韓国AI基本法施行令が示す運用の言語 / 高影響AI・透明性・影響評価の具体化についての雑感

0　はじめに

　2026年1月22日、韓国において「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」（人工知能発展及び信頼基盤造成等に関する基本法。以下「AI基本法」という）が施行されるとともに、同法の委任を受けた施行令（大統領令第36053号）も施行された。あわせて、運用を支える複数のガイドライン群が公表されている。

　制度史として眺めたとき、興味深いのは、これが理念を積み上げるタイプのAI規制というより、どう守らせるかを先に言語化してしまうタイプの規制に接近している点である。規制は条文だけでは動かない。条文を動かすのは、分類と手続と証跡である。本稿は、施行令が提供したこの「運用の言語」を、高影響AIと透明性と影響評価という三つの軸から眺める。なお、デジタル医療機器に関する一部規定は同年1月24日施行である。

1　問題の所在

　AIガバナンスにおける古典的な失敗は二つある。第一に、原理が美しすぎて、現場で何をすればよいかが分からないこと。第二に、現場で回せるように細かくしすぎて、技術変化に置き去りにされること。

　AI基本法はフレームワーク法であり、産業振興と信頼基盤を同居させつつ、要点は大統領令に委ねる構造を採る。この設計は、第一の失敗を回避する代わりに、第二の失敗を生みうる。そこで効いてくるのが、施行令が置いた可変のハンドルである。すなわち、高影響AIの確認手続、透明性確保の具体的方法、影響評価の中身、大規模計算量を伴うAIの安全義務の閾値、域外事業者に国内代理人を要求するための基準である。

　本稿の仮説は単純である。施行令の価値は、義務の追加というより、義務を履行可能にする形式を与えた点にある。法の実効性とは、行為規範だけでなく、証明規範によって決まる。施行令は後者を厚くした。

2　規制の適用除外と国家安全保障

　施行令の適用範囲から確認する。第2条では、法第4条第2項に基づき、法の適用を除外するAIの範囲を限定列挙している。具体的には、国防部が指定する業務、国家情報院が指定する業務、警察庁が指定する業務に関連するAIが対象となる。国防情報システムの構築・運用、兵器システム、経済安全保障のための早期警戒システム、サイバーセキュリティ、対テロ活動、国家核心技術の流出防止などが含まれる。

　注目すべきはその範囲が指定された業務に厳格に限定されている点である。民間企業が開発するAIであっても、これらの特定業務以外に利用される場合や、デュアルユースとして一般市場に提供される場合には、原則として法の適用を受けると解釈すべきであろう。軍民両用技術を扱う企業にとって、開発初期段階からの用途管理の重要性を示唆している。

3　高影響AI

(1) 高影響AIの射程

　AI基本法は、高影響AIを「人の生命・身体の安全及び基本権に重大な影響又は危険を与えるおそれがあり、かつ、一定の領域で利用されるAIシステム」と定義し、領域を列挙する。

　列挙領域は、エネルギー供給、飲料水の製造工程、保健医療サービス提供・利用のシステム、医療機器（デジタル医療機器を含む）、核物質・核施設の安全管理、犯罪捜査又は逮捕のための生体情報分析・利用、採用や融資審査等の権利義務に重大な影響を及ぼす判断・評価、交通手段・交通施設・交通体系の運用管理、公共サービスの資格確認・費用徴収等の行政意思決定、幼児・初等・中等教育における学生評価等である。社会インフラと、権利義務を分配する評価装置が主戦場として選ばれている。

　ここで重要なのは、技術類型ではなく社会機能で切っている点である。生成AIを特別扱いしつつも、高影響AIは生成AIに限定されない。採点、審査、運行管理、核施設の安全運用等、古典的な最適化や予測モデルも射程に入る。世間の関心が生成AIに集中している間に、法は地味だが危ない領域に照準を合わせている。

(2) 確認手続という行政法的な安全弁

　高影響AIは、ラベル付けされると一気に義務が起動する。透明性、事業者責任、影響評価等である。したがって、ラベルの境界が曖昧だと、事業者は過剰適用か過少適用かの二択に追い込まれる。

　AI基本法は、事業者に事前自己評価を求め、必要に応じて科学技術情報通信部長官に高影響AI該当性の確認を求められる仕組みを置く。施行令第25条はこの確認手続を具体化し、申請時に添付すべき資料を列挙する。AI製品・サービスの概要、学習データの概要、AIシステムの活用プロセス・結果を確認できる資料等である。判断要素として、適用領域、リスクの影響・重大性・頻度・特定性等が明示され、原則30日以内に回答する枠組みが定められた。延長する場合でも30日を上限とし、延長理由と期間を書面で通知しなければならない。

　この手続は単なる親切設計ではない。行政法的には、スコープ判断の予見可能性を高め、事後的な執行の正当化根拠を整え、争訟になったときに審査可能性を確保する。規制の実装である。

