Blog

2026.08.07

ベトナムのAI導入は順序が違う|2026年施行のAI法と3つの関門

ベトナムのAI導入は順序が違う|2026年施行のAI法と3つの関門

ベトナムのAI導入は、2026年3月1日に施行されたAI法によって、他のASEAN諸国とは進め方の順序が変わりました。ASEANで唯一、包括的なAI法が先に施行された国です。タイをはじめとする他のASEAN拠点と同じく「まずPoCを回して、うまくいったら横展開し、ガバナンスは後から整える」という順序で進めると、ベトナムでは横展開のフェーズで止まります。この記事では、日系製造業のベトナム拠点が必ずぶつかる3つの関門と、対応を並走させた場合の工数差を具体的な数字で示します。

ベトナムのAI導入は、他の国と順序が違う

ベトナム企業のAI活用は、東南アジアのなかで最も活発です。Deloitteの調査では、ベトナム企業の 93% がAIを「導入または検討」していると回答しています。この数字は各国のメディアでもよく引用されますが、そのまま「93%が導入済み」と読むのは誤りです。同じ調査で、規模展開(at scale)まで到達している企業は 13.8% にとどまります。93%は検討段階を含んだ広いスコープの数字であり、13.8%は限定運用を超えて規模展開まで到達した企業に限った狭いスコープの数字です。動いている企業がこれだけ多いのに、規模展開まで届いたのは7社に1社に満たない。この開きが、いまベトナムで起きていることそのものを表しています。

裏づけとなる数字もあります。文書化されたAI戦略を持つ企業は 36.5%。最大の制約として人材不足を挙げた企業は 55%。製造業では 21% の企業がAIソリューションを求めています。つまり、意欲と個別の試行は十分にあるが、戦略文書と人材が追いつかず、大半がPoCまたは限定運用の段階で足踏みしている、という構図です。

指標数値スコープ
AIを導入または検討93%検討段階を含む。最も広い
規模展開(at scale)に到達13.8%限定運用を超えて規模展開まで進んだ企業
文書化されたAI戦略を保有36.5%戦略文書の有無
人材不足を制約に挙げた企業55%制約要因として最多
AIソリューションを求める製造業21%製造業に限定

日系企業側の温度も高いままです。ベトナムに進出している日本企業は約 2400社 で、うち製造業が約 26% を占めます。「今後1〜2年で事業を拡大する」と回答した在ベトナム日系企業は 56.1% に達し、ASEANのなかで最も高い水準です。一方で 62.0% が人件費の高騰を投資環境のリスクに挙げています。2025年11月公布の政令により、2026年1月1日から地域別最低賃金が平均約7%引き上げられました。北部では中国・韓国・台湾企業の大型投資により人材獲得競争も激化しています。拡大したいが人は増やせない、という状況で省人化の手段としてAIに向かうのは自然な流れです。

この足踏みに、2026年から法制度が重なります。ベトナムは2025年12月10日に国会でAI法(法令番号 134/2025/QH15、Luật Trí tuệ nhân tạo)を可決し、2026年3月1日に施行しました。ASEAN初の単独AI法です。構成は 8章35条 とコンパクトで、詳細の多くは政府政令に委ねられています。政令案は2026年2月に公表されました。

ここで重要なのは、法律の中身そのものよりも「順序」です。細目を固めきってから施行するのではなく、ベトナムでは法が先に立ち上がり、政令や登録簿が後から埋まっていきます。日系製造業のベトナム拠点は、PoCを積み上げている最中に、施行済みの法律の下で分類と通知を求められる状態に置かれました。93%が動いていて13.8%しか広がっていない段階で法が先行した、というのがベトナム特有の状況です。

なぜ「PoCを先に回す」が、ベトナムだけ通用しにくいのか

AI法には、施行前から稼働していたAIシステムに対する経過措置があります。医療・教育・金融の3分野は 18か月、それ以外の分野は 12か月です。施行日が2026年3月1日ですから、期限は次のようになります。

分野経過措置の期間対応期限
医療・教育・金融18か月2027年9月1日
上記以外(製造業を含む)12か月2027年3月1日

日系製造業の工場は、原則として「それ以外」に入ります。つまり期限は 2027年3月1日 です。この記事を読んでいる時点から逆算すると、猶予はそれほど長くありません。しかも経過措置は「その期間は何もしなくてよい」という意味ではなく、「その期間内に適合状態へ持っていく」という意味です。期限の直前に着手すると、稼働中のシステムに手を入れることになります。

