UAE（アラブ首脳国連邦）のAIガバナンス / UAEは「サンドボックス国家」か――IAPPのUAE編を読んでの雑感

１　はじめに

　IAPPの2025年12月公表の分析は、UAEが早期の国家リーダーシップ、AI 2031戦略、強力な機関設計を背景に、責任あるAIを（少なくとも政策レベルでは）前へ進めていることを示すものである。そこでは、人間中心の原則に基づくAI憲章の発行、データ保護法やセクター別ルールへのAI観点の織り込み、（とりわけエージェントAIを視野に入れた）規制サンドボックスの活用、規制インテリジェンスの導入、ドバイAIシールのような信頼メカニズムの導入が並べられ、全体としてUAEが「実用的で、イノベーションに優しいサンドボックス国家」として位置づけられている。

以下、同記事を手がかりに、いくつかの論点を整理しておく。なお、UAEの法制度はフリーゾーン（DIFC等）を含む多層構造であり、一次資料・適用関係・実務運用の確認が不可欠である点は、最初に留保しておきたい。

２　「AI法がない」ことは「AIガバナンスがない」ことを意味しない

　EUのAI法（EU AI Act）のような包括的な横断法が象徴的であるが、AIガバナンスは必ずしも「AI法」から始まらない。むしろ、理念（ソフトロー）、一般法（データ保護等）、分野別ルール、実証（サンドボックス）、市場規律（認証・調達）、そして行政能力（RegTech）といった層を積み上げ、規律の束として機能させる発想がある。

　IAPPのUAE編が面白いのは、まさにその「層の積み方」を、国家戦略・機関・制度技術の組合せとして描いている点である。言い換えると、UAEは「AIを規制する」以前に、「AIが動きやすい空間と、止めるための道具」を同時に整えている。

（参考）

３　憲章（Charter）は「法」の代替ではなく「規律の設計図」になりうる

　UAEでは「The UAE Charter for the Development and Use of Artificial Intelligence」が公表されている。法的拘束力を直ちに持つタイプの文書ではないとしても、政策目的・優先事項・実務の設計思想を可視化する効果は大きい。

　ソフトローの効能は、しばしば軽視されがちである。しかし、企業・行政・市民の行動が「何を良しとするか」によって駆動される以上、理念文書は、ハードローの条文よりも先に、実装上の“重力”を作ることがある。UAEの憲章も、その種の「規律の設計図」として読める。

（参考）

３　データ保護法は「AI規律」の有力な母艦である

　AIが個人データと接触する以上、データ保護法はAIガバナンスの実体的な一部になる。UAEの連邦レベルでも、個人データ保護に関する連邦法令が存在し、少なくとも「自動化された処理（プロファイリングを含む）に基づく意思決定」への異議申立てや、人による見直し（human element）を求めうる構造が条文上確認できる（注5）。

　具体的には、データ主体が自動化処理により生じる決定（法的効果又は不利益をもたらすものを含む）に異議を述べうること、例外（契約・法令上必要・同意）と、その場合でもプライバシー保護措置や人によるレビューを組み込むことが規定されている（注5）。ここには、いわゆる「アルゴリズム的デュー・プロセス（algorithmic due process）」の発想が見える。AI規制は、AI“だけ”を対象にする必要はない。権利保障の枠組みから逆照射するだけでも、AIの運用をかなり締められる。

５　DIFCの「自律・半自律システム」規律は、ミニAI法の顔をしている

　DIFC（Dubai International Financial Centre）のデータ保護規則（Data Protection Regulations）には、「自律・半自律で動作するシステムによる個人データ処理」を正面から扱う章立てがある（Regulation 10）。

　特に興味深いのは、(i)「System」の定義において、人間が定義した目的（human-defined purposes）だけでなく、システムが自ら目的を定義しうる場合まで射程に入れ、(ii) 人間が定義・承認した目的に限定する、あるいは人間が定義した原理と制約の範囲でのみ自己目的設定を許す、といった“境界条件”を規範として書き込んでいる点である（注6）。さらに、監査・認証要件を前提にしつつ、Deployer/Operatorに「Autonomous Systems Officer（ASO）」の設置を求める構造も見える。

　このあたりは、データ保護規制の衣を着つつ、実質は「高リスクAIの統治要件」に近い。EU AI Act的なリスク統治の論理が、別の法領域（データ保護）に“移植”されているようにも見える。AIガバナンスが横断法だけでなく、縦割り法のアップデートとして現れる好例である。

６　「トラストマーク＋調達」は、法規制と別の筋力を持つ

　ドバイでは、Dubai Centre for Artificial Intelligence（DCAI）による「Dubai AI Seal」が、AI事業者の検証（verification）制度として設計されている。ここで肝になるのは、(i) 6段階のティア（E/D/C/B/A/S）による分類、(ii) 固有のシリアル番号による検証可能性、(iii) AI washingの抑止を明示している点である。

　これは、条文で「やってはならない」を列挙するのとは別の仕組みで、市場と行政調達を通じて“良い事業者を選びやすくする”方向の規律である。AIガバナンスは、禁止・許可の二択だけではなく、取引の前提条件（誰と組むか）を作ることで、結果として技術市場の形状を変える。UAE（少なくともドバイ）は、そこを狙っているように見える。

８　規制インテリジェンスは「AI for regulation」を制度にする試みである

　IAPPのUAE編が特に刺激的なのは、AIを“規制対象”として語るだけでなく、AIを“規制を作る道具”として制度化する動きを取り上げている点である。UAEでは、Regulatory Intelligence Ecosystem／Regulatory Intelligence Officeに関する公表情報があり、立法サイクルをAIで支援し、事後対応から事前対応へ移る構想が語られている（注7）。そこでは、法規範の重複や衝突を可視化し、影響分析を加速し、立法の所要期間を短縮する、といった「行政能力の増強」が前面に出る。

　ただし、ここは“すごい”で終わらせると危うい。規制インテリジェンスは、法形成のスピードを上げる一方で、(i) 説明可能性（なぜその条文案なのか）、(ii) バイアス（参照データと評価関数の偏り）、(iii) 統治の正統性（誰が決めたのか）という問題を必然的に増幅させる。公表情報でも「AIは支援ツールであり、人間が最終的に承認する」旨が強調されているが（注7）、人間が承認したという形式だけで足りるのかは別問題である。承認の中身（理解・追認の区別）こそが問われるからである。

９　まとめ――「サンドボックス国家」という見立ての射程

　IAPPはUAEを「サンドボックス国家」として捉える。この表現を、単なるイメージで終わらせないためには、サンドボックスを「例外空間」ではなく「制度設計の方法論」として読む必要があると思える。

　すなわち、(i) 憲章で設計思想を置き、(ii) データ保護法で権利保障の筋を通し、(iii) DIFCのような制度空間で“ミニAI法”的な具体要件を実装し、(iv) サンドボックスで実証と監督を回し、(v) トラストマークと調達で市場を整形し、(vi) 規制インテリジェンスで立法能力を増幅する――このスタック全体が、UAE流のAIガバナンス像である。

　日本でも、この全部を輸入する必要はない。しかし、AIガバナンスを「AI法の有無」だけで測るのは視野が狭い、という当たり前の事実を、UAEは改めて突きつけてくる。法律は重要だが、法律だけが統治ではない。AI時代は、とりわけそうであると考えている。

（参考）

（マガジン）「AIと法雑感」

※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。