EU AI法 / 汎用AIモデルの実務規範（Safety and Security Chapter）の詳解とxAIの動向 / 法的義務からエンジニアリング要件へ

0 はじめに

　2025年11月、イーロン・マスク率いるxAI社がEU AI法の実務規範に署名したとの報道があった。xAIといえば、規制よりも技術革新を優先する姿勢で知られる企業である。そのxAIが欧州の規制枠組みに歩み寄ったという事実は、AIガバナンスの世界地図が大きく塗り変わりつつあることを示唆している。

　今回は、この実務規範のうち安全性とセキュリティに関する章の草案を検討し、そこに込められた規制思想と技術的要求の解像度を明らかにする。

1 問題の所在

　EU AI法は2024年に成立した世界初の包括的AI規制法である。同法は汎用AIモデルの提供者に対し、とりわけシステミックリスクを伴うモデルについて厳格な義務を課している。システミックリスクとは、高度な能力を有するAIモデルが公衆衛生、安全、基本権、あるいは社会全体に重大な悪影響を及ぼしうるリスクを指す。

　ただし、法律の条文だけでは具体的に何をすればよいのかが分からない。そこで登場するのが実務規範である。実務規範は法的義務を技術者が実装可能なプロセスへと翻訳したものであり、これに従えばAI法への適合性を推定されるという意味でセーフハーバーとして機能する。

　今回検討するのは、この実務規範のうち安全性とセキュリティに関する章の草案である。約40頁に及ぶこの文書には、AIモデルのリスク評価から緩和措置、インシデント報告に至るまで、驚くほど具体的な要件が記されている。

2 コミットメントと措置の二層構造

　実務規範はコミットメントと措置という二層構造をとっている。コミットメントは経営層が表明すべき約束事であり、措置はそれを実現するための具体的な行動指針である。この構造により、経営判断と現場の運用が接続される設計になっている。

　たとえばコミットメント1は、提供者が安全性とセキュリティに関する枠組みを構築することを求めている。この枠組みには、リスク評価の手法、リスク受容基準、緩和措置を発動する条件などを明記しなければならない。市場投入の2週間前までに確定させ、欧州AI局に通知し、投入後も継続的にモニタリングと更新を行う。更新は少なくとも12ヶ月ごと、または重大インシデント発生時に行う必要がある。

3 四つの特定システミックリスク

　コミットメント2は、提供者が少なくとも考慮すべき四つの特定システミックリスクを挙げている。

　第一はCBRNリスクである。化学、生物、放射線、核に関連する危険物質や兵器の開発を支援してしまうリスクを指す。

　第二は制御不能リスクである。AIモデルが自律的に動作し、自己複製し、人間を欺き、あるいは停止不可能になるリスクがここに含まれる。

　第三はサイバー攻撃リスクである。AIモデルが悪意ある攻撃者のサイバー攻撃能力を著しく増強してしまう可能性を指す。

　第四は有害な操作リスクである。大規模な説得や標的型攻撃によって民主的プロセスや基本権を侵害するリスクがこれに該当する。

　提供者はこれらのリスクについて具体的なシナリオを作成し、リスクが顕在化する道筋を可視化することが求められている。

4 モデル・エリシテーションという発想

　コミットメント3に基づくリスク分析では、モデル評価が決定的な役割を果たす。ただし単なるベンチマークテストでは不十分である。規範が求めているのはモデル・エリシテーションと呼ばれる手法である。

　これは何かというと、AIモデルが評価を認識して能力を隠す可能性を考慮し、脱獄プロンプトやファインチューニングを駆使してモデルの能力を限界まで引き出すプロセスである。敵対的な攻撃者と同等の努力をもってモデルの真の実力を測定しなければならない。

　さらに、社内評価だけでは足りない。独立した外部評価者による評価が原則として必須とされている。外部評価者にはモデルの重みやAPIへのアクセスを含む適切な権限とリソースを提供しなければならない。適切な評価者が見つからない場合、そのこと自体がリスク要因として考慮される。

