EU「Digital Omnibus on AI」 / 理事会交渉マンダートの要点と含意 雑感②

Ⅰ　立法過程の現在地

　2026年3月13日、EU理事会の常駐代表委員会（COREPER）は、いわゆる「Digital Omnibus on AI」、AI法（Regulation (EU) 2024/1689）の実装簡素化を主眼とする改正提案について、欧州議会との三者協議（trilogue）に臨む交渉マンダートを正式に採択した〔注1〕。マンデートの対象は、AI規制の中核であるAI ActとRegulation (EU) 2018/1139（民間航空）の双方である。

　この立法過程の出発点は、欧州委員会が2025年11月19日付で公表したCOM(2025) 836 final（2025/0359(COD)）である〔注2〕。委員会が前面に出した問題意識は率直であった。AI Actの段階的適用が進む中で、各国当局の体制整備や整合規格（harmonised standards）・ガイダンス等の策定遅れが、事業者・行政双方の遵守コストを過度に押し上げかねない、というものである。そこから、高リスク規律の適用時期を支援措置の整備と連動させること、SME向けの簡素化措置をSmall Mid-Caps（SMC）にも拡張すること、登録・文書化などの行政負担を調整すること、の三点が主要な改正軸として提示された。

　欧州議会側でも、3月第2週に動きがあった。IMCOおよびLIBEの各委員会の影の報告者らが、400件を超える修正案を一本化する政治的妥協に達し、3月18日にはIMCOとLIBEが妥協案について正式に投票する運びとなっている。両者の立場が核心問題で密接に一致しているため、三者協議における迅速な合意は現実的な見通しとなっている。4月には欧州議会本会議での全体承認が期待されており、最終テキストは2026年前半中に固まりうる。

　欧州議会調査局（EPRS）の立法進捗整理においても、「簡素化」と「権利保護」の緊張関係が論点として明示されている〔注3〕。Digital Omnibus on AIが、実装上の課題対処・遵守負担軽減を志向しつつ、AI Act成立時に形成された均衡、特に基本権保護との均衡を崩しうる点が、立法審議の構造的な緊張として位置づけられているのである。

Ⅱ　規制負担軽減の設計

1　SME/SMC簡素化の具体的な仕組み

　理事会マンダートの中核の一つは、SMEとSMCの制度的位置づけを明示し、一定の簡素化措置をSMCにも広げることにある。文案上、SMEはCommission Recommendation 2003/361/ECの定義を、SMCはCommission Recommendation (EU) 2025/1099の定義を参照して定義規定に取り込まれる〔注4〕。従来、「SMEを卒業した途端に大企業並みのフル・コンプライアンスに移行する」断層が生じ得た領域で、移行をなだらかにする企図である。

　負担軽減策で注目すべきは、その設計が単なる「義務の免除」ではなく、既存の仕組みへの「取り込み」を通じて進められる点である。典型が技術文書（technical documentation）の扱いで、SME/SMCについてはAnnex IV所定の要素を簡易な形で提出できること、そのために委員会が簡易フォームを用意し、適合性評価機関（notified bodies）が当該フォームを受け入れる旨が明記される。形式の標準化と審査側の受容義務をセットにすることで、実務上ありがちな「条文上は簡易化が認められているが、審査・監査の現場でフルセットを要求される」という形骸化を抑える狙いが読み取れる。

　もう一つの柱が、適合性評価機関の指定手続の一本化である。既存のEU整合法令（医療機器等を含むAnnex I Section A）での指定枠組みとできるだけ統合し、単一申請・単一の統合評価（single application / unified assessment）を可能にする設計が条文化された。高リスクAIが「既存の製品法制の適合性評価＋AI Act固有要求」の二重構造に陥りやすいことを踏まえると、制度運用の実効性に直結する改正である。

2　適用期限の再設定

　適用期限については、委員会提案が「支援措置の整備を委員会決定で確認し、それを起点に高リスク規律の適用を遅らせうる」設計を提示したのに対し、理事会マンダートは遅延の上限として固定日を明確化した〔注5〕。Annex IIIに基づく高リスクシステム（Article 6(2)）については委員会確認決定から6か月後、Annex Iに基づく高リスクシステム（Article 6(1)）については12か月後が起算点となるが、委員会決定がなされない場合または期日が到来する場合の最終期限として、前者については2027年12月2日、後者については2028年8月2日が確定的に設定されている。

　これは、支援措置の遅延を理由に適用開始が無期限化することを防ぎつつ、標準化・ガイダンス整備の現実に合わせた折衷案といえる。ただし、委員会が確認決定を出すための客観的基準が十分に定義されていないため、決定の時機が政治的な判断に左右されるリスクは残る。この「標準化と適用の連動」という設計思想は、後述する日本への示唆とも関わる。

