EUと中国のAI規制、2025-2026年に現場で必要な対応を整理する

EUのAI Actは2024年夏に成立したものの、施行スケジュールと技術要件の多くは2026年以降にずれ込んでいる。中国側も2025年時点で包括的なAIガバナンス法を整備中というより、個別分野ごとのガイドラインを積み上げている段階だ。どちらも「決まったこと」と「これから詰めること」を丁寧に切り分けて追う必要がある。

EU AI Actの施行タイミングと現場で必要な対応

EU AI Actは2024年8月に官報掲載され、2026年8月までに段階的に適用される。禁止されるAIシステム（社会 scoring、リアルタイム生体認証など）は2025年2月から効力を持つが、汎用AIモデル（GPAI）への透明性義務は2025年8月、高リスクシステムの適合性評価は2026年8月が本番だ。

このタイムラグを意識すると、2025年中にやるべきことは「禁止リストの確認」と「GPAIの文書化ルール整理」の2点に絞られる。高リスク分類のトレーニングデータ要件や、バイアス評価の具体的な指標は、2025年中に欧州委員会が発行予定の実施規則を待たないと確定しない。現時点で社内ポリシーを固めすぎると、後で二度手間になる可能性が高い。

実務的には、まず自社で扱っているAIシステムが禁止カテゴリに該当しないかを確認するのが先決だ。リアルタイム生体認証や無差別的なソーシャルスコアリングは明確に禁止されるため、既存のユースケースでこれらに該当するものは早めに方向転換を検討する必要がある。ただし、禁止リストに該当しない場合でも、GPAIとして提供しているモデルがある場合は、2025年8月からの透明性義務に対応した文書作成を進めておくべきだ。

次に注意すべきは、GPAIの定義自体がまだ流動的である点だ。モデル提供者がGPAIに該当するかどうかは、システムリスクの有無や計算量の閾値で判断される見込みだが、具体的な基準は2025年夏の委員会決定を待つ必要がある。したがって、2025年中は「自社モデルがGPAIに該当する可能性がある」という前提で、技術文書の作成と管理体制の整備を進めておくのが現実的だ。

GPAI（汎用AIモデル）への義務が実務でどこまで変わるか

GPAI事業者に対する主な義務は「技術文書の作成」「著作権法遵守の要約公開」「重大インシデントの報告」だ。これらはモデル提供者側の話だが、モデルを自社プロダクトに組み込む場合でも、提供者から受け取る文書を社内で保管・更新するプロセスが必要になる。

問題は「著作権法遵守の要約」がどの粒度で求められるかまだ明確でない点にある。2025年5月頃に予定されている実施細則で、学習データセットの出典リストをどこまで開示するかが決まる見込みだ。もし個別URLレベルの開示が求められれば、社内RAGシステムのデータセット管理方法を根本的に見直す必要が出てくる。

実際に、GPAIの技術文書には、モデルのアーキテクチャ、トレーニング手順、使用したコンピューティングリソース、既知の制限事項などが含まれる予定だ。これらの情報を提供者から受け取った場合、利用者側は自社プロダクトのドキュメンテーションにどのように反映するかを決めておく必要がある。また、重大インシデントの報告義務は、提供者だけでなく利用者にも一部適用される可能性があり、どのような事象を「重大」とみなすかの判断基準を社内で事前に整理しておくことが望ましい。

さらに、GPAIの義務は「モデル提供者」と「システム統合者」で異なる点にも注意が必要だ。モデルを提供する立場であれば、技術文書の作成と公開が主な義務となる。一方、自社プロダクトにモデルを組み込んで提供する場合は、提供者から受け取る文書を基に、システムレベルのリスク評価と文書化が求められる。この二つの立場で必要な作業が異なるため、自社がどちらの立場に該当するかを明確にした上で、対応を計画する必要がある。

中国のAIガバナンス動向とEUとの違い

中国は2023年に「生成AIサービス管理暫定弁法」を施行し、2024年はアルゴリズム推薦とディープフェイクのラベル付け義務を強化した。2025年現在、包括的な「AI法」ではなく、分野ごとの規則を積み重ねる形を取っている。これはEUがリスク分類を一括で定めるアプローチとは対照的だ。

実務的な違いとして、中国市場向けにモデルを展開する場合、生成コンテンツの「安全審査」ログを90日以上保存する義務がすでに存在する。EUの「重大インシデント報告」とは別のログ設計が必要になり、グローバル展開企業は二系統のログ基盤を用意するケースが増えている。

中国のアプローチの特徴は、生成AIサービスを提供する事業者に対して事前審査と継続的なモニタリングを求めている点だ。生成コンテンツが「社会主義の核心的価値観」に反しないことを確認する義務があり、この基準はEUのリスク分類とは異なる判断軸を持つ。また、アルゴリズム推薦規制では、ユーザーが推薦アルゴリズムの仕組みを理解できるように説明する義務も課されており、EUの透明性義務とは異なる粒度の対応が必要になる。

一方で、中国の規制は個別分野ごとに積み上げられているため、包括的なリスク分類がない分、事業者が自ら判断すべき範囲が広いという特徴もある。EUのように「高リスク」「限定リスク」といったカテゴリが明確に定義されていないため、サービス設計時にどの規制が適用されるかを個別に確認する必要がある。この点は、グローバル展開を検討する企業にとって、EUと中国で異なるアプローチを並行して管理する負担を生んでいる。

著作権と生成AIの扱い方

EU AI ActのGPAI条項では「著作権法を遵守していることの要約」を公開するよう求めているが、米国で進行中の複数の集団訴訟（NYTimes v. OpenAIなど）の判決が出ていないため、要約の書き方が固まっていない。欧州でも2025年中にAI Officeがガイドラインを出す予定だが、判例待ちの状態が続いている。

