2025年EUデジタル・オムニバス法案⑥ / EDPB・EDPS合同意見1/2026（Digital Omnibus）の検討雑感

0　はじめに

　2026年1月20日、欧州データ保護会議と欧州データ保護監察官は、欧州委員会が2025年11月に提案したAI規則等の実施簡素化に関する規則案に対する合同意見を採択した。Digital Omnibusと呼ばれるこの提案に対し、EUのデータ保護法の守護者たちが基本権保護の観点から鋭い懸念を表明したのである。

　欧州のAI規制を巡る動向は、AI規則の成立後も極めて流動的である。2025年11月19日、欧州委員会は、AI規則の円滑な実施と行政負担の軽減を目的として、AI規則およびEASA規則を改正する包括的な規則案を公表した。

　今回は、このEDPB-EDPS合同意見に基づき、Digital Omnibus提案が提起する論点について検討する。バイアス検知のためのセンシティブデータ処理の拡大、登録義務の緩和と説明責任の関係、EUレベルのサンドボックスにおけるガバナンス構造、AIリテラシー義務の緩和や適用時期の延期といった論点は、AI規則の実効性を左右する重要な分岐点となる。

1　問題の所在

　欧州委員会によるDigital Omnibus提案は、AI規則の実装段階において浮上した課題に対処するためのものである。適合性評価機関の指定遅延、標準化プロセスの遅れ、企業のコンプライアンス負担の増大といった現実的な問題がその背景にある。EDPBとEDPSは、効果的な実施と負担軽減という一般的な目的自体には賛意を示している。また、EDPBと欧州委員会がGDPRとAI規則の相互関係に関するガイドラインの策定を進めており、今年後半の発行を目指していることも確認された。

　しかし、本合同意見の核心は別のところにある。行政負担の軽減を追求するあまり、AI規則が本来企図していたリスクベース・アプローチの厳格さや、個人の基本権の保護水準がなし崩し的に低下することへの警戒感である。AI規則は、イノベーションの促進と基本権保護の繊細なバランスの上に成立した妥協の産物である。施行を目前にした段階での簡素化が、そのバランスを企業寄り、あるいは行政の都合寄りに大きく傾けさせるものであれば、データ保護当局としては看過できない。

2　バイアス検知・是正のための特別カテゴリデータの処理

　最初の主要な論点は、AIシステムにおけるバイアスの検知および是正を目的とした、特別な種類の個人データの処理権限の拡大である。

　AI規則第10条第5項は、高リスクAIシステムにおいて、バイアスの検知および是正を行うために厳格に必要な範囲で、GDPR第9条等で原則禁止されている特別カテゴリの個人データの処理を例外的に認めている。人種、信条、健康データ等がこれに該当する。Digital Omnibus提案では、この例外規定を新たな第4a条として再構成し、その適用範囲をすべてのAIシステムおよびモデル、ならびに展開者にまで拡大しようとしている。

　EDPBとEDPSは、バイアスが是正されないままAIシステムが社会に浸透することのリスクを考慮し、原則としてこの適用範囲の拡大自体は支持する姿勢を見せている。非高リスクに分類されるシステムであっても、バイアスによる差別的結果が生じる可能性は排除できないためである。しかし、三点において懸念を示している。

　第一に、要件の緩和に対する懸念である。現行法が「厳格に必要」という高いハードルを課しているのに対し、提案は単に「必要」、あるいは「必要かつ比例的」という文言を用いている。EDPB等は、高リスク以外のシステムに拡大するとしても、機微データ処理の例外を認める以上、現行の厳格な必要性の基準を維持すべきであると主張している。データ最小化の原則やGDPRの精神に照らせば譲れない一線であろう。

　第二に、対象の限定の必要性である。非高リスクAIシステムにおいてこの権限を行使できるのは、バイアスによる悪影響のリスクが十分に深刻である場合に限定されるべきであるとする。安易な拡大解釈によるデータの乱用を防ぐための歯止めが必要であり、具体的な指針や例示が欠如している現状では法的確実性が損なわれると指摘している。

　第三に、GDPRとの整合性と法的確実性である。提案の条文において「may apply」といった文言が使用されている点についても、GDPR第9条との整合性の観点から疑義が呈されている。この処理がGDPR第9条第2項(g)に基づくものであることを明確にし、データ保護当局の監督権限が及ぶことを法文上で担保するよう求めている。

