こんにちは、株式会社TIMEWELLの濱本隆太です。
2026年5月31日、米商務省産業安全保障局（BIS）が、先端コンピューティング品目のライセンス要件に関する短いガイダンスを公表しました[^1]。半導体やクラウド、データセンターに関わる日本企業の輸出管理担当者にとって、これは見過ごせない一文です。中身を読むと「新しい規制」ではありません。2023年から続いている要件が今も生きていて、しかもAI Diffusion Ruleが執行されない状況下でもなお適用される、という確認です。問題は、その確認が想像以上に広い範囲を巻き込むことにあります。
最初に押さえてほしいのは、このガイダンスの肝が「会社がどこに本社を置いているか」という所在地の話だということです。よく似た仕組みとして、Entity List掲載企業が株式の半分以上を握っているかどうかを問う「50%ルール」がありますが、これは別のメカニズムです。両者を混同したまま社内のスクリーニングを組むと、本来ライセンスが要る取引を見逃します。この記事では、まずガイダンスが何を確認したのかを読み解き、所在地ベース判定の中身、50%ルールとの違い、AI Diffusion Rule非執行との関係、そして日本企業の実務、特にデータセンターと再輸出への影響まで、一次情報に当たりながら整理します。
2026年5月31日ガイダンスは何を確認したのか
このガイダンスの正式名は「Country Group D:5およびMacauに本社を置く事業者向け先端コンピューティング品目のライセンス要件の執行に関するガイダンス」です[^1]。タイトルからして「執行に関する明確化」であって、規制の新設ではありません。BISは冒頭で、D:5諸国（EARのpart 740 supplement no. 1で定義される国群）またはMacauに本社を置く事業者、もしくは最終親会社がそれらの地域に本社を置く事業者へ先端コンピューティング品目を輸出する場合、ライセンスが必要だと述べています。ここで決定的なのが、続く一文です。事業者自身がD:5やMacauの外に所在していても、この要件は適用される、と明記されています。
なぜわざわざこんなガイダンスが出たのか。背景には現場からの問い合わせがありました。2023年11月に導入された既存のライセンス要件が、AI Diffusion Rule登場後の今も「.a」品目について本当に執行されているのか、AI Diffusion Rule以前にはライセンス不要だった仕向地に所在するD:5・Macau本社企業についても適用されるのか、という疑問です。BISの回答は一語、yesでした。所在地を基準とする要件は今も生きていて、AI Diffusion Ruleをめぐる執行方針の揺れとは無関係に効力を持ち続けている、というのがこのガイダンスの核心です。
ここでいうD:5とは何か。EARの国群分類のうち、米国の武器禁輸対象国をまとめたグループで、中国やロシアなどが含まれます[^5]。ITARの§126.1に列挙された武器禁輸国と一致するよう設計されており、国務省が連邦官報で禁輸国を更新すればD:5も追従します。つまりD:5は固定の国リストというより、武器禁輸という政策に連動して動く集合です。担当者としては、自社の取引先や、その先のエンドユーザーの本社所在地がこの群に該当しないかを、最新のsupplement no. 1で都度確認する習慣が要ります。たった一段落のガイダンスですが、ここに書かれた「所在地に関わらず」という言葉が、後段で見ていく実務の重さをすべて決めています。
該非判定の属人化を、AIで解消する。
経産省2024年度データによれば、外為法違反の52%は該非判定起因。TRAFEEDなら、判定時間を約7割削減し、判定根拠を構造化データで保存できます。
「所在地ベース判定」とは何か
では、所在地ベース判定の具体的な仕組みを見ます。ガイダンスによれば、この要件は2023年11月17日に初めて導入されました。実装の入口はEARの§744.23(a)(3)というエンドユーザー規制で、対象は先端コンピューティング品目全般、具体的にはECCN 3A090.aおよび.b、4A090.aおよび.b、そして関連する.zパラグラフ品目です[^1]。ECCNとは輸出規制品目分類番号のことで、ある製品が規制対象かどうか、どんな条件で輸出できるかを示す米国独自のコード体系です[^7]。3A090や4A090は先端的なAI向けプロセッサや関連集積回路を捉えるための番号で、.aや.bは性能の閾値に応じた区分、.zは特定品目を組み込んだ装置を指します。
ここで時系列を追うと話が見えてきます。2025年1月、AI Diffusion Ruleがこれら「.a」品目の要件を§744.23(a)から§742.6へ移し、新たに世界規模のライセンス要件として組み替えました[^1]。場所はエンドユーザー規制から仕向地ベースの規制へと引っ越したわけです。そして2025年5月、BISはAI Diffusion Ruleの新しい遵守要件を執行しないと発表しました。この一連の動きが、現場に「では2023年の要件はどうなった」という混乱を生みました。
ガイダンスはその混乱に決着をつけます。現在、ライセンス要件は§742.6(a)(6)(iii)(A)のもとで、米国外のすべての仕向地に対して適用されると明記されました[^1]。対象は、D:5諸国またはMacauに本社を置くか、最終親会社がそれらに本社を置く事業者向けの先端コンピューティング品目です。最終親会社という概念が効いてきます。取引相手が一見すると無害な第三国の法人でも、その資本系列を辿った最も上位の親会社がD:5やMacauに本社を構えていれば、要件の射程に入ります。シンガポールやドイツに登記された子会社へ売ったつもりでも、最終親会社が北京なら、ライセンスが要るということです。所在地ベース判定とは、こうして取引相手の登記地ではなく、企業グループの頂点がどこにあるかを問う仕組みなのです。
