欧州データ法（Data Act）FAQ改訂（v1.4）の射程と実務的含意雑感

0　はじめに

　欧州委員会は、2026年1月22日付で欧州データ法（Data Act）に関するFAQの改訂版であるVersion 1.4を公表した。2025年9月12日にデータ法の主要規定が適用開始されてから約4ヶ月が経過し、欧州域内のデータエコノミーにおいて初期の実装フェーズが一巡したタイミングでの改訂となる。

　データ法は、IoT製品からのデータアクセス権の創設（第II章）、B2Bデータ共有における不公正契約条項の是正（第IV章）、そしてクラウドサービス等のデータ処理サービスのスイッチング円滑化（第VI章）など、デジタル市場の構造を根本から規律する包括的な法令である。しかし、その野心的な射程の広さゆえに、条文の抽象度と、個々の企業が直面する技術的・実務的な課題との間には、少なからぬ解釈の遊びが存在していた。

　今回公表されたFAQ v1.4は、欧州委員会自身が生きた文書と位置づけている通り、先行するバージョンから積み残されていた論点、とりわけIoTデータのエッジ処理におけるアクセスの可否や、クラウド・スイッチングにおける機能的等価性の限界といった、極めて実務的なグレーゾーンに対して、規制当局としての解釈指針を提示するものである。本稿では、このFAQ v1.4の内容に基づき、AI・データ法務の実務家が押さえるべき論点を整理し、その法的含意について検討する。

1　問題の所在

　データ法が直面している根本的な課題は、法律が想定するデータの概念と、エンジニアリングの現場におけるデータのあり方との乖離にある。法は利用可能なデータへのアクセスを義務付けるが、技術的にはデータは常に流動的であり、保存場所や加工状態によってその性質を変える。AI・IoT技術の進展に伴うエッジコンピューティングの普及により、データがデバイス内で処理・廃棄される場合、どこまでがアクセス対象となるのかは判然としていなかった。

　FAQ v1.4において、欧州委員会はこうした技術的現実に対する解像度を一段階引き上げたと言える。Lorenzo Cristofaro氏も指摘するように、クラウドサービスの相互運用性に関するコンプライアンス要件の厳格化や、標準化作業のタイムラインの更新が含まれている点は、データ法の執行フェーズへの移行を如実に示している。

　今回は、今回の改訂で特に重要と思われる以下の4点について詳細に論じる。第一に、エッジ処理および匿名化技術とデータアクセス権の緊張関係である。第二に、適用開始前のレガシー製品・データの法的地位である。第三に、クラウドサービス（特にSaaS）のスイッチングにおける義務の限界と相互運用性である。第四に、B2B契約における不公正条項規制の適用範囲である。

2　IoTデータアクセス権の深化

　データ法第II章は、ユーザーに対して、接続製品の使用により生成されたデータへのアクセス権を付与する。しかし、近年普及が進むエッジAIやプライバシー・バイ・デザインの文脈において、デバイス外部にデータを送信しない設計を採用した場合、この義務はどのように適用されるのか。FAQ v1.4はこの点にメスを入れている。

2.1　エッジ処理と利用可能性の判断（Q5a）

　新設されたQ5aは、エッジ処理を行うIoTデバイスのデータが利用可能なデータに該当するかという問いに対し、精緻な判断基準を示している。原則として、製品の設計上、データがデバイス内で完結して処理され、外部への保存や送信が物理的に行われない場合、そのデータは共有義務の対象外となる。これは、外部送信機能を持たないスタンドアローン製品を想定すれば自然な解釈である。

　しかし、重要なのは、その例外規定が適用されないケースである。FAQは、もし接続製品が技術的に外部へのデータ送信能力を有している場合、データ保有者は、ユーザーや第三者が生データや前処理データにアクセスできるよう、比例的かつ技術的に実行可能で費用対効果の高いメカニズムを検討すべきであるとする。ここでは、デュアルデータフロー（ユーザー用と内部処理用の二重送信）や、安全な一時的バッファリングといった技術的解決策が例示されている。通常運用ではエッジ処理しかしていないという運用上の理由だけでは、データ提供義務を免れることは困難であり、ハードウェアとしての通信能力がある以上、アクセス手段の実装が求められるという解釈である。これは、AI開発のために現場の生データを収集したいユーザー企業にとっては追い風となる一方、メーカー側にはアーキテクチャの見直しを迫るものである。

2.2　匿名化とリンクの切断による義務回避の禁止（Q13a）

　Q13aでは、匿名化や、保存データと製品とのリンク切断によってデータ法へのコンプライアンスを回避しようとする行為への牽制がなされている。FAQは、匿名化や暗号化等のプライバシー強化技術の適用自体は否定しないものの、それらがデータ共有義務を回避するために利用されてはならないと明記した。具体的には、データがデバイスからバックエンドへ転送される際、匿名化等の処理が行われる前の段階で、ユーザーやその指定する第三者がデータのコピーを取得できる合理的な機会を提供すべきであるとしている。

　これは、GDPRコンプライアンスとデータ法コンプライアンスの両立を図る上で極めて重要な指針である。データ保有者は、個人データ保護のために匿名化して保存しているため提供できる生データはないという抗弁を安易に使えなくなり、匿名化前のデータへのアクセスウィンドウを設計段階で組み込むことが求められることになる。エンジニアリングの観点からは、データパイプラインの設計において、加工プロセスの手前にユーザーアクセスの分岐点を設ける必要が生じるため、システム設計への影響は大きい。

3　レガシー製品・データの法的地位と契約対応

　実務上、最も悩ましい論点の一つが、データ法適用日（2025年9月12日）以前に市場に投入された製品（いわゆるレガシー製品）の扱いである。これらから生成されるデータを、データ保有者は継続して利用できるのか。

