業界別規制の入口マップ

免責: 本記事は法的助言ではありません。規制・ガイドラインの内容の解説はせず、「自分の業界で Agent を作るとき、何を・どの一次情報発信源そのものの情報(論文の原典・公式ドキュメント・公式ブログ・規格本文・法令)。解説・まとめ(二次情報)と区別し、根拠は一次情報に置くのが情報リテラシーの基本。二次情報は「存在を知る」までに使い、一次まで遡って確かめる。で確認しに行くか」の所在(入口)だけを示します。個別案件の適法性判断は、必ず法務・コンプライアンス部門や専門家に確認してください。

この記事の目的

規制の厳しい業界(金融・医療・公共・教育など)で AI AgentLLM を判断の中枢に置き、ツールを使いながら、目標達成までの手順を実行時に自律的に決めて実行するシステム。 を企画・設計するとき、**着手前に確認すべき規制・ガイドラインの「在り処」**を短時間で特定できるようになります。あわせて、法務・コンプライアンス部門と協働するためにエンジニア側が準備すべきものを整理します。

本記事は鮮度リスクの高いページです。 挙げる文書の版数・構成は年単位で改版されるため、参照の際は必ず本文冒頭の最終確認日と各発行主体の公式ページで現行版を確認してください。

対象読者

• 規制産業(またはその顧客向け)で Agent 導入を企画・設計するエンジニア・テックリード
• 法務・コンプライアンス部門に「何を確認したいか」を持ち込む立場の人

前提知識

• コンプライアンスとガバナンス — 業界を問わない横断規制(AI 規制・個人情報保護)の正本。本記事はその 1 段下の業界層を扱います
• ユースケース発見と要件定義 — 規制確認の入力になる「何をやるか」の記述

本文

最終確認日: 2026-09-10 — 金融基準・FDA ガイダンス・個人情報保護法改正を再確認しました。他の入口は各参考資料のアクセス日と調査メモの確認日を参照してください。各文書の URL・確認の詳細は、リポジトリ内 research/supplementary/regulations.md の調査メモを参照してください(主要な一次情報は本記事末尾の参考資料にも掲載)。

概要: 規制は 2 層で確認する

Agent 案件で確認すべき規制・ガイドラインは、2 つの層に分かれます。

図を元の大きさで表示

図の中をスクロールして読めます。キーボードでは図の領域へ Tab で移動し、矢印キーを使います。読み終わったら、この見出しをもう一度選ぶと閉じます。

第 1 層(横断)はコンプライアンスとガバナンスが正本です。本記事は第 2 層 — 業界の主務官庁・公的機関・業界団体が出す規制・ガイドライン — の入口を業界別に示します。

内容の解説をしない理由は 3 つあります。(1) 業界規制は改版が速く、解説はすぐ陳腐化します(2026-07 時点で、後述の主要文書の多くが 2025〜2026 年に改版されたばかりです)。(2) 規制の解釈は文脈依存で、法的助言の領分です。(3) 一次情報(公式の本文)が常に正であり、必要なのは「どこを見るか」だけだからです。

使い方は次の 3 ステップです。

1. 第 1 層をコンプライアンスとガバナンスで確認する
2. 自分の業界の表から該当文書を特定し、発行主体の公式ページで現行版を確認する(Web 上の二次解説は旧版ベースのものが多く残っています。版数と公表年月を必ず突き合わせます)
3. 確認結果を持って法務・コンプライアンス部門と協働する(後述の「準備」を参照)

金融

金融は「監督当局(金融庁)・公的な安全対策基準(FISC)・業界自主ガイドライン」の 3 段で見ます。

注意点: 全国銀行協会名義の包括的な「生成 AI 利活用指針」は 2026-07 時点で確認できません(同協会の直近の AI 関連文書はサイバーセキュリティ観点のものです)。発行主体を取り違えないでください。海外参照としては、米国のモデル・リスク管理監督文書が SR 11-7(2011)から SR 26-2(2026-04)に置換されています。「金融 AI ガバナンスの古典 = SR 11-7」という定番の記述は 2026 年時点では現行版の確認が必要です。

医療

医療は 3 つの象限に分けると迷いません。

注意点: 3 省 2 ガイドラインは両方とも 2025〜2026 年に改版されており、旧版(第 6.0 版・第 1.1 版)の解説と区別します。海外参照では、FDA の AI 医療機器ライフサイクル管理ガイダンス(TPLC)は 2025-01-07 版が Draft、事前に変更管理計画を審査する PCCP ガイダンスは 2025-08-18 版が Final です。臨床意思決定支援ソフトウェア(Clinical Decision Support Software、CDS)は 2026-01-29 版が Final であり、文書名と Draft / Final を別々に確認します(2026-09-10 の FDA 公式索引)。

公共・行政

第 2.0 版は 2026-06-12 決定と新しく、二次解説の多くは第 1.0 版(2025-05)ベースです。

教育

個人情報保護法改正は 2026-07-10 成立・2026-07-17 公布(令和 8 年法律第 56 号)です。主な施行日は公布から 2 年以内の政令指定日で、2026-09-10 時点では未確定です。一部罰則は 2027-01-17 に施行されます。業界を横断する準備事項はコンプライアンスとガバナンスで確認します。