5 受容不可能なリスクと「進めてはならない」

　コミットメント4は、リスクが受容可能か否かの判定を求めている。提供者は事前にリスク階層などの基準を定め、評価結果を当てはめる。

　注目すべきは措置4.2である。システミックリスクが受容可能でないと判断される場合、提供者はモデルの開発、市場投入、使用を進めてはならないとされている。これは事実上のキルスイッチである。商業的なリリース圧力に抗してでも、安全性を優先するガバナンスが機能することを求めている。

6 安全性措置とセキュリティ措置の区別

　リスクが受容不可能なレベルにある場合、緩和措置が必要になる。本規範は安全性とセキュリティを明確に区別している。

　コミットメント5に基づく安全性措置は、モデルの振る舞いを制御することを目的とする。学習データから有害な連鎖思考を除去するフィルタリング、入出力の監視、拒絶反応を強化するファインチューニング、APIアクセスの段階的開放、利用者の適格性確認などが具体例として挙げられている。

　コミットメント6に基づくセキュリティ措置は、モデルそのもの、とりわけモデルの重みを外部攻撃や盗難から守ることを目的とする。附属書には極めて具体的な技術要件が列挙されている。モデル重みの保存時には256ビット以上の暗号化を施すこと、信頼されたプラットフォームモジュールに鍵を保管すること、信頼された実行環境を利用することなどである。

　インサイダー脅威への対策として、アクセス権限の厳格な管理やバックグラウンドチェックも求められている。物理的に遮断されたエアギャップ環境の利用も示唆されており、これは国家機密レベルの保護基準に近い。高度なAIモデルが一度流出すれば、安全装置を解除された状態で悪用される危険性があるという認識が背景にある。

7 組織内の責任分担と三線防御

　コミットメント8は組織内の責任分担の明確化を求めている。リスク監視、リスク所有、支援と監視、保証という四つの機能を定義し、経営陣レベルに関与させることで現場任せの対応を防ぐ構造になっている。これは金融機関などで採用されている三線防御モデルに近い。

　健全なリスク文化の醸成も明文化されている。内部通報者の保護や、安全性への懸念を表明した従業員への報復禁止などが盛り込まれている。昨今のAI企業における内部告発をめぐる問題を意識した規定であろう。

8 重大インシデント報告の厳格な期限

　コミットメント9の重大インシデント報告は極めて厳しいタイムラインを設定している。

　重要インフラの深刻な混乱は認知から2日以内、深刻なサイバーセキュリティ侵害はモデル重みの流出を含めて5日以内、死亡事故は10日以内、健康被害や基本権侵害は15日以内に報告しなければならない。

　2日という期限は事実確認の時間すら十分にない可能性がある。これらの義務を履行するためには、インシデントを即座に検知し分類する社内体制の構築が不可欠となる。

9 ブリュッセル効果の実例として

　xAIが本規範に署名したという事実は、いわゆるブリュッセル効果の実例として理解できる。ブリュッセル効果とは、EUの規制基準が域外の企業行動にも影響を及ぼす現象を指す。EU市場へのアクセスを確保したい企業は、たとえ本社が米国にあっても、欧州の規制に従わざるを得ない。

　本規範が定める水準は、今後のAI開発における事実上のグローバルスタンダードとなっていく可能性が高い。とりわけサイバーセキュリティ要件や外部評価者による検証は、EU市場でビジネスを展開するか否かにかかわらず、最先端の安全管理基準として参照されることになるだろう。

10 おわりに

　本規範はリスクをゼロにすることを求めているのではない。リスクを科学的に測定し、組織的に許容可能なレベルまで低減し、そのプロセスを透明化することを求めているのである。

　法学研究者や企業のAI担当者は、この規範を単なる規制対応のチェックリストとしてではなく、AIという未知の技術を社会に統合するための対話のプロトコルとして理解することが求められる。

11 EU AI 総まとめ

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。