EU AI法 (EU AI Act) / GPAI Code of Practice・ガイドライン / 〜EUデジタル・オムニバス提案まで雑感 ―実装と簡素化の狭間で―

０　はじめに

　本日（12月6日）、EUではXのデジタル規制違反を初認定し、制裁金220億円としたようである。

　EU AI法（AI Act）が2024年8月1日に発効し、2025年に入って禁止行為やAIリテラシー義務が実際に動き始めたことで、AIガバナンスの重心は「条文を読む段階」から「実装をどうするか」という泥臭いフェーズに入りつつある。

　「AIと法-雑感」では、これまでBitkomの実務ガイドラインやEUデジタル・オムニバス提案など、周辺の動きを先に取り上げてきたが、肝心のEU AI法そのものを一度もまとめていなかった。そこで本稿では、かなり割り切った形で、EU AI法の骨格と、その取り巻きであるGPAI Code of PracticeおよびGPAIガイドライン、それから最近の「簡素化」・競争力重視の流れを、整理しておきたい。

　日本のAI推進法等AIガバナンスの全体像を確認してから読めば比較の視点が加わり面白いかもしれない。

Ⅰ　EU AI法

１　EU AI法の概要

（１）世界で初めて包括的にAIを規制する法律（2024年8月1日発効）

　EU AI法は、主要な規制主体としては世界で初めて、AIを横断的に捉えた包括的な法規制枠組みであると位置づけられている。欧州委員会が2021年4月に規則案を提出し、2023年12月に議会・理事会で政治合意、2024年8月1日に発効という流れである。

　立法作業のスタート時点では、いわゆる生成AIブームも、OpenAIのようなGPAIプロバイダーの台頭も現在ほど顕在化していなかった。GDPRが「世界標準」として想定以上の影響力を持ったことを踏まえ、「AIでもう一度、同じゲームをやる」という発想があったことは否定しがたいであろう。

　AI法の構造は、既存のプロダクト安全規制（CEマーキング・適合性評価）と、基本権保護を軸とした横断的な枠組みを「かみ合わせる」設計になっている。とくに高リスクAIについては、AI法単体で完結するのではなく、「他のEU調和法令（Annex I）」と「利用分野ごとの列挙（Annex III）」の両面から高リスク性を定義するという、かなり凝ったレゴブロック構造を取る。

　時間軸でみると、AI法は一気に全面適用されるわけではなく、段階的に適用範囲を広げていく。禁止行為とAIリテラシー義務は2025年2月2日から、GPAIモデルに対する義務とガバナンス規定は2025年8月2日から、透明性義務やAnnex III型の高リスクAI義務は2026年8月2日から、製品規制側に埋め込まれた高リスクAI義務は2027年8月2日から適用される。

　実務的には、「いつまでに何をやればよいのか」のロードマップを作るだけでも一仕事になる設計である。

（２）リスクベース・アプローチ

　EU AI法の有名なポイントが、4段階のリスクベース・アプローチである。

　ここに、GPAIモデル（general-purpose AI model）という別軸のレイヤーが乗る。GPAIモデルは、それ自体は「モデル」に過ぎず、ユーザーインターフェースなどの追加要素を含む「AIシステム」とは区別されるが、さまざまな用途に再利用される「基盤」として、別建ての義務と監督対象になっている。

（３）域外適用とブリュッセル効果：日本企業も他人事ではない

　AI法の適用範囲（territorial scope）は、GDPRと同様、「EU域内での市場投入（placing on the market）・使用（use）」を手がかりに構成されている。EU域外に所在する企業であっても、EU市場向けにAIシステムを提供したり、GPAIモデルを供給する場合には、プロバイダーとしてAI法の義務を負う可能性が高い。

　さらに、日本企業が「AIユーザーに過ぎない」と思っていても、カスタマイズや微調整の仕方によってはプロバイダー資格に近づきうることは、Bitkomの実務ガイドラインを読んだときにも触れたとおりである。GPAIモデルの微妙なカスタマイズが、「単なる利用」なのか、「新たなモデル・システムの提供」なのかという線引きは、今後の実務・判例のなかで揉まれていくことになるだろう。

　他方で、いわゆる「ブリュッセル効果」は、AI法のテキストが直接適用されない第三国にも及ぶ。ベトナムのAI法案が、4リスク分類とGPAI規定を含むEUモデルをかなり忠実に踏襲していることは別稿で扱ったが、同様の動きは今後も増えていくだろう。

（４）規制から競争力強化へ？　デジタル・オムニバスと「簡素化」アジェンダ

　AI法の交渉過程では、「AIを囲い込む規制」としての色合いが強かったが、発効後の2025年に入ると、欧州委員会側のトーンは「競争力」「規制負担の削減」にかなりシフトしている。象徴的なのが、2025年10月に公表された「2025 Overview Report on Simplification, Implementation and Enforcement」である。この報告書は、2030年までに規制コストを大きく削減し、企業・行政の事務負担を25％程度軽くするという野心的な目標を掲げている。

