EU AI法 / AIリテラシー義務という組織学習 / AI Act第4条をめぐる雑感

0　はじめに

　生成AIが「試してみた」段階を越え、部署のKPIや顧客対応の現場に滑り込むと、議論は二つの速度で進む。モデルは毎週のように更新され、機能は増える。一方で、社内規程・チェックリスト・研修資料は、湿度の高い倉庫に段ボールが積み上がるように増殖する。前者は楽しいが、後者はだいたい辛いものといえよう。

　この増殖を眺めていると、欧州連合のAI規制が妙な方向から突いてくる。AIシステムの設計要件や禁止行為だけでなく、AIを扱う人の知識と技能、すなわちAIリテラシーそのものを、提供者・導入者の義務として書き込んだのである（AI Act第4条）。1)

　本稿は、法学研究者、企業のAI担当者、一般の読者に向けて、AIリテラシー義務が何を求め、何を求めていないのかを整理しつつ、「研修をやった」という形式的儀礼的な ”やった感”を超えて、組織の学習として実装するには何が要るかを雑感として記す。

1　問題の所在　「AIリテラシー＝研修」という短絡

　AIリテラシーと聞くと、多くの組織は反射的にeラーニングの受講と受講完了率を思い浮かべる。これは理解できる。測れるからである。測れないものは、内部統制の棚から落ちる。

　しかし、AIリテラシー義務の核心は、単なる知識伝達ではない。むしろ、誰が、どの局面で、何を知らねばならないかを可視化し、役割に応じて責任の連鎖を繋ぎ直す点にある。ここを外すと、研修は証拠としてのスクリーンショットを生むだけで、事故を減らさない。

　実務上の危険は二つある。

　第一に、過剰反応である。全社員に同じ教材を配り、同じテストを課し、同じ合格点を要求する。AIに触れない部署まで巻き込み、現場は疲弊する。リテラシーが敵になる。

　第二に、過小反応である。プロンプトの作法だけ教え、リスク（幻覚、データ漏えい、著作権、差別、セキュリティ等）や、そもそもAIシステムの限界を教えない。利用者は賢い検索窓と誤解し、オートメーション・バイアスに落ちる。

　この両極の間に、法が求める十分な水準がある。問題は、その「十分」が意図的に曖昧である点である。

2　法が求める「AIリテラシー」の射程　AI Act第4条の読み方

　AI Act第4条は、提供者および導入者に対し、スタッフおよびAIシステムの運用・利用を自らの代理で担うその他の者に、十分なAIリテラシーを確保するための措置を取る義務を課す。1) ここで面白いのは、対象が従業員だけに閉じていない点である。2)

　欧州委員会のQ&Aは、AIリテラシーを、技術的知識だけでなく、AIシステムを適切に展開しつつリスクと害を認識し、適切な保護措置を取る能力として位置づける。2) さらに、文脈、対象者、AIシステムの種類と目的を踏まえるリスクベースでの設計を繰り返し強調する。2)

　したがって、第4条は全員がAIエンジニアになることを命じる条文ではない。運転免許が自動車工学の修了証ではないのと同様、ここで問われるのは扱うための最低限の理解である。むしろ、関与者が自分の関与の仕方に見合う理解を持てという、かなり常識的な要請を法的義務として明文化した条文と見るべきである。

　さらに、AI Actの初期適用が始まった2025年2月2日には、AIシステムの定義や一部の禁止行為と並んで、第4条も適用開始となったことが欧州委員会の公表資料で確認できる。3)4) 本格施行は先だからと先送りされがちな領域に、あえて早期の学習義務を置いたのである。

3　「十分な水準」の曖昧さと、コンプライアンス設計

　第4条は、ある意味で知識の義務である。しかし、法律が個々人の頭の中を直接測定できない以上、条文は必然的に「措置を取れ」という形になる。Q&Aでも、画一的な要件や特定の証明書を求める趣旨ではないこと、知識の測定義務はないことが明確に述べられている。2)

