EUデジタル・オムニバス提案 ―EUのAI規制戦略の大転換の足音―雑感②

　EUについてこれまで複数回取り上げてきた。EUにフォーカスしてきた一番の理由は、国内企業にも影響を及ぼしうるためである。そうした意味でEU のAI規制は実務的な重要性も極めて高い。

（EUのAI規制は、EU域外の国々や企業に影響を与える。国や企業はEUの規制を自主的に遵守する必要がある（ブリュッセル効果）。）

（参考）

今回は、以下の続編的位置付けである。

　これを書くにあたり、EU AI ACTの起草者の一人であるGabriele Mazzini氏と一対一で1時間ほど話したことがあるが、EU AI ACTは Chat GPTが出てくる以前から検討を開始したものであり、規制として厳しすぎる恐れがあったがそのまま制定までいってしまった、との話が思い出される。

1 はじめに

　2025年11月、欧州委員会は欧州連合（EU）のAI法（Artificial Intelligence Act、以下「AI法」）に関する包括的改正案である「デジタル・オムニバス（Digital Omnibus on the AI Act）」を公表した（1, 2）。AI法は2024年に成立し、2026年頃から本格施行が予定されていたが、その施行を目前にして規制内容を修正・補完する異例の提案がなされたことになる。本稿では、このデジタル・オムニバス提案の主要な改正点を現行AI法と比較しつつ整理した上で、その規範的・制度的含意について考察する。制度趣旨を踏まえれば本提案は企業の負担軽減とイノベーション促進を掲げた規制の「緩和」とも受け取れるが、一方で特定領域における監督の「強化」にもつながる側面がある。こうした二面性を意識しながら、EUのAI規制戦略における本提案の位置づけを検討する。なお、必要に応じて条文の旧新対照も交えて解説する。

2 提案の背景と制度趣旨

　欧州委員会によれば、デジタル・オムニバス提案の目的は「規則の簡素化と合理化」にある。急速に拡大したデジタル分野の規制群（いわゆる「デジタル・ルールブック」）を見直し、規制遵守に要するコストや手続きを軽減することで、企業が行政対応ではなくイノベーションに注力できる環境を整備する狙いだという（2）。例えば、本提案を含む「デジタル・パッケージ」による規制簡素化策により、2030年までにEU全体で総額50億ユーロ規模の行政コスト削減効果が見込まれるとも試算されている（3）。また、本提案はEUのデジタル競争力強化戦略（Draghi報告の提言等）に沿ったビジネスフレンドリーな調整策と位置づけられており（4）、AI法のみならずGDPRやデータ法（Data Act）等を横断的に「一括改正（Omnibus）」するパッケージの一部を構成する（5）。要するに、AI法単独というよりEUのデジタル規制全体の整合性・実効性を高める取り組みの中で、AI法の特定条項がピンポイントに修正されているのが本提案の姿である。もっとも、人権団体らは本提案を「規制緩和アジェンダ」と捉え、「EUデジタル規制の歴史上最大の後退」であると強く批判している（6, 7）。こうした賛否両論を踏まえつつ、以下では改正内容を具体的に見ていくこととする。

3 主な改正点（現行AI法との比較）

　デジタル・オムニバス提案で盛り込まれたAI法の改正点は多岐にわたるが、中心となる論点は以下のとおりである。現行のAI法（2024年に成立した最終案）と比較しながら概観する。

（1） 規制対象の拡張：SMCの導入と定義変更

　「SMC（Small Mid-Cap企業）」という新たな企業カテゴリの定義がAI法（第3条）に追加される（8）。SMCとは、EUの定義で中小企業（SME）を超えるが大企業には至らない規模の企業（例えば従業員750人未満・年商1億5千万ユーロ以下程度）を指すカテゴリーであり（注1）、今回の提案ではSMCを明示的に規制テキストに組み込み、従来SMEにのみ認められていた各種の負担軽減措置をSMCにも拡張適用している（9）。具体的には、技術文書の簡素化様式（Annex IVの技術文書を簡易フォームで提出できる制度。第11条関連）や、品質マネジメントシステム（QMS）の義務の比例化（企業規模に応じた簡略運用を認める措置。第17条関連）について、対象が従来の「SME」から「SMCおよびSME」に拡大される（10, 11）。また、各加盟国当局による支援の対象（第70条関連）にもSMCを含めることや、違反時の行政罰（第99条関連）の科料に際してSMCの経済的事情を考慮することなど、成長途上の中堅企業に配慮した規定が随所で追加修正されている（9, 12）。これらは、高い成長潜在力を持つ“卒業目前”企業（SME基準を超えた企業）が過度な規制負担で萎縮しないよう配慮する趣旨とみられる。

