欧州議会「デジタル・オムニバス」調査報告書 / 簡素化と権利保護の境界線 / EUデジタル・オムニバス提案⑨ 雑感

Ⅰ　オムニバスという手法の問題

　2025年11月19日、欧州委員会はデジタル・オムニバス・パッケージを公表した〔注1〕。データ、プライバシー、サイバーセキュリティに関わる複数のEUデジタル立法を横断的に改正・統合する一般提案と、AI Actの改正に特化したAI関連提案の二本立てである。欧州議会内部市場・消費者保護委員会（IMCO）の要請を受けて、Goda SkiotytéとAudronė Sadauskaitéが2026年2月に公表した調査報告書〔注1〕は、この二つの提案を正面から分析したものであり、先日Robotics & AI Law SocietyのMartin Ebers氏やEU公共政策実務家のDanny Van Roijen氏がソーシャルメディア上で同報告書に言及していた。欧州の法務関係者の間で議論が活発化しているこのパッケージについて、筆者も同報告書を一読して検討を加えたい。

　まずオムニバスという立法手法自体が問題視されていることを押さえておく必要がある。異なる分野の複数の法律を一本の提案で束ねて改正する手法は、一定の法的整合性をもたらす利点があるが、個々の改正の根拠を議会が丁寧に審査しにくくするという批判が法学者から繰り返し指摘されている〔注2〕。各改正を賛否一体として突きつける構造は、立法府の個別審査機能を形式的には維持しながら実質的には制約する。報告書は、欧州議会に対して個々の改正をその証拠基盤・目的・比例性の観点から個別に正当化することを求めているが、この指摘は制度設計上本質的なものである。

（参考）EU AI法の概要

Ⅱ　何が変わろうとしているのか

1　GDPRの核心部分への手入れ

　今回の提案の中で最も射程が広く、かつ最も論争的なのはGDPRへの改正である。

　個人データの定義については、現行の客観的・絶対的アプローチから相対的・主体依存的アプローチへの転換が提案されている。特定の事業者が自らの手元にあるデータと技術的能力をもって当該個人を識別できない場合、その情報は当該事業者にとって個人データではないとされる仕組みである。欧州委員会はこれをCJEUの判例法理の成文化と説明するが、批判者は、疑似匿名化データや間接識別可能データが実質的にGDPRの保護範囲から外れる事態を招くと警告する〔注3〕。現代の再識別技術やポスト量子暗号の進歩を考えれば、「合理的な手段による識別可能性」という基準は動く標的であり、これを定義の核心に据えることの危うさは見過ごせない。また、同一のデータであっても処理主体によって適用範囲が変わる仕組みは、GDPRの法適用の均一性という基本原則と緊張関係に立つ。

　データ主体のアクセス権についても実務への影響が大きい改正が含まれている。個人が「データ保護以外の目的」でアクセス請求を行っていると管理者が判断した場合、拒否または手数料徴収を認める改正案が提示されている。現行の判例法理がアクセス権を「目的中立的」なものとして構成してきたことと正面から矛盾するとの指摘がある〔注4〕。労働争議や医療紛争に際してアクセス権が証拠収集手段として機能してきた実態、ジャーナリストや研究者がデータブローカーの違法行為を調査するうえでアクセス権が「入口権」として機能してきた実態を踏まえると、この改正が個人の権利行使に与える影響は小さくないと考える。管理者に要求者の真の意図を推測させる要件は、適用をめぐる法的紛争を誘発する構造を内包している。

　加えて、AI開発のための合法的根拠として正当な利益（GDPR6条1項f号）を明示的に認める条項の新設と、科学的研究の定義の拡大（商業目的を含む技術開発・実証活動への拡張）が提案されている。批判者は、伝統的な利益衡量テストを形骸化させ、事業者がAI関連処理を「正当な利益」に全般的に包摂することで実質的な審査を回避できる抜け道になりうると反論する。

2　AI Actのタイムラインとリテラシー義務

　AI関連提案の核心は、高リスクAIシステムへの義務の適用時期を固定されたカレンダー日付から条件付きモデルへと転換する点にある。調和的標準や欧州委員会のガイダンスが整い次第、一定の移行期間後に義務が発効するという仕組みであり、附属書III（独立型高リスクAI）については最長2027年12月2日、附属書I（規制製品に組み込まれた高リスクAI）については最長2028年8月2日が上限とされている〔注5〕。

