Digital Omnibus on AI EU / デジタル・オムニバス提案⑧ / 欧州議会ドラフトレポート雑感_0210

Ⅰ　AI法改正の現実的要請とDigital Omnibus

　2024年8月に発効したEU AI法（AI Act）であるが、その本格的な適用を待たずして、早くも修正に向けた動きが具体化している。欧州委員会は2025年11月19日、AI法の実施に伴う課題に対処し、規制負担を軽減することを目的とした「Digital Omnibus on AI」案を公表した〔注1〕。これは、データ・サイバーセキュリティ関連法令を改正するデジタル・オムニバス提案、欧州データ連合戦略、欧州ビジネスウォレット規則案とともに、広範なデジタルパッケージの一部を構成するものである〔注2〕。

　背景には、マリオ・ドラギによる競争力に関する報告書でも指摘された過度な規制負担への懸念がある。同報告書は、過剰な規制・行政上の負担が他のブロックと比較してEU企業の競争力を阻害しうると述べた〔注3〕。加えて、AI法の実装に不可欠な整合規格や各国所管当局の指定といったインフラ整備が当初の想定より遅れており、企業や公的機関に想定を超えるコンプライアンス負担をもたらしているという現実的な問題が顕在化していた〔注4〕。欧州委員会自身もスタッフ作業文書において、AI法の当初の影響評価で見込んだ最大1万ユーロのコンプライアンスコストが実際にはそれを超過しうることを認めている〔注5〕。

　この委員会提案に対し、欧州議会の域内市場・消費者保護委員会（IMCO）および市民的自由・司法・内務委員会（LIBE）の共同報告者は、2026年2月5日付で報告書案を提示した〔注6〕。報告者はArba Kokalari議員（EPP、スウェーデン）およびMichael McNamara議員（Renew Europe、アイルランド）である。本稿では、委員会提案と議会報告書案を対照させつつ、2026年1月21日に採択された欧州データ保護委員会（EDPB）・欧州データ保護監察官（EDPS）の共同意見〔注7〕も踏まえ、AI法改正の論点を検討する。

1　条件付きから固定日へ

　最大の論点は、高リスクAIシステムに関する規制（Chapter III）の適用開始時期である。

　現行法では、高リスクAIに関する義務は原則として2026年8月2日から適用されることとなっていた。しかし、欧州委員会は今回の提案において、この固定的な期限を廃止し、整合規格やコンプライアンス支援ツールの利用可能性に適用時期を連動させる方式への変更を示した。具体的には、委員会がそれらのツールの準備完了を確認する決定を採択した後、Annex IIIのシステムについては6か月後、Annex Iのシステムについては12か月後に適用を開始するという流動的なスケジュールである。ただし最終期限として、前者は2027年12月2日、後者は2028年8月2日が設定されている〔注8〕。

　欧州議会の報告書案は、この「決定連動型」の仕組みを明確に退けた。修正案24は、委員会の決定を介在させず、Annex IIIに該当する高リスクAIシステムは2027年12月2日に、Annex Iに該当する高リスクAIシステムは2028年8月2日に、それぞれ固定の期日をもって適用を開始するという構成を採っている〔注9〕。修正理由書は、法的確実性と予測可能性の確保を挙げ、欧州委員会に対してコンプライアンス支援手段を期限内に整備するよう求めた〔注10〕。

　筆者は、この修正は妥当な方向性であると考える。整合規格の策定主体である欧州標準化機関や欧州委員会自身の作業ペースに法的義務の発効時期を委ねる仕組みは、規範の名宛人にとっての予見可能性を不当に損なう。CCIA Europeも固定期日の設定を支持しており〔注11〕、2026年1月23日付のキプロス理事会議長国の妥協案テキストも同様に固定期日を採用した〔注12〕。欧州委員会提案の裁量的メカニズムは、議会・理事会の双方から修正を受ける見通しである。

2　AIリテラシー義務の再定義

　AIリテラシー（AI Act 4条）に関する攻防も、簡素化と権利保護の均衡が問われる場面を生んでいる。現行法は、プロバイダーおよびデプロイヤーに対し、スタッフのAIリテラシーを確保する措置を講じることを義務付けている。欧州委員会は、この事業者に対する直接的な義務を削除し、加盟国や委員会がリテラシー向上を「奨励する」という規定への変更を提案した。欧州委員会の試算では、この義務転換により企業が年間2億2275万ユーロの行政コストを節減できるとされている〔注13〕。

　EDPB・EDPSの共同意見は、この転換に反対した。AIリテラシーはAI概念の理解や倫理的・社会的リスクの認識に資するものであり、提供者・利用者に課される既存の義務は維持したうえで、欧州委員会・加盟国による促進策を追加的に設けるべきであると勧告している〔注14〕。

　欧州議会報告書案は、欧州委員会提案とEDPB・EDPSの立場の間で中間的な処理を行った。修正案8は、プロバイダーおよびデプロイヤーがAIリテラシーを「促進するための措置を講じる」という義務規定を置き、修正案9は、欧州委員会および加盟国が当該義務の履行を「支援する」旨を追加的に規定している〔注15〕。一律の義務が中小企業等に重荷となることへの理解を示しつつも、事業者の責務を完全に削除することには歯止めをかけた格好であり、現行法の「確保する」と委員会提案の「奨励する」の中間に位置する解を模索している。もっとも、「促進する」という表現の射程は曖昧であり、加盟国ごとの執行にばらつきが生じる余地は残る。

