カリフォルニアAI透明化法とは｜SB942/AB853が8月2日施行、SB1000で100万人基準撤廃・罰則5000ドル/日・日本企業への影響【2026年10月最新】

カリフォルニアAI透明化法（California AI Transparency Act、SB 942をAB 853で改正したもの）は、2026年8月2日に施行されました。画像・動画・音声を生成するAIの提供者に、見えない来歴情報の埋め込みと無償の検証ツールの提供を義務づける州法です。ただし2026年9月30日にSB 1000が署名され、即日施行されたことで内容が大きく変わりました。「月間100万人超」という対象の基準はなくなり、「AI検出ツール」は「開示検証ツール」に、可視表示の選択肢を提供する義務は削除されています。

8月時点の解説記事の多くは、この改正を反映していません。本記事は2026年10月時点で確認できた公式情報と法律事務所の解説をもとに、次の点を整理します。

この記事でわかること

• SB 942・AB 853・SB 1000・AB 2713がそれぞれ何を決めた法律か
• 8月2日施行時点と9月30日以降で何が変わったか（新旧比較表）
• 生成AI提供者に課される義務の中身と、罰則（1違反1日5,000ドル）の仕組み
• 2027年・2028年に対象が広がるスケジュール
• 主要AI企業の対応状況と、EU AI Act第50条との違い
• 日本企業が自社は対象かを判断する手順と、対応チェックリスト

この記事の対象読者

米国向けに画像・動画・音声の生成AIサービスやアプリを提供している、またはOpenAI・GoogleなどのAPIを組み込んで画像や音声を出力するSaaSを運営している日本企業の事業責任者・法務・開発者を想定しています。

※本記事は一般的な情報提供を目的としたもので、法的助言ではありません。自社への適用については、米国法に詳しい専門家に確認してください。

現行法で押さえておきたい3つのポイント

1. 対象の規模要件はなくなった: SB 1000の施行（2026年9月30日）により、カリフォルニア州から一般にアクセスできる生成AIシステムの提供者は、利用者数に関係なく対象になりました。中小企業やスタートアップも含まれます。
2. 対象は画像・動画・音声で、テキストは対象外: ChatGPTやClaudeの文章出力に表示義務はありません。「AI検出ツール」という言葉から想像されがちな「AIが書いた文章を見抜くツール」とは別物です。
3. 罰則は1違反あたり5,000ドルで、違反が続く日ごとに別の違反と数える: 執行するのは州司法長官・市検事・郡検事で、個人が訴えることはできません。2026年10月7日時点で、執行事例の公表は確認できていません。

カリフォルニアAI透明化法とは：4本の法律で作られた制度

出典: CA.gov（カリフォルニア州政府公式サイト）

カリフォルニアAI透明化法は、生成AIで作られた画像・動画・音声に「AIで作られた」ことを示す情報を残し、誰でも確かめられるようにするための州法です。カリフォルニア州事業職業法（Business and Professions Code）の第22757条以下に定められています。

一つの法律で完結しているわけではありません。2024年の成立後、3本の改正法で施行日・対象・義務の中身が変わってきました。

州議会の分析では、SB 942は全米で初めて合成コンテンツの開示を義務づけた法律と位置づけられています。SB 1000は上院を33対1で通過しており、業界団体からの強い反対もなく成立しました。

対象は画像・動画・音声。テキストは含まれない

開示義務の対象は、生成AIで作成・改変された画像・動画・音声（またはその組み合わせ）です。法律上の「生成AIシステム」の定義にはテキストを生成するAIも含まれますが、表示や検証ツールの義務がかかるのは画像・動画・音声に限られます。

このため、文章を生成するチャットボットは現時点では開示義務の対象外です。テキストへの電子透かしの動向は、Claudeの出力に電子透かしが入る仕組みとEU AI Act対応で別途解説しています。

8月2日施行時点と9月30日以降の違い：SB 1000で何が変わったか

SB 1000で対象は広がり、義務の中身は実務に合わせて柔軟になりました。8月2日に始まった制度は2か月弱で改正されたため、8月時点の情報だけを見て対応を判断するのは危険です。

