プリンシプル・コード公表｜自社が対象事業者か判定する

生成AI事業者に学習データの開示と知的財産権の保護を求める「プリンシプル・コード」が2026年8月25日に公表されました。生成AIを使うすべての企業に義務が生じる話ではありません。対象は「生成AI開発者」「生成AI提供者」という定義に当てはまる事業者に限られ、原典は対象外となる類型を具体例付きで明記しています。本記事では原典（全14ページ）と別添の具体例集を読み、自社が対象かを判定する順序と、対象外だった企業がAIベンダーに確認すべき項目を整理します。

2026年8月25日に公表された「プリンシプル・コード」とは

プリンシプル・コードは、生成AI事業者が行うべき透明性の確保と知的財産権保護の措置を定めた原則集です。法的拘束力はなく、原則を実施するか実施しない理由を説明する「コンプライ・オア・エクスプレイン」の手法を採ります。

正式な文書名は「生成ＡＩの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル・コード」です。2026年8月18日の第13回「AI時代の知的財産権検討会」では「（仮称）（案）」として示されていました。

項目	内容（原典の記述）
公表	2026年8月25日
所管	内閣府 知的財産戦略推進事務局
根拠	人工知能関連技術の研究開発及び活用の推進に関する法律（令和7年法律第53号）の趣旨を踏まえて策定
手法	コンプライ・オア・エクスプレイン（コーポレートガバナンス分野のスチュワードシップ・コード等を参考）
法的性質	「法的拘束力を有する規範ではない」
開示の限界	事業者に帰属する機微な情報（営業秘密及び安全性・セキュリティに関するもの）の強制的な開示は求めない
対象	「生成AI開発者」および「生成AI提供者」（総称して「生成AI事業者」）
手続き	コーポレートサイト等で公表し、内閣府知的財産戦略推進事務局所定の様式で届出。原則として毎年見直し・更新

制度設計として注目すべき点が原典1(4)にあります。内閣府知的財産戦略推進事務局は「当該届出の内容について審査を行うものではなく、第三者からの照会等についても回答しない」と明記されています。事務局は届出のあった事業者の一覧とコーポレートサイト等のリンクを公表するにとどまります。つまり内容の妥当性を確かめる役割は、行政ではなく市場の側に置かれています。

対象となるのは誰か

対象は「生成AI開発者」と「生成AI提供者」の2種類で、いずれも公衆への提供が要件です。公衆とは不特定の者または特定多数の者を指します。

• 生成AI開発者：生成AIシステムを構築する役割を担う者であって、その開発に係る生成AIシステムを公衆に実質的に提供した者（目的、法人・個人の別を問わない）
• 生成AI提供者：生成AIシステムをアプリケーション、製品、既存のシステム、業務プロセス等に組み込んだサービス（生成AIサービス）を公衆に提供した者

海外企業も外れません。原典1(2)エは、日本国内に本店または主たる事務所を有しない生成AI事業者であっても、生成AIシステムやサービスが日本に向けて提供されている場合（日本国民が利用できる場合を含むがこれに限られない）には適用を受けるとしています。

原典が明記する「対象外」の類型

原典は対象外となる類型を、具体例を添えて列挙しています。自社の該当判定は、この対象外リストと突き合わせるのが最短の順序です。

類型	原典の扱い	該当しやすい企業像
公衆への提供を行わず、研究・開発を行っているにすぎない	生成AI事業者に該当しない	社内R&Dで検証中の企業
一の法人または個人が保有するデータのみを用いて特化させ、当該データ提供者またはその指定する限られた範囲の者のみに提供	開発者・提供者に含まれない	自社データだけで作った社内専用AI
特定の企業グループ・団体が保有し、所属法人から提供を受けたデータのみを用い、当該グループ等または指定する限られた範囲の者のみが使用（データ提供側の利用許諾がある場合に限る）	開発者・提供者に含まれない	グループ共通の社内AI基盤
委託等を受けて、モデル・アルゴリズム開発、データ収集（購入を含む）、前処理、学習・検証等の構築過程の一部のみを引き受けて納入する	原則として「生成AI開発者」に含まれない	開発工程を受託する下請け
委託等を受けて、システム検証、他システムとの連携実装、提供、利用者側の運用サポートの一部のみを引き受ける	原則として「生成AI提供者」に含まれない	導入・運用支援のみの事業者
第三者の権利を侵害する生成物が生成されるおそれが著しく低い	「生成AI事業者」に該当しない	統計・推論結果のみを出すAI（後述）