Ⅲ　実体規制の追加と再調整

1　AIリテラシー義務の組み替えとその批判

　AI Actの水平的義務としてのAIリテラシー確保（Article 4）が「ワンサイズ・フィッツ・オールでは機能しにくい」「小規模事業者に過度な遵守負担をもたらす」という評価を背景に、理事会マンダートは、事業者に直接義務付ける構造から、委員会と加盟国が役割分担の下で事業者によるAIリテラシー確保を促進する（encourage）建付けへ移す提案を行っている〔注6〕。ただし高リスクAIについては、訓練・能力確保に関する個別規定の遵守が別途要求されるとの整理も明記されており、全面的な教育義務の撤去ではない点には留意が必要である。

　この点については、欧州データ保護会議（EDPB）と欧州データ保護監察官（EDPS）の共同意見（Joint Opinion 1/2026）が正面から疑義を呈している〔注7〕。両者は、AIリテラシー義務が倫理的・社会的なリスク認識を高める機能を持つとして、事業者の義務を置換する形での委員会・加盟国義務化には慎重であり、仮に新たな促進義務を置くとしても、既存の事業者義務に追加される形を採るべきだと述べる。簡素化が「ガバナンスの空洞化」につながることへの警戒が透けて見える。

2　バイアス検出・是正のための特別カテゴリー個人データ処理根拠の拡張

　現行Article 10(5)は、高リスクAIシステムのプロバイダーによるバイアス検出・是正目的での特別カテゴリー個人データの処理を認める法的根拠として機能していた。理事会マンダートは同項を削除し、独立した新設条文Article 4aとして再構成する〔注8〕。

　適用対象の拡張が重要である。高リスクAIシステムのプロバイダーに加え、そのデプロイヤー、ならびにその他のAIシステムおよびモデルのプロバイダー・デプロイヤーについても、厳格な要件と保護措置を充たすことを条件として、例外的な処理が認められる。条件の列挙は具体的であり、他データ（合成データや匿名化データを含む）での代替不可能性、技術的な再利用制限、最先端のセキュリティ・プライバシー保護（仮名化を含む）、第三者提供禁止、是正後または保存期間満了時の削除、厳格必要性の理由の記録化を求める。

　委員会提案が「必要な範囲で」と定めていたのに対し、理事会マンダートでは「厳格に必要な範囲で（strictly necessary）」に引き締められている。共同意見が濫用回避のため厳格必要性の維持を推奨していた点を踏まえると、理事会の文案はその懸念に寄せたものと評価できる。

3　生成系AIに関する新たな禁止の設計

　理事会マンダートが今回新規に追加した最も象徴的な実体改正は、一定の生成系AIの利用形態をArticle 5の「禁止」として明示する点である〔注9〕。同意なき現実的（realistic）な性的・親密コンテンツ（識別可能な自然人の親密部位または当該自然人が性行為に従事する描写）を生成・操作・複製する能力を有するAIシステムの上市・供用・使用の禁止（point (ba)）と、児童性的虐待関連素材（CSAM）相当のコンテンツを生成等する能力を有するAIシステムの禁止（point (bb)）が新設される。これらは2027年2月2日から適用される。

　「能力（capable）」の定義として、目的として意図されている場合に加え、設計・学習・アーキテクチャ・機能等から合理的に予見可能で反復可能な結果として当該出力が生じ得るにもかかわらず、有効な技術的安全措置等で防止・是正できない場合も含める定義が置かれた〔注10〕。プロンプトが特定であること自体は免責方向に働かず、反復可能性と安全措置の有無が焦点化される設計である。

　他方で、禁止の射程は無限定ではない。親密部位等を露出しない部分的ヌード、識別可能な自然人を描かないもの、非現実的な芸術的表現等は禁止対象から外され、CSAMについては国内法上の「without right」抗弁（捜査・刑事手続における適法な生成等）の余地も示される。禁止の設計が表現の自由・営業の自由との緊張を意識しつつ、目的限定・例外限定を併置している点は、立法技術として参照価値がある。

Ⅳ　ガバナンスと執行の再設計

1　AIオフィスの専属権限とその例外

　理事会マンダートは、AI Officeの監督・執行設計を「所掌の明確化」から一段進め、専属権限（exclusive competence）と強制調査権限の具体化へ踏み込ませた。一般目的AI（GPAI）モデルに基づくAIシステムについて、モデル提供者とシステム提供者が同一、または同一企業グループ（undertaking）に属する場合に、AI Officeが監督・執行を担うという方向性が打ち出されている〔注11〕。加えて、Digital Services Act上の超大規模オンラインプラットフォーム・超大規模検索エンジンに組み込まれたAIシステムについても、AI Office側の権限が強く基礎付けられる。

