韓国AI法施行令草案ー高インパクトAI・高性能AI・生成AIの三層構造とインパクト評価ー雑感

※原典をご確認ください

１　はじめに

　韓国のAI法（Act on the Development of Artificial Intelligence and Establishment of Trust、以下「韓国AI法」）は、2024年12月26日に国会を通過し、2025年1月21日に公布、2026年1月22日に施行予定とされる、アジアで最初の包括的AIフレームワーク法である（注１）。
　同法は、AI産業への大規模な支援措置と並んで、「高インパクトAI」と「生成AI」にターゲットを絞った規律を導入し、さらに相当広い域外適用を予定している点で、EU AI Actとは似て非なる設計になっている（注１）。
　2025年11月12日、韓国科学技術情報通信部（MSIT）は韓国AI法の施行令（大統領令）草案を公表し、同年12月22日までの40日間にわたるパブリックコメント手続を開始した（注２）。草案は、①AI産業支援プロジェクトの基準、②AIテストベッド・AIクラスターの指定、③高性能AI・高インパクトAI・生成AIに対する各種義務の具体化、④韓国外事業者に対する国内代理人指定義務などを定めるものであり、とりわけ実務的には、第22条以下に置かれた「透明性義務」「高インパクトAIの確認・開示義務」「インパクト評価（Impact Assessment）」の中身が重要になる。
　以下では、韓国AI法施行令草案を、（１）第22条の透明性義務、（２）第24〜26条の高インパクトAI関連規定、（３）第27条のインパクト評価規定、（４）FLOPs閾値とPIPA（個人情報保護法）との関係、という４つの観点からざっくり整理しておきたい。

２　韓国AI法と施行令草案の全体像

　韓国AI法は、「生成AI」「高インパクトAI」「高性能AI」という三種類のAIカテゴリーを横断的に設定している。
　まず、「生成AI」は、テキスト・音声・画像・映像その他を生成するAIシステムとして定義される（第２条第５号）。
　「高インパクトAI」は、人の生命・身体の安全や基本的権利に重大な影響・リスクを及ぼし得るAIであって、エネルギー、医療、原子力、バイオメトリクス、公的意思決定、教育など、大統領令で定める特定分野で利用されるものとされる（第２条第４号・第33条以下）（注１）。
　これに対して施行令草案第23条は、「高性能AI」を、累積計算能力が10の26乗 FLOPs以上のAIとして定義し（詳細な技術要件はMSIT告示に委任）、安全確保義務の対象とした（注２）。

　結果として、韓国の仕組みは、

　という三層構造になっている。さらに、韓国国内に拠点を持たない事業者であっても、一定のユーザー数・売上基準を満たせば国内代理人の選任義務が課される点で、EU AI Actに近い域外適用構造も採用されている（注１・２）。

３　第22条：透明性義務と「内部利用」例外

（１）事前通知義務とラベリング義務の具体化

　韓国AI法第31条は、高インパクトAI・生成AIを提供する事業者に対して、①サービスがAIを用いていることの事前通知義務、②生成AIの出力物であることのラベリング義務を規定している。
　施行令草案第22条は、この「透明性確保義務」の具体的な履行方法を列挙している（注３）。概要は次のとおりである。

（２）「透明性義務」の例外

　施行令草案第22条第４項は、透明性義務の例外を次のように定める（注３）。

　さらに、MSITは、製品の種類・出力の性質・利用態様・技術的高度性等を考慮して、透明性義務の全部または一部を免除できる権限を有する。
　「内部利用」例外は、開発者向けツールやバックオフィス用途など、いわゆるB2B領域を過度に萎縮させないための条項として理解できる。他方で、内部利用であっても、そのアウトプットが人事評価・保険引受・融資など、個人の基本的権利に実質的な影響を与える領域に流れ込む場合があり得る。透明性義務から一律に外すというより、「透明性は不要だが、リスク管理やインパクト評価の方で抑える」という役割分担をどう設計するかが、今後のガイドラインで問われることになりそうである。

４　第24〜26条：高インパクトAIの判定と開示義務

（１）高インパクトAIかどうかの確認手続

　韓国AI法第33条は、AI事業者に対して、自ら提供するAIシステムが高インパクトAIに該当するかどうかを事前に検討し、必要に応じてMSITに確認を求めることを認めている。
　施行令草案第24条は、この「確認」にあたり考慮される要素として、①使用分野、②生命・身体・基本権に対するリスクの影響の程度・重大性・頻度、③当該分野固有の特性、④事業者による事前評価の結果、⑤高インパクトAI専門委員会の意見等を挙げている（注４）。
　つまり、「どの分野で」「どのくらいの頻度で」「どれだけ重大な」「どのような基本権リスク」を生じさせ得るかを、事業者の自己評価と専門家委員会によるレビューの両方で確認する構造になっている。EU AI Actのように「附属書で高リスク用途を一括列挙する」スタイルとは異なり、韓国はむしろ行政・専門家によるケース・バイ・ケースの判断プロセスを重視している印象である。

（２）高インパクトAI事業者に課される義務

　韓国AI法第34条は、高インパクトAIの提供者に対して、リスク管理計画、人間による管理・監督、ユーザー保護措置、説明可能性に関する計画、文書保存等を義務付けている（注１）。
　施行令草案第26条は、これを具体化し、次のような追加義務を課している（注４）。

