AIとデータ規制:2026年アジア太平洋の法規制マップ

2026年1月22日、韓国のAI基本法が施行され、欧州連合以外で世界初となる包括的な横断的AI法制を持つ国となった。その3週間前には、中国のサイバーセキュリティ法改正により、AI関連の罰金上限が5000万人民元または前年度売上高の5%に引き上げられていた。2026年2月だけで、中国当局はGB 45438-2025という国家標準に基づくAI生成コンテンツの表示義務違反を理由に、13,421件のアカウントを処罰し、54万3000件超のコンテンツを削除した。

AIとデータ規制がこれほどの速度で、しかも同時にこれほど多方向に展開している地域は他にない。中国はAI特有の罰金ではなく、既存のサイバー法・データ法に基づくキャンペーン型の一斉取締りによって法執行を行っている。日本は直接的な罰則を伴わない推進型の法律を選択した。韓国は法制化こそ最初に行ったが、自らの法執行を1年延期した。インドは長年待たれたデータ保護規則を公示したものの、実体的な義務は2027年5月まで先送りした。シンガポール、オーストラリア、香港は依然として自主的な枠組み、意見募集文書、停滞した改正法案の段階にある。

この地域を担当するコンプライアンスチームにとって、実務上の問いは「この国にAI法があるか」ではない。今日実際に執行可能な規範はどれか、どの行為に対してか、そしていつその状況が変わるか、である。

アジア太平洋地域でAI特有の規則を積極的に執行している国はどこか

AIコンテンツとモデルに特化した罰金・停止措置の執行体制を実際に運用しているのは中国のみであり、韓国はAI特有の法律が施行済みながら執行を停止している。中国の生成AIサービス管理暫定弁法は2023年8月15日から施行されており、一般向けの生成AIサービスは提供開始前に国家网信办（サイバースペース管理局）へのセキュリティ評価とアルゴリズム届出の完了を義務付けている。2026年3月17日時点で、796のサービスが国レベルで届出を完了し、さらに481が地方レベルで届出を行った。届出を怠った事業者はサービス停止を命じられる。直近では2026年4月に開始された4か月間の特別行動である「清朗」キャンペーンが、未登録の大規模モデルと表示のない合成コンテンツを対象としているが、これは生成AI管理弁法自体（罰金上限は10万人民元）ではなく、サイバーセキュリティ法、個人情報保護法、データセキュリティ法を適用根拠としている。

韓国のAI基本法は2026年1月22日から施行され、AIとの対話をユーザーに通知しない場合、国内代理人を選任しない場合、または是正命令に従わない場合について、最大3000万ウォンの行政罰金を規定している。科学技術情報通信部は事実調査と罰金について正式な1年間の猶予期間を実施しており、その間は重大な社会的被害や人権侵害を伴う事案に限って適用し、通常の法執行は2027年1月22日前後に再開される見込みである。

日本のAI推進法は企業に実際に何を求めているのか

直接的に執行可能な義務はほぼ皆無であり、それこそがこの法律の趣旨である。人工知能関連技術の研究開発及び活用の推進に関する法律は2025年5月28日に成立し、2025年9月1日に全面施行され、内閣総理大臣を本部長とするAI戦略本部を設置し、2025年12月23日に策定されたAI基本計画を義務付けている。同法には罰金も直接的な禁止事項も存在しない。政府が有する手段は協力要請、指針の提示、および非遵守行為の公表のみである。

日本におけるAI利用に関する拘束力のある義務は、依然として既存の分野別法制、とりわけ個人情報の保護に関する法律（個人情報保護法）から生じており、これに経済産業省・総務省による法的拘束力のない「AI事業者ガイドライン」（バージョン1.1、2025年3月）が加わる。内閣府は2026年1月に生成AIに関する原則と行動規範についての意見募集を完了し、知的財産およびデータの透明性に関する更なる非拘束的な指針として発出される見込みである。2026年時点で日本国内でAIを運用する企業は、AI推進法そのものではなく、個人情報保護法への準拠と自主的なガイドラインへの整合性によって評価される。

インドの個人データコンプライアンスは今から2027年までにどう変わるのか

2023年のDPDP法に基づき2025年11月13日に公示された2025年デジタル個人データ保護規則は、一度にではなく三段階に分けて施行される。データ保護委員会の設立と規則制定の枠組みを対象とする規則1、2、17から21は、2025年11月13日に即時施行された。同意管理者の登録枠組みを定める規則4および対応する第6条第9項は、2026年11月13日に施行される。ほとんどのコンプライアンスチームが実際に待っている中核的な義務、すなわち通知および同意の要件、侵害通知、児童データの保護、重要データ受託者の義務、そして第3条から第17条および第28条から第34条に基づく罰則・不服申立ての枠組みは、2027年5月13日まで施行されない。

この18か月間の準備期間は意図的なものだが、DPDP法を「まだ現実味がない」ものとして扱うチームにとっては罠にもなり得る。委員会は既に活動を開始しており、規則制定は現在進行中である。2027年5月以降の審査に耐えられる体制は、期限直前の四半期に急いで組み立てるのではなく、2026年中に設計しておく必要がある。