　ただし専属権限は無限に拡張されるのではなく、法執行・国境管理・司法当局・一定の金融機関等の領域やAnnex III上の特定類型については、国内当局が依然として所管する余地が明示される。中央集権的監督による均一実施のメリットと、セクター別監督との抵触回避を同時に追求する姿勢が現れている。

2　執行手続の体系的整備

　新設Articles 75a以下が執行設計の核心である。AI Officeは、非遵守の合理的疑いがある場合に調査開始を決定し、情報提供要請（単純要請または決定による要請の二段階）、遠隔・立入検査（必要に応じて国内司法当局の許可を要する場合がある）、コミットメント（確約）による終結、非遵守決定と制裁金・定期金の賦課、さらに権限行使に関する各種セーフガード（弁護権・ファイルアクセス権、法曹守秘・ジャーナリズム保護、5年の時効等）を備える枠組みが置かれた〔注12〕。規範の抽象度を残しがちなAI規制において、強制手段と手続保障のレベルまで条文化している点は、今後のEU行政執行モデルとしても参照価値がある。

　共同意見は、この中央集権化について条件付きで評価しつつも、GPAIモデル類型のトリガーの明確化、データ保護当局との緊密な連携、EU機関等が用いるAIシステムについてEDPSが監督するという整理を前文ではなく実体条文で明確化すべきだと提言する。権限帰属が不明確であると監督の空白が生じ得ること、およびデータ保護・基本権の観点が監督設計に十分に織り込まれない可能性への懸念が、その背景にある。

　以上の設計が示唆するのは、理事会マンダートが「個々の事業者義務の一部緩和」と「大規模・横断的影響を持つシステムに対するAI Officeによる一元的監督で執行密度を確保する」というバランスを企図している、という構造である。

3　サンドボックスと実証の枠組み

　加盟国は、国内レベルで少なくとも一つのAI規制サンドボックスを2027年12月2日までに稼働させるべきことが示される。EDPSによるEU機関等向けのサンドボックス設置に加え、AI OfficeがEUレベルのサンドボックスを設置しうる旨が条文化され、当該サンドボックスが国内サンドボックスの権限を害さないことも併記された〔注13〕。越境的プロジェクト（とりわけGPAIベースや超大規模プラットフォーム組込み）の実証を、加盟国ごとの手続差で詰まらせないという政策判断が背景にある。

　Annex I Section B（特定のセクター法制に直接組み込まれる類型）については新設Article 60aが置かれ、加盟国による枠組み整備・委員会への通知とレビュー、さらにセクター法制との抵触がある場合に「テストを可能にする限度で」Article 60aが優先する旨まで書き込まれる。AI規制を実証の場面でセクター法制とどう噛み合わせるかという実装上の難所に正面から向き合おうとする設計である。

　共同意見は、サンドボックスは「規制緩和の場」ではなく「規律の先取り適用を安全に行う場」であるという前提から、サンドボックス内のデータ処理についての所管DPAの関与、GDPR協力メカニズムとの関係明確化、EDPBの助言的役割などを提言する。

Ⅴ　結び

　Digital Omnibus on AIの理事会マンダートが企図するのは、制度目的としての簡素化と監督権限の中央集権化の同時進行である。個々の事業者義務を緩め得る余地を作りつつ、その代わりに大規模で横断的影響を持つシステムについてはAI Officeによる一元的監督で執行密度を確保する、このバランスは、AI規制をめぐる立法政策として一定の合理性を持つ。

　日本にとっての論点も明確である。まず、生成系AIの「能力」の禁止設計の具体性である。出力の用途を制御できるかではなく、当該出力が合理的に予見可能かつ反復可能であり、有効な安全措置で防止・是正できているかが市場投入の可否を左右しうる。安全措置の不備が単なる品質問題ではなく上市禁止へ直結し得る点は、ガバナンス設計の前提として重い。次に、バイアス評価と要配慮データの関係である。EUは例外的許容を制度化する代わりに、手続・技術・記録をパッケージにして統制する方向に寄せており、「使ってよいか否か」ではなく「許容するとすればどの条件で統制するか」という設計の議論が求められる。さらに、実装タイムラインを「標準・ガイダンスの整備」と連動させつつ固定の最終期限を置く発想は、行政側の整備が遅れた場合の責任の所在を問い直す構造でもあり、日本でのAIガバナンス制度化においても立法技術として検討に値する。最後に、監督権限の中央集権化とセクター別監督・データ保護当局との接合は、国内当局の役割やデータ保護当局の関与が曖昧だと監督の空洞化が生じ得るという点で、日本においても権限配分と手続保障を条文上どこまで具体化するかが制度の実効性を左右する問題として共通する。三者協議の行方を引き続き注視したい。

（マガジン）「AIと法雑感」

※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。
P.S. This is shared for academic discussion only.