　執行の構図も、ここを補強する。第4条は2025年2月から適用される一方、監督・執行は2026年8月頃から始まると整理されており、担当はAI Officeではなく加盟国の市場監視当局とされる。2)6) つまり、企業は今すぐ何かをやれと言われつつ、何をやれば十分かは各国当局の運用に委ねられる。この設計は、真面目な企業ほど不安になる。

　では、企業は何を成果物として残すべきか。結論から言えば、成果物は研修コンテンツではなく、判断の合理性を説明できる構造である。

　もう少し具体化すると、次の三点が核となる。

　第一に、役割分解である。誰が、どのAIシステムに、どの権限で触れるか。開発者、提供者、運用管理者、利用者、監督者、購買・法務・監査等の役割を切り分ける。

　第二に、リスク仮説である。その役割が犯しがちな失敗を列挙し、影響と発生可能性を暫定評価する。たとえば、プロンプトに機密を貼る、モデルの出力を事実と誤認する、出力をそのまま対外発信する、モデル更新を検知しないといった失敗である。

　第三に、介入設計である。失敗を防ぐための介入を、教育だけでなく、業務プロセス、権限設計、ログ、ガードレール、レビュー体制として埋め込む。

　この三点が揃うと、研修は仕上げになる。逆に、三点がないまま研修だけ先に作ると、研修は単なる形式的なものになり、事故は減らない。

4　研修よりも、業務フローを教育する　実装の勘所

　AIリテラシーを組織に実装する上で、実は一番効くのは、スライドではなく操作の設計である。人は、操作できるものを理解した気になる。逆に、操作の制約があると、理解を強制される。

　たとえば、生成AIに社内データを入力できるか否かを、個人の判断に委ねると、教育の負荷は跳ね上がる。なぜなら、各人が毎回「これは機密か」「このサービスの利用規約はどうか」「入力データは学習に使われるか」等を判断せねばならないからである。だが、実務の人間はそんなに暇ではない。暇でない人間に毎回高度な判断をしろと命じると、だいたい破綻する。

　そこで、入力データの区分（公開情報、社外秘、個人情報等）と利用可能なツールを結びつけ、デフォルトで制約を設け、例外は申請にする。すると、教育は例外申請の審査と例外の濫用を防ぐ方向へシフトする。つまり、教育の対象は全員から例外を扱う者に絞られる。

　ここでAIリテラシーが意味するのは、AIの仕組みを語れる能力ではなく、自分が扱うAIの前提条件を説明できる能力である。Q&Aが強調する文脈依存性は、この点と整合する。2)

　さらに、高リスクAIシステムを導入する場合には、人的監督のための訓練義務が別途残ることが明示されている。2)5) この「残る」という言い方が示すとおり、AIリテラシーは単独の義務ではなく、透明性・文書化・監督といった他の義務と絡み合う。

5　サプライチェーンへにじみ出る義務　「その他の者」とクライアント

　第4条の射程で一番実務的に厄介なのは、スタッフ以外の者をどう扱うかである。Q&Aは、ベンダー、パートナー、クライアント等も含み得る旨を示す。2) ここで、AIリテラシーは社内教育の話から、契約とサプライチェーンの話へ変質する。

　典型は、B2BのAIサービスである。提供者がAIシステムを提供し、導入者である顧客企業が業務で使う。このとき、顧客側の利用者が誤った使い方をして事故が起きれば、提供者と導入者のどちらが責任を負うかが争点になる。その際、説明書を渡した、利用規約に書いただけで足りるのか、あるいは顧客側の運用者への教育まで含めた支援を提供者が行うべきかが問われる。