後追いで着手したときに起きる手戻りは、大きく3つに整理できます。

第一に、ベンダーへの照会が契約更改を巻き込みます。AI機能を含むSaaSや外部APIを使っている場合、そのベンダーがベトナムで提供者としての通知を済ませているのか、済ませていないなら自社が何を負うのかを確認する必要があります。導入前であれば選定条件として聞けば済みますが、稼働後に聞くと、回答が思わしくなかったときに契約条件の見直しや乗り換えの検討が発生します。

第二に、透明性要件のUI反映が回帰テストを伴います。AI法は、利用者がAIと相互作用していることを通知すること、AI生成コンテンツ(音声・画像・動画)を開示することを求めています。これはリスクとコンテキストに応じて調整される要件ですが、対象になれば画面表示や出力物への表示を変えることになります。設計段階で入れておけば数時間の作業でも、本番稼働中のシステムに後付けすると、影響範囲の確認とテストが必要になります。

第三に、稼働中のシステムを止めるかどうかの判断が経営マターになります。分類の結果として中リスクに該当し、稼働前の通知が済んでいないと分かった場合、通知を出すまで止めるのか、出しながら走らせるのかを決めなければなりません。この判断は現場では下せず、会議体が要ります。会議体は工数としては見えにくいのですが、実際には最も時間を食います。

この3つはいずれも「PoCの段階で分類を済ませていれば発生しなかった」ものです。だから、ベトナム拠点では棚卸し・リスク分類・事前通知をPoCと並走させる必要があります。順序を変えるだけで工数が変わる、というのがこの記事の主張です。実際にどれだけ変わるかは、後半の試算で数字にします。

関門1|自社の立場は「案件ごと」に変わる

最初の関門は、自社がどの立場に立っているかの判定です。AI法は、AIシステムに関わる主体を開発者・提供者・導入者といった役割に分けて義務を割り当てます。そして 提供する側が、利用開始前に分類する義務を負う という構造になっています。

ここで多くの日系拠点がつまずくのは、「うちはベンダーのツールを使っているだけだから導入者だ」と会社単位で決めてしまうことです。立場は会社単位ではなく、案件単位で決まります。同じ工場のなかで、ある案件では単なる導入者であり、別の案件では提供者になる、ということが普通に起こります。

とくに注意が要るのは、社内でRAGやチャットボットを組んだ瞬間です。市販のLLM APIを呼び出しているだけであっても、自社の文書を読ませ、自社の画面を作り、自社の従業員や取引先に使わせているなら、その組み合わせを提供しているのは自社です。基盤モデルの提供者はAPIを提供しているにすぎず、そのAIシステムを誰にどう使わせるかを決めているのは自社だからです。この線引きを外すと、通知義務が自社にあることに気づかないまま稼働させることになります。

もうひとつ、ベトナムAI法には域外適用があります。対象は「ベトナム国内のAI関連活動に関与する、ベトナムおよび外国の組織・個人」です。日本本社が開発してベトナム工場に配ったシステムも、シンガポールのリージョンで動かしているクラウドサービスも、ベトナム国内での活動に関わるならこの法律の射程に入ります。「現地法人だけの話」と切り分けるのは危険です。

日系工場の典型6パターンで立場を判定する

実務で頻出する6つのパターンについて、立場の判定と論点を整理します。

パターン想定される立場判定のポイント
市販の外観検査AI装置を購入して使う導入者装置メーカーが提供者。契約書で通知状況を確認する
市販の生成AIサービスを従業員が業務利用導入者サービス提供者が通知主体。利用規程で用途を管理する
社内文書を読ませたRAGチャットボットを自社構築提供者自社が利用者に提供している。分類と通知の義務は自社
本社が開発したAIツールをベトナム工場に配布グループとして提供者域外適用の対象。本社と現法のどちらが通知するか決める
ベトナムのソフトハウスに委託してAIを開発委託元が提供者になりやすい開発者は受託先。誰の名前で提供するかで決まる
自社開発のAIを取引先にも使わせる提供者かつ開発者社外提供が入ると透明性要件の対象が広がる

この判定は一度やれば終わりではありません。用途が増えれば案件が増え、案件ごとに判定が要ります。だからこそ、案件が少ないうちに判定の型を作っておくほうが安くつきます。生成AIを従業員に使わせる場面の整理については、生成AI利用規程の作り方も併せて参照してください。規程の中に「この用途は誰が提供者か」を書く欄を一列足しておくだけで、後の棚卸しがかなり楽になります。