3.1　適用開始前の製品データの利用権限（Q34a）

　Q34aにおいて、欧州委員会はこの点に契約の重要性を強調する回答を示した。原則として、データ保有者は2025年9月12日以降、ユーザーとの間でデータの利用に関する契約を有していなければならない（第4条13項）。これはレガシー製品であっても例外ではない。したがって、既存の販売契約やサービス契約にデータ利用の条項が含まれていない場合、データ保有者はユーザーから新たな合意を取り付ける必要がある。

　しかし、現実には、販売済みの製品のユーザーをすべて特定し、事後的に契約を締結することは困難を極める。この点についてFAQは、ウェブサイトでの告知などの合理的な努力を行ってもユーザーを特定できない場合、データ保有者が当該データの利用を継続しても直ちに違反とはならないという、一種のセーフハーバー的な解釈を示した。ただし、ユーザーからアクセス請求等があり、ユーザーが特定された時点からは、合意の取得が必要となる。この解釈は、企業にとって過去の資産であるデータをすべて廃棄せざるを得ないという最悪のシナリオを回避させるものであり、実務的なバランスに配慮したものであると評価できる。一方で、企業法務部門は、既存契約のレビューと、ユーザー特定時の契約締結プロセスの整備を急ぐ必要がある。

4　クラウドサービスにおけるスイッチングと相互運用性

　データ法第VI章は、クラウドサービス等のデータ処理サービスのスイッチングを容易にすることを義務付けているが、異なるアーキテクチャを持つクラウド間での完全な移行は技術的に困難を極める。FAQ v1.4では、この点に関する事業者の義務の限界と、相互運用性の要件が明確化された。

4.1　機能的等価性の限界と再構築義務の否定（Q58b）

　実務上、最も大きな懸念であったのが、移行元プロバイダーが、移行先プロバイダーの環境でサービスが動作するように支援する義務をどこまで負うかという点である。新設されたQ58bは、この点についてソースプロバイダーは、宛先プロバイダーのエコシステムにおいて顧客がサービスを再構築するのを支援する責任を負わないと明確に回答した。FAQは、前文92を引用し、ソースプロバイダーの責任はあくまで自社のサービス環境内での措置（十分な情報、ドキュメント、ツールの提供等）に限定されるとしている。これは、クラウドベンダーにとって過度な負担を軽減する防波堤となる解釈である。スイッチング義務の本質は、データの持ち出しと利用の自由を保障することにあり、異種環境間での完全な互換性保証までは意味しないことが法的にクリアになったと言える。

4.2　相互運用性とEU共通リポジトリ（Q57, Q64）

　相互運用性を担保するための仕組みとして、欧州委員会は共通EUリポジトリの構築を進めている。FAQ Q57およびQ64によれば、このリポジトリには参照すべき整合規格や共通仕様が掲載される。ここで実務担当者が注視すべきは、コンプライアンスのタイムラインである。改訂されたFAQでは、以前の1年間の適応期間に関する記述が整理され、調和された標準またはオープンな相互運用性仕様が共通リポジトリに公開された後、プロバイダーは顧客に提供されるインターフェースが参照された標準・仕様と互換性があることを確認しなければならないことが明確化された。Q64では、リポジトリへの公開から少なくとも12ヶ月後には、自社のサービスが当該規格と互換性を持つことを保証しなければならないとしている。これは、標準化の動向を常にウォッチし、規格公表から1年以内にシステム改修を完了させる必要があることを意味する。AI・データ基盤の開発サイクルを考慮すれば、1年という期間は決して長くはない。

5　B2B契約実務への影響

5.1　混合契約における不公正条項規制（Q42a）

　データ法第IV章は、中小企業を保護するため、B2B取引における一方的な不公正契約条項を無効とする。FAQ Q42aでは、この規制が混合契約にどう適用されるかが解説されている。実務上、データ共有に関する条項は、売買契約、サービス契約、あるいは融資契約などの一部として組み込まれることが多い。FAQは、契約の主たる目的が何であるかにかかわらず、データへのアクセス・使用、またはデータ関連義務の違反に対する責任・救済に関する条項が含まれていれば、その部分についてはデータ法第13条の不公正性審査の対象となることを明言した。

　たとえば、銀行融資契約において、借り手のビジネスデータへのアクセス権を銀行に付与する条項がある場合、その条項自体はデータ法の不公正性規制の対象となり得る。一方で、融資の金利条件や製品の保証条件など、データと無関係な条項には及ばない。この解釈は、銀行融資契約や物流契約など、一見してデータ契約に見えない契約書であっても、付随的にデータ条項が含まれていれば規制対象となることを意味し、法務部門による全社的な契約書レビューの必要性を示唆している。

6　まとめ

　FAQ v1.4の公表により、欧州データ法は条文解釈のフェーズから、より具体的かつ技術的な実装・執行のフェーズへと移行した。エッジ処理におけるデータ送信能力の有無による線引きや、匿名化前のデータアクセス機会の保障、さらにはクラウド・スイッチングにおける再構築義務の否定など、今回の改訂は企業のシステムアーキテクチャやコスト構造に直結する重要な指針を含んでいる。

　データ法が単なる理念法ではなく、製品のシステムアーキテクチャやクラウドサービスの技術仕様、さらには過去の契約関係にまで深く介入する規制であることを、改めて我々に突きつけている。

　法学研究者や実務家としては、条文の字面だけでなく、こうしたFAQの改訂や、今後公開される予定の標準化動向、欧州データ・イノベーション・ボードのガイダンスを継続的にウォッチし、動的なコンプライアンス体制を構築していくことが求められる。データ法は、依然として建設中の巨大なインフラなのである。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。