EU AI法 (EU AI Act) /GPAI提供者の実務と計算量会計の時代へ雑感

はじめに

　まず、EU AI法の概要については、以下を確認いただきたい。網羅的な説明に加え、実務構築に役立つ実践的な資料をまとめている。1分で読める内容である。

　
　欧州連合（EU）のAI法（AI Act）が、永きにわたる立法フェーズから執行フェーズへと移行して久しい。2025年も暮れようとする今、ブリュッセルの関心は、条文の解釈から現場での実装へと明確に移っている。

　当初の議論の重心であった「高リスクAIシステム」、医療機器や人事採用AIといった具体的用途の適合性評価に関する議論は一巡し、現在、法務とエンジニアリングの最前線で最大の関心事となっているのは、それらすべての基盤となる「汎用AIモデル（General-Purpose AI Models: GPAI）」のガバナンスである。

　オランダに拠点を置くAIガバナンスファーム、AI & Partnersが2025年12月に公表したレポート『Providers of General-Purpose AI Models: A Breakdown』（以下「本レポート」という）は、このGPAI規制の実務的側面を、「誰が提供者か」「計算量がどう法的義務に翻訳されるか」「いつから義務が生じるか」という視点から整理したものである（注1）。

　今回は、同レポートおよび欧州委員会の関連ガイドラインを参考にしつつ、GPAI提供者が直面する法的義務の輪郭と、企業が今なすべき「計算量会計（Compute Accounting）」の実務について検討する。

１　汎用性の定義と「10の22乗」の境界線

　まず確認すべきは、GPAIモデル規制の射程である。AI法は、モデルが「著しい汎用性を持ち、広範なタスクを能力的に実行できるか」を基準とするが、その客観的な指標（proxy）として採用されたのが「計算量（Compute）」、すなわち学習に費やされた浮動小数点演算回数（FLOPs）である。

　本レポートが整理するように、実務上、意識すべき閾値は2つある。

　第一に、GPAIモデルとしての該当性を判断する事実上の入口となる、10の22乗FLOPsという閾値である。欧州委員会のガイドライン等は、この数値周辺をGPAIの推定的な基準として扱っている（注1）。第二に、より重大な法的効果を持つ「システミックリスク」の閾値である10の25乗FLOPsである。累積演算量がこの数値を超えた瞬間、そのモデルはEU全域に影響を及ぼし得るシステミックリスクを有すると推定され、モデル評価、敵対的テスト（Red Teaming）、重大インシデント報告、サイバーセキュリティ確保といった、極めて重厚な義務セットが課される（注1・注3）。

　しかし、ここで陥りやすい誤解がある。「計算量が閾値未満であれば規制の対象外である」という、いわゆる安全港（Safe Harbor）的な解釈である。本レポートはこの点について強く警鐘を鳴らす。計算量閾値はあくまで代理指標にすぎない。技術の進歩は速く、蒸留（Distillation）や高品質なデータセットによる学習が進めば、より少ない計算量で同等の能力を持つモデルが出現する。規制当局であるAIオフィスは、計算量が基準を下回っていても、実際の能力や市場への影響力を勘案して、個別にGPAIやシステミックリスクありと指定する権限を留保している（注1）。

２　「意図せざる提供者」の罠、微調整の3分の1ルール

　EU AI法におけるもう一つの核心的論点は、「誰が提供者（Provider）なのか」という主体の認定にある。

　通常、モデルをゼロから学習（Pre-training）させた組織が提供者となることに疑義はない。しかし、現代のAI開発は、Hugging Face等で公開されている既存モデルを基盤とし、それを自社データで微調整（Fine-tuning）して利用することが常態化している。この「修正（Modification）」において、法的責任はどのように移転するのか。

　本レポートは、この点について極めて実務的な基準（presumption）を示している。原則として、下流の事業者が既存のGPAIモデルに「実質的な修正」を加えた場合、その事業者は元のモデルの利用者（Deployer）ではなく、新たなGPAIモデルの「提供者」として再定義される。