関門2|リスク分類は製品ではなく用途で決まる

二つ目の関門はリスク分類です。ベトナムAI法は高・中・低の3段階を採用しています。分類基準は「人の生命・健康・適法な権利利益、公共の利益、社会秩序への潜在的影響」で、詳細は政府政令で規定されます。

ベトナムのAI導入は順序が違う|2026年施行のAI法と3つの関門 - figure 1

この3段階で最も誤解されやすいのが、分類の単位です。分類は製品ではなく 用途 で決まります。同じLLMを使っていても、社内の議事録要約に使うのと、社外向けの多言語チャットボットに使うのとでは分類が変わります。製品単位で「当社はA社のLLMを使っているので低リスク」と整理してしまうと、用途が増えた瞬間に根拠文書が破綻します。監査や当局照会の場面で最も痛いのは、分類そのものが間違っていることよりも、分類の根拠が説明できないことです。

高リスクに該当した場合の義務は重くなります。ライフサイクル全体のリスク管理と安全性の確保、人間による監督、技術文書と記録の保持、適用規格への適合、当局規定に基づく適合性評価が加わります。適合性評価が入ると、対応は社内の書類作成では収まらず、外部の関与を前提とした計画が必要になります。

中リスクについては、2026年2月に公表された政令案がトリガーの例を示しています。AIとの相互作用を明示しないこと、ディープフェイクや合成メディア、信頼性を操作するコンテンツの生成が挙げられています。高リスクについては、首相が定める高リスクAI登録簿に掲載されたものが該当する、という建て付けです。登録簿という形式である以上、掲載内容は今後更新されます。分類を一度で固定されたものとして扱わない前提で、根拠文書の様式を決めておいてください。

工場の10ユースケースを分類してみる

日系工場でよく出てくる用途を並べ、現時点の情報にもとづく分類の当たりをつけてみます。最終的な分類は政令および登録簿の内容に従って判断する必要がありますが、どの軸で考えるかの参考にはなります。

ユースケース想定分類理由の軸
外観検査の画像判定(社内工程のみ)影響が自社工程に閉じる。人への直接影響が小さい
設備の異常検知と予兆保全判断は人が確認する運用が前提
社内文書の要約・翻訳出力の利用者が社内に限られる
生産計画の立案支援最終決定を人が行う
社外向け多言語チャットボット社外の利用者と相互作用する。明示が必要
AI生成の販促画像・動画AI生成コンテンツの開示対象になりうる
顔認証による入退場管理中〜高生体データと権利利益への影響。PDPLとも重なる
安全カメラによる危険行動検知中〜高労働者の監視に該当しうる。運用設計で変わる
採用選考のスクリーニング支援高になりやすい個人の権利利益への直接的な影響
勤怠・人事評価への機械的反映高になりやすい雇用上の不利益に直結しうる

表を見ると、工場の中核業務である検査・保全・計画は低リスクに寄り、人に触れる用途ほど分類が上がる傾向が読み取れます。ここから導ける実務上の判断はシンプルです。まず低リスクの用途からPoCを進め、人に触れる用途は分類と体制を先に固めてから着手する。この順序にするだけで、経過措置の期限までに片付けなければならない中リスク以上の案件数を抑えられます。

なお、どのサービスを選ぶかによって、提供者としての通知負担が自社に乗るかどうかが変わります。基盤となるサービスの選定については、企業向け生成AIサービスの比較で選定軸を整理しています。ベトナム拠点で使う場合は、通常の比較軸に「ベトナムでの提供者としての立場をどこまで引き受けてくれるか」を一つ足して評価してください。

関門3|事前通知は承認ではないが、根拠文書は残る

三つ目の関門が事前通知です。中リスクおよび高リスクのAIシステムは、国のAI情報システム(AIワンストップ電子ポータル)を経由して、稼働前に所管当局へ通知します。

ベトナムのAI導入は順序が違う|2026年施行のAI法と3つの関門 - figure 2

通知に含める内容は、提供者情報、システム識別、自己分類、リスク低減措置です。ここで押さえておきたいのは、これが 承認手続きではない という点です。当局の許可を待って稼働する仕組みではなく、通知によってデータベースに登録される仕組みです。この違いは実務上とても大きく、「審査待ちで導入が止まる」という心配は要りません。

