」のように、版数を追いかけ続ける必要があるということです。

第1.2版で何が変わったか

第1.2版では、AIネットワーク社会推進会議などからの意見や事業者アンケートの結果を踏まえ、主に次の点が更新されました（要原典確認）。

AIエージェント・フィジカルAIが新たに対象に

2025年度に急速に注目を集めたAI技術として、AIエージェントとフィジカルAIが新規に定義・追記されています。

どちらについても、リスク評価と人間の関与の仕組み（いわゆる Human-in-the-Loop 的な考え方に近いものです）を重視する方向性が示されています。自律性が上がるほど、人間が最終確認・介入できる設計になっているかが問われる、という理解で差し支えないでしょう（要原典確認）。

実務面の3つの更新

• AI開発者の役割明確化：既存モデルへのファインチューニングなど「事後学習」を行う事業者も、AI開発者としての役割・責任を負うことが補足されました
• 主体区分の整理：同一事業者が「開発者」「提供者」「利用者」を同時に兼ねるケース（例：既存のAI基盤を使って自社サービスに組み込み、社内でも利用する）への整理が追加されました
• リスクベースアプローチの推奨：すべてを一律に対応するのではなく、リスクの大きさ・発生可能性に基づいて優先順位をつけて対応することが推奨されています

中小企業向けの支援策

「ボリュームが増える中で活用が難しい」という事業者側の指摘を受け、次の2つが新たに導入されました。

• AI事業者ガイドライン活用の手引き（初心者向けの実装ガイダンス）
• チャットボット検索ツール（該当箇所への迅速なアクセスを支援）

これらは、専任担当者を置きにくい地方自治体や小規模事業者でもガバナンス構築を進められるよう設計されています。裏を返せば、「人手が足りない」は、もはやガイドライン側も織り込み済みの前提だということです。

【核心】QMSの発想でガイドラインを読み替える

ここが本記事の核心です。

ガイドラインの基本構造は、「3主体（開発者・提供者・利用者）」「10の共通指針」「リスクベースアプローチ」という3つの軸でできています。これを品質管理の実務者向けに翻訳すると、次のように対応します（この対応付けはガイドライン公式の分類ではなく、私自身の実務的な読み替えです）。

この対応付けが腑に落ちると、「AIガバナンス」が急に得体の知れない新分野ではなく、「対象がAIに変わっただけの、いつもの品質管理」に見えてきます。QMSを回した経験がある方なら、やるべきことの型は既に体に入っているはずです。

中小企業が「AI利用者」としてやることリスト

多くの中小企業は、自社でAIモデルを開発しているわけではなく、ChatGPT・Claude・各種AI SaaSを業務に使う「AI利用者」に該当します。以下は、ガイドラインが利用者に求める実務対応について実務家の間で整理される代表的な観点を、QMSの文書区分（契約・運用・体制）に私が整理し直したものです（ガイドライン本文の逐語的な項目立てではなく二次的な整理のため、自社対応の際は原典で該当箇所を確認してください＝要原典確認）。

契約・利用規約領域

• 利用しているAIサービスの利用規約で、入力データの学習利用可否を確認する
• 商用利用の可否・生成物の著作権の扱いを明確化する
• 禁止用途と、トラブル時の責任範囲を把握する
• 業務委託先がAIを使っている場合、再委託条項・情報管理条項を確認する

運用・データ管理領域

• 入力してはいけない情報（機密情報・個人情報・顧客情報）をリスト化し、全社に周知する
• AIの出力内容を、対外的に使う前に人間が確認するプロセスを定める
• 不適切な利用に気づいた場合のエスカレーション手順を決めておく
• 利用ログを記録・保管する（誰が・いつ・何のために使ったか）
• 対外的に公開・提供する成果物は、公開前の品質チェック体制を設ける

体制・教育領域

• 社内向けのAI利用ガイドライン（簡易版でよい）を作る
• AI利用の責任者・相談窓口を明示する
• 従業員向けのリテラシー研修を（簡易でも）実施する

これは12項目に整理していますが、すべてを一度に完璧にする必要はありません。ガイドライン自体がリスクベースアプローチを推奨している以上、「自社にとってリスクが大きい項目から着手する」のが正しい進め方です。

Claude CodeでAI利用規程の初稿を半自動生成する

ここから実装の話です。上記12項目を、QMS文書の型（文書番号・版数・責任者・点検頻度）を持つ「AI利用規程」の初稿に変換する作業を、Claude Codeに任せます。