「50%ルール」との違い
ここでよく似たもう一つの仕組みと混同しないでほしいのが、いわゆる「50%ルール（Affiliates Rule）」です。2025年にBISがEntity ListとMilitary End-User（MEU）Listの射程を子会社・関連会社へ広げた規制で、こちらは資本構成を基準にします[^2]。Entity Listとは、米国の安全保障や外交政策上の懸念から取引に許可を要する事業者を列挙したブラックリストです[^6]。Affiliates Ruleは、Entity ListまたはMEU Listに載った一以上の事業者によって株式の50%以上を保有される事業者は、それ自体が自動的に同じ制限の対象になる、と定めました。さらに、掲載企業による有意な少数株主保有は追加デューデリジェンスを要するレッドフラグとして扱われます。
この二つは、表面的には「グループ単位で網をかける」という点で似ています。けれど判定の軸はまったく別物です。所在地ベース判定が見るのは本社の場所、つまり最終親会社がD:5やMacauに本社を置いているかどうか。50%ルールが見るのは資本、つまりEntity List掲載企業が議決権の半分以上を握っているかどうか。前者は地理、後者は持株比率です。だから、ある取引が片方には引っかからなくても、もう片方には引っかかることが普通に起こります。
具体的に考えてみます。最終親会社が中国（D:5）に本社を置くが、Entity Listには一切載っていない企業へAIチップを輸出する場合、50%ルールの観点では何も問題ありません。誰もEntity Listに載っていないからです。しかし所在地ベース判定では、最終親会社が中国本社であるという一点でライセンスが必要になります。逆に、本社はオランダにあるがEntity List掲載企業に55%を保有される企業なら、所在地ベース判定では引っかからず、50%ルールで掴まります。社内スクリーニングを資本関係の確認だけで組んでいる会社は、前者のケースを丸ごと見落とす危険があります。両ルールの全体像は別記事のBIS Affiliates Rule（50%ルール）完全ガイドで詳しく扱っていますが、ここで言い切っておきます。資本のチェックと本社所在地のチェックは、別々に走らせる必要があります。Entity List、MEU List、SDN Listといった各種リストの位置づけはEntity List・MEU List・SDN List比較も参考になります。
AI Diffusion Rule非執行との関係
次に、現場をもっとも惑わせている論点に踏み込みます。BISは2025年5月にAI Diffusion Ruleの新しい遵守要件を執行しないと発表しました。ここだけ聞くと、先端コンピューティング品目の輸出はしばらく自由になったかのように受け取られかねません。実際、社内で「AI Diffusion Ruleは執行されないのだから、もう気にしなくていい」という声が出ている企業もあるはずです。ガイダンスはその誤読を正面から封じています。
論理はこうです。AI Diffusion Ruleは2025年1月に、2023年からあった「.a」品目の要件を§744.23(a)から§742.6へ移し、世界規模の要件として組み直しました。BISが執行しないと言ったのは、このAI Diffusion Ruleが「新たに」課した遵守要件についてです。ところが、D:5・Macau本社を基準とするライセンス要件は、AI Diffusion Ruleより前から存在していました。だからBISの非執行方針は、この先行する要件には及びません。ガイダンスの言葉を借りれば、§742.6(a)(6)(iii)(A)の仕向地ベースのライセンス要件に対する非執行方針は、当該品目がD:5・Macau本社（または最終親会社がD:5・Macau本社）の事業者向けでない場合に限って適用される、とされています[^1]。
整理すると、非執行という傘の下に入れるのは「D:5・Macau本社向けではない取引」だけです。最終親会社がD:5やMacauに本社を置く相手への先端コンピューティング品目の輸出は、傘の外にあり続けます。BISは明確に、こうした取引について引き続きライセンスを取得すべきだと述べ、§740.2(a)(9)(ii)に定めるライセンス例外が使える場合を除く、と但し書きを添えています[^1]。つまり例外の適用可否も自分で確認しなければならないわけです。非執行という言葉のニュアンスを、取引全体への免罪符と読むのは危険です。実態は、AI Diffusion Ruleが上書きしようとした部分のうち新規分だけが止まっていて、その下に埋まっていた2023年由来の所在地ベース要件は、何事もなかったように動き続けている、というのが正確な理解です。
日本企業・データセンターと再輸出への実務影響
ここまでの整理を、日本企業の現場に落とし込みます。まず再輸出のリスクです。EARは米国原産品目やそれを一定割合以上含む品目について、日本企業が第三国へ転売・転送する場合も域外適用します。先端コンピューティング品目を日本で調達し、グループ会社や顧客を経由して海外へ動かす過程で、最終的な受領者の最終親会社がD:5・Macau本社だったとき、ライセンス要否の判断を誤れば違反になりえます。受領者の登記地が無害な国でも、資本系列の頂点を確認しないと結論は出せません。商流の各段で「この相手の最終親会社はどこか」を問い直す運用が要ります。
データセンターとクラウドの担当者には、ガイダンスが添えた一文が効いてきます。BISは、EARに整合した活動を行う善意のデータセンター運用者について、このガイダンスを理由に先端コンピューティング品目の継続使用・保管・廃棄・保守を止める必要はないと明記しました[^1]。追って通知があるまで、という条件付きです。既に稼働しているGPUクラスタを即座に止めろという話ではない、という安心材料です。ただしこれは「運用の継続」に関する話で、新規の輸出・再輸出・社内移転には別途ライセンス要否の判断が要ります。クラウド事業者が海外リージョンへAIアクセラレータを増設する、あるいは顧客のワークロードのために機材を再配置するといった局面では、受領者と最終親会社の所在地確認から逃げられません。