ただし、承認でないことは負担が軽いことを意味しません。承認制なら当局が分類の妥当性を判断してくれますが、通知制では分類の責任は最後まで自社に残ります。通知した内容、とくに自己分類とその根拠は自社の文書として保持され、後から問われる対象になります。だからこそ、根拠文書を後付けで作るのが最も割に合いません。用途を決めた時点で、なぜその分類なのかを数行で書き残しておけば済むものが、一年後に記憶をたどって再構成すると何倍もの時間がかかります。

通知は一度出せば終わりでもありません。リスク水準が変わる変更があれば 再分類 が必要になります。学習データを入れ替えた、社内限定だった用途を社外に開放した、判定結果を人の確認なしに反映するようにした。こうした変更はいずれも再分類の引き金になります。変更管理の手順に「この変更はリスク水準を動かすか」というチェックを一行入れておくと、再分類の見落としを防げます。

稼働後の義務としては、インシデント報告があります。高リスクは確認後 48時間 以内、中リスクは確認後 72時間 以内です。この時間軸は、日本本社への報告ルートを挟むと簡単に溶けます。48時間のうち、現地での事実確認と社内エスカレーションに丸一日を使うと、残りは一日しかありません。報告の起案者と承認者を誰にするかを、インシデントが起きる前に決めておく必要があります。

義務の重さを中リスクと高リスクで並べると、次のようになります。高リスク側はAI法が追加義務として明記しているもの、中リスク側は本法では明示されず政令に委ねられている部分です。

項目中リスク高リスク
稼働前の通知必要必要
通知の性質承認ではなく登録承認ではなく登録
適合性評価本法では明示なし(政令に委ねられる)当局規定に基づき必要
人間による監督本法では明示なし(政令に委ねられる)明示的に要求される
技術文書・記録の保持本法では明示なし(政令に委ねられる)ライフサイクル全体で保持
インシデント報告期限確認後72時間以内確認後48時間以内

中リスク側の「明示なし」を「やらなくてよい」と読むのは早計です。通知の際に自己分類とリスク低減措置を書く以上、その根拠となる記録は結局必要になります。高リスクほど形式は求められないとしても、分類根拠だけは中リスクでも残しておくのが実務的です。

罰則については、AI法本体では特定されておらず、後続の規定に委ねられています。金額が確定していないことを「まだ様子見でよい」と読むのは危うい判断です。罰則の水準が決まる前に設計を固めておくほうが、後から水準を見て慌てるより確実です。

PDPLと二重に効く — 2026年1月1日に変わったもう一つの土台

ベトナムでは、AI法の2か月前に個人データ保護の土台も入れ替わりました。個人データ保護法(PDPL)91/2025/QH15(2025年6月26日成立)と、その政令 356/2025/ND-CP(2025年12月31日)が、いずれも 2026年1月1日 に施行され、従来の政令 13/2023/ND-CP は失効しています。2025年7月1日に施行済みだったデータ法 60/2024/QH15 との整合も図られました。さらに、知的財産法の改正 131/2025/QH15 が2026年4月1日に施行され、AI学習やIP資産化、プラットフォーム責任に関する論点が加わりました。

ベトナムのAI導入は順序が違う|2026年施行のAI法と3つの関門 - figure 3

新しい枠組みでは、影響評価書類の構成と提出方法、越境移転の手続、保護体制の設計方法が具体化されました。工場の実務に引き直すと、AIが個人データに触れる場面ごとに影響評価が要る、ということです。そして、その場面はAI法でリスクが上がりやすい用途とほぼ重なります。

工場での典型的な用途触れる個人データAI法での位置づけ
顔認証による入退場管理生体データ中〜高。分類根拠を明示する
安全カメラによる危険行動検知映像に映る従業員中〜高。監視の目的と範囲を限定する
採用選考のスクリーニング支援応募者の経歴・属性高になりやすい。人間による監督が要る
勤怠データからの異常検知労働時間・所在用途次第。評価への反映で分類が上がる
社外向けチャットボットの会話ログ顧客の問い合わせ内容中。越境移転の扱いも確認する