設計思想：棚卸しデータを渡してから規程を生成する

いきなり「AI利用規程を作って」と指示すると、一般論的な規程しか出てきません。精度を上げる鍵は、自社の実際のAI利用実態（棚卸しデータ）を先に渡すことです。

[Stage 1] 入力：自社のAI利用実態の棚卸し（部署／ツール名／用途／入力する情報の種類）
   ↓
[Stage 2] 3主体のどれに該当するかを判定（多くは「利用者」のみ）
   ↓
[Stage 3] QMS文書の型でAI利用規程の初稿を生成（文書番号／版数／責任者／点検頻度つき）
   ↓
[Stage 4] 現場向けチェックリスト運用シートを規程本文と分離して生成

実際のプロンプト例

# 役割
あなたはISO 9001 / ISO 13485のQMS(品質マネジメントシステム)文書作成に精通した、
中小企業のAIガバナンス整備を支援するコンサルタントです。

# 背景
- 対象: 従業員30名程度の製造業（架空の一般的な中小企業）
- 参照するガイドライン: AI事業者ガイドライン第1.2版（総務省・経済産業省、2026年3月31日公表）
- 自社の立ち位置: 「AI利用者」のみに該当（AI開発・提供は行っていない）

# 自社のAI利用実態（棚卸し結果）
| 部署 | 使用ツール | 用途 | 入力する情報 |
|---|---|---|---|
| 営業 | ChatGPT | 提案書の下書き | 顧客名・商談内容 |
| 製造 | 画像認識AI SaaS | 外観検査の一次判定 | 製品画像 |
| 総務 | Claude | 議事録要約 | 社内会議の発言内容 |

# 手順
1. 上記の利用実態を「契約・利用規約」「運用・データ管理」「体制・教育」の3領域に分類する
2. 各領域について、QMS文書の型（文書番号・版数・制定日・責任者・点検頻度）でAI利用規程の
   章立てを生成する
3. 各条文について、根拠となるAI事業者ガイドラインの考え方を1文で併記する
   （断定できない箇所には「要法務確認」と明記する）
4. 規程本文とは別に、現場が週次で使えるチェックリスト運用シート（Excel想定の表形式）を生成する
5. 年1回の定期見直し条項を必ず含める（ガイドラインがLiving Documentとして改定され続けるため）

# 出力形式
- 規程本文（QMS文書の型）
- チェックリスト運用シート（表形式）

このプロンプトを投げると、2〜3分で規程の骨子とチェックリストのたたき台が返ってきます。

出力例：AI利用規程の骨子

実際の出力（一般化・短縮版）は次のようになります。

医療機器のQMS文書に慣れている方なら、この構造に既視感があるはずです。新しいのは「AI」という対象だけで、規程を作る型そのものは変わりません。

工数比較（ゼロから作成 vs AI併用）

従業員30名規模の中小企業を想定した目安です（業種・情報システムの複雑さで変動、要自社検証）。

棚卸し作業（自社が実際に何にAIを使っているかの洗い出し）だけは、どうしても人力が必要です。ここをAIに代替させようとすると、実態と乖離した規程になります。

AIが苦手な点・限界

率直に書きます。

1. 「相当の注意義務」を満たしているかの最終判断はできない

Claude Codeは規程の草稿を作れますが、それが実際にトラブル発生時の「相当の注意義務」を満たす水準かどうかは、法的な評価が必要です。ここは弁護士のレビューを経てください。

2. 自社固有のリスクの重み付けは人間の仕事

リスクベースアプローチの核心は「自社にとって何が重大リスクか」の判断です。外観検査AIの誤判定と、議事録要約AIの多少の要約ミスでは、リスクの重さがまったく違います。この重み付けをAIに丸投げすると、一般論的で優先順位のない規程になります。

3. ガイドラインの改定を追いかける仕組みは別途必要

本記事は2026年7月時点、第1.2版に基づいています。ガイドラインはLiving Documentとして今後も改定される方針のため、本記事や生成した規程をそのまま固定的に使い続けないでください。年1回、あるいはガイドライン改定のタイミングで見直すサイクルを、規程自体に組み込んでおく必要があります。