シンガポールは拘束力のあるAI法なしにどのようにAIを統治しているのか

情報通信メディア開発庁が発出する自主的な枠組みを通じて、完全に運用されている。直近ではこの枠組みが自律的なAIエージェントにも拡張された。2026年1月22日に発表された「エージェント型AIのためのモデルAIガバナンス枠組み」は、エージェント型システムを特に対象とした世界初のガバナンス枠組みであり、4つの観点で構成されている。すなわち、用途選定と最小権限アクセスによる事前のリスク限定、明確な人間の責任分担の割り当て、エージェントのライフサイクル全体にわたる技術的統制の組み込み、そして最終利用者の責任の実現である。いずれも法的拘束力はないが、情報通信メディア開発庁は、この枠組みへの整合が法的リスク管理に資すると述べており、これはエージェント型AIを導入する組織が、当該枠組みの自主的な性質にかかわらず、既存法の下でその行為について責任を負い続けることによる。

シンガポールはこれを、2024年の「生成AIのためのモデルAIガバナンス枠組み」および個人データ保護委員会と共同で構築したAI検証ツールキット「AI Verify」の上に積み重ねている。2026年2月、リー・シェンロン首相（当時）は新たな国家AI評議会と、製造業、通信、金融、医療を対象とする国家AIミッション群を発表し、シンガポールの当面の規制姿勢が横断的なAI法ではなく、なおソフトローと分野別ミッションにあることを示した。

オーストラリアと香港で今実際に執行可能なものは何か

オーストラリアでは既に具体的な期限が定まっている。2026年12月10日から、2024年プライバシー及びその他の法律改正法により、APP対象事業者は、個人の権利や利益に重大な影響を及ぼし得る決定を行う、または実質的かつ直接的に支援するコンピュータープログラムが使用する個人情報の種類を、そのプライバシーポリシーにおいて開示することが義務付けられる。この義務はAIを活用したシステムとルールベースのツールの双方を対象とし、人間が形式的にプロセスに関与している場合であっても適用され、基礎となるシステムがいつ導入されたかにかかわらず、その日以降に行われる決定に及ぶ。オーストラリア情報コミッショナー事務局は2026年5月18日に実施指針に関する意見募集を開始し、6月15日に締め切ったが、最終指針は2026年9月頃までに公表される見込みであり、事業者はそれを待たずにコンプライアンス対応を始めざるを得ない状況にある。

香港には同等の期限が存在しない。義務的な侵害通知、売上高に連動した行政罰金、データ処理者への直接的な規制を含む個人データ（プライバシー）条例の改正案は、2025年に立法会で審議されたが、2026年半ば時点でも、事業への負担を懸念して停滞していると報じられており、成立した法律ではなく提案のままである。これが存在しない間、個人データプライバシー専員は、法的拘束力のない2024年版モデル個人データ保護枠組みと、従業員による生成AI利用に関する2025年3月版チェックリストを通じてAIを統治している。一方、これとは別の重要インフラ（コンピューターシステム）保護条例は2026年1月1日に全面施行され、指定された重要インフラの運営者にサイバーセキュリティ上の義務を新たに課している。

北京語、韓国語、日本語、英語で7つの規制動向を並行して追い、各省庁が新たな通達を出すたび、あるいは議会が法案を委員会から報告するたびにそれぞれを再確認する作業は、アジア太平洋全域を対象とする限り、一人のコンプライアンス責任者が手作業で維持できる規模ではない。Obsidianの法域別モニタリングは、国家网信办の届出登録簿からインドの官報通知まで、各当局の公式ソースを公表時点で追跡し、企業のウォッチリストに既に含まれる枠組みに関わる具体的な措置を検知する。

ダッシュボードではなく業務フローの中で同じ裏付けのある回答を必要とするチームには、MCPが、他のコンプライアンス業務を既に処理しているAIアシスタントに対し、担当者が一次資料を再確認することなく、科学技術情報通信部の猶予期間が実際に終了したか、あるいはオーストラリア情報コミッショナー事務局が自動意思決定に関する指針を既に公表したかを確認させる。Obsidianの AIはこのやり取りにおいて規制の伴走者として機能し、回答に署名するコンプライアンス責任者の代替ではない。単に、裏付けのある事実を期限が過ぎた後ではなく、その前に届けるのである。

アジア太平洋地域のAI・データガバナンスチームが次に取るべき対応

作業は見出しではなく執行可能な日付を基準に順序付けるべきである。中国に事業展開があるチームは、執行の一斉取締りが四半期ごとに行われるため、生成AIの届出とGB 45438の表示対応を今すぐ最新の状態にしておく必要がある。韓国のチームは、2027年1月前後に猶予期間が解除される前に、AI基本法のコンプライアンス基盤を整えておく必要がある。インドのチームは、2027年5月にDPDPの中核的義務が施行された後に委員会の審査に耐えられるよう、2026年中に同意・侵害対応の体制を設計しておく必要がある。オーストラリアのチームは、2026年12月10日より前に、プライバシーポリシーの記載内容と決定の目録を整えておく必要がある。

Obsidianのプランは、まさにこの種の非同期・多法域にわたるAI・データガバナンスの日程を、公式ソース一件ごとに追跡するために構築されており、次の国家网信办の通達、科学技術情報通信部の指針、あるいはオーストラリア情報コミッショナー事務局の決定が、見出しになる前にコンプライアンスチームに届くようにする。