（2）. AIリテラシー規定の緩和

　現行AI法（第4条）には、AIシステムの提供者およびデプロイヤー（利用部署等の運用者）は自らの職員に対しAIリテラシー（AIに関する基本的理解と技能）を習得させるため必要な措置を講じる義務が規定されていた（欧州議会修正により追加された規定）。しかし本提案では、この義務規定を削除した上で、「欧州委員会および加盟国は、提供者・デプロイヤーが職員のAIリテラシー向上のための措置を講じることを奨励する」との文言に置き換えられている（13）。つまり、AI開発・利用企業自らに課していた職員教育の法的義務を撤回し、政策当局による自主的取組の促進というソフトな位置づけに改めた形である。この変更により企業の形式的な負担は減る一方、リテラシー向上自体は各社の自主努力や行政支援施策に委ねられることになる。以下に条文の旧新対照を示す。

　上述のとおり、主語が「提供者等」から「委員会および加盟国」に変わり、また法的義務（～しなければならない）から努力目標（～を奨励する）へと緩和されている点に注目されたい。委員会はこの変更によって形式的なコンプライアンス負担が軽減されると説明しており（14）、中小企業を中心に歓迎すべき合理化との評価がある（15）。他方で、AIリテラシー向上はAIガバナンスの要素として重要であるため、その実効性確保を行政支援やガイドライン策定に委ねることに不安を示す声もある。

（3）. 特殊カテゴリー個人データ処理の明確化

　AI法10条は高リスクAIの訓練データ等に関する要件を定めているが、現行規定では差別是正等の目的で高リスクAIのバイアス検出・修正を行う際に、GDPRで「特殊カテゴリー」とされる個人データ（人種・民族、政治的見解、健康情報等）をどこまで使用できるかが不明確であった（16）。本提案はこの点を是正するため、新たにAI法第4a条を設け、高リスクAIシステムの提供者・デプロイヤーがバイアスの検知・是正のために限り例外的に特殊カテゴリーの個人データを処理できることを明示している（17, 16）。もっとも無制限に認める訳ではなく、代替データ（合成データや匿名化データを含む）ではバイアス検出が不可能な場合に限定し（18, 19）、再利用制限・最先端のセキュリティ確保（仮名化を含む）・アクセス統制・目的達成後の削除・必要性の記録といった厳格な条件を満たす場合のみ例外を許容する仕組みである（20, 21）。加えて、この新設条項に伴い現行AI法10条5項（特殊カテゴリーデータの取扱いに関する規定）は削除され、第4a条に整理・統合される見込みであり（22）、公平性確保のためのデータ利活用とデータ保護上の権利保障とのバランスを図った調整といえる。実務上、アルゴリズムのバイアス検証には人種・性別など属性データが不可欠であるため、この規定整備は提供者らの法的不確実性を解消しつつ、適切なセーフガードによって人権侵害リスクを抑制する狙いと考えられる。なお本改正は、同時に提案されているGDPR改正（いわゆるGDPR Omnibus）で特殊カテゴリーデータの定義見直し等が議論されていることとも関連し（23）、AI開発におけるデータ利用余地を広げる一方で乱用防止策を講じるというEU全体の流れに沿うものといえる。

