生成AI調達ガイドライン2.0とは？2026年9月1日施行、民間が使える調達・契約チェック

生成AI調達ガイドライン2.0とは？2026年9月1日施行、民間が使える調達・契約チェック

「行政向けのガイドラインだから、うちには関係ない」——デジタル庁が改定した生成AIの調達・利活用ガイドラインを見て、そう判断してしまうと、社内ルールをゼロから作り直す手間を見逃すことになります。中身を見ると、生成AIを調達・契約・運用するときに何を確認すべきかが、21項目のチェックシートという具体的な形でまとまっているからです。

この記事では、デジタル庁「DS-920 行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」2.0版の施行内容を一次情報から整理し、行政向け文書を民間企業がどう読み替えて使えるかを扱います。

先に前提を置きます。この記事は、デジタル庁「デジタル社会推進標準ガイドライン」一覧ページ（https://www.digital.go.jp/resources/standard_guidelines）と、同ページに掲載されているDS-920の概要PDFにもとづいています。一覧ページは筆者自身が内容を確認しましたが、概要PDFは取得時の文字コードの問題で本文を直接読めなかったため、検証済みの要約記録を根拠として使っています。PDFの逐語的な条文は本記事では引用せず、内容の要約として書きます。

30秒で要点

• DS-920「生成AIの調達・利活用に係るガイドライン」2.0版は2026年9月1日に施行される。AIガバナンスの枠組み（体制面）は2026年7月1日から先行適用済み
• 文書の位置づけはNormative（順守すべきルール）。ただし対象は各府省であり、民間企業への法的拘束力はない
• 概要PDFの別添に「高リスク判定シート」「調達チェックシート」「契約チェックシート」があり、調達チェックシートは3グループ21項目で構成される
• 全項目一律適用ではなく、調達形態やリスクレベルに応じて各府省が適用範囲を判断する前提が明記されている

このガイドラインは、何を定めた文書なのか

デジタル庁の「デジタル社会推進標準ガイドライン」一覧ページには、「DS-920 行政の進化と革新のための生成AIの調達・利活用に係るガイドライン」が掲載されています。策定日・最終改定日は2026年6月12日で、文書の位置づけは「Normative」——つまり参考情報ではなく、順守すべきルールを定めたものとして分類されています。

ここで注意したいのは、このページ自体の最終更新日が2026年7月15日と表示されている点です。ガイドライン本体の改定日（6月12日）とページの更新日（7月15日）は別の情報で、混同すると「いつの版を見ているのか」がずれます。行政文書を参照するときは、本文の改定日とWebページの更新日を分けて確認する習慣が必要です。

2.0版の内容は2026年9月1日から施行されます。ただし、全体が一斉に始まるわけではありません。AIガバナンスの枠組み——CAIOの配置など体制に関わる部分——は、それより前の2026年7月1日からすでに先行適用されています。「施行日はいつか」という質問に対して単一の日付で答えると、この2段階構成を見落とします。

なぜ「行政向け」を「自分には関係ない」と読んでしまうのか

このガイドラインを見た人の多くは、タイトルの「行政の進化と革新のための」という言葉と、対象読者が「各府省」であることから、内容を自分ごととして読まずに通り過ぎてしまいます。この反応は不自然なものではありません。人は文書のタイトルや宛先を見た時点で、その先の中身を精査するかどうかを決めてしまう傾向があるからです。

しかし、この文書の価値は「誰に強制力があるか」ではなく「何をチェック項目として言語化しているか」にあります。政府が自らの調達・契約プロセスのために作った具体的なチェックリストは、多くの企業がまだ持っていない「生成AIを調達・契約するときに何を確認すべきか」の型そのものです。Normativeという位置づけは各府省に対する拘束力の話であり、民間企業がその中身を参考にして自社ルールを作ることを妨げるものではありません。

体制面：CAIOとアドバイザリーボード

ガイドラインの体制に関する部分では、各府省に「AI統括責任者（CAIO）」を置くことが定められています。CAIOは、その府省における生成AIの利活用状況の把握・推進と、ガバナンス・リスク管理を総括する役割を持つとされています。

これとは別に、デジタル庁側には「先進的AI利活用アドバイザリーボード」と「AI相談窓口」が設けられています。高リスクと判定された生成AIについては、このアドバイザリーボードへ報告し、助言を受ける流れが想定されています。つまり、各府省内の一次責任者（CAIO）と、府省横断で高リスク案件を見る組織（アドバイザリーボード）という、二層の体制になっています。

自社に置き換えるなら、「誰が生成AI利用の是非を最終判断するか（CAIOに相当する役割）」と「その判断に迷ったときに相談できる窓口があるか（アドバイザリーボードに相当する機能）」の2つが、体制設計の最小構成として参考になります。

調達・契約チェックシート：21項目という数の中身

概要PDFの別添には、「高リスク判定シート」「調達チェックシート」「契約チェックシート」の3種類が用意されています。このうち調達チェックシートは、3つのグループ——ガバナンス項目、開発運用プロセス要件項目、生成AIシステムの要件項目——にわたる合計21項目で構成されています。各グループにいくつの項目が含まれるかという内訳の数字までは、今回参照した要約の範囲では確認できていません。