最後の類型は判断が分かれやすいため、原典の具体例をそのまま引く価値があります。原典は、次の生成物が「極めて高い頻度で生成される」システム・サービスの提供者は生成AI事業者に該当しないとしています。

• 既存の著作物の創作的表現を直接感得することができない生成物
• 意思決定に資する統計的データ、推論結果等にとどまる生成物

需要予測、異常検知、スコアリングのように出力が数値や判定にとどまるAIは、この類型に近い位置にあります。一方、文章・画像・デザインを生成して外部に提供するサービスは、対象として想定されている中心です。

業界特化AIは「条件付きで対象」

業界特化AIを提供する事業者は、条件によって扱いが分かれます。ここは自社開発のAIサービスを外販している企業にとって最も重要な分岐です。

原典1(2)ウは、上記の「限られた範囲のみへの提供」に該当しない限り、特定の業界に特化した生成AIシステム・サービスを開発または提供する者も生成AI事業者に該当し得るとしています。汎用モデルのライセンスを受けて業界向けに作り込み、その業界の複数社へ販売している場合が典型です。

ただし2つの緩和があります。第一に、その場合に各原則への対応が求められるのは汎用システムに付加した部分に限定され、汎用部分は元の提供元が原則を遵守することを想定しています。第二に、業界内の複数社から提供を受けたデータのみを用いて業界特化AIを開発し、当該複数社にのみ提供している場合は該当しません（原典の具体例では法人I〜Lの4社間で完結するケース）。

対象なら何をするのか（3つの原則）

対象事業者が対応するのは3つの原則です。原則1は全対象事業者が遵守するもので、原則2と原則3は照会への回答義務にあたります。

原則	内容	誰に対して
原則1	コーポレートサイト等で「概要開示対象事項」を開示し、権利者・利用者を含む全ての者が閲覧可能な状態にする	全ての者
原則2	学習・検証データに、照会されたURL等の情報が含まれているか否かを回答する	訴訟提起・調停申立て・ADR等の法的手続を現に行い、または準備している権利者、およびその委任を受けた弁護士等
原則3	生成物とプロンプトを示された場合に、類似コンテンツが掲載されたURL等が学習データに含まれるか否かを回答する	当該生成AIで生成物を作った利用者（訴訟等の目的では利用しない旨の誓約が要件）

原則1の開示項目は3分類に整理されています。

• 使用モデル関係：名称（識別子、バージョン等）／公開日を含む来歴／アーキテクチャ・設計仕様（第三者とのライセンス契約状況、必要なハードウェア・ソフトウェア等）／利用規定（想定用途と制限・禁止用途の明確化）／トレーニングプロセスの内容
• 学習データ関係：学習・検証に用いたデータの種類（RAGで用いるものを含む）、非公開データセット、公開データセット、その他の収集手段、合成データの利用有無と目的／クローラの目的・データ収集期間・名称・識別子・第三者クローラの利用有無
• アカウンタビリティ関係：追跡・遡及が可能な状態の内容（トレーサビリティ、責任者の明示、関係者の責任の分配、文書化）

知的財産権保護の措置としては、知財保護の原則策定と責任体制の明確化および年1回以上の見直しと要旨の外部公表、ペイウォール等のアクセス制限やrobots.txt 等の機械可読な指示に従うクローラの採用、ユーザーエージェントごとの措置の公開と変更時の通知、学習ログの一定期間の保持、いわゆる海賊版サイト等へのクロール回避、侵害生成物の生成を防止する技術的措置、電子透かしやC2PA等の出所・来歴を証明する技術的措置、権利者向け窓口の整備と申出要件の明確化・対応記録の保存が挙げられています。