そしてもう一つ、日本企業が直面するのは多法域同時追従の負担です。米国のEARだけでなく、EUも2025年9月に先端コンピューティング集積回路やFPGAを含むデュアルユース規制リストを更新しました[^4]。EUは加盟国共通の規制リストとワッセナー・アレンジメントなど多国間枠組みを基盤にしており、米国の所在地ベースという一国独自の発想とは設計思想が異なります。日本企業はこの二つの体系を、さらに日本の外為法と並べて同時に満たさなければなりません。条文番号、ECCN、対象国群、本社所在地、株式保有比率を、製品ごと取引ごとに突き合わせる作業は、Excelの台帳と人手のスクリーニングでは早晩破綻します。ECCNの分類そのものに不安がある場合はECCN分類の実務ガイドも併せて確認してください。
私たちが開発する輸出管理AIエージェントTRAFEEDは、まさにこの多法域・多条文の突き合わせを自動化するために作りました。経産省基準に準拠しつつ、EARのECCN、Entity List、最終親会社の所在地といった判定軸を一つの審査フローに束ね、取引データを入力すると論点を洗い出します。所在地ベース判定と50%ルールのように軸の違う要件を、担当者の記憶力に頼らず機械的に並走させられる点が、今回のようなガイダンス更新が出るたびに効いてきます。規制は今後も微修正を繰り返します。条文が動くたびに台帳を手で直す運用から、ルールを更新すれば全取引に即反映される運用へ。そこに移れるかどうかが、これからの輸出管理の分かれ目になります。
まとめ
2026年5月31日のBISガイダンスから、実務担当者が持ち帰るべき点を整理します。
- ガイダンスは新規制ではなく、2023年11月17日に§744.23(a)(3)で導入された既存のライセンス要件が今も執行されていることの確認である[^1]
- 判定軸は「所在地ベース」で、D:5諸国またはMacauに本社、もしくは最終親会社が本社を置く事業者向けの先端コンピューティング品目（ECCN 3A090.a/.b、4A090.a/.b、関連.z）が対象。事業者がD:5・Macau外に所在しても適用される[^1]
- これは株式保有を基準とする「50%ルール（Affiliates Rule）」とは別メカニズム。資本のチェックと本社所在地のチェックは別々に走らせる必要がある[^2]
- AI Diffusion Ruleの非執行は所在地ベース要件には及ばない。D:5・Macau本社向けの「.a」品目は§742.6(a)(6)(iii)(A)により米国外全仕向地でライセンスが要る[^1]
- 善意のデータセンター運用者は継続使用を止める必要はないが、新規の輸出・再輸出には別途ライセンス要否の判断が要る[^1]
最終親会社がどこに本社を置くかという一点が、取引の可否を左右します。受領者の登記地だけを見て安心せず、資本系列の頂点まで遡る運用へ切り替えることを勧めます。
参考文献
[^1]: Guidance Regarding Enforcement of License Requirements for Advanced Computing Items for Entities Headquartered in Country Group D:5 and Macau｜Bureau of Industry and Security, U.S. Department of Commerce（2026年5月31日） [^2]: Department of Commerce Expands Entity List to Cover Affiliates of Listed Entities｜Bureau of Industry and Security, U.S. Department of Commerce（2025年） [^3]: Revision to License Review Policy for Advanced Computing Commodities（2026-00789）｜Federal Register（2026年1月15日） [^4]: 2025 update of the EU control list of dual-use items｜European Commission, DG Trade（2025年9月8日） [^5]: Supplement No. 1 to Part 740 — Country Groups｜Bureau of Industry and Security（current） [^6]: Supplement No. 4 to Part 744 — Entity List｜eCFR, Title 15（current） [^7]: Commerce Control List (Part 774) — Export Control Classification Numbers｜eCFR, Title 15（current） [^8]: Section 742.6 — Regional Stability｜eCFR, Title 15（current） [^9]: Section 744.23 — Advanced computing and supercomputer end use｜eCFR, Title 15（current） [^10]: Section 740.2 — License exceptions, restrictions｜eCFR, Title 15（current） [^11]: Supplement No. 1 to Part 740 — Country Groups｜eCFR, Title 15（current）