EU AI法 / スペイン「AI法導入ガイド」 / 規制要件の実務への適用方法 雑感

Ⅰ　法規範から実務手順への解きほぐし

　欧州人工知能規則（Regulation 2024/1689、以下AI Act）が発効し、各国の事業者は提示された規制要件を自らの業務プロセスへ落とし込む作業を迫られている。筆者はこれまで、抽象度の高い法規範がいかにして現場の手続きへと変換されるかという過程に関心を寄せてきた。スペイン人工知能監督庁（Agencia Española de Supervisión de Inteligencia Artificial、以下AESIA）が2025年12月に公表した全16編のガイドライン群は、AI Actの遵守を支援する実践的な試みである〔注1〕。同年4月に立ち上げられたスペインAI規制サンドボックスの成果物であり、12のハイリスクAIシステムを運用する企業が参加した実証を経て策定されている〔注2〕。第一部にあたる「Guide 1. Introduction to the AI Act」を素材とし、法令の要求水準を実務へ接続する手法と事業者に求められる役割について検討する。

1　階層的な文書構造と用途ベースの規律

　公開された文書体系は、単一の長大な解説書を設けるのではなく、全体の概要を提示する導入ガイド2本を起点としている。そこから適合性評価、リスク管理、データガバナンス、透明性、正確性、堅牢性、サイバーセキュリティ、記録、市場投入後の監視、重大インシデント報告、技術文書といった個別の技術要件に関する手引き13本へと展開し、さらにExcel形式のチェックリスト13本と使用マニュアルが付される〔注3〕。法の要求を一度に提示するのではなく、事業者の開発段階や習熟度に応じて参照すべき情報を切り出す手法は、規制の受容性を高める上で合理的であると考える。チェックリストの存在がとりわけ実務上の有用性を高めている。抽象度の高い規制要件を自己診断可能な設問形式に変換し、自社システムの遵守状況の把握と適応計画の策定を可能にしているからである〔注4〕。

　文書の冒頭では、AI Actが技術そのものではなく用途を規律の対象としている事実が確認されている〔注5〕。この設計思想のもとで、研究開発や軍事・安全保障目的、自由・オープンソースライセンスに基づくAIシステム、自然人の非専門的な個人活動における使用などが適用の枠外に置かれる〔注6〕。その上で、システムがもたらす危険度に応じた階層的な分類が示されている。禁止類型、ハイリスクシステム、透明性義務を負うシステム、その他のAIシステム、AIシステムに該当しないものという五段階である。

　ハイリスクシステムの分類については二つの類型が区別される。第一に、EU整合法令の対象となる製品の安全部品であるか、当該製品自体がAIシステムである場合であり、機械、玩具、昇降機、無線機器、圧力機器、医療機器、自動車、航空などが附属書IセクションAに列挙されている。第二に、附属書IIIに列挙される用途領域であり、生体認証、重要インフラ、教育・職業訓練、雇用・労働者管理、公共サービスへのアクセス、法執行、出入国管理、司法・民主的手続がこれにあたる〔注7〕。適合性評価の方法も類型により異なり、附属書III第2号から第8号のシステムは内部統制に基づく自己評価が原則である一方、附属書III第1号の遠隔生体認証については、調和規格または共通仕様を適用していない場合に被届出機関の関与が求められる〔注8〕。

2　事業者区分の流動性と義務の転換

　システムの開発や運用に関与する各主体の責任分担を正確に把握することは、企業法務において検討を要する。第1号ガイドでは、提供者（provider）、配備者（deployer）、公認代理人（authorised representative）、輸入者（importer）、販売者（distributor）の五つの役割が定義されている〔注9〕。とりわけ、配備者などの第三者が提供者としての義務を負う事態について具体的な条件が規定されている点に着目したい。

　既存の高リスクシステムに対して自らの名称や商標を付す場合、システムに実質的な変更を加える場合、非高リスクシステムの意図された目的を変更して高リスク化させる場合には、その主体が新たに提供者としての義務を負う〔注10〕。単なる利用者としてシステムを導入した企業であっても、独自のカスタマイズ等を通じて予期せず提供者の重い法的義務を負担する事態が生じうる。実務の現場において、自らの行為がどの法的地位に該当するかを継続的に評価し続けることが求められるといえる。

3　汎用AIモデルの規律

　AI Actは汎用AIモデル（General-Purpose AI Models、以下GPAI）に対しても独自の義務を課している。GPAIは大量のデータで訓練され、質問応答や翻訳、各種コンテンツ生成など多様なタスクを遂行できるモデルであり、構成の変更や追加訓練を通じてさらに広範な用途に適応しうる〔注11〕。GPAIの提供者には、透明性義務、技術文書の作成、著作権遵守のためのガイドラインの策定が求められ、システミックリスクを有するGPAIについてはモデル評価やリスク軽減、重大インシデントの記録・報告も義務づけられる。欧州委員会は2025年にGPAI行動規範を公表しており、透明性、知的財産、セキュリティの三章で構成されている〔注12〕。オープンソースまたは自由ライセンスのGPAIについては規制義務が緩和されており、この点はオープンソースコミュニティへの配慮として注目に値する。