　第4条は、ここで教育をしろと一刀両断していない。あくまで措置を取れである。1)2) だが、紛争の世界では措置が事後的に評価される。Q&Aは、適切な訓練やガイダンスの欠如が事故と結びついている証拠がある場合、制裁がより現実味を帯び得る旨を示す。2) つまり、AIリテラシーは平時は地味だが、事故時には責任の分水嶺になる。

　したがって、提供者は契約実務の中で、少なくとも次の二点を設計しておく必要がある。

　第一に、利用者の役割と想定利用範囲を契約上で明確化し、その範囲に合わせた利用者向けガイダンスを提供することである。

　第二に、顧客側の教育を提供するか、顧客が自ら実施するかを切り分け、後者の場合でも、顧客が教育を行えるだけの材料（教材、FAQ、事例、禁止事項、インシデント報告経路等）を提供することである。

　ここは、法務・プロダクト・CSが同じテーブルにつかないと設計できない領域である。AIリテラシーは、部門横断の接着剤であると同時に、部門間摩擦の発火点でもある。

6　「義務の移転」という政治　Digital Omnibusの提案から見えるもの

　もっとも、EU自身も第4条の運用が難しいことを理解している。欧州委員会が2025年11月19日に提示したDigital Omnibus on AI提案は、第4条の組織に対する義務を、加盟国と欧州委員会がAIリテラシーを促進する義務へと転換する方向を示した。5) Q&Aも同旨を述べる。2)

　この動きは、単なる規制緩和ではない。むしろ、知識の義務を個別企業に課すと、何が十分かを一律に定義できず、執行が過度に事後的・偶発的になり、結果として形式主義を助長するという限界が露呈した結果とも読める。

　要するに、AIリテラシーは本質的に社会政策であり、企業に丸投げすると歪む。だから国家が担うべきだ、という発想である。もっとも、高リスク導入者の人的監督訓練が残るとされている点には注目すべきである。2)5) ここに、EUが手放せない最低ラインが透けて見える。人が監督するというフィクションを維持するためには、人が監督できるだけの理解が要る。フィクションを支えるのは教育である。

7　日本企業にとっての含意　ソフトローの「教育・リテラシー」をどう読むか

　日本にはAI Actのような包括的ハードローは存在しない（少なくとも現時点では）。しかし、AIリテラシーが組織の義務という形で前景化している点は対岸の火事ではない。

　OECDも、AIリテラシーを組織のAIレディネスの要石とし、技術的理解だけでなく、批判的評価、倫理、そして組織の仕組みづくりを含む社会技術的な能力として整理する。9) これは欧州委員会のQ&Aが強調する文脈依存性と相性がよい。2) AIリテラシーは、個人の勉強ではなく、組織の設計である。

　国内の文脈でも、総務省・経済産業省が取りまとめたAI事業者ガイドライン（第1.1版）では、共通の指針の一つとして教育・リテラシーが掲げられている。10) ここでいう教育・リテラシーは、法的強制力のある義務ではないが、企業が自らのガバナンスを説明する際の基準点になる。ソフトローは、裁判所の条文解釈を直接拘束しない。しかし、合理性の評価において参照される常識を形成する。

　さらに、米国国立標準技術研究所（NIST）のAIリスク管理フレームワーク（AI RMF）は、GOVERN（統治）、MAP（特定）、MEASURE（測定）、MANAGE（管理）という反復的なリスク管理を提示する。7)8) AIリテラシーをこの枠に置くなら、それはGOVERNの一部であり、同時にMAPの前提である。つまり、リテラシーがない組織は、そもそも自分が何を導入しているかを設計できない。設計図がないのに、リスク管理はできない。

　この点、AIリテラシーとは、AIを理解することではなく、自分の無知の範囲を理解することであるように思える。無知の範囲が分かれば、誰に聞くべきかが分かる。誰に聞くべきかが分かれば、組織は事故を回避できる。逆に、無知の範囲が分からない組織は、AIが出すそれらしい文章に、平然と署名する。

（参考） AIリテラシーまとめ

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。