　事業者のウェブサイト等において、

　いわば「説明責任のインフラ整備」を義務化していると言える。個々のアルゴリズムのソースコードまで開示を求めるわけではないが、リスク管理体制・説明の枠組み・ユーザー保護の考え方を、少なくとも組織レベルでは可視化せよ、というメッセージであるといえそうである。

（３）PIPAによる「みなし充足」との連動

　韓国AI法第34条第３項は、他の法律に基づいて同等の措置を講じている場合には、AI法上の措置も履行したものとみなす、という「みなし規定」を置いている（注６）。
　FPFの整理によれば、この「他の法律」には、個人情報保護法（PIPA）に基づく義務が含まれると解されている。すなわち、個人データの処理・保護に関してPIPA上要求されるセキュリティ措置やリスク評価を適切に行っている場合には、その範囲でAI法上の信頼性確保義務も充足したものと扱われる方向である（注６）。
　AI法がプライバシー法と「二重課税」にならないようにする、という立て付けであり、日本でのAIガバナンス議論においても、個人情報保護法・金融法制・医療法制などとの役割分担を考える上で参考になる設計思想であるように思える。

５　第27条：高インパクトAIのインパクト評価

　韓国AI法第35条は、高インパクトAIを利用する事業者に対し、「基本的権利への影響を事前に評価するよう努めなければならない」と定める、いわゆる努力義務規定である。他方で、国家機関が高インパクトAIを利用する場合には、インパクト評価を実施した製品・サービスを優先的に採用すべきことも規定されており、公共調達をテコに評価の実施を促す構造になっている（注４）。
　これに対し、施行令草案第27条は、インパクト評価でカバーすべき事項をかなり細かく列挙している（注４）。

　内容自体は「常識的なImpact Assessmentフォーマット」といってよく、独自の権利カタログやスコアリング手法までは踏み込んでいない。とはいえ、ここまで条文レベルで手順を刻んでおくことで、企業側としては「何を、どこまで書けば最低限の水準に達するのか」が比較的見えやすくなる。逆に言えば、インパクト評価が単なるチェックリストに堕してしまわないよう、今後策定されるガイドラインや事例集において、どれだけ具体的なケーススタディが蓄積されるかが重要になってくるだろう。

６　FLOPs閾値・PIPA連動・日本への示唆

　最後に、個人的に興味深いと感じた点を三つだけメモ程度に雑感として記しておきたい。

（１）10の26乗 FLOPsという「高性能AI」閾値

　EU AI Actは、全般目的AI（GPAI）のうち、訓練に要した計算量が10の25乗 FLOPsを超えるモデルを「システミック・リスクを有するモデル」と位置づけ、追加的なリスク管理義務を課している（注５）。
　公開推計によれば、GPT‑4級モデルの訓練計算量はおおむね10^25 FLOPs前後と見積もられており（注５）、既に10の25乗 FLOPs超で訓練されたモデルは30以上存在するとされる（注５）。
　これに対し、韓国の施行令草案が「高性能AI」の基準として採用したのは10の26乗 FLOPsであり、EUより一桁高い位置に閾値を置いている（注２）。
　フロンティアモデル数の予測研究によれば、2026年時点で10の26乗 FLOPsを超えるモデルは世界で10〜数十モデルにとどまる可能性が高い、との推計もある（注５）。その意味で、韓国の「高性能AI」規制は、当面はごく限られた最先端モデルだけを捉える、かなりピンポイントな制度設計になっているといえる。
　これは、国内AIスタートアップや中堅企業に対しては、過度な負担を負わせずに産業振興を優先しつつ、ごく一部の超大規模モデルについては国際的なフロンティア規制の議論と歩調を合わせる、という政治的バランスの反映と理解することができる。

（２）PIPAとの「みなし充足」によるコヒーレンス

　前述のとおり、韓国AI法はPIPA等の既存法制との「みなし充足」ルールを明確に書き込んでいる（注６）。
　AI法側で独自の個人情報保護義務を積み増しするのではなく、「個人データの処理と保護」についてはPIPAに任せ、その上に「高インパクトAIとしてのリスク管理」「説明可能性」「インパクト評価」を積み上げる、というレイヤー構造が意識されているように見える。
　日本でも、将来的にAI一般法や高インパクトAI規制を議論することになれば、個人情報保護法、電気通信事業法、医療法、金融規制などとの関係をどう整理するかが必ず問題になる。その際、「既存法制で一定水準の措置が講じられている部分については、AI法上の義務もみなし充足とする」というアイデアは、かなり有力な設計オプションになるだろう。

（３）日本への含意

　韓国AI法とその施行令草案は、EU AI Act型のリスクベース規制をかなりシンプルに圧縮しつつ、AIデータセンターや学習用データセット構築プロジェクトへの支援など、産業政策としての色彩を前面に出している（注１・２）。

　日本の立法過程は、これよりも慎重で段階的になる可能性が高いかもしれないが、少なくとも次のような論点について、韓国法は一つの具体的な参考を提示している。

　韓国AI法施行令草案は、まだパブリックコメント段階であり、最終版では修正される可能性もあるが、少なくとも「高インパクトAI＋生成AI＋高性能AI」という三層構造と、PIPAとの連動という基本線は大きく変わらないものと予測する。今後、公表される透明性確保ガイドラインやインパクト評価の詳細指針も含めて、東アジア発のAIガバナンスモデルとして、継続的にウォッチしておきたいところである。

（参考）海外のAIガバナンスの地図

日本

アメリカ

EU

イタリア

中国

スイス

アルゼンチン

インド

オーストラリア

韓国

（マガジン）「AIと法雑感」

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。