100万人の基準がなくなり、中小事業者も対象に

もっとも影響が大きいのはこの変更です。8月時点では「月間100万人超」が対象の目安だったため、小規模な画像生成アプリや音声合成サービスは対象外と考えられていました。現行法では規模の要件がないため、カリフォルニア州から誰でも使える状態にある生成AIシステムであれば、規模にかかわらず対象になり得ます。

「AI検出ツール」から「開示検証ツール」へ

8月時点の「AI検出ツール」は、提供者が自前で無償の判定ツールを用意することが前提でした。SB 1000後の「開示検証ツール」は、自社システムによる生成・改変かどうかを確かめられれば足り、C2PAなどの埋め込み情報を読み取れる第三者ツールへの誘導でも義務を満たせるようになりました。自社で検出ツールを開発する余力がない事業者にとっては、負担が軽くなる変更です。

可視表示の義務は削除された

8月時点では、生成物に「AI生成」と見える表示を付けられる選択肢をユーザーに提供する義務がありました。SB 1000の提出者は、可視ラベルには「ラベルがない＝本物」と誤解させる問題があると説明しており、この義務は削除されています。見える表示を付けるかどうかは各社の判断に委ねられました。

可視の透かしと埋め込み型の透かしの違いは、GoogleがAI画像の透かし除去を容認した件とSynthIDが残る理由の事例がわかりやすいでしょう。

法律事務所の解説で示されている追加点

Morrison & Foerster（MoFo、2026年10月1日公開）の解説によると、成立版には次の内容も含まれています。州議会の公開分析（6月16日版）より後の修正にあたるため、最終条文での確認を前提に参考情報として紹介します。

• 埋め込み表示に「主に支援技術（assistive technology）として設計されたか」を加える（2029年1月1日から）
• ALSなどで音声を失った人の代替音声のような支援技術には暫定的な扱いを設ける
• 支援技術の適用除外に該当すると偽った場合、1違反1日5万ドル（2029年1月1日まで）
• ライセンス先は、通知から96時間以内に是正するか、利用を停止して報告する

適用除外（「専らユーザー生成でないビデオゲーム・テレビ・ストリーミング・映画・インタラクティブ体験」）の範囲がSB 1000で変わったかどうかは、情報源によって記述が分かれています。現時点では断定できないため、映像・ゲーム事業者は最終条文を確認してください。

生成AI提供者に課される3つの義務（2026年10月時点）

現行法で生成AI提供者に求められるのは、埋め込み表示、開示検証ツール、ライセンス先の管理の3つです。8月時点にあった可視表示の選択肢は、SB 1000で義務から外れました。

1. 埋め込み表示（見えない来歴情報）

生成・改変した画像・動画・音声に、機械が読み取れる来歴情報をメタデータや不可視の透かしとして埋め込む義務です。技術的に可能な範囲で、次の情報を含めます。

• 提供者名
• 生成AIシステムの名称とバージョン情報
• 作成・改変の日時
• 固有の識別子（直接、またはパーマリンク経由）
• 生成か改変か（SB 1000で追加）

出典: C2PA

情報は永続的、または除去が極めて難しい形で埋め込み、業界標準に沿う必要があります。条文は特定の規格を名指ししていませんが、複数の法律事務所はC2PA（Coalition for Content Provenance and Authenticity）の仕様を事実上の標準として解説しています。

2. 開示検証ツール

自社のシステムで生成・改変されたかを誰でも確かめられるツールを用意する義務です。SB 1000後の要件は次のとおりです。

• 軽微な改変を除き、自社システムによる生成・改変かを評価できる
• 個人情報を出力するのは、本人が明確でわかりやすい文言で同意した場合のみ
• ツールの利用者や処理したコンテンツから得た個人情報を、法令遵守に必要な範囲を超えて収集・利用・保持・販売・共有しない
• 生成AIシステムや検証ツールの利用条件として、必要以上の個人情報を求めない
• 自社の埋め込み表示に対応する第三者の検証ツールへの誘導で代替できる
• 悪用防止のための合理的なアクセス制限を設けられる

