中国の新しいAI規制、今やあなたのコンプライアンス課題に。

北京の規制は国境で止まりますが、監査証跡の義務は止まりません。

2026年7月16日、29カ国の代表が上海に集まり、世界AI協力機構（WAICO）の設立を発表しました。これは、中国を本部とする新たなグローバルAIガバナンス調整機関です。インドネシア、ブラジル、マレーシア、ロシア、パキスタン、カザフスタン、その他20カ国以上が創設メンバーとして署名しました。国連のアントニオ・グテーレス事務総長も開幕式に出席しましたが、G7諸国やEUはいずれも参加しませんでした。

しかし本当の話はそこではありません。注目すべきは、この発足前後の数週間に中国の規制当局内部で何が起きていたかです。5週間の間に4つの規則と1つの法案が登場し、それらは中国子会社、中国拠点のベンダー、または中国の金融機関と取引のある多国籍企業すべてに適用されます。たとえ中国国内で製品を販売したことがなくても、対象となります。

私が繰り返し考えるのは、今年、グローバルなAIガバナンスが単一の規格へ収束する流れが止まり、競合するブロックへと分裂し始めたことです。そして最も動きの速いブロックが、自国の国境を越えてあなたのデスクにまで届く新たな規則を策定したのです。

エグゼクティブサマリー

主なポイント： この夏の5週間で、中国はAI対話サービス、銀行、越境データ転送、サイバーハラスメントに関する4つの規則と1つの法案を発表しました。これらの規則は、中国子会社、中国拠点のベンダー、または中国の金融機関と取引のある多国籍企業すべてに適用され、中国国内で製品を販売したことがなくても対象となります。

なぜ重要か： グローバルAIガバナンスは単一規格への収束ではなく、競合するブロックへの分裂が進んでいます。そして最も動きの速いブロックが、自国の国境を越えて規則を策定しました。もしあなたのデータ、ベンダー、銀行取引が中国やその新たな協調機関の29カ国に関わる場合、すでに複数のルールブックに従う必要があり、中国の新要件は抽象的な原則ではなく、具体的かつ監査可能な証拠の提出義務を伴います。

主なポイント

1. 中国は5週間で4つの規則と1つの法案を発表し、いずれも中国拠点がなくても適用されます。 適用の引き金はデータの越境であり、企業の現地拠点の有無ではありません。子会社、ベンダー契約、銀行取引があれば規則の対象となります。
2. WAICOは単なる写真撮影の場ではなく、実質的な規制ブロックです。 29の創設国、上海の本部、国連事務総長の出席は制度的な節目を示しています。G7やEU加盟国は参加していません。
3. 中国の新規則は意図ではなく証拠を求めます。 銀行ガイダンスでは、個人情報をAIの学習データとして使用することを禁止し、外部調達モデルの規制当局への届け出を義務付けています。いずれも特定の日付・書類で証明可能な義務です。
4. リスクは企業の拠点ではなく、データの流れで決まります。 個人情報、履歴書、財務記録、学習データなどがどの経路で中国に渡るかが対象範囲を決め、現地拠点の有無は関係ありません。
5. 新規則ごとに追いかけるより、データ自体を管理する方が効率的です。 データ分類と地理条件付きポリシー、監査証拠があれば、新たな規則ごとにメモを作成する必要がなくなります。

この夏、中国で実際に変わったこと

まずは仕組みから見ていきましょう。多くの「AI規制」報道よりも具体的です。中国の「AI対話サービス暫定管理措置」は2026年7月15日、WAICO設立の前日に施行されました。この措置は、人間のような対話を模倣するAIサービスに対し、ライフサイクル全体のリスク評価、倫理審査、コンテンツ監視、インシデント対応プログラムを義務付けます。また、「未成年者モード」や14歳未満の利用者に対する保護者同意・利用制限、未成年向けバーチャルコンパニオンやバーチャル親族サービスの全面禁止、感情操作的な設計の一般的禁止も定めています。複数の中国大手プラットフォームは、規則への対応が間に合わず、ロールプレイやコンパニオン機能を一時停止しました。これは象徴的な規則への象徴的な対応ではありません。

1カ月前の6月18日には、中国国家金融監督管理総局が「銀行・保険分野におけるAIの安全な発展と応用に関する指針」を発表。7つの柱・32原則からなり、銀行や保険会社は高リスク用途でAIを導入する際、リスク管理委員会の承認が必要となりました。また、個人情報をAI学習データとして使用することを禁止し、外部調達AIモデルは中国サイバースペース管理局（CAC）への届け出が義務付けられています。

さらに、CACは越境データ転送の仕組みを明確化する新たなQ&Aガイダンスを公開しました。「個別同意」開示に必要な内容、履歴書のような日常的な転送に「必要性」テストがどう適用されるか、既承認転送の更新条件などが示されています。7月29日には、ディープフェイクやプロファイリングによるハラスメントを禁止する「国家サイバー暴力防止法案（パブリックコメント用）」も発表されました。Reed SmithのBarbara Li氏が2026年8月6日のIAPPアジア太平洋レポートでこの一連の動きを解説しています。これらを総合すると、単なる政策発表ではなく、規制当局が複数の分野で同時に締め付けを強化している様子が浮かび上がります。

ブロック問題

WAICOは、単なる写真撮影の場以上の意味を持ちます。29の創設国、上海の常設本部、国連事務総長の出席。中国国営メディアは設立を重要な制度的節目として報道し、The Diplomatの分析も同様の扱いです。G7やEU加盟国は参加していません。