開示に求められる粒度は、内閣官房が公開した別添の具体例集から読み取れます。モデル名は「○○ Ver2.1」、クローラは「○○bot：〇年〇月〇日より継続的に収集」、責任者は「〇〇社CAIOが責任者となり、同社〇〇チームの業務について責任を有する」といった記載例が示されており、抽象的な方針表明では足りない水準です。

「エクスプレイン」で済まない3つの場面

コンプライ・オア・エクスプレインは「説明すれば実施しなくてよい」制度ではありません。原典の細則は、エクスプレインとして不十分な場合を明示しています。

1. 体制がないという説明だけでは不十分：原則2・原則3について、原典は「本原則を実施する体制構築ができていないことを述べるだけでは『エクスプレイン』として不十分」とし、事業規模等を勘案しつつ体制構築が完了する時期を適切に説明することを求めています。
2. 利用規約で骨抜きにする場合も別途説明が必要：受入れ表明をしていても、利用規約等の規定で開示対象を限定するなど実質的に実施していないと評価できる場合は、別途エクスプレインを要します。契約や利用規約に原則の適用を撤廃・制限する規定（オーバーライド条項）が存在することを示すだけでは不十分で、なぜその規定を設けたのかの説明が必要とされています。
3. 技術的に不可能な場合は根拠を示せば足りる：一方、開示を行うことが技術的に不可能である旨を必要な根拠を示して述べた場合は、エクスプレインを行ったものとされます。

法的拘束力はないものの、受入れ表明をした事業者にとっては、実施しない選択が「なぜ実施しないのか」の公開説明とセットになる設計です。

対象外の企業にこそ効く ― AIベンダー選定の新しい確認項目

自社が対象外だった企業にとって、プリンシプル・コードは義務ではなく調達の判断材料として効きます。学習データの出所に起因する知財リスクは、AIを使う側にも生成物の利用を通じて及ぶためです。

ここで重要になるのが、前述した原典1(4)の一文です。内閣府知的財産戦略推進事務局は届出内容の審査を行わず、第三者からの照会にも回答しません。したがって「このベンダーの開示内容は十分か」を確かめる作業は、発注側が自分で行うしかありません。公表される事業者一覧は「届け出た事実」を示すもので、内容の妥当性を保証するものではないという前提で読む必要があります。

ベンダー選定・更新の場面で確認できる項目は4つです。

1. 受入れ表明をしているか、していないか。していない場合、その理由をどう説明するか。
2. 原則1の開示ページがあるか。あるとして、学習データの種類とクローラの名称・収集期間まで書かれているか、方針表明で止まっていないか。
3. エクスプレインしている原則はどれか。理由が「体制がない」だけで、完了時期の説明がない状態になっていないか。
4. 利用規約にオーバーライド条項があるか。開示対象を限定する規定があるなら、その理由の説明があるか。

AIベンダーの選定軸そのものについては生成AIの選び方2026｜「最強モデル探し」をやめる4つの軸、透明性義務が事業者区分で決まる構造の類例としてはEU AI法の透明性義務が適用開始｜日本企業が該当する3パターンも併せてご覧ください。国内のAI政策の全体像はAI基本計画（第2期）を経営者はどう読むかで整理しています。

経営・DX担当者が今週決められること

判定と準備は3つに分解できます。いずれも原典を読むだけで着手できます。

1. 自社の該当を判定する：生成AIを組み込んだサービスを外部の不特定または特定多数へ提供しているか。提供先が自社・自グループ・許諾済みの限られた範囲に閉じているなら、原典の対象外類型に当たる可能性が高くなります。判定結果は根拠となる原典の該当箇所とセットで残します。
2. 該当する場合は開示できる情報を棚卸しする：使用モデルのバージョン管理、学習データの取得経路、クローラの名称と収集開始日、責任者の所在。原則1の開示は、これらが記録されていなければ書けません。
3. 対象外でも発注側の確認項目に追加する：上記4項目をベンダー選定シートと契約更新のチェックリストに加えます。事務局が照会に答えない制度である以上、確認は自社の手続きに組み込むしかありません。