項目の中身としては、ベンダーロックインの回避、モデルアップデートへの対応、検証可能性、説明可能性といった論点が含まれることが確認されています。これらは、生成AIベンダーを選定する際に発注側が見落としがちな観点でもあります。「今使っているモデルが更新・廃止されたときにどう乗り換えるか」「AIの判断根拠をどこまで説明できるか」は、契約時点で確認しておかないと、後から交渉の余地がなくなる性質の項目です。

官公庁に生成AIシステムを提供する事業者は、何を準備すべきか

ここまでは調達する側（各府省、あるいはそれを参考にする民間企業）の視点で見てきましたが、生成AIシステムを官公庁に提供する事業者にとっても、このチェックシートの存在は無視できません。契約チェックシートに含まれる論点——ベンダーロックインの回避、モデルアップデートへの対応、検証可能性、説明可能性——は、いずれも提案・見積もりの段階で発注側から問われる可能性がある項目だからです。

たとえば「ベンダーロックインの回避」という論点は、裏を返せば「自社の生成AIシステムを、他社製品に乗り換え可能な形で提供できるか」という問いになります。API（システム連携の窓口）の仕様やデータ形式が特定ベンダーの独自仕様に閉じている場合、この項目への回答が難しくなります。「モデルアップデートへの対応」も同様に、基盤モデルが更新・廃止された場合の移行手順や互換性保証を、契約前に説明できる状態にしておく必要があります。

「検証可能性」「説明可能性」については、生成AIの出力がどのような根拠にもとづくかを、発注側の担当者（技術に詳しいとは限らない）に説明できる形で用意しておくことが求められます。これは技術的な精度の話ではなく、「なぜその出力が出たのかを、後から人間が追跡・説明できるか」という運用設計の話です。官公庁案件に限らず、生成AIシステムを外部に提供する事業者は、この4つの論点に対する自社の回答を、提案書のテンプレートとして事前に用意しておくと、個別の商談のたびに一から準備する手間を減らせます。

21項目は「全部満たすもの」ではない

ここが読み違えやすいポイントです。チェックシートという形式を見ると、「21項目すべてを満たさなければ調達できない」という一律適用の基準だと受け取りがちです。しかしガイドライン自身は、「適用項目や適用方法については、個別の生成AIシステムの調達形態やリスクレベルに応じて、AI相談窓口とも連携しつつ各府省において判断する」と注記しています。

つまり、21項目はチェックリストというより、判断のための論点集です。低リスクな小規模導入と、行政サービスの根幹に関わる高リスクなシステム導入とでは、確認すべき項目の重みが変わることが前提になっています。この設計思想は、民間企業が自社のチェックリストを作るときにもそのまま使えます。すべての生成AI利用に同じ厳しさで21項目を課すのではなく、利用規模やリスクに応じて確認の深さを変える、という考え方です。

確かなことと、まだ確かではないこと

確かなこと：DS-920が2026年6月12日に策定・最終改定され、2.0版が2026年9月1日に施行されること。AIガバナンスの枠組みが2026年7月1日から先行適用されていること。文書の位置づけがNormativeであり、CAIOと先進的AI利活用アドバイザリーボードという体制が定められていること。調達チェックシートが3グループ21項目で構成され、全項目一律適用ではないと注記されていること。

まだ確かではないこと：概要PDFの逐語的な条文（各項目の正式な文言や、グループごとの項目内訳の数）は、筆者自身が原文を確認できていないため、本記事では要約にとどめています。正確な文言が必要な場合は、デジタル庁が公開している概要PDFの原文を直接参照してください。また、このガイドラインが民間企業向けの調達・契約実務にどこまで応用可能かは、各社の生成AI利用状況によって異なり、一般化はできません。

判断軸の提示

ここまでの整理から、生成AI利用ルールをこれから作る、または作り直す立場の人に向けて、判断軸を1つ提案します。

「誰が最終判断を持つか」と「どのリスク水準に何を確認するか」を、別々の設計課題として分けて考えること。

体制面（CAIOに相当する役割を誰が担うか）と、チェック項目面（調達・契約時に何を確認するか）は、どちらか一方だけを整えても機能しません。責任者を置いても確認項目が曖昧なら判断がぶれますし、詳細なチェックリストがあっても最終判断者が不明確なら、誰も実行に移せません。DS-920の構成——体制の定義とチェックシートの両方を持つ——は、この2つを同時に設計する必要があることを示しています。

自分でも試せる、最小の検証

自社で現在使っている（または導入を検討している）生成AIサービスを1つ選び、DS-920の調達チェックシートに含まれることが確認されている4つの論点——ベンダーロックイン回避、モデルアップデートへの対応、検証可能性、説明可能性——について、それぞれ「確認済み」「未確認」のどちらかを付けてみてください。

4つのうち2つ以上が「未確認」であれば、それは生成AI導入の技術的な失敗リスクではなく、契約・調達段階でのチェック漏れです。本格的な21項目のチェックリストを作る前に、この4項目だけでも自社の契約プロセスに組み込めるかを検討することが、最小の第一歩になります。

この記事で扱ったような、生成AI利用ルールの整理を自社の状況に照らして進めたい場合は、無料診断ツールで状況を言語化するところから始めることができます。