ここに、実務を軽くする道筋があります。AI法の分類作業とPDPLの影響評価は、同じ用途棚卸しを入口にできるからです。「どの業務で、どのデータを、どのAIに、誰に対して使っているか」という一覧を一度作れば、その一覧からAI法の分類根拠とPDPLの影響評価の両方を派生させられます。逆に、AI法対応とPDPL対応を別部署が別々の様式で進めると、同じ聞き取りを二度やることになります。ベトナム拠点で情報システム部門と管理部門が分かれている場合、この統合を最初に決めておく価値は大きいと言えます。

越境移転についても、AI利用と直結します。ベトナム国内で収集した個人データを、日本本社のシステムや海外リージョンのAIサービスに送るなら、それは越境移転です。生成AIサービスを使う場合、どのリージョンで処理されるかを把握していないケースが少なくありません。用途棚卸しの段階で、処理場所とデータの流れを記入する項目を設けてください。

【試算】400名の拠点で、並走と後追いの差は工数で約1.8倍

ここまでの話を工数に置き換えます。実在の案件そのものではなく、日系ベトナム工場でよく見る条件を置いたモデル計算です。前提を明示しますので、自社の条件に合わせて置き換えて使ってください。

前提は次のとおりです。拠点人数は400名。AIを使っている、または検討中の用途は12件。内訳は低リスク10件、中リスク2件(社外向け多言語チャットボット、AI生成の販促画像)、高リスク0件。1人日は8時間で換算します。

1件あたりの標準作業は、次の5つに分解します。①用途の棚卸しと記述、②リスク分類と根拠文書の作成、③ベンダーへの通知状況の照会、④中リスクのみ、ポータルでの通知手続き、⑤中リスクのみ、AI相互作用の明示とコンテンツ開示のUI反映。①から③は全12件に発生し、④と⑤は中リスクの2件にのみ発生します。

まず、稼働前に整備する シナリオB(並走) です。

作業対象件数1件あたり小計
①用途の棚卸しと記述12件2時間24時間
②リスク分類と根拠文書12件4時間48時間
③ベンダーへの通知状況照会12件3時間36時間
④ポータルでの通知手続き2件6時間12時間
⑤明示とコンテンツ開示のUI反映2件8時間16時間

12件×(2+4+3)=108時間、中リスク2件×(6+8)=28時間で、合計は 136時間=17人日 です。PoCと並走させる前提なので、②の根拠文書は用途を決めた直後に書き、⑤は最初の画面設計に含めます。だから1件あたりの時間が小さく収まります。

次に、経過措置の期限直前に着手する シナリオA(後追い) です。変わるのは3か所です。③はベンダー契約の更改を挟むため3時間から8時間へ。⑤は本番稼働中のUIへの後付けとなり回帰テストが要るため8時間から20時間へ。さらに、稼働中の中リスク2件について一時停止の可否を判断する会議体に20時間が加わります。

作業対象件数1件あたり小計
①用途の棚卸しと記述12件2時間24時間
②リスク分類と根拠文書12件4時間48時間
③ベンダーへの通知状況照会(契約更改込み)12件8時間96時間
④ポータルでの通知手続き2件6時間12時間
⑤稼働中UIへの後付けと回帰テスト2件20時間40時間
一時停止の可否を判断する会議体一括20時間20時間

12件×(2+4+8)=168時間、中リスク2件×(6+20)=52時間、会議体20時間で、合計は 240時間=30人日 です。

差は 104時間=13人日、倍率にして 約1.8倍 になります。同じ12件を同じ品質で片付けるのに、着手の順序が違うだけで13人日ぶんの差が出ます。情報システム担当が数名しかいない拠点では、13人日は他の案件を1件まるごと止めるだけの重さです。しかも在ベトナム日系企業の 56.1% が今後1〜2年の事業拡大を見込む一方、62.0% が人件費の高騰をリスクに挙げている状況では、この13人日を吸収するために人を増やすという選択肢は取りにくくなっています。

この試算の読み方には二つ注意があります。第一に、高リスクが1件でも出ると適合性評価が加わるため、この試算の外側に出ます。人に触れる用途を持つ拠点では、この数字を下限として見てください。第二に、金額換算はしていません。ベトナム拠点の時間単価は職位や日本人駐在員の関与度で大きく変わり、妥当な根拠を置けないためです。工数で議論し、単価は自社の実績値を当ててください。

前提を変えたときの感度も押さえておくと説明しやすくなります。中リスクの件数が2件から4件に増えると、シナリオBでは28時間が56時間に、シナリオAでは52時間が104時間に増えます。つまり、中リスクの用途が増えるほど並走の効果が大きくなります。逆に、全件が低リスクで収まる拠点なら差は③の部分だけになり、倍率は縮みます。自社の中リスク件数がいくつになりそうかを見積もることが、この判断の分かれ目です。