4　透明性

(1) 透明性義務の骨格

　AI基本法は、高影響AI又は生成AIを用いた製品・サービスを提供する場合に、AIに基づいて運用されることを事前にユーザーへ通知する義務、および生成AI又はそれを用いた製品・サービスの出力が生成AIにより生成されたことを表示する義務を定める。違反には過料も予定されている。

　ここで注目すべきは、透明性が、モデル内部の説明ではなく、利用者側の識別として設計されている点である。AI基本法は高影響AI事業者に対し最終結果の説明や主要基準、学習データ概要に関する説明計画の策定・実施も求める。しかし、透明性義務それ自体は、まずAIであることを隠すなという方向に重心がある。

(2) 施行令が与えた通知のフォーマット

　施行令第23条は、通知方法を具体的に列挙する。製品への直接表示や契約・利用規約・マニュアルへの記載、画面・端末等への表示、提供場所への掲示、科学技術情報通信部長官が承認するその他方法である。さらに、生成AIの表示について、人が知覚できる方法又は機械可読な方法を挙げ、機械可読な場合でも少なくとも一度はテキスト又は音声で生成AI生成物である旨を提供することを求める。

　興味深いのは、機械可読だけで済ませない点である。電子透かし等の技術的対策は、プラットフォーム間の流通や検知には有効だが、ユーザーの認知には直結しない。施行令はここを切り分け、人間向け通知を最低一回は要求する。透明性を人間の認知の問題として扱っているのである。

　さらに施行令は、通知・表示が明確に認識できるように、視覚・聴覚・ソフトウェアを通じた容易な確認可能性や、主要利用者の年齢・身体的・社会的条件を考慮すべきことを定める。単なる形式通知の濫用を牽制する効果を持つ。

　例外も置かれる。名称や画面等からAI利用が明白な場合、事業者の内部業務目的のみの場合、その他科学技術情報通信部長官が類型・特性等を考慮して例外が必要と公表した場合には、適用除外があり得る。技術中立というより、過剰規制の回避と執行資源の集中のための調整弁である。

5　影響評価

　AI基本法は、高影響AIを用いた製品・サービス提供に際し、人々の基本権への影響を事前に評価する努力義務を置く。努力義務である点は重要である。直ちにやらねばならないと言い切るのではなく、制度を回すための現実的な着地を選んだ形である。

　しかし、努力義務は無意味ではない。第一に、国家機関等が高影響AIを利用する際、影響評価を経た製品・サービスを優先的に考慮すべきとされる。公共調達や官の利用が市場を動かす以上、努力義務は事実上の参入条件になり得る。第二に、施行令が影響評価の内容を具体化することで、評価が作文ではなく再現可能な手続へ近づく。

　施行令第28条は、影響評価に含めるべき項目として、影響を受け得る個人・集団の特定、影響を受け得る基本権類型の特定、基本権への社会経済的影響の内容・範囲、利用行動、定量・定性の評価指標と結果算出方法、リスクの予防・緩和・回復、改善が必要な場合の実施計画を列挙する。この列挙は、影響評価を「誰が、何を、どう測り、どう改善するか」という運用単位に落とし込む。

　基本権を評価すると書くのは簡単である。難しいのは、何を基本権侵害とカウントするか、どこまでを因果として扱うか、指標化が逆に人を単純化しないか、という三点である。施行令はこの難問を解いてはいないが、少なくとも評価の最低限の要素を言語化し、事業者に空欄を残すなと迫る構造を作った。ここに、実務規範としての重みがある。なお、影響評価は事業者が直接行うことも、第三者に委託することも認められている。

6　AI安全義務と10の26乗FLOPs

(1) 計算量で切る理由と限界

　AI基本法は、学習に用いられた累積計算量が大統領令で定める基準以上のAIシステムについて、ライフサイクル全体のリスク識別・評価・緩和、事故の監視・対応体制整備等を義務付け、実施結果の提出を求める。施行令第24条は、この基準以上を具体化し、三つの要件を掲げる。第一に、学習に用いられた累積演算回数が10の26乗FLOPs以上であること。第二に、最先端AI技術を用いて構成・運用されていること。第三に、そのリスクが生命・身体・基本権に広範かつ重大な影響を与える懸念があること。

　単に巨大モデルだから危ないとは言っていない。計算量だけではなく、技術水準とリスクの性状を合わせて要件化する。ここに、計算量閾値の便利さと危うさを同時に扱う意図が見える。計算量は測れるが、危険性は測りにくい。だから三要件で縛る。

　さらに施行令は、累積計算量の具体的算定方法を科学技術情報通信部長官が定め公表するとする。ここは実務上の焦点となる。クラウド学習、分散学習、転移学習、ファインチューニング等をどう扱うかで、閾値の実効性は大きく変わる。