　AI法についても、いわゆる「Digital Omnibus on AI」が提案され、適用時期の調整や、AI Officeの権限強化、中小企業向けの簡素化措置の拡充、規制サンドボックスの活用拡大などが打ち出された。とくに、高リスクAIの適用時期について、標準やガイドラインが整備されるまで最大16か月程度の猶予を設けるという提案は、「まずは実装インフラを揃えてから本格施行に入る」という方向性を明示するものである。

　AI法は、相変わらず「世界でもっとも野心的なAI規制」であることに変わりはないが、2025年時点の空気感としては、「規制を守らせるためにも、まずは実務的に回せる程度のシンプルさを確保しよう」という、かなり現実主義的なモードに入っているようにみえる。このあたりは、別稿「EUデジタル・オムニバス提案―大転換の足音―」で扱ったので、関心のある方はそちらも参照されたい。

Ⅱ　GPAI Code of Practice

　GPAI（汎用目的AI）をめぐる実務で、ここ1年ほどで存在感が急速に高まっているのが、GPAI Code of Practiceである。これは、AI法53条・55条などに基づくGPAIモデルプロバイダーの義務を、実務的にどう満たすかを示す「ソフトロー」であり、2025年7月10日に公表された。

　Codeは、

の3章から構成されている。前二者はすべてのGPAIモデルプロバイダーに適用されるが、③については、10^25 FLOPs超の巨大モデルなど、いわゆる「systemic risk」を伴う少数のモデルのみを対象とする構成になっている。

　Transparency章では、モデルカードに相当する「Model Documentation Form」がテンプレートとして用意され、学習データの概要、評価指標、既知の限界・失敗モード、ガードレールなどを体系的に開示することが求められる。Copyright章では、テキスト・データマイニング（TDM）例外や権利者のオプトアウトに関するEU法との整合性を前提に、学習データの出典をまとめた「トレーニングコンテンツの公開要約」の作成が推奨される。Safety & Security章では、red-teaming、インシデント対応、モデルの悪用に関するモニタリングなど、いわゆるAI安全の実務リストがかなり細かく列挙されている。

　このCodeは完全に任意のツールであるが、欧州委員会とAI Boardにより、「AI法上の義務遵守を示すうえで適切な手段」として承認されている。そのため、Codeに署名して各章に従うことは、「自社はAI法の求めるレベルの透明性・著作権配慮・安全性を満たしている」という一種の「安全運転宣言」として機能する。

　実務的なインパクトという観点では、GPAI Code of Practiceは、AI法の「解釈指針」という枠を超えて、基盤モデル開発における事実上の国際標準になりつつある。とくに、モデルドキュメントやトレーニングデータ要約のフォーマットは、今後、各国のガイドラインや業界標準でも参照される可能性が高い。日系企業にとっても、「自社がモデルプロバイダーになるかどうか」にかかわらず、上流でこうしたドキュメントを整備するプロバイダーと、サプライチェーンとしてどう付き合うかという視点が重要になるだろう。

Ⅲ　GPAIガイドライン（GPAI providers guidelines）

　GPAI Code of Practiceと並んで、ここ数か月で重要度が増しているのが、「Guidelines on the scope of the obligations for providers of general-purpose AI models under the AI Act」である。2025年7月に公表されたこのガイドラインは、GPAIモデルプロバイダーの義務の射程と内容を具体的に解釈する文書であり、GPAI Codeとセットで読むことが前提になっている。

　ガイドラインは、大きく分けて以下の点をクリアにしている。

　ここで重要なのは、「プロバイダー」という概念の広がりである。単にAPI経由でGPAIモデルを利用しているだけなら、通常はデプロイヤー（利用者）に過ぎないが、モデルの再訓練や大幅なファインチューニングを行い、自らのブランドで再提供する場合には、GPAIモデルプロバイダー扱いとなる可能性がある。Bitkomガイドラインの記事でも述べたように、「どこからがプロバイダーなのか」という線引きは、AI法コンプライアンスにおける最大の実務論点の一つになりつつある。

　あわせて、公表されたQ&A（Guidelines on obligations for General-Purpose AI providers）は、境界事例や実務上のよくある疑問をかなり丁寧に拾っている。AI Act Service DeskのFAQとともに、GPAIまわりの「一次資料」としてブックマークしておく価値が高い。

Ⅳ　AI法を読むときの「入口」として

　本稿で取り上げたのは、あくまでEU AI法まわりの入口に過ぎない。実務的には、

　あたりをひとまとまりの「パッケージ」として読み、そこで見えてくるバランス感覚（安全性・基本権保護・競争力・簡素化）を捉えることが重要である。

　AI法は、文言だけ追っていると「とにかく重い規制」に見えるが、周辺文書とセットで読むと、「どうにかイノベーションを殺さずに基本権を守るには、ここまでやらざるを得ない」という、ぎりぎりの折衝の痕跡があちこちに見えてくる。日本でAI法制を考えるときにも、EUの「理想形」としてのAI法だけでなく、「その後ろで延々と続いている実装と簡素化の葛藤」まで含めて、観察対象にしておく価値は高いだろう。

（参考）

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。