　その実質的な修正の基準もまた、計算量である。レポートによれば、修正（追加学習等）に費やされた計算量が、GPAIの閾値計算量の3分の1を超える場合、その修正を行った主体が新たな提供者としての義務を負うと推定される（注1）。

　さらに、元のモデルが既にシステミックリスクを有する場合、修正によって計算量が 10の24乗FLOPs 増えるか、あるいは累積で 10の25乗 FLOPs を超えるに至れば、その修正主体もまたシステミックリスクGPAIの提供者とみなされる（注1）。

　このメカニズムは、AIサプライチェーンにおける責任の所在を流動化させる。企業が「オープンソースのLLMを使っているだけ」という認識で大規模な追加学習を行った結果、意図せずしてEU法上の重いコンプライアンス義務（技術文書の作成、著作権方針の策定、学習データ要約の公表等）を負う事態になり得るのだ。これは法務部門にとって悪夢のようなシナリオである。10の21乗 FLOPsという数字は決して低いハードルではないが、計算資源の低価格化が進む中、フロンティアモデルを追う企業にとっては現実的なリスク領域である。

３　オープンソースの聖域とその限界

　AIコミュニティにおいて関心の高いオープンソースモデルの扱いについても、本レポートは冷徹な分析を加えている。

　EU AI法は、「自由かつオープンソースのライセンス」の下で提供されるGPAIモデルに対し、一定の義務免除規定を設けている。しかし、これを「オープンソースなら規制フリー」と解釈するのは危険である。

　まず、この免除は「システミックリスクGPAI」には一切適用されない。計算量が 10の25乗 FLOPs を超えれば、ライセンス形態にかかわらずフルスペックの義務が課される（注1）。

　次に、システミックリスクがない場合でも、免除される義務は限定的である。特に「著作権法の遵守方針の策定」および「学習データの要約公表」という2つの義務は、オープンソースであっても免除されない（注1・注4）。周辺サービスでの収益化（Monetization）の方法によっては、オープンソースとしての地位自体が否定されるリスクもある。「オープンにしたから自由」という発想は、EU法の緻密な論理の前では通用しにくい。

４　「未知のAI」80%の衝撃と執行のタイムライン

　最後に、時間軸とガバナンスの現状について触れておく。

　本レポートが提示する衝撃的な数字がある。企業のAIインベントリのうち、80%が「未知のAI（Unknown AI）」であるという（注1）。各部門が勝手に導入したSaaSや、エンジニアが手元で試しているモデルが、管理台帳に載らないまま稼働している現状を示唆している。

　この状況下で、EU AI法の時計は進む。GPAIに関する義務は2025年8月2日から既に適用が開始されており、AIオフィスによる本格的な執行権限（制裁金の賦課等を含む）の発効は2026年8月2日からとなる（注1）。既存モデル（2025年8月以前に市場投入されたもの）には2027年8月までの移行期間があるとはいえ、1年後には当局が規制をかけられる状態になることを忘れてはならない。

　この複雑な義務を履行するための羅針盤として、2025年7月10日に公表された「GPAI Code of Practice（行動規範）」が存在する（注1・注5）。Amazon、Anthropic、Google、Microsoft、OpenAIといった主要プレイヤーが署名する一方、Metaが署名を見送るなど対応は分かれているが（注1）、これが事実上の適合性基準となることは間違いない。

雑感

　重要なのは、GPAI規制が単なる技術規制ではなく、エコシステムにおける「責任の分配ルール」であるという事実である。

　計算量という数値は、一見すると客観的な技術指標に見えるが、その実態は誰が重い義務を負うか、を振り分けるための法的な閾値である。企業に求められるのは、単にモデルの性能を追うことではない。自社の計算リソースを「会計」として記録し、意図せざる提供者への転化を防ぐためのガバナンスを構築することである。

　EU AI法の実務は、もはや理念的な議論の場ではなく、FLOPsという数字と契約条項が飛び交う、極めて精緻な管理会計の世界となっているともいえそうである。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。