3　登録・文書化義務の緩和と説明責任の形骸化

　実務的観点から最も影響が大きく、かつEDPB等が強く反発しているのが、登録義務の削除に関する論点である。

　現行AI規則第6条第3項は、附属書IIIに該当するシステムであっても、提供者が人の健康、安全、基本権に重大なリスクをもたらさないと評価した場合には、高リスク規制の一部免除を認めている。生体認証、教育、雇用等の高リスク領域が附属書IIIの対象である。現行ルールでは、この自己評価を行った場合、その根拠を文書化し、EUデータベースに登録する義務がある。Digital Omnibus提案は、行政負担軽減のため、この免除の登録義務を削除することを提案している。

　EDPBとEDPSは、この削除案に対し、透明性と説明責任を著しく低下させるとして反対を表明している。もし登録が不要となれば、外部からは、そのシステムが存在するのか、なぜ高リスクではないと判断されたのかを知る術が失われる。これは、プロバイダーが安易に、あるいは不当に免除規定を適用しようとするインセンティブを生み出しかねない。

　EDPB等は、登録情報が複数の機能を果たすことを強調している。公衆に対する透明性の確保のみならず、展開者による適切なデューデリジェンスの実施や、市場監視当局および基本権保護当局による監視の端緒として機能するのである。欧州委員会の試算によれば、この変更によるコスト削減効果は最大で1485社に対し、1社あたり年間100ユーロ、総額で約14万8500ユーロに過ぎない。EDPB等は、失われる透明性と基本権保護のリスクと比較して、その経済的利益はあまりに微小であり、説明責任を犠牲にすることは正当化できないと断じている。

　また、企業規模を一律の基準として製品安全義務を緩和するアプローチに対しても、AIの拡張性や自律性といったリスク特性を踏まえれば、企業規模は必ずしもリスクの低さを意味しないとして、慎重な姿勢を示している。

4　EUレベルのAI規制サンドボックスとガバナンス

　提案では、AI局が所管するEUレベルのAI規制サンドボックスの創設が含まれている。汎用AIモデル等を対象とするものである。

　EDPB等は、イノベーション支援としてのサンドボックス自体は歓迎しつつも、そのガバナンスにおけるデータ保護当局の役割が明記されていないことに懸念を示している。現行の各国レベルのサンドボックス規定では、個人データ処理が関わる場合、データ保護当局を運営に関与させることが義務付けられている。しかし、EUレベルのサンドボックス案には同様の規定が欠けている。サンドボックス内であってもGDPRは適用されるため、所管データ保護当局の関与なしには適法な運用は担保できない。合同意見は、EUレベルのサンドボックスにおいても、データ保護当局が運営および監督に関与すべきことをAI規則に明記するよう求めている。

　また、EUレベルのサンドボックスには複数の加盟国のデータ保護当局が関与する可能性があるため、一貫性の確保が課題となる。EDPB等は、EDPBが助言的な役割を果たすべきこと、および欧州人工知能理事会においてEDPBにオブザーバーの地位を付与すべきことを提言している。

5　AI局による監督権限と管轄の整理

　AI局は、汎用AIモデルおよびそれに基づくシステム、ならびに超大規模オンラインプラットフォーム等に統合されたAIシステムについて、監督の排他的権限を有するとされている。

　EDPB等は、リソースの集中による効率化を認めつつも、データ保護に関するリスクが存在する場合におけるデータ保護当局との連携不足を懸念している。AI局の排他的権限が、GDPRに基づくデータ保護当局の独立した権限を阻害してはならない。合同意見は、AI局が所管データ保護当局と緊密に連携・調整を行う義務を強調するとともに、AI局の排他的権限がトリガーされる汎用AIモデルの類型を明確に定義し、権限の範囲をあらかじめ明確化しておくよう求めている。

　さらに、EU機関等のシステムに関する管轄について重要な指摘がなされている。EUの機関・組織が開発・利用するAIシステムについては、AI規則第74条第9項に基づきEDPSが唯一の監督機関である。提案のリサイタルでは、AI局の権限がこれらには及ばないことが確認されているが、EDPB等は、法的確実性と監督の独立性を担保するため、条文本文においても明示的に除外規定を設けるべきであると勧告している。