（4）. リアルワールドテスト制度の拡充

　現行AI法では、高リスクAIシステムを市場投入前に現実世界で試験運用（実証実験）する場合、AI規制サンドボックス制度（第57条）の活用や、一定条件下でのサンドボックス外テスト（第60条）が想定されていた。本提案は、このサンドボックス枠外での「実環境下テスト（リアルワールドテスト）」制度を大幅に拡充・整備している（24, 25）。具体的には、第60条を改正し、テスト実施の対象を従来の附属書III掲載の用途類型だけでなく、附属書I セクションA（機械規則や医療機器規則など）の対象となるAIシステムにも拡大する（26, 27）。さらに、附属書I セクションB（重要インフラ等）の対象となるAIシステムについては、新たに第60a条を設け、加盟国と欧州委員会との間の「自発的な実環境テスト合意」に基づきテストを実施できる制度が創設される。これらの場合、施行規則に従った「実環境テスト計画」を策定し遵守することが条件となり、違法なAI利用は禁止されるほか、安全性に関する他のEU法規との整合も要求される（25, 28）。要するに、規制当局の監督の下で一定期間・条件付きの社会実験を認める枠組みを整備するものである。これは、高リスクAIの実運用前に現場データで検証しフィードバックを得ることが技術的信頼性の確保や革新的AI活用の促進に不可欠であるとの認識に基づく（29）。なお本提案では、EUレベルでのAIサンドボックス体制（EU版サンドボックス）の構築（第57条改正）も謳われており（29）、実環境テスト制度はそうした欧州規模の取組と並行して運用される見通しである。

（5）. 欧州AI事務局の監督権限強化（GP-AIおよびVLOP関連）

　AI法の執行体制に関しても重要な改正が行われる。それが、欧州AI事務局（European AI Office）の監督・執行権限の拡張（第75条改正）である。現行AI法では、各国の市場監視当局（Market Surveillance Authority）が高リスクAIの適合性監督を担い、欧州AI事務局は主に汎用AIモデルの監督や加盟国当局間の調整役を担っていた。しかし本提案では、（1）ジェネラルパーパスAI（汎用AI）モデルを用いて構築されたAIシステムであってモデル開発者とシステム提供者が同一のケース（ただし、附属書Iの製品調和法制の対象となるAIシステムを除く）、および、（2）デジタルサービス法（DSA）上の特定非常に大規模オンラインプラットフォーム/検索エンジン（VLOP/VLOSE）に組み込まれた、またはそれ自体を構成するAIシステムについて、欧州AI事務局が排他的な監督・執行権限を持つものと定められる（30, 31）。具体的には、それらのAIシステムの提供者に対しAI法上の義務遵守を監督する権限をAI事務局が直接行使し、市場監視当局と同等の調査・命令・制裁措置（罰金等）を発動できるとされる（32, 33）。また必要に応じて事前の適合性評価をEUレベルで実施する余地も設け、執行の一元化と専門性確保を図る仕組みである（34, 35）。この改正の背景には、ChatGPTのような汎用AIモデルから派生する各種システムや、グローバルなプラットフォームに組み込まれるAIについては、各国バラバラの監督では対応が難しく、執行の重複や抜け漏れを防ぐ必要性があるとの認識がある（36, 37）。実際、DSA下でVLOPに対しては欧州委員会が直接監督する仕組みが採られており、本提案はAI法の分野でも同様にEUレベルで統一的・戦略的な執行を担保しようとするものである（38）。もっとも、中央集権的な監督強化は裏を返せば各国当局や人権機関の関与が相対的に縮小することにもなり得る。後述のように市民団体からは懸念も示されており、この点は立法過程で議論を呼ぶ可能性が高いかもしれない。

（6）. その他の改正点

　以上が主な改正項目である。なおこの他にも、企業にとって実務上有益な簡素化措置が提案に含まれている。第一に、高リスクAI要件（第III章）の適用開始時期の延期である（第113条改正）（39）。適用開始は、支援措置（整合規格、共通仕様、ガイドライン等）が利用可能になったことを確認する欧州委員会の決定に連動する形となる。ただし、最終期限（バックストップ）が設けられ、遅くとも附属書IIIのシステムは2027年12月2日、附属書Iのシステムは2028年8月2日までに適用が開始される。第二に、高リスク分野で利用されるが、提供者が高リスクではないと評価・文書化したAIシステム（第6条(3)項）について、EUデータベースへの登録義務が免除される（第6条(4)項改正）（40）。第三に、適合性評価機関の指定に関する単一申請・審査プロセスの導入（複数法規に跨る認定手続の一本化。第28条改正）などがある（41, 42）。提案全体としては、AI法の根幹に当たる「リスク分類構造」自体や禁止行為リスト等に大きな変更はない一方、手続的・運用的な細部を中心に柔軟性・明確性を持たせる改訂が行われていると言える。では、これら改正がもたらす規範的・制度的影響をどのように評価できるだろうか。

