日本と欧州連合(EU)は、ほぼ一年の間隔を置きながら、いずれも人工知能(AI)には国あるいは地域レベルでの法的な対応が必要だという結論に至った。しかし両者がたどり着いた答えは、構造的にみて対照的である。日本の「人工知能関連技術の研究開発及び活用の推進に関する法律」(令和7年法律第53号、以下「AI推進法」)は、罰則も禁止行為も適合性評価制度も持たない、振興のための法律である。これに対しEUの「AI法」(Regulation (EU) 2024/1689)は、リスクベースの製品安全・基本的人権保護規則であり、拘束力のある義務、高リスクシステムに対する適合性評価の義務化、そして数千万ユーロ規模に達しうる制裁金を備えている。2026年7月27日に発効した「デジタル・オムニバス」による改正を経て、EU AI法の最も厳しい適用期限は後ろ倒しになったものの、リスク階層分類や適合性評価の要件を含む基本構造そのものは変わっていない。両市場で事業を展開する組織にとって実務上の帰結は、一方の法域向けに構築したコンプライアンス体制だけでは、もう一方の法域の要求を満たせないという点にある。

思想と制度設計

日本のAI推進法は、明確に基本法・振興法としての性格を持つ。同法の目的はAI関連技術の研究開発及び活用を推進することにあり、事前承認や禁止によってこれを制約することではない。同法により、内閣総理大臣を長とし全閣僚を構成員とする内閣の機関「AI戦略本部」が設置され、その規定は2025年9月1日に施行、2025年9月12日に初会合が開かれた。同本部の主な成果物は「AI基本計画」であり、これは強制力を持つ規則の集合ではなく国家戦略文書である。第1期AI基本計画は2025年12月23日に閣議決定され、改訂版となる第2期計画が2026年7月14日に続いた。同法のうち一般の事業者に関わる唯一の義務は第7条であり、政府のAI施策に協力するよう努める旨を定めた努力義務にとどまる。免許制度もAIシステムのリスク分類も存在せず、同法のいかなる条文にも法定の罰則は置かれていない(公式英訳はjapaneselawtranslation.go.jp、日本語条文はhourei.ndl.go.jpを参照)。

EU AI法は、これとは正反対の出発点に立つ。同法はAIシステムを「許容できないリスク」「高リスク」「限定的リスク」「最小リスク」という段階に区分し、階層に応じて強度を変えた拘束力ある義務を課す。「許容できないリスク」に分類される慣行は、第5条により全面的に禁止される。「高リスク」に分類されるシステム、すなわち採用選考や与信スコアリング、法執行など附属書IIIに列挙されたスタンドアロン型システムであれ、EUの製品安全法制の適用対象となる製品に組み込まれた附属書I型システムであれ、適合性評価の実施、技術文書の整備、リスクマネジメントと人による監視の体制構築が義務づけられる。附属書IIIのスタンドアロン型システムはさらに、市場投入前にEUのデータベースへの登録が必要となる一方、附属書Iの組込み型システムは、既に適用されているセクター別の製品安全法制の適合性評価手続きを経ることになる。汎用AIモデルの提供者は独自の文書化義務を負い、一定の計算量の閾値を超える場合にはシステミックリスクに関する義務も課される。同法の執行は各国の市場監視当局が担い、汎用AIモデルについては欧州AI理事会を通じた調整のもとでEU AI室が担う。

拘束力のある規律と任意の指針

両制度を比較する最も明快な方法は、法的拘束力を持つものとガイダンスにとどまるものを切り分けることである。日本では、AI推進法そのもの、AI基本計画、そして経済産業省と総務省が共同で策定した「AI事業者ガイドライン」に至るまで、AI固有の法制・指針の層はすべて任意ないし拘束力を持たないソフトローである。同ガイドラインは2026年3月31日の改訂でAIエージェントに関するリスクの考え方を追加してバージョン1.2となり、従来の開発・利用・ガバナンスに関する三つの指針を一本化したものである(meti.go.jp)。同ガイドラインは、規制当局や裁判所、取引先企業が組織に期待する事実上の注意義務の水準として機能するが、それ自体が法的責任を生じさせることはない。金融庁が金融分野におけるAIの適切な利用に関して公表したディスカッションペーパーも同様であり、2025年3月に初版が公表され2026年3月3日にバージョン1.1へ更新されたが、原則ベースかつ非拘束的な性格を保っている(fsa.go.jp)。2023年5月に始動したG7広島AIプロセスに対する日本の貢献も同様で、国際指導原則と高度なAI開発者向けの任意の行動規範を生み出したにとどまり、拘束力ある規制には至っていない(oecd.ai/en/hiroshima)。

