2024年6月13日に採択された欧州議会・理事会規則（EU）2024/1689（AI規則）は、人工知能（AI）に関するEU域内の規制枠組みを大きく転換するものです。これは、AI技術の開発者だけを対象とする業界別の規制ではない。人事採用、顧客対応、社内業務、コンテンツ作成など、企業活動においてAIシステムを設計、提供、販売、または利用する幅広い企業に影響を及ぼすこととなる。
2026年8月2日は、AI規則の大部分の規定が原則として適用される重要な節目となった。これに伴い、各加盟国の市場監督当局等による監督・執行も本格化することが想定される。スペインにおいては、スペイン人工知能監督庁（Agencia Española de Supervisión de la Inteligencia Artificial：AESIA）が重要な役割を担う。
このような状況において、企業はAIコンプライアンスを単なるIT上の問題として捉えるべきではな、AI規則への対応は、法的リスクの管理、サプライヤーとの契約関係、企業レピュテーションおよびコーポレート・ガバナンスに直接関係する戦略的課題となっています。
AI規則
近年のEUにおける他の規則と同様、AI規則は加盟国において直接適用され、国内法による個別の移行措置を必要としない。
また、AI規則は特定の物理的な製品や特定の業界を中心とした規制ではなく、リスクベース・アプローチを採用している。すなわち、企業が属する業種そのものではなく、当該AIシステムがどのような目的で使用され、人に対してどのような影響を及ぼすかによって、適用される義務の程度が決まるという意味だ。
誰に適用されるのか？
AI規則の適用範囲は非常に広く、AIシステムを開発するサプライヤーだけを対象とするものではなく、企業自身の権限・責任の下でAIシステムを利用するデプロイヤー（deployersと呼ばれるAIシステムの導入・利用者）も対象となる。また、輸入業者や販売業者も一定の義務を負う。
さらに、既存のAIシステムを実質的に変更した場合や、その「意図された目を変更した場合には、企業自身がプロバイダーとして扱われる可能性がある点にも注意が必要です。
規制対象となるAIシステム
AI規則では、製品そのものではなく、基本的にAIシステムがもたらすリスクの程度に応じて規制を区分しています。
最も高いレベルに位置するのが、「許容できないリスクを有するAIの使用法だ。これには、一定のサブリミナルな操作、特定の脆弱な集団の脆弱性を悪用する行為、ソーシャル・スコアリングなどが含まれ、原則として禁止されている。
その次に位置するのが、高リスクAIシステムである。例えば、採用・労務管理、信用供与、保険、教育、医療、司法など、人に重大な影響を及ぼし得る分野で利用されるAIシステムが該当する。
これらについては、リスク管理、データの品質、技術文書の作成・保存、記録保持、人間による監督など、厳格な要件が課されています。
さらに、AI規則では、透明性義務の対象となるAIシステムも規定される。例えば、人と直接やり取りするAIシステムや、一定のAI生成・操作コンテンツなどがこれに該当する。
一方、多くの一般的な社内業務・生産性向上ツールについては、最小リスクまたはリスクなしに分類され、AI規則上の具体的な義務は限定的です。ただし、社内規程の整備や適切な利用方法の確立など、企業としての適切なガバナンスは依然として重要である。
主な新しい義務
AI規則は、AIの利用について従来のEU法には必ずしも明確に規定されていなかった新たな義務を導入している。
その中でも、人が人工知能システムと対話している際に、その旨を本人に知らせる義務、AIによって生成または改変された合成コンテンツ（いわゆるディープフェイクを含む）に対する表示・ラベリング義務、ならびに、感情を推測するシステムや、生体データに基づいて人を分類するシステムに適用される特別な制限が重要なものとして挙げられる。特に、職場や教育現場におけるこれらのシステムの利用については、一定の制限が設けられている。
さらに、感情を推測するAIシステムや、生体データに基づいて人を分類する一定のAIシステムについても、特に職場や教育環境において、具体的な制限が設けられています。
これに加えて、企業にとって特に重要なのが、AIリテラシー（AI literacy）に関する義務である。プロバイダーおよびデプロイヤーは、AIシステムを利用・管理する従業員等が、その利用に必要なレベルのAIに関する知識・能力を有するよう、適切な措置を講じる必要があるからだ。
したがって、企業におけるAIコンプライアンスは、単に個人情報保護法、特にGDPR上の個人データの取扱いの適法性を確認するだけでは十分ではない。
各AIシステムについて、どのような目的で利用されているのか、どのリスクカテゴリーに該当するのか、どのような義務が発生するのかを、導入段階から検討する必要があります。そのためには、法務、IT、人事、コンプライアンス部門の緊密な連携が重要となります。
企業への影響
実務上、AI規則の影響は企業活動全体に及び、特に重要なのが法的リスク管理である。AI規則への違反については、高額な行政制裁金が科される可能性もあり、禁止されているAI使用方法については、一定の場合、全世界年間総売上高の7％に相当する制裁金が課される可能性があり、その他の重大な違反については3％に達する場合があります。
これは、GDPRと同様に、多国籍企業にとって無視できない規模の財務的リスクとなります。
また、多国籍企業の場合、社内で独自に開発したAIシステムだけを対象として考えるべきではありません。
適用スケジュール
AI規則は、一度にすべての規定が適用されるのではなく、段階的に適用されている。
もっとも、高リスクAIシステムの一部については、さらに後の2027年から適用される規定もある。
したがって、移行期間があることを理由として対応を先送りするのではなく、段階的に社内のAI利用状況を把握し、必要な対応を進めておくことが望まれます。
まとめ規則（EU）2024/1689は、人および基本的人権の保護を中心としたEUのAI規制枠組みを構築する重要な一歩です。
一方、多国籍企業にとっては、単なるITコンプライアンスにとどまらず、法務、IT、人事、コンプライアンス、契約管理およびリスク管理を横断する企業全体のガバナンスの問題となる。
適切な対応を行うことは、制裁金その他の法的リスクを軽減するだけでなく、顧客、取引先、投資家からの信頼、コーポレート・ガバナンスおよび企業としての競争力を高める要素にもなり得るのだ。
松岡研吾
ヴィラ法律事務所
更なる情報を知りたい方は以下までご連絡下さい。
2026年 9月4日