(2) 10の26乗という数字の国際的文脈

　10の26乗FLOPsという値は、2023年の米国大統領令14110においても、技術条件が定義されるまでの暫定的基準として「10の26乗を超える演算量で学習されたモデル」等を報告対象に含める旨が明記されている。韓国の制度が米国に倣ったと断言することはできない。だが、計算量という工学的な量を法規範のトリガーに据える発想が、複数法域で共有されつつあることは示唆される。規制当局が能力を直接測れないという困難を、計算資源という代理変数で迂回し始めた現象と捉えられる。

　この迂回は合理的である一方、抜け道も生む。小型モデルでも危険な用途はあり得るし、大型モデルでも用途制限が厳格なら危険は抑えられる。計算量閾値は十分条件ではなく注意喚起の入口として機能させるのが筋である。その意味で、韓国施行令が計算量だけでなくリスクの性状要件を併置した点は、制度設計として筋が良い。

7　国内代理人

　AI基本法は、国内に住所又は営業所を持たないAI事業者で、利用者数・売上高等が大統領令基準を満たす者に、国内代理人の指定と報告を求める。施行令第29条は基準を具体化し、前年売上高1兆ウォン以上、AIサービス分野の売上高100億ウォン以上、直近3か月平均で国内日次利用者100万人以上、一定の過料対象となった事業者等を列挙する。売上高は韓国ウォンへの換算を前年平均為替レートで行う。

　国内代理人制度は、域外適用を宣言するより先に、域外事業者に対する連絡・提出・是正の窓口を作る制度である。実務的には、行政とのコミュニケーションコストを事業者側に転嫁し、執行の実現可能性を高め、国内利用者にとっての苦情申立て・問い合わせの経路を確保する。

　ここで重要なのは、代理人が違反した場合に、指定した事業者が違反したものとみなす規定が置かれている点である。代理人は単なる名義では足りず、実質的なコンプライアンス機能を担うことが要請される。文書の更新性・正確性の点検等である。制度は看板ではなく体制を買いに来ている。

　日本企業を含む外国企業であっても、韓国市場で一定のプレゼンスを持つ場合は、現地法人の設立や代理人契約の締結が必須となる。1日平均利用者数100万人という基準は、大規模なプラットフォーマーだけでなく、人気のあるAIアプリを提供する事業者にとっても該当しうる水準である。

8　事業者への義務の履行と証跡

　ハイインパクトAI事業者は、施行令第27条に基づき、リスク管理計画の主要内容、説明計画の主要内容、利用者保護措置、管理責任者の氏名・連絡先を事業所やウェブサイトに掲示しなければならない。ただし、営業秘密に該当する事項は除くことができる。また、これらの措置の実施根拠は5年間の保存義務が課される。電子的手段による保存も認められる。

　施行令を読んだとき、企業がまず理解すべきは、ここでのコンプライアンスがやった・やっていないではなく、示せる・示せないで決まるという点である。

　したがって、実務は次の順で組み直す必要がある。
　第一に、分類の手続化である。自社のAIが高影響AIに該当するかを、事業判断ではなくコンプライアンス判断として定期的にレビューし、必要に応じて確認申請ができるだけの資料体系を整備する。
　第二に、透明性のUI化である。通知・表示は法務文言の問題ではなく、プロダクトデザインの問題である。施行令が求める明確な認識可能性や、年齢等への配慮は、デザイン要件として落とす必要がある。
　第三に、影響評価のメトリクス化である。影響評価の項目は列挙されたが、評価指標と算出方法は事業者が作る。ここは何を測れば説明責任を果たしたと言えるかという統治のコアである。形式的なチェックボックスに堕落させると、制度趣旨に反するだけでなく、紛争時の防御にもならない。
　第四に、大規模計算量モデルの安全ガバナンスである。計算量が閾値を超える可能性がある場合、学習パイプラインからリスク管理体制までを提出可能な形に整える必要がある。算定方法が公表されると、後追いでは追いつかない。
　第五に、越境提供の組織化である。国内代理人制度は、法務の外注で終わる話ではない。代理人が点検する文書・ログ・体制が社内に存在しなければ、みなし規定の下で事業者が直撃する。

9　おわりに

　韓国AI基本法と施行令が示したのは、AI規制は原理から始めても、最終的には運用に帰着するという当たり前の事実である。高影響AIのラベル付け、透明性の識別可能性化、影響評価の形式化、計算量閾値を用いた安全義務、国内代理人による越境提供の足回り。いずれも、規制を回すための部品である。

　今後の争点は、義務の有無より、義務を履行したと言える証跡の水準がどこに置かれるかに移る。ガイドラインはその調整弁になり得る。そして、調整弁が多い制度は、当局の裁量が広い制度でもある。企業にとっては、条文を読むだけでなく、運用の言語を設計することが、最終的なリスク管理になる。

　本施行令で採用された定義や閾値は、今後の国際的な規制調和の中で一つの基準となる可能性が高い。隣国の迅速な法整備から、AIと法が交錯する最前線の知見を汲み取る必要があるだろう。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。