日本企業がEU向けSaaSを提供する場合、学習データの出所を「社内データ＋公開ウェブデータ」と一括記載する程度で済むのか、それともデータセット名とライセンスの明示が必要になるのか、現時点では判断材料が不足している。2025年後半の実施規則を待ってから、データセットの棚卸しを本格化させた方が安全だ。

著作権遵守の要約に関する実務的な課題として、トレーニングデータの出典をどのように記述するかという問題がある。ウェブクローリングで収集したデータの場合、個別のURLをすべて列挙することは現実的でないため、一定の集約レベルでの記述が認められる可能性もある。ただし、この集約の粒度がどの程度まで許容されるかは、2025年5月頃に予定されている実施細則で明確になる見込みだ。

また、既存のデータセットを使用している場合、そのデータセットが著作権法に準拠して作成されていることを確認する必要がある。外部から提供されたデータセットを使用している場合は、提供者から著作権に関する保証を得ているかどうかを確認し、必要に応じて追加の確認作業を行うことが望ましい。このような事前確認を怠ると、後で著作権侵害が発覚した際に、GPAIの義務違反として扱われるリスクがある。

安全・ガバナンスの実装でエンジニアが今できること

規制の詳細が固まるまで待つのではなく、以下の3点を先行して整備しておくのが現実的だ。

• モデルカードやデータシートを社内標準フォーマットで保存する仕組み

• 重大インシデント時の連絡フローをセキュリティチームと共有

• 生成コンテンツの出典追跡ログを、EUと中国の両方の要件を満たす形で設計

これらは「規制対応」ではなく「後から説明できる状態」を作る作業に近い。規制の粒度が決まった時点で、既存のログから必要な項目だけ抽出できるようにしておけば、追加開発のコストを抑えられる。

モデルカードやデータシートを保存する仕組みを整備する際は、単にフォーマットを統一するだけでなく、更新履歴を管理するプロセスも併せて設計することが重要だ。モデルが更新されるたびにカードを更新し、過去のバージョンとの差分が追跡できるようにしておくことで、規制当局からの問い合わせに対応しやすくなる。また、データシートの場合は、トレーニングデータの出所だけでなく、データの前処理やフィルタリングの方法についても記録しておくことが、後からの説明責任を果たす上で有効だ。

重大インシデント時の連絡フローについては、セキュリティチームだけでなく、法務部門や経営層との連携も含めて設計する必要がある。インシデントの判定基準や報告のタイミング、社内外への通知手順などを事前に決めておくことで、実際にインシデントが発生した際に迅速に対応できる。また、EUと中国の両方の要件を満たすログ設計を行う場合は、共通のログ基盤を構築しつつ、出力フォーマットや保存期間を要件ごとに切り替えられる仕組みを検討することが現実的だ。

まだ決まっていない点と2026年以降の注目ポイント

高リスクAIシステムの「適合性評価」手続きが、自己宣言で済むのか第三者認証が必要なのかは2025年中に明確になる予定だ。第三者認証が必須になった場合、EU域内の認証機関のキャパシティがボトルネックになる可能性もある。

また、GPAIの「システムリスク評価」義務は、モデルパラメータ数や計算量の閾値で決まる見込みだが、具体的な数値は2025年夏の委員会実施決定を待たないとわからない。10^25 FLOPsという数字が候補に挙がっているが、確定情報ではない。

適合性評価の手続きについては、自己宣言で済む場合と第三者認証が必要な場合で、企業にかかる負担が大きく異なる。自己宣言の場合は、社内で評価を実施し、結果を文書化すればよいが、第三者認証の場合は、認証機関による審査を受ける必要があり、時間とコストがかかる。また、認証機関のキャパシティが不足している場合、審査の待ち時間が長くなり、プロダクトのリリーススケジュールに影響を与える可能性もある。

GPAIのシステムリスク評価については、計算量の閾値だけでなく、モデルの用途や展開規模も判断材料になる可能性がある。たとえば、同一モデルでも、消費者向けのチャットボットとして展開する場合と、企業内の業務システムとして展開する場合で、リスク評価の観点が異なる可能性がある。このため、閾値だけでなく、用途ごとのリスク評価の枠組みについても、2025年夏の委員会決定を注視する必要がある。

中国のAIガバナンスが世界に与える影響

中国のAIガバナンスアプローチは、EUの包括的なリスク分類とは異なる形で世界の規制議論に影響を与えている。中国が分野ごとにガイドラインを積み重ねる手法は、技術の進化に合わせて柔軟に対応できるという利点がある一方で、事業者にとっては適用される規制の全体像を把握しにくいという課題もある。

特に、生成AIサービスに対する事前審査と継続的なモニタリングの義務は、他の国や地域が同様の仕組みを導入する際の参考になる可能性がある。中国市場向けにサービスを展開する企業にとっては、このアプローチに適応するための体制整備が求められるが、同時に、この経験を他の地域での規制対応に活かすこともできる。

次に見るポイント

2025年秋に予定されている欧州委員会の実施規則パッケージと、中国のアルゴリズム推薦規制の改訂動向を並行して追うのが、現時点で最も効率的だ。

参考にした話題

• EU AI Act 施行スケジュール (2024年8月官報掲載)

• 中国生成AIサービス管理暫定弁法 (2023年施行)

• GPAI技術文書・著作権要約義務 (2025年実施規則予定)

• 【時評】「中国のプラン」が世界のAIガバナンスをリード - CGTN Japanese (2026-07-18)