出典: Content Credentials

C2PAの来歴情報は、Content Credentialsのような第三者の確認サービスで読み取れます。自社で検証ツールを作らない場合は、こうした外部ツールへの導線を用意する選択肢があります。

8月時点の「AI検出ツール」については、URL入力やAPI提供を求める内容だったと報じられています。これらの要件が開示検証ツールにも残るかは、現時点で確認できていません。

3. ライセンス先の管理

自社の生成AIシステムを第三者にライセンスする場合、開示機能を維持することを契約条件に含める必要があります。ライセンス先が開示機能を外したことを特定できた場合、SB 1000後は72時間以内にライセンスの取消または通知で対応します。提供者に、ライセンス先を常時監視・調査する義務はありません。

APIを利用する側から見ると、ベンダーの利用規約で「C2PAメタデータや透かしを除去しないこと」が求められる可能性があるということです。

罰則：1違反5,000ドル、違反が続く日ごとに加算

出典: State of California Department of Justice - Office of the Attorney General

違反すると、1違反あたり5,000ドルの民事罰が科され、違反が続く日ごとに別の違反として数えられます。

※円換算は1ドル=150円で計算した目安です。実際の為替レートで再計算してください。

個人が訴えることはできない点で、同じカリフォルニア州のコンパニオンチャットボット規制法（SB 243、私人による訴訟が可能）とは仕組みが異なります。米国でのAI関連訴訟の流れは、Character AI訴訟まとめとAI規制への波紋も参考になります。

段階施行スケジュール：2027年以降はプラットフォームと機器メーカーへ

生成AI提供者への義務は始まっていますが、2027年1月1日からは大規模オンラインプラットフォームと生成AIホスティングプラットフォーム、2028年1月1日からは撮影機器メーカーが対象に加わります。

日本企業にとって見落としやすいのは2028年の撮影機器の義務です。カリフォルニア州で販売するカメラやスマートフォンのメーカーは、生成AIを扱っていなくても対象になります。

主要AI企業の対応状況（2026年8月時点の第三者調査）

施行直後の2026年8月13日、調査団体IndicatorとWITNESSは、対象と見られる13社の生成物を243件テスト（85ファイル）した結果を公表しました。7社が遵守、6社が不遵守と判定されています。

※出典: Transparency Coalition（Indicator×WITNESS調査）。8月時点の第三者による判定で、当局の判断ではありません。その後各社が対応した可能性があります。

主要各社の取り組みは次のとおりです。

• OpenAI: 報道によると、2026年5月にChatGPTとAPIで生成した画像へC2PAメタデータとGoogleのSynthID透かしを二重に付ける方針を発表し、検証ツール「Verify」を研究プレビューとして公開しました。C2PAの付与についてはOpenAIのヘルプ記事で説明されています。
• Google: 不可視透かしのSynthIDと、判定ツールのSynthID Detectorを展開しています。
• Midjourney: 施行日時点でC2PAの情報も既知の透かしも確認できなかったと米メディアが報じています。その後の対応は確認できていません。

出典: Google DeepMind

不遵守とされた企業のサービスについては、Sunoとは？機能・著作権問題、Grok Imagineの機能と注意点、Grok CSAM訴訟の経緯でも取り上げています。動画生成AIの選定時に来歴表示への対応を比べたい場合は、動画生成AIおすすめ比較も参考になります。

EU AI Act第50条との違い

EU AI Actの透明性義務（第50条）も同じ2026年8月2日に適用が始まりました。両者は「AI生成物を機械可読な形で示す」という方向は同じですが、対象範囲と罰則の規模が大きく異なります。

EUではDigital Omnibusで高リスクAIの義務が延期されましたが、第50条は延期されていません。EU側の詳細はEU AI規制法の完全施行ガイドにまとめています。

両方に対応する必要がある事業者の間では、C2PAメタデータと不可視透かしの組み合わせで共通化を図る方法がよく検討されています。ただし、EUはテキストやチャットボットも対象に含むため、カリフォルニアへの対応だけではEUの要件を満たせない場合があります。