タイ拠点と同じ設計をベトナムに持ち込めるか

タイとベトナムの両方に拠点を持つ企業から最も多い質問がこれです。結論から言うと、規程をそのまま配ることはできません。制度の成熟段階が違うからです。

タイのAI法はまだ施行されていません。 2026年7月2日にETDAが改訂草案を公表し、30日程度のパブリックコンサルテーションに付されました。草案は禁止・高リスク・一般利用の3分類を採用しています。タイにもAIに関わる分野別の規制は既にありますが、包括的なAI法は成立していません。一方のベトナムは施行済みで、稼働前通知の義務が現実に効いています。タイの状況とAI活用の進め方についてはタイでのAI導入で整理しています。

分類の枠組み自体も一致しません。ベトナムは高・中・低の3段階、タイの草案は禁止・高リスク・一般利用の3分類です。段階の数が同じでも中身が違うので、分類結果を機械的に読み替えることはできません。ベトナムで中リスクと分類したものがタイの草案でどこに入るかは、草案が確定してから対応表を作る作業になります。

共通化できる層と、拠点ごとに分けるべき層

とはいえ、すべてを別々に作る必要はありません。層を分けて設計すれば、共通化できる部分はかなりあります。

扱い理由
用途棚卸しの様式共通化する聞く項目は国が違っても同じ。集計も楽になる
情報の取り扱い区分(機密度)共通化する社内基準であり法域に依存しない
禁止用途のリスト共通化する最も厳しい国に合わせておけば下位互換になる
リスク分類の定義と閾値拠点ごとに分けるベトナムは3段階、タイ草案は別の3分類
通知・届出の手順拠点ごとに分けるベトナムはポータル通知、タイは未確定
インシデント報告の期限と宛先拠点ごとに分けるベトナムは48時間/72時間で確定
個人データの取扱いと越境移転拠点ごとに分けるベトナムはPDPLで手続が具体化。タイは別法域として個別に確認する

この分け方には副次的な効果もあります。共通層を先に固めておくと、タイのAI法が成立したときに追加で作るのは分類定義と手続だけになります。逆に、国ごとに一から規程を作っていると、法改正のたびに全文を書き直すことになります。複数拠点へ同じ仕組みを展開するときの一般的な進め方は海外拠点へのシステム導入にまとめてありますので、AI以外の展開案件と足並みを揃えたい場合はそちらも参考になります。

ベトナムでAI導入を進める90日の順序

最後に、いま着手する場合の順序を90日で区切って示します。2027年3月1日の期限から逆算しても、90日で土台を作り、残りを実装に充てるのが現実的です。

最初の30日は、棚卸しに集中します。現場ヒアリングで、AIを使っている用途と検討中の用途をすべて一覧にします。ここで漏れやすいのが、部門が個別に契約したSaaSの中に含まれるAI機能と、従業員が個人アカウントで使っている生成AIです。前者は経理の支払データから、後者はネットワークのアクセスログから拾えます。同時に、用途ごとに誰が提供者かを仮判定し、個人データに触れるかどうかのフラグを立てます。この一覧がAI法対応とPDPL対応の共通の入口になります。

31日から60日は、分類と方針決定です。一覧の各用途に高・中・低の分類を当て、根拠を数行ずつ書きます。中リスク以上に該当した用途については、そのまま進めるか、用途を狭めて低リスクに収めるか、いったん止めるかを決めます。この「用途を狭めて分類を下げる」という選択肢は見落とされがちですが、社外向けを社内向けに限定するだけで負担が大きく変わるケースは実際にあります。並行して、ベンダーへの照会を始めます。回答に時間がかかるため、着手は早いほうがよいでしょう。

61日から90日は、通知と実装です。中リスク以上の用途についてポータル経由の通知を準備し、稼働前に出します。透明性要件に対応する画面表示や出力物の表示を設計に組み込みます。インシデント発生時の報告フロー、つまり誰が確認し、誰が起案し、誰が承認して48時間または72時間以内に出すのかを文書化します。最後に、新しい用途が増えたときに同じ流れを回すためのチェックリストを残します。