日本で事業を行う組織を実際に拘束しているのは、AI固有の法律ではまったくない。AIのユースケースに適用される既存の一般法である。すなわち、個人情報保護委員会が執行する個人情報保護法(APPI)であり、同委員会は2023年6月2日に生成AIサービスの利用に関する注意喚起を公表している(ppc.go.jp)。また、2019年1月1日から施行されている著作権法第30条の4の情報解析に係る権利制限規定は、著作物に表現された思想又は感情を自ら享受する目的でない場合、著作権者の許諾なくAI学習への著作物利用を認めるが、著作権者の利益を不当に害することとなる場合はこの限りでないとの但し書きが付されている。さらに、AIの関与の有無にかかわらず適用されるセクター別の規制も存在する。ここに日本のアプローチの構造上の要点がある。AI固有の層は方向性と期待値を示すにとどまり、拘束力のある法的リスクは既存の各種法令を通じて生じるのである。

EUではこの構図が逆転している。AI固有の法制そのものが拘束力ある法律である。汎用AIモデル提供者向けに策定された行動規範や、CEN-CENELEC(欧州標準化委員会・欧州電気標準化委員会)を通じて策定が進む整合規格は、同法と並んでコンプライアンス上のツールとして機能し、多くの場合は適合性の推定を生じさせるものの、禁止事項、高リスクシステムの適合性要件、透明性義務といった中核的な義務そのものは、加盟国での国内法化を要しない、直接適用可能なEU規則の条文に直接規定されている。

適用期限と段階的施行

EU AI法は2024年8月1日に発効し、以降段階的に施行されてきた。第5条の禁止行為は2025年2月2日から適用が開始された。汎用AIモデル提供者に対する義務は2025年8月2日から続いた。2026年7月24日にEU官報に公示され2026年7月27日に発効した「デジタル・オムニバス」は、残る二つの高リスク関連の適用期限を後ろ倒しにした。附属書IIIのスタンドアロン型高リスクシステムについては2027年12月2日まで、既存のEU製品安全法制の対象製品に組み込まれた附属書Iの高リスクシステムについては2028年8月2日までとなった。AIとの対話であることの開示や合成コンテンツのラベリングを対象とする第50条の一般的な透明性義務は延期の対象とされず、2026年8月2日からの適用が維持されている。ただし、第50条2項が定める機械可読な標識付与義務については、2026年8月2日より前に既に市場に投入されているシステムに対して2026年12月2日までの猶予期間が設けられている。

日本のスケジュールは異なる論理で動いている。段階的に施行すべきコンプライアンス期限そのものが存在しないためである。同法は2025年5月28日に国会で可決され、2025年6月4日に公布された。制度に関する規定は2025年9月1日に施行された。日本において意味を持つ日付は、AI基本計画のサイクルや、AI事業者ガイドラインが2024年4月のバージョン1.0から2026年3月のバージョン1.2へと更新されてきたようなガイダンス改訂のサイクルといった計画上の節目であり、事業者が適合性評価を完了しなければ責任を問われるといった性質の期限ではない。

罰則

ここが両者の分岐が最も鮮明になる点である。EU AI法は第99条のもとで階層化された行政制裁金を定めている。第5条の禁止事項への違反には、最大3,500万ユーロまたは前会計年度の全世界年間売上高の7パーセントのいずれか高い方が科される。高リスクシステムや汎用AIに関する規定を含む、その他の事業者義務への違反には、最大1,500万ユーロまたは売上高の3パーセントが科される。当局に対して誤った情報や不完全な情報、誤解を招く情報を提供した場合には、最大750万ユーロまたは売上高の1パーセントが科される。スタートアップを含む中小企業に対しては、定額と割合のうちいずれか低い方が適用される。デジタル・オムニバスによる改正は高リスク関連義務の適用期限を延長したものであり、2025年2月から適用されている第5条の禁止事項を延期したり変更したりするものではない。