Ⅱ　権利保護とイノベーションの均衡点

1　機微データの処理要件

　バイアス検出・是正のための特別カテゴリーの個人データ処理に関しても、欧州委員会提案と議会報告書案との間で意味ある対立がある。現行AI法は、高リスクAIシステムの提供者に対してのみ、バイアスの検出・是正のために特別カテゴリーの個人データを「厳密に必要な」範囲で処理する法的根拠を与えている。欧州委員会の提案は、この法的根拠を高リスクAIシステムの利用者や、高リスク以外のAIシステム・モデルの提供者・利用者にも拡大するとともに、処理の閾値を「厳密に必要な」から「必要な」に引き下げた〔注16〕。

　議会報告書案の修正案10は、「厳密に必要な」基準を復活させている〔注17〕。EDPB・EDPSの共同意見も、特別カテゴリーの個人データ処理がEUデータ保護法上は原則として禁止されていることを想起し、「厳密に必要な」基準の復活を勧告していた〔注18〕。キプロス理事会議長国の妥協案テキストも同じ基準を採用しており〔注19〕、この論点では議会・理事会・データ保護当局の三者がいずれも欧州委員会提案の閾値引下げに異を唱えた形となる。

　筆者が付言しておきたいのは、この論点の構造的な複雑さである。バイアスの検出・是正のために人種・民族・健康情報等の特別カテゴリーのデータを処理する必要があるという命題は、差別禁止の要請とデータ保護の要請が正面から緊張関係に立つ場面を生む。「厳密に必要な」という限定はこの緊張関係を処理の必要性の側から制御する仕組みであるが、それが実務上どの程度の処理を許容するのかは、今後のガイダンスや判例の蓄積に委ねられている。

2　サンドボックスとデータ保護当局

　規制サンドボックスに関して、欧州委員会提案はAIオフィスにEU規模のAI規制サンドボックスの設置権限を付与した。議会報告書案は、優先アクセスの対象をSMEのみならずスモール・ミッドキャップおよびスタートアップにも拡大する修正を加えている〔注20〕。加えて、修正案18は、EU規模のサンドボックスにおいて個人データを処理する場合にデータ保護当局の関与を確保する旨を新たに規定した〔注21〕。EDPB・EDPSの共同意見は、国レベルのサンドボックスには存在するデータ保護当局の関与規定がEU規模のサンドボックスには欠けていることを指摘しており〔注22〕、議会の修正はこの勧告を反映したものである。

3　利害関係者の構造的対立

　デジタル・オムニバス・オン・AIをめぐる利害関係者の立場は鋭く分岐している。産業界の側では、Connect EuropeおよびGSMAがこの提案を歓迎し、高リスク義務の適用をさらに延期するよう求め、複数の事業者団体はAI法の残りの規定の適用を2年間延期するよう公開書簡で要請している〔注23〕。他方、消費者団体BEUCはこの提案が「対象を絞った修正」の域を超えていると批判し〔注24〕、Corporate Europe ObservatoryはLobbyControlとの共同でこのオムニバスをデジタル権利に対する攻撃と表現した〔注25〕。Amnesty Techの上級リサーチアドバイザーであるJoshua Francoは、高リスクシステムに関する「すでに脆弱な透明性要件」がさらに弱体化されると警告している〔注26〕。

　この対立は、AI法の立法過程で三者間交渉を通じて達成された均衡が、施行前の段階で再び動揺していることを示している。EPRSブリーフィングが指摘するとおり、簡素化が当初の脆弱な均衡を崩すリスクは否定できない〔注27〕。

Ⅲ　むすびにかえて

　Digital Omnibus on AIは、野心的な規制を現実社会に実装するための軌道修正である。欧州委員会は別途の影響評価を実施しておらず、修正が技術的性質のものであることをその根拠としている〔注28〕。しかし、高リスク義務の適用延期、AIリテラシー義務の実質的な縮減、特別カテゴリーの個人データ処理の拡大といった改正が、はたして「技術的」と評価しうるかは疑問であり、EDPB・EDPSの共同意見が繰り返し強調するように、行政上の簡素化は基本権の保護水準を引き下げるものであってはならないともいえそうである。

　欧州議会報告書案は、委員会提案に対して意味ある修正を加えた。固定適用期日の採用、AIリテラシーに関する義務の部分的復元、「厳密に必要な」基準の復活、データ保護当局のサンドボックスへの関与の確保などは、いずれも簡素化と権利保護との均衡を調整する試みとして理解できる。

　高リスクAI規制の適用が2027年末あるいは2028年夏までずれ込む可能性が高まったことは、日本を含む各国のAI規制のタイムラインや企業の対応計画にも影響を与えるであろう。欧州議会は修正案の提出段階にあり、本会議での立場の確定はこれからである。理事会側の作業も急ピッチで進んでおり、現行法上の2026年8月2日の適用期日を変更するための立法手続には相当の時間的圧力がかかっている。この時間的制約が法案の内容に対する精査を圧縮する方向に作用しうることには警戒が必要であろう。

（参考）EUデジタル・オムニバス提案関連

　詳細は、原典をご確認ください。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。