法務と協働するための準備

規制対応は「法務に丸投げ」でも「エンジニアが独自解釈」でも失敗します。該当性の判断は法務・専門家の領分、判断材料を揃えるのはエンジニアの領分です。持ち込むべき材料は 4 点です。

1. データフロー図: どのデータ(個人情報・医療情報・取引情報)が、どこから来て、どこ(モデル API・ログ・外部サービス)へ行くか。所在地(リージョン)も含めます(会話データの管理基盤)
2. 自律度と人の関与点: Agent が何を自動で行い、どこに人の確認が入るか(Human-in-the-Loop 設計)。「人間による監視」は多くの規制・ガイドラインの中心的な関心事です
3. 記録の設計: 何をログし、どれだけ保持し、誰が見られるか。監査・説明責任への回答になります
4. 該当しうる文書の候補リスト: 本記事のマップから当たりを付けた文書名と版数。「ゼロから調べてください」ではなく「この 3 つに該当しそうか確認したい」と持ち込むと、協働が速く回ります

このプロセスは PoC本番導入を判断するために必要な「問い」を、期間を区切って検証する使い捨て前提の試作。デモの成功ではなく、本物のデータ分布での測定結果を成果物とする。 → 本番の関門(PoC から本番への進め方)に組み込み、本番化の直前ではなく PoC の設計段階で始めます。

更新の追い方

• 発行主体の公式ページを起点にする: 主務官庁のプレスリリース・審議会ページが一次情報です。まとめ記事は「存在を知る」までに使い、根拠には使いません
• 版数と確認日を記録する: 設計文書・社内 wiki に「何版を・いつ確認したか」を残します。AI インベントリ(コンプライアンスとガバナンス)に確認済み規制の欄を持たせると一元管理できます
• 四半期ごとに見直す: 本記事の表にある文書だけでも、2025〜2026 年に多くが改版されています。四半期の定点観測に業界規制の版数確認を含めます

実務での注意点

アンチパターン

チェックリスト

関連トピック

• コンプライアンスとガバナンス — 横断層(第 1 層)の正本
• PoC から本番への進め方 — 規制確認を組み込む関門
• ユースケース発見と要件定義 — 規制確認の入力(何をやるか・どのデータを使うか)
• 会話データの管理基盤 — データフロー・保持・削除の実装側
• Human-in-the-Loop 設計 — 「人間による監視」の設計
• 企業システム環境の制約と対応 — 規制産業でコーディングエージェントコードベースを読み、ファイルを編集し、コマンドを実行して検証するループで開発タスクを遂行する Agent。コード補完と異なり「タスク単位の委任」を受けられる。を使う際の提供形態・データ経路の判断
• AI と著作権・知的財産の入口マップ — 同じ入口マップ方式の知財版(業界規制とは別の確認軸)
• 教育・学習支援エージェントの設計 — 教育分野の規制・子どものデータ保護の確認先(本マップの教育の項へ接続)
• AI と地政学・輸出規制の入口マップ — 同じ入口マップ方式の地政学・輸出規制版(業界規制とは別の確認軸)

参考資料

• 金融庁 AI ディスカッションペーパー(第 1.1 版)  — 金融分野の AI 利活用の論点整理(アクセス日: 2026-07-07)
• FISC 安全対策基準 第 14 版  — AI・生成 AI、サイバーセキュリティ、PQC を含む公表概要(アクセス日: 2026-09-10)
• FISC 2026 年トピックス  — 第 14 版の発刊日(アクセス日: 2026-09-10)
• FDUA 金融生成 AI ガイドライン 第 1.2 版  — Agent 関連のリスク対応を拡充した版の公表(アクセス日: 2026-09-10)
• FDA: Guidances with Digital Health Content  — 文書ごとの発行日と Draft / Final の索引(アクセス日: 2026-09-10)
• 医療情報システムの安全管理に関するガイドライン(厚生労働省)  — 第 7.0 版の掲載ページ(アクセス日: 2026-07-07)
• 医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン 第 2.0 版(総務省プレス)  — 3 省 2 ガイドラインの事業者側(アクセス日: 2026-07-07)
• PMDA プログラム医療機器 一元的相談窓口  — 医療機器該当性・薬事・保険の相談先(アクセス日: 2026-07-07)
• デジタル庁 DS-920 第 2.0 版の決定(ニュース)  — 行政の生成 AI 調達・利活用ガイドライン(アクセス日: 2026-07-07)
• FRB SR 26-2: Revised Guidance on Model Risk Management  — SR 11-7 を置換した米国のモデル・リスク管理監督文書(アクセス日: 2026-07-07)
• NIST AI Risk Management Framework  — 米国の AI リスク管理フレームワーク(アクセス日: 2026-07-07)

上記以外の文書(FDUA・HAIP・JaDHA の業界自主ガイドライン、文部科学省ガイドライン、FDA ガイダンス等)の URL と確認状況は research/supplementary/regulations.md に整理しています。

TODO・未確認事項

変わりやすい項目(定点観測)