期間主な作業完了の目安
1〜30日用途の棚卸し、提供者の仮判定、個人データのフラグ立て全用途の一覧が1枚にまとまっている
31〜60日リスク分類と根拠文書、進める/狭める/止めるの決定、ベンダー照会中リスク以上の件数が確定している
61〜90日ポータル通知、透明性要件の実装、インシデント報告フローの文書化稼働中の中リスクに未通知がない

90日の設計で意識したいのは、AI導入そのものを止めないことです。低リスクの用途は最初の30日を待たずに進めて構いません。止める必要があるのは、中リスク以上に該当しそうで、かつ通知が済んでいない用途だけです。この切り分けを早く済ませるほど、現場の活動を止めずに済みます。

よくある質問(FAQ)

ベトナムのAI導入は何から始めればよいですか。

用途の棚卸しからです。ツールの選定や体制作りより先に、いま何にAIを使っているかを一覧にしてください。この一覧がなければ分類も通知も始まらず、PDPLの影響評価も作れません。逆に一覧さえあれば、分類は用途ごとに数時間で当たりがつきます。棚卸しは情報システム部門だけでは完結しないので、製造・品質・人事・営業の各部門に聞く時間を最初から確保しておいてください。

ベトナムAI法の対象は現地法人だけですか。

現地法人だけではありません。AI法の域外適用は「ベトナム国内のAI関連活動に関与する、ベトナムおよび外国の組織・個人」を対象としています。日本本社が開発してベトナム工場に配布したシステムも、海外リージョンで動くクラウドサービスをベトナムから使っている場合も、射程に入ります。グループとしてどの法人の名前で通知するかを、案件ごとに決めておく必要があります。

AI開発をベトナムの会社に委託する場合、通知義務は誰が負いますか。

原則として、そのAIシステムを提供する側が分類と通知の義務を負います。受託先が開発者であっても、完成したシステムを自社の名前で自社の従業員や顧客に使わせるなら、提供者は委託元です。契約書に「分類根拠の作成に必要な技術情報を受託先が提供する」という条項を入れておくと、後の作業が進みます。開発を委託したから義務も移る、という理解は避けてください。

ベトナムのAI導入にかかる費用の目安はありますか。

金額の目安はこの記事では示していません。ベトナム拠点の時間単価は職位や日本人駐在員の関与度で大きく変わり、根拠のある単価を一律に置けないためです。代わりに工数で示しています。前提を置いたモデル計算では、12件の用途を並走で処理すると136時間=17人日、後追いで処理すると240時間=30人日、差が104時間=13人日でした。この工数に自社の実績単価を当てて見積もってください。高リスクの用途が出ると適合性評価が加わるため、この範囲を超えます。

タイ拠点の生成AI利用規程をそのまま使えますか。

そのままは使えません。タイのAI法はまだ施行されておらず、2026年7月2日にETDAが改訂草案を公表し、30日程度のパブリックコンサルテーションに付された段階です。分類の枠組みも、ベトナムの高・中・低の3段階に対し、タイ草案は禁止・高リスク・一般利用の3分類で、中身が一致しません。用途棚卸しの様式、情報の取り扱い区分、禁止用途のリストは共通化できます。分類定義、通知手続、インシデント報告の期限は拠点ごとに分けてください。

まとめ

ベトナムのAI導入は、AI法 134/2025/QH15 が2026年3月1日に施行されたことで、他のASEAN諸国と順序が変わりました。93%がAIを導入または検討している一方、規模展開に到達しているのは13.8%という段階で法が先に立ち上がった、というのがベトナム特有の状況です。製造業の経過措置期限は2027年3月1日。棚卸しとリスク分類と事前通知をPoCと並走させれば、前提を置いたモデル計算で17人日のところ、後追いにすると30人日、約1.8倍になります。関門は3つで、自社の立場が案件ごとに変わること、分類が製品ではなく用途で決まること、通知が承認ではないぶん根拠文書の責任が自社に残ることです。そこに 91/2025/QH15356/2025/ND-CP によるPDPLが重なりますが、入口となる用途棚卸しは共通化できます。

ベトナム拠点でのAI導入や、タイ拠点との規程の切り分けについて、社内で議論を始めた段階のご相談も承っています。用途の棚卸し表を一度見せていただければ、どこが中リスクに該当しそうか、どの順序で進めると工数が抑えられるかの当たりはお伝えできます。導入するかどうかを決めていない段階でも構いません。お問い合わせからお気軽にご連絡ください。

参考情報