この不在こそがポイントです。AIガバナンスは、EU AI法、米国のアプローチ、中国の枠組みが最終的に一つのルールブックに収束する流れではありません。並行する複数のシステムへ分裂し、ブラジルやインドネシアなどの大国がブリュッセルやワシントンではなく上海に軸足を置き始めています。サプライチェーンや銀行取引、データフローがこれら29カ国のいずれかに関わる場合、すでに複数の法域のルールブックの中にいることになります。自社のコンプライアンスチームがそれを把握しているかどうかは別問題です。

なぜ状況が悪化したのか

分断化だけでも厄介ですが、2026年の違いは、中国の新規則が抽象的な原則ではなく、具体的かつ監査可能な証拠提出義務を伴う点です。

NFRAの銀行ガイダンスが最も分かりやすい例です。「個人情報をAIモデルの学習に使わない」「外部調達モデルはCACに届け出る」といった内容は、啓発キャンペーンではありません。規制当局が特定の日付・書類で証明を要求できる義務です。CACの越境Q&Aも、中国のデータ転送規則の実質を緩和するものではありません。企業がグレーゾーンを主張できた曖昧さが排除され、より明確なルールとなり、抜け道が減りました。

これは中国だけの問題ではありません。Kiteworksの2026年データセキュリティ＆コンプライアンスリスク予測レポートによれば、すでに34%の組織が越境データ転送の仕組みを最重要規制課題に挙げ、29%がAIベンダー経由の越境転送をデータプライバシーリスクとして認識しています。これは北京の新たな規則が登場する前の数字です。唯一の救済策は2026年9月1日から適用されます。10万人未満の個人データを扱う企業は中国で「小規模個人情報取扱者」として、通知・同意の簡素化や監査サイクルの延長が認められますが、この適用を受けるにも閾値に対する人数把握が必須であり、分類作業はどのみち必要です。

アーキテクチャの課題

Kiteworksは中国市場で販売していないため、ベンダーとしての利害はありません。ここでのポイントは、この夏の新規則によるリスクは中国拠点の有無ではなく、データが国境を越えるかどうかで決まるということです。個人情報、履歴書、財務記録、モデル学習データが、子会社、ベンダー契約、銀行取引など、どの経路であれ中国に渡れば対象となります。企業拠点の有無は分析単位として不適切で、データの越境こそが本質です。

この視点で対応を再構築しましょう。中国の新規則ごとにポリシーメモを作成して追いかけるのは、WAICO加盟国、EU規則、米国州法を同時に管理する状況ではスケールしません。スケールするのはデータ自体の管理です。対象範囲を示す分類、分類に基づき自動で動作する地理条件付きポリシー、そのポリシーが守られたことを証明する監査証拠。このレイヤーこそ、規制当局がますます要求しているものです。2026年予測レポートでも、証拠品質のこのレイヤーが不足している組織は33%に上り、AIガバナンス成熟度の低さと相関しています。

具体的には、属性ベースのデータポリシーエンジンを使い、（例えば「ジオロケーションが中国か否か」など）記録された値に応じて段階的な対応（ブロック、承認要求、タグ付け、閲覧専用化など）をメール、ファイル共有、API、SFTP、マネージドファイル転送、AIアプリケーションが利用するSecure MCP Serverなどの送信・共有・アップロード・添付アクション全体に適用します。ファイルに触れる人もAIエージェントも同じポリシー下に置かれ、どちらも管理外にはなりません。さらに、ユーザーのデータを割り当て国に固定し（保存・転送時とも）、ロケーションレポート機能を備えたデータ主権コントロールを導入すれば、監査人はポリシー文書以外の実証資料を確認できます。これらは中国で事業を展開していなくても可能であり、必要なのはデータが越境する国境の管理です。

月曜日の朝にやるべきこと

• 中国に関わるすべてのデータフロー（子会社、ベンダー契約、銀行取引、履歴書を中国のリクルーターに送る場合など）を洗い出し、「中国拠点がないから無関係」と決めつける前に確認する。
• 移動するデータを分類する：個人情報か業務データか、学習データかその他か。NFRA規則は「これはモデル学習に使われたか？」という問いに文書で答えることを要求します。
• その経路専用の地理条件付きポリシーを構築し、正当なビジネスを妨げる一律ブロックは避ける。
• 中国で銀行取引がある、または中国調達のAIモデルを利用している場合は、CACへの届け出状況を今すぐ確認。NFRA規則はすでに施行済みです。
• 9月1日の小規模取扱者の救済措置を主張する前に、人数をカウント。適用には分類作業が必須です。
• 規制当局に求められる前に監査証拠を用意しておく。

WAICOの29カ国加盟とG7の不在は、地政学的には分かりやすい話題です。しかし実際に監査人が問うのは、下で分断化したルールブックそのものです。

機密データの保護とガバナンスについて詳しく知りたい方は、カスタムデモを予約してください。

追加リソース

• ブログ記事
  ゼロトラスト戦略で実現する手頃なAIプライバシー保護
• ブログ記事
  77%の組織がAIデータセキュリティで失敗している理由
• eBook
  AIガバナンスギャップ：91%の中小企業が2025年にデータセキュリティでロシアンルーレット状態
• ブログ記事
  あなたのデータに「–dangerously-skip-permissions」は存在しない
• ブログ記事
  規制当局はAIポリシーの有無を問う時代を終えた。今求められるのは「機能している証拠」