　標準・ガイダンスが未整備のまま義務が先行する事態を回避するという現実的な要請は理解できる。しかし、義務の発効が当局の確認次第という構造は、企業の製品開発計画や投資判断、さらには監督当局の執行プロセスに別種の不確実性をもたらす。「いつ再起動されるかわからない待機状態」は、固定期日とは異なる形での予測可能性の喪失である。

　AIリテラシー義務の後退も見過ごせない。事業者・利用者への直接的な法的義務から、加盟国・欧州委員会による奨励へと格下げされる。これは拘束力の実質的な喪失を意味する。労働者や組合の立場からは、AIシステムの研修・能力構築を雇用主に要求する明確な法的根拠が失われるという問題が生じる。義務の文言が不明瞭だったという問題意識は理解できるが、その解決策として義務を任意化するのは、問題の所在と対処法の対応関係が疑わしいと言えそうである。

3　センシティブデータとバイアス検出

　高リスクシステムに限定されていたセンシティブデータ（人種、宗教、健康関連データ等）を用いたバイアス検出・公平性検証の許容範囲を、低リスクシステムを含む全AIシステムに拡大する改正も提案されている。さらに、AIデータセット中に意図せず混在するセンシティブデータについて、「削除に不均衡な努力を要する場合」は残存を許容するという新たな例外が設けられる。

　差別的アウトプットを検出・修正するために代表性のあるデータが必要という実務的要請は正当である。しかし「不均衡な努力」という基準は、大規模・非構造化データセットを保有する事業者にとって保持継続を正当化する言い抜けとなりうる〔注6〕。バイアス対処の名の下でセンシティブデータ処理の常態化が進む可能性は、職場や教育現場での監視・プロファイリングが強化される文脈において特に注意が必要であろう。

Ⅲ　報告書が示す制度的な欠落

　本報告書の終盤では、今回の提案が取りこぼした制度的課題が指摘されている。インシデント報告の提出先をENISAの単一窓口（SEP）に集約する案が示されているものの、各法令における重大インシデントの定義や報告閾値そのものは調和されていない。提出先を統一しても背後にある実体的要件が異なれば、事実上の複雑さは解消されない。欧州委員会がSEP維持に必要とした8名のフルタイム要員という試算についても、対象が27カ国・24言語・18の重要セクターに及ぶ規模を考えれば現実性に疑問が呈されている〔注7〕。

　AIの規制サンドボックスについては、テストを通過したシステムに対して法適合性の推定を付与する仕組みが設けられておらず、試験完了から市場展開への法的確実性が担保されない構造になっている。eプライバシー指令の完全廃止の見送り、職場でのアルゴリズム管理に対する労働者保護措置の欠落など、法体系全体の整理として未完の部分が残っている点も報告書は明示している。

Ⅳ　地政学的文脈と欧州議会の役割

　本報告書が指摘するもう一つの論点として、地政学的文脈がある。2025年11月下旬、欧州委員会代表がこのオムニバス提案を米国側に説明したところ、米側はそれを評価せず、むしろDMAやDSAの弱体化を関税引き下げの条件として明示的に結びつけたとされている。欧州委員会首脳はこれを「強制的」と表現した。規制緩和が欧州の国際的なレバレッジを損なうという懸念は、単なる内部的な政策論にとどまらない射程を持っている。

　欧州議会には、個々の改正を一括して受け入れるか否かではなく、それぞれの改正が（i）実質的な権利バランスを変えることなく手続上の重複を除去するものか、（ii）中核的な保護措置の実質的な運用を組み替えるものかを峻別して精査することが求められる。後者については根拠要件の強化、法律改正よりガイダンス・二次立法を先行させる段階的アプローチ、および適切な影響評価の実施が不可欠であろう。

Ⅴ　むすびにかえて

　「簡素化」と「規制緩和」の境界線は、理論的には明快でも立法技術の水準では曖昧になりがちである。法的な要件を文脈依存の相対的基準へと抽象化し、判断を事後的なガイダンスや事業者の裁量に委ねるアプローチは、一時的な負担軽減を装いながら現場での適法性判断の労力を増加させる構造を内包している点で、単純な「簡素化」とは言いがたい。GDPRのように基本権保護の核心を担う法規範の改正は、オムニバス手法による一括処理よりも個別の立法過程を通じた丁寧な検討に馴染む、というのが本報告書を一読した後の率直な感想である。

◾️EUデジタル・オムニバス提案関連

（マガジン）「AIと法雑感」

※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。