4. 条文の逐語確認は人間の仕事

本記事中「（要原典確認）」と付した箇所は、AI事業者ガイドライン第1.2版の原文（総務省・経済産業省公表資料）で該当箇所を直接確認してから、社内文書に引用してください。AIは要約・翻訳は得意ですが、一次情報の逐語確認の代わりにはなりません。

次の一手

本記事をここまで読まれた方は、次のどちらかに進むのが効率的です。

• 規制産業×AI活用の全体地形を知りたい → 規制産業 × 生成AI 実装ガイド（2026年版）
• 医療機器のリスクマネジメント文書をAIで作る手順を知りたい → ISO 14971 リスクマネジメントファイルを Claude Code で構築する完全ガイド

特に医療機器・医薬品など既にQMSを運用している企業は、本記事の「AI利用規程」を既存のQMS文書体系（文書管理規程）の1文書として組み込むと、追加の運用負荷を最小化できます。

FAQ

Q1. AI事業者ガイドラインは法律ですか？守らないと罰則がありますか？ A. 法律ではなく、総務省・経済産業省が策定したソフトロー（法的拘束力のない指針）です。直接の罰則はありません。ただし、AIの誤用でトラブル・事故が起きた際に、企業が「相当の注意義務」を果たしていたかを判断する参照基準として使われる可能性があります。守らなくても罰金は発生しませんが、守っていない状態で事故が起きた場合の説明責任は重くなります（要原典確認、最終的な法的評価は弁護士にご確認ください）。

Q2. 中小企業やAIを使うだけ（開発していない）会社も対象ですか？ A. 対象です。ガイドラインは「AI開発者」「AI提供者」「AI利用者」の3主体を想定しており、ChatGPTやClaude、各種AI SaaSを業務で使っているだけの会社は基本的に「AI利用者」に該当します。多くの中小企業はこの「AI利用者」の指針が実務上最も関係します。第1.2版では、事業者から「ボリュームが増えて追いきれない」という声を受けて「活用の手引き」やチャットボット検索ツールが用意されました。

Q3. 第1.2版で何が一番変わったのですか？ A. 最大の追加点はAIエージェントとフィジカルAIが新たに対象として明記されたことです。単なるチャットボットと違い、複数システムと連携して自律的に業務プロセスを遂行するAIエージェントや、センサーで物理環境を認識して物理的に行動するフィジカルAIについて、定義・便益・リスクとその対策が追記されました。あわせてAI開発者の役割明確化（ファインチューニング等の事後学習を含む）、複数役割を兼務する事業者への対応整理、リスクベースアプローチの推奨も更新点です（要原典確認）。

Q4. この記事の「QMSの型」は公式の分類なのですか？ A. いいえ、これは私自身がISO 9001/13485のQMS実務者として読んだときの独自の対応付けです。ガイドライン本文がQMSという言葉を使っているわけではありません。あくまで「品質管理の文書体系に慣れている人がゼロから読むより早く飲み込むための翻訳」として提示しています。

Q5. Claude Codeで生成したAI利用規程は、そのまま社内規程として使えますか？ A. 初稿・たたき台としては十分使えますが、そのまま公式規程にするのは避けてください。自社の業種・取扱う情報の機微度・実際に使っているAIツールの利用規約に合わせた調整が必要です。特に個人情報・営業秘密の取扱いに関わる部分は、社内の法務担当者または顧問弁護士のレビューを経てから正式化することを強く推奨します。

関連リソース

続いて読むべき記事

• 規制産業 × 生成AI 実装ガイド（2026年版） ── ピラー記事（規制産業×AIの全体地形）
• ISO 14971 リスクマネジメントファイル Claude Code 構築ガイド ── リスクベースアプローチの医療機器における実装例

医療機器・医薬品業界の方へ

ISO 14971 / ISO 13485 / FDA QMSR / EU MDR / PMDA申請文書まで含めた規制対応をAIで再設計したい方は、現在パイロット参加者を募集中の「品証AI」もあわせてご覧ください。

メルマガ登録

毎週金曜の朝8時に「今週の実装ログ＋詰まったポイント」を無料配信しています。

メルマガ登録（無料）

※ 本記事は実験的なAI活用記録であり、法律・コンプライアンスの専門的助言ではありません。実際のAI利用規程の策定・運用は、必ず社内の法務担当者または弁護士のレビューを経てください。本記事中で「（要原典確認）」と付した箇所は、AI事業者ガイドライン第1.2版の原典（総務省・経済産業省、2026年3月31日公表）で該当箇所を確認してから引用してください。