日本のAI推進法には、いかなる種類の罰則規定も置かれていない。第7条の協力努力義務や同法の他のいかなる規定についても、違反に対する罰金、命令、刑事罰は存在しない。日本におけるAI関連活動に伴って事業者が負いうる金銭的または刑事的なリスクは、AIの有無にかかわらず適用される一般法から生じる。主として、個人情報保護委員会に是正命令を発する権限を与え、命令違反には刑事罰を定める個人情報保護法と、第30条の4の権利制限の範囲外にある侵害行為について独自の民事・刑事上の救済を定める著作権法である。金融庁のようなセクター別の規制当局も、AI推進法そのものとは別に、規制対象事業者に対する既存の監督権限を用いてAI関連の不正行為に対応することができる。

多国籍企業にとっての意味

両市場で事業を展開する組織にとっての実務上の帰結は、一方の法域の要求を満たすために構築したガバナンス体制が、そのまま他方に通用するわけではないという点である。

  • 日本国内向けのガバナンスだけでは、EU AI法の義務を満たせない。 日本のAI事業者ガイドラインを軸に構築したコンプライアンス体制は、どれほど厳格であっても任意の枠組みにとどまる。それは適合性評価を実施するものではなく、EU AI法が高リスクシステムに要求する技術文書を生み出すものでもなく、第50条の透明性義務を満たすものでもない。EU AI法は、AIシステムをEU市場に投入する提供者や、その出力がEU域内で利用される提供者に対し、提供者の所在地を問わず域外適用される。したがって、高リスクAIシステムをEUに輸出する日本企業や、EUの利用者に使用される汎用AIモデルは、日本の枠組みに一度も関与していなくとも、EU AI法上の規制対象事業者となる。
  • EU AI法への準拠は、日本の拘束力ある義務を満たさない。 EU AI法向けに構築した適合性評価ファイル、技術文書、CEマーキングに準じた登録は、EU固有の要求事項に対応するものである。それ自体では、個人情報保護法のもとでの個人情報の適法な取扱いを確立するものではなく、日本国内での学習データ利用をめぐる著作権法第30条の4の論点を解決するものでもなく、たとえば日本の金融当局や医療当局が所管する、AIの関与の有無にかかわらず規制対象活動に適用されるセクター別の認可・承認に代わるものでもない。
  • コンプライアンスの重心は市場ごとに異なる。 EUではAI固有の法律が主要なコンプライアンス対象となる。日本では、主としてデータ保護法制と著作権法制という一般法が主要なコンプライアンス対象であり、AI固有のガイダンスはその土台の上に規制当局や取引先が期待する注意義務の水準を定めるものにとどまる。
  • スケジュールは一致しない。 単一のグローバルAIコンプライアンスカレンダーだけを追っている多国籍企業は、日本には法定のコンプライアンス期限が一切存在しない一方、EUにはデジタル・オムニバスによって透明性義務が2026年8月2日、スタンドアロン型高リスクシステムが2027年12月2日、組込み型高リスクシステムが2028年8月2日へと改めて設定された複数の期限が存在するという事実を見落とすリスクがある。
  • 制裁金のリスクは非対称である。 ある組織が日本のAI固有の枠組みに完全に準拠していても、日本国内ではAI固有の制裁金リスクをまったく負わない可能性がある一方、同一のシステムを必要な適合性対応を行わずにEU市場に投入すれば、EU AI法のもとで売上高に連動した制裁金に直面することになる。

どちらのモデルが優れているかは自明ではない。日本のアプローチは、拘束力のある確実性を柔軟性と引き換えにしており、ソフトローとセクター別の執行が、事前承認によってイノベーションにコストを課すことなく、変化の速い技術に追随できるという賭けに立っている。EUのアプローチは、柔軟性を予見可能性と執行可能性と引き換えにしており、加盟27か国にまたがる調和した拘束力ある規則と引き換えに、より緩やかで資源集約的なコンプライアンス対応を受け入れている。多国籍組織にとっての実務上の教訓は、どちらの思想が正しいかを判断することではなく、マッピング作業を行うことである。すなわち、二つの制度それぞれの適用トリガーが各製品・各市場にどう当てはまるかを特定し、一方への準拠が自動的に他方への準拠を意味すると想定するのではなく、法域ごとに適切な、別個のコンプライアンス対応トラックを構築することである。

一次情報源

関連記事