6　基本権保護当局と市場監視当局の協力

　提案では、基本権保護当局がプロバイダー等に対して文書提出等を求める際、市場監視当局を単一の窓口として経由させる仕組みが導入されようとしている。行政手続きの効率化を意図したものである。

　EDPB等は、窓口一本化による効率化の趣旨は理解しつつも、市場監視当局が情報のゲートキーパーとなることを強く警戒している。市場監視当局の役割はあくまで行政的な連絡窓口に限定されるべきであり、基本権保護当局が行う情報要請の必要性や均衡性を市場監視当局が審査・判断するようなことがあってはならない。また、データ保護当局がGDPRに基づいて保有する独自の調査権限が、この仕組みによって制約されないことを明文化する必要がある。さらに、国境を越えたケースにおける相互援助義務についても、製品安全規制との整合性を図りつつ、具体的な手続きを明確化することが求められている。

7　AIリテラシー義務の緩和に対する反対

　見過ごされがちだが重要な変更点として、AIリテラシーがある。現行法は、プロバイダーおよび展開者に対し、スタッフ等のAIリテラシーを確保する措置を講じることを義務付けている。しかし、Digital Omnibus提案は、これを委員会および加盟国が、事業者によるリテラシー確保措置を促進する義務へと変更し、実質的に事業者の義務を緩和しようとしている。

　EDPB等は、この変更に明確に反対している。AIリテラシーは、AIの倫理的・社会的リスクを理解し、コンプライアンスを遵守するための人的基盤である。これを単なる促進や努力義務に後退させることは、AI規則の目的を根本から損なう。合同意見は、現行の事業者に対する義務を維持すべきであり、仮に委員会等による促進策を追加するとしても、それは事業者の義務を代替するものではなく、補完するものとして位置づけるべきだと結論付けている。

8　高リスクルールの適用時期の延期

　最後に、タイムラインの問題である。提案では、高リスクAIシステムに関する規制の適用開始時期を大幅に延期することが示されている。附属書IIIのシステムについては2027年12月2日まで、附属書Iの製品組み込み型については2028年8月2日まで適用が遅れる可能性がある。また、祖父条項の基準日も延長され、より多くの既存システムが規制の適用外となる可能性が示唆されている。

　EDPB等は、適合性評価機関の不足や標準化の遅れといった実施上の課題が客観的に存在することは認めつつも、急速に進化するAI環境において、基本権保護の適用に空白期間が生じることへの深刻な懸念を表明している。透明性に関する義務など、必ずしも技術的な標準化を待たずに実施可能な規定については、現行のスケジュールを維持することが適切かつ実行可能ではないかと提起している。仮に延期が採択される場合でも、委員会および関係者は遅延を最小限に抑えるための協調的な行動をとるべきであるとしている。

9　おわりに

　EDPB-EDPS合同意見1/2026は、AI規則の施行段階において直面している理想と現実のギャップに対し、あくまで基本権保護の側から警鐘を鳴らした文書といえる。

　欧州委員会が提示したDigital Omnibus案は、産業界からの要望に応え、行政負担の軽減とイノベーションの促進を前面に押し出したものである。しかし、データ保護当局の視点からは、登録義務の削除や要件の緩和といった措置は、AI規則が築き上げようとしていた説明責任メカニズムを空洞化させるリスクとして映る。1社あたりわずか100ユーロのコスト削減のために透明性を犠牲にするという提案に対する当局の厳しい指摘は、効率性と権利保護のトレードオフにおける欧州の価値判断を問うものである。

　今後の立法プロセスにおいて、これらの意見がどの程度反映されるかは予断を許さない。企業の実務担当者としては、単に規制緩和のニュースに安堵するのではなく、データ保護当局がAIシステムに対して厳格な監視の目を向けているという事実を重く受け止める必要があるだろう。バイアス対策におけるセンシティブデータの処理や、非高リスク判定のプロセスは、将来的にデータ保護当局による厳格な執行対象となる可能性が高く、GDPRとの整合性を意識した慎重な対応が求められる。

10　2025年EUデジタル・オムニバス法案まとめ

（マガジン）「AIと法雑感」

※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。