日本企業への影響：所在地に関係なく対象になり得る

この法律には事業者の所在地に関する要件がありません。カリフォルニア州から一般にアクセスできる画像・動画・音声の生成AIサービスであれば、日本企業でも対象になり得ます。SB 1000で規模要件がなくなったため、米国ユーザーを持つスタートアップも無関係とは言い切れなくなりました。

対象になり得る主なケース

業界ごとの規制対応の進め方は、規制業種のAI導入ガイドでも整理しています。

自社が対象かを判断する5つの質問

次の順に確認すると、どの義務が関係するかを絞り込めます。

1. 画像・動画・音声を生成・改変する機能を提供しているか？ → いいえ（テキストのみ）なら、本法の開示義務は現時点で対象外。EU第50条など別の規制は確認が必要
2. カリフォルニア州から一般にアクセスできるか？ → 地域制限をかけず、米国からも登録・利用できるなら対象になり得る
3. 生成AIシステムを自社で開発しているか、他社APIを使っているか？ → 自社開発なら提供者としての3つの義務を確認。API利用ならライセンス先としての契約条件を確認
4. 米国向けにSNS・ファイル共有・検索サービスを運営し、月間利用者が200万人を超えるか？ → はいなら2027年1月1日からのプラットフォーム義務を確認
5. カリフォルニアで撮影機器を販売しているか？ → はいなら2028年1月1日以降の製造分の対応を確認

対応チェックリスト

• 生成物にC2PAなどの業界標準に沿った来歴情報を埋め込んでいるか
• リサイズ・形式変換・EXIF削除などの画像処理パイプラインで、来歴情報を消していないか
• 自社の検証ツール、またはC2PAに対応した第三者の検証ツールへの導線を用意したか
• 利用しているAPIベンダーの規約で、透かしやメタデータの扱いを確認したか
• 自社モデルを他社にライセンスしている場合、開示機能の維持を契約に入れ、違反時に72時間以内で対応できる体制があるか
• 検証ツールや来歴情報に、利用者の個人情報を不要に含めていないか
• EU向けにも提供している場合、第50条の要件（テキスト・チャットボットを含む）とあわせて設計しているか

この中で特に見落としやすいのが画像処理パイプラインの点検です。API側で正しく来歴情報が付いていても、自社のサーバーで画像を圧縮し直したりメタデータを削除したりすると、出力時には情報が残っていないことがあります。

法律の限界と注意点：透かしは万能ではない

この法律で求められる来歴情報や検証ツールには限界があります。「AI生成物を確実に見抜ける仕組みができた」と受け取るのは誤りです。

• 透かしやメタデータは除去・偽装され得る: スクリーンショット、再圧縮、編集ソフトでの加工で消える場合があります。州議会の分析でも、実写の画像を生成AIに通して透かしだけを付ける「偽ラベル」の可能性が指摘されています。
• 検証ツールは自社の生成物しか判定できない: OpenAIのツールでMidjourneyの画像を判定することはできません。来歴情報が見つからなくても「人が作った本物」とは限りません。
• テキストは対象外: AIが書いた文章の判別は本法の範囲外で、テキスト透かしは標準化も遅れていると州議会の分析は指摘しています。
• 利用者に表示義務を課す法律ではない: 義務を負うのは提供者・プラットフォーム・機器メーカーです。ただし、広告に生成AIの合成パフォーマーを使う場合の開示を定めたSB 1050など、別の法律が関係する場合があります。
• 個人情報との両立が必要: 来歴情報に作成者の個人情報を含めない設計が求められます。

連邦政府には州のAI規制を制限しようとする動きもありますが、本法の効力に影響した事実は現時点で確認できていません。生成AI全般のリスク対策は生成AIのセキュリティリスクと対策で解説しています。