4 改正の含意

　デジタル・オムニバス提案によるAI法改正は、一言で評すれば「産業競争力への配慮による実務調整」であるといえそうである。すなわち、AI規制の基本理念（安全性・人権尊重の確保）は維持しつつ、その実装局面で企業負担や運用上の硬直性を軽減することに主眼が置かれている。実際、前述した改正項目の多くは規制の緩和・明確化に分類できよう。SMCを含む中堅企業まで恩恵が及ぶ負担軽減措置、AIリテラシー義務の撤回、バイアス対策目的でのデータ利用明確化、実証実験の容認、高リスク義務適用の猶予延長等、いずれも事業者側の要望を反映した柔軟化策と位置づけられる（43, 44）。これらは欧州産業界からの「過度な規制コストでイノベーションが阻害される」との懸念に応えたものであり、EUがデジタル分野で国際競争に遅れつつある現状への危機感が背景にある（45, 46）。実務的にも、AI法の全面施行に備えて各企業・スタートアップがコンプライアンス体制を構築していく途上で、本提案による要件緩和や不明確条項の整備は歓迎すべき調整と受け止められている。

　しかしながら、視点を変えれば本提案には規制当局のガバナンス強化という側面も見出せる。欧州AI事務局への監督権限集中はその最たる例であり、これは大規模事業者に対する統一的・厳格な監督を可能とする仕組みである（38）。また、特殊データ利用の新条項において高度なセーフガードを義務付けたことや、実環境テスト制度において当局の関与を維持した点なども、規制目的（人権保護・安全確保）を損なわないための統制措置といえる。つまり、単なる規制緩和の名の下に企業の裁量に委ねるだけでなく、要所では監督当局の関与を強めてリスクに目配せするバランス調整が伺える。欧州委員会も「今回の提案はあくまで手続上の調整であり、AI法の中核理念を後退させるものではない」と強調しており（47）、拙速なディレギュレーション（規制撤廃）ではなく精緻化・カリブレーション（較正）との位置付けをしている。

　もっとも、市民社会や一部の欧州議会議員は依然として強い懸念を表明している。特にGDPR改正案も含めたデジタル・オムニバス全体について、「個人データ利用の安易な拡大」や「透明性・説明責任確保策の後退（例えばAIシステム登録義務の緩和等）」を問題視する声が大きい（7, 48）。AI法に関して言えば、高リスク要件の適用延期（最大2028年半ばまで）は保護の空白期間を生じさせるとの批判があり（49）、リアルワールドテスト制度も実質的な規制適用停止（モラトリアム）を許す抜け道ではないかと指摘されている。また、監督権限の集中については「中央集権的な運用が加盟国当局や独立機関によるチェックアンドバランスを弱める」「透明性と説明責任が損なわれ、救済が困難になる」との懸念もある（50）。これら批判者は、本提案が「イノベーション促進」の美名の下で企業寄りの譲歩を積み重ね、EUの人権中心主義的なデジタル規制モデルを骨抜きにしかねないと警鐘を鳴らす（51, 52）。事実、米国政府やシリコンバレーからEU規制への圧力が強まる中での提案でもあり、「ブリュッセル効果」が「ワシントン効果」に屈し始めた兆候ではないかとの見方すらある（53）。

　以上のように、デジタル・オムニバス提案はAI規制に柔軟性と実効性を持たせる試みである一方、その影響評価は立場によって大きく分かれている。今後、欧州議会や理事会での審議を通じて、これら改正事項の細部や文言がさらに調整される可能性が高い。鍵となるのは、規制目的（人権・安全の確保）を堅持しつつ如何に規制手段を合理化できるかという点であろう。EUのAI法は世界的にも先駆的な枠組みであり、その改正動向は各国の政策に示唆を与える。産業界のイノベーション促進と人権保障との両立という難題に対し、EUが模索するこの「微調整」の成否を注視する必要がある。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。