Ⅱ　権利保護の事前統制と制度的配慮

　法規制の実効性を確保しつつ、事業者の過度な負担を軽減するための制度設計も本ガイドラインの主題となっている。

1　公共部門における事前の影響評価

　高リスクシステムの展開に際して公共部門の事業者に課される、基本的人権に関する影響評価（EIDF / FRIAs）の要件も実務上の論点である。システムを展開する前の段階で、使用プロセスの記述、使用期間と頻度、影響を受ける個人・集団の分類、損害の具体的危険性、人間の監督措置、リスクが顕在化した場合の対応措置を評価し、文書化する仕組みである〔注13〕。

　公権力の行使に伴う権利侵害の重大性に鑑みれば、このような事前評価の枠組みが公的機関に強く求められるのは妥当であると思料する。第1号ガイドは、この手続きが既存のデータ保護影響評価（DPIA）と重複する内容を含むことを明示的に指摘し、EIDFがDPIAを補完する関係にある旨を述べている〔注14〕。両者の整合的な運用によって、個人の権利保護を事前統制の仕組みとして制度的に定着させる意図が読み取れる。

2　サンドボックスと中小企業への支援

　中小企業やスタートアップに対する配慮事項が明記されている点も特筆される。制裁金算出における特例として、通常は当該違反に割り当てられる総額と売上高に対する割合のうち大きい方が適用されるところ、中小企業についてはいずれか小さい方の額が適用される〔注15〕。このほか、サンドボックスへの優先的なアクセス、助言・相談のための専用チャネル、適合性評価における技術文書の負担軽減と手数料の軽減、企業規模に比例した品質管理システムの要件緩和が列挙されている。

　規制サンドボックスそのものについては、AI Act第57条に基づき、所管当局の監督下で試験を行う管理された環境であり、市場投入前のAIシステムの開発・訓練・試験・検証を期間限定で促進するものと説明されている。事業者は試験終了後に当局から退出レポートの提供を受けることができ、市場監視当局および被届出機関はその結果を肯定的に勘案するとされる〔注16〕。ただし、正式な適合性評価手続の免除を意味するものではない。法的な要求事項を満たしつつ新技術の市場投入に向けた予見可能性を高める制度的仕組みとして機能すると筆者は解する。

Ⅲ　スペインの監督体制と他の加盟国との距離

　第1号ガイドはスペイン国内の市場監視体制についても詳述している。AI Actは各加盟国に市場監視当局（MSA）と届出当局（NA）の指定を求めており、スペインでは用途領域に応じてAESIA、スペインデータ保護庁（AEPD）、スペイン銀行・国家証券市場委員会（CNMV）、保険・年金基金総局、司法総評議会（CGPJ）、選挙管理委員会がそれぞれ管轄する構想が示されている。たとえば保険料算定用のAIシステムは保険・年金基金総局が、クレジットスコアリング用のAIシステムはスペイン銀行およびCNMVが、それぞれ市場監視当局となる〔注17〕。もっとも、この指定はスペイン政府が準備中のAIの適正利用・ガバナンスに関する法律案に基づくものであり、同法の成立を待って最終的に確定する〔注18〕。

　筆者が関心を持つのは、このような体制整備を他の加盟国がどこまで進めているかである。AI Act第113条（b）は2025年8月2日までの所管当局指定を求めていたが、同期限までに届出当局と市場監視当局の双方を指定した加盟国は極めて限られていた〔注19〕。ドイツ、オランダ、フランスもそれぞれのガイダンスや勧告を公表してはいるが〔注20〕、サンドボックスの実証成果を16本のガイドラインと13のチェックリスト、計761頁に結実させたスペインの対応は、加盟国レベルの実装支援として現時点で最も体系的なものである〔注21〕。AESIAが2023年の勅令729/2023で設立され2024年6月から運用を開始しているという先行性が、この厚みの背景にある〔注22〕。

　なお、義務の発効時期については、Digital Omnibusと呼ばれるAI Act修正の立法提案が欧州議会に提出されており、AIリテラシー義務の緩和や提供者の透明性義務の適用開始日の延期などが含まれている〔注23〕。AESIA自身もガイドラインがDigital Omnibusの採択後に改訂される旨を明記しており〔注24〕、現時点の記述はあくまで流動的な規制環境のなかでの暫定的な解釈指針として位置づけるべきであろう。

Ⅳ　むすびにかえて

　スペイン当局が他国に先駆けて、法解釈の指針や個別の要求事項に関する手引きを英語でも公開したことは、欧州市場に参入する域外の企業にとっても有益な参照材料となる。法令の文言が実務の現場でどのように解釈され、実際の運用体制へと組み込まれていくかを示す好例であるといえそうである。

　再度念押しするが、ガイドラインは非拘束的な性格にとどまり、調和規格や欧州委員会の技術ガイドが確定するまでの橋渡し的な文書である。しかし、事業者はこれを単なる遵守義務の確認項目として受け身で捉えるのではなく、自らの組織における管理体制を構築するための指針として能動的に活用することが求められると考える。

（参考）

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。