対応を急ぐべき企業／当面は関係が薄い企業

対応を急ぐべき企業

• 米国からも使える画像・動画・音声の生成AIサービスやアプリを提供している企業（規模を問わない）
• 生成AI APIを組み込み、画像・音声・動画を出力するSaaSを米国向けに提供している企業
• 自社の生成AIモデルを他社にライセンスしている企業
• 米国向けにSNS・UGC・ファイル共有サービスを運営している企業（2027年に向けた準備）
• カリフォルニアでカメラ・スマートフォン・録音機器を販売するメーカー（2028年に向けた準備）
• 米国向けの広告や映像制作で生成AI素材を多用する企業（SB 1050など関連法の確認が必要）

メディア・出版業でのAI活用と表示の考え方は、メディア・出版業のAI活用も参考になります。

当面は関係が薄い企業・個人

• 日本国内向けに限定してサービスを提供し、米国からのアクセスを想定していない企業
• ChatGPTやClaudeを文章作成や社内業務に使っているだけの企業・個人
• テキストのみを生成するチャットボットを提供している企業（ただしEU第50条は別途確認が必要）

よくある質問

Q. ChatGPTで作った画像を自社サイトに載せると、カリフォルニア州法に違反しますか？

本法で義務を負うのはOpenAIのような提供者です。画像を使う側の企業に「AI生成」と表示する義務はありません。ただし、OpenAIの規約で透かしやメタデータの除去が制限されている可能性があるほか、広告で使う場合は別の法律（SB 1050など）が関係することがあります。

Q. 日本からのアクセスがほとんどのサービスでも対象になりますか？

基準は「カリフォルニア州内から一般にアクセスできるか」で、実際の利用者の比率ではありません。地域制限をかけているか、米国から登録できるかといった点が判断材料になります。個別の判断は専門家に相談してください。

Q. 「AI検出ツール」があれば、AIが書いたレポートや論文を見抜けるようになりますか？

なりません。本法の検証ツールは、提供者が自社システムで生成した画像・動画・音声を確かめるためのものです。文章は対象外で、他社のAIで作られたコンテンツも判定できません。

Q. 8月中に対応していなかった場合、さかのぼって罰金を科されますか？

罰則は8月2日の施行時から適用されているため、理屈の上では施行後の不遵守が執行の対象になり得ます。ただし、2026年10月7日時点で当局による執行事例は確認できていません。8月時点の義務（可視表示の選択肢など）は改正で変わっているため、過去の扱いについては専門家への確認をおすすめします。

Q. 生成AIとは何か、基礎から整理したいです

画像・動画・音声・テキストを生成するAIの仕組みや種類は、生成AIとは？仕組み・種類・活用例で解説しています。本法の「生成AIシステム」の定義を理解する前提知識として役立ちます。

まとめ

カリフォルニアAI透明化法は、2026年8月2日にSB 942（AB 853改正版）として施行され、9月30日にはSB 1000で大きく改正されました。現行法のポイントは次のとおりです。

• 州内から一般にアクセスできる画像・動画・音声の生成AI提供者は、規模にかかわらず対象
• 義務は埋め込み表示・開示検証ツール（第三者ツールでも可）・ライセンス先の管理の3つ。可視表示の義務は削除
• 罰則は1違反1日5,000ドルで、執行は州司法長官・市検事・郡検事のみ
• 2027年にプラットフォーム、2028年に撮影機器メーカーへ対象が広がる
• テキストは対象外で、透かしや検証ツールは万能ではない

日本企業がまず確認したいのは、米国から使える画像・動画・音声の生成機能があるかどうか、そして自社の画像処理で来歴情報を消していないかの2点です。最終条文の公開や当局の執行状況によって実務上の解釈は変わり得るため、引き続き公式情報を確認してください。

参考資料

• カリフォルニア州知事 公式発表（2026年9月30日）
• カリフォルニア州議会 プライバシー・消費者保護委員会 SB 1000分析（2026年6月16日）
• California Legislative Information：SB 942 ／ AB 853 ／ AB 2713
• CalMatters Digital Democracy：SB 1000
• Morrison & Foerster「California Revamps AI Transparency Requirements」（2026年10月1日）
• Covington Inside Global Tech（2026年10月6日）
• 欧州委員会：AI Act第50条 透明性義務FAQ
• JETRO ビジネス短信（2025年10月27日）