なお、自社が対象事業者に当たるかどうかの最終判断は、提供先の範囲やデータの利用許諾といった個別事情に左右されます。本記事は原典の定義と具体例に基づく整理であり、判断に迷う場合は原典の該当箇所を示して法務・顧問弁護士に確認することをおすすめします。事務局は個別の照会に回答しません。

よくある質問

自社データだけで作った社内専用の生成AIは、プリンシプル・コードの対象になりますか。

原典は、一の法人が保有するデータのみを用いて特化させた生成AIシステムを当該データ提供者またはその指定する限られた範囲の者のみに提供する者は、生成AI開発者・提供者に含まれないとしています。社内利用に閉じている限り原則として対象外です。

プリンシプル・コードに従わないと罰則がありますか。

罰則はありません。原典は「法的拘束力を有する規範ではない」と明記しています。ただし受入れ表明をした場合は、実施しない原則について理由を公開説明する必要があり、その説明内容が市場の評価にさらされる設計です。

海外のAIベンダーもプリンシプル・コードの対象ですか。

対象です。原典は、日本国内に本店または主たる事務所を有しない生成AI事業者でも、生成AIシステムやサービスが日本に向けて提供されている場合には適用を受けるとしています。日本国民が利用できる場合を含みます。

自社が対象事業者に当たるか、内閣府に確認できますか。

できません。原典は、内閣府知的財産戦略推進事務局が届出内容の審査を行わず、第三者からの照会等にも回答しないと明記しています。該当判定は原典の定義と具体例に照らして自社で行う必要があります。

まとめ

2026年8月25日に公表されたプリンシプル・コードで、経営とDXの現場が最初に決めるべきことは対応内容ではなく該当判定です。要点は3つに整理できます。

• 対象は「公衆に提供している生成AI開発者・提供者」に限られ、社内専用AI、グループ内AI、開発工程の一部受託、研究開発段階、侵害リスクが著しく低いAIは原典上の対象外類型に当たります。一方、業界特化AIを複数社へ外販している事業者は該当し得ます。
• 対象なら、原則1の開示は方針表明では足りません。別添の具体例集はクローラ名と収集開始日、責任者の所在まで書く水準を示しています。エクスプレインも、体制がないという説明だけでは不十分とされています。
• 対象外の企業には、AIベンダー選定の確認項目として効きます。事務局が届出を審査せず照会にも答えないため、開示内容の妥当性を判断するのは発注側です。

Auto-IDフロンティアの見立てでは、この制度の実務的な影響が最も大きいのは、罰則を課される事業者ではなくAIを調達する側です。行政が内容を保証しない仕組みである以上、「届け出ているか」ではなく「何をどこまで開示しているか」を読める発注側が有利になります。逆に確認を省く企業は、生成物の知財リスクを気づかないまま引き受けることになります。

まずは原典1(2)の対象外類型と自社のサービス提供範囲を突き合わせ、判定結果を根拠付きで残してください。そのうえで、対象外だった場合はベンダー確認の4項目を選定シートに追加する。この2つが今週着手できる作業です。該当判定の整理やAIベンダーへの確認項目づくりを一緒に進めたいという方は、AI導入相談フォームからお気軽にご相談ください。

出典・参考資料

• 内閣官房： 生成ＡＩの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル・コード
• 内閣官房： プリンシプル・コード 概要開示対象事項 具体例
• 内閣官房： AI時代の知的財産権検討会 開催状況
• ITmedia AI＋： 政府、AI事